/exploitpool | (˶˃ ᵕ ˂˶)

Вот пара статей про проблемы истечения срока корневых сертификатов: https://habr.com/ru/news/506446 https://blog.mozilla.org/addons/2025/03/10/root-certificate-will-expire-on-14-march-users-need-to-update-firefox-to-prevent-add-on-breakage/

Если я не прав или где-то ошибаюсь, то пишите в комменты, я не знаю

А ведь самое смешное, что по-нормальному нельзя делать сертификаты с большим «сроком годности», так как это увеличивает риски его подделки в будущем. Условно — в КНР группа ребят слетела с катушек, по приколу собрали серверную с суммарной мощностью в несколько эксафлопсов или другими попугаями, а потом начали просто брутить корневые сертификаты условных Google и Microsoft.

Вот смешно будет в 2036 году

Во всяких Linux'ах теоретически с этим ситуация может быть попроще, особенно на популярных Rolling Release дистрибутивах, но обновление пакета ca-certificates не является решением проблемы. Берём Android, который тоже своего рода дистрибутив Linux и с этой задачей справляется, где система намертво прибита и закрыта, а в случае необходимости обновления набора CA можно либо пососать бибу, либо (неофициально?) обновить Android, либо купить другой смартфон. А что делать на условных Windows 7/8.1? А на 10 в 2030-ых годах? Или 11? Даже если исключить consumer-grade операционные системы, то есть для простых смертных, то у нас остаётся Enterprise, IoT и всякое такое. Что тут прикажете делать? Обновиться? А если поставщик/разработчик забили, то купить новое устройство? Вы слышали об e-waste? Не понимаю, в чём проблема по подписи самого же корневого CA обновлять сертификаты на устройстве самостоятельно средствами самой системы. Есть у кого-то предположения? Может быть, написать PoC софтину, которая так и будет делать? С поддержкой Trust Zone или в первом варианте без него?

То есть истёк GlobalSign Root CA и всё, ручками ищи его и обновляй

Я так понимаю, в отношении SSL и прочих систем с понятием корневого доверенного центра сертификации (ЦС), до сих пор не существует протоколов для обновления истекающих корневых сертификатов напрямую от самих центров сертификации?

Ну и мразь

Немного годноты вам в ленту шитпостинг https://github.com/smallstep/certificates

Есть люди, которые с калдуино читали YubiKey

Pn532 тупой

Нет

Сходи и купи готовый

Теоретически в режиме CCID нормально залетит

Это чтобы USB лишний раз не использовать

Но это такая ебала, оно тебе нужно?

Ну в общем, только эмуляция

Ну в случае pcsc придется свою софтину писать, а вот с чтением данных никаких проблем не должно возникнуть

Так много вопросов и нихуя ответов