Исходное сообщение
"Дополнение к Firefox, позволяющее сайтам обнаруживать подмен..." Отправлено Аноним, 31-Мрт-19 15:25
>let clientsideDigest = <Digest of TLS certificate that you get from website you're visiting>; >let yourAnswer = <Your CAPTCHA answer>; >let resultDigest = sha512(clientsideDigest + yourAnswer); настоящий clientsideDigest известен атакующему. clientsideDigest подменённого сертификата - тоже. Хеш - тоже известен. Далее распознаём капчу плохим, но достаточно хорошим OCRом, например нейронками, после чего составляем план брутфорса, минимизируя α-guesswork, после брутим, сверяя по хешу. => 1. должна использоваться не хеш-функция, а KDF 2. сервер должен отвергать ответы после определённой задержки 3. этот дедлайн не должен дать времени даже комбайну "индус + нейросеть" 4. владелец сайта должен быть готов к тому, что анб или симулирует много фейковых проваленных попыток из-за латентности или просто замедлит соединение к его сайту, чтобы вынудить его увеличить дедлайн