Navegadores y registros de exportación. ¿SGC sigue siendo válido?

2

Estaba leyendo un libro bastante anticuado sobre SSL / TLS, que menciona los certificados International Step Up y los Server Gated Certificates de Microsoft, que eran la forma de evitar las reglas de exportación de EE. UU. transacciones economicas

Ahora todavía existen reglas de exportación.

Pero siempre vi que los navegadores que he usado han solicitado paquetes de cifrado más sólidos, independientemente del servidor. entrada de Wikipedia sobre Criptografía cerrada del servidor dice:

  

Hoy en día, los certificados SGC se consideran obsoletos como   Los navegadores que requieren capacidades de cifrado mejoradas son todo menos   extinto, y muchas partes sostienen que facilitar el uso de mayores,   Los navegadores inseguros crean más problemas de seguridad que ellos.   remedios [3] [4] Sin embargo, muchas autoridades de certificación continúan   cobrar una prima por este tipo de certificado. Cuando un apretón de manos SSL   tiene lugar, el software (por ejemplo, un navegador web) mostrará una lista de los cifrados   que soporta. Aunque los navegadores exportados más débiles sólo lo harían   incluir cifrados más débiles en su protocolo SSL, el navegador también lo hizo   contienen algoritmos de criptografía más fuertes.

Realmente no entiendo este párrafo.

  • Si las leyes de exportación de EE. UU. siguen vigentes (y lo hacen), ¿cómo pueden los navegadores usar algoritmos de cifrado más sólidos?
  • ¿Qué estoy extrañando aquí?

Siempre veo el navegador enviando cifrados fuertes junto con débiles sin que el servidor tenga una indicación especial como SGC.

    
pregunta Jim 18.04.2012 - 22:46
fuente

1 respuesta

2

Las leyes de exportación de EE. UU. siguen vigentes, pero se han relajado.

Extracto de la página de Wikipedia sobre Exportación de Crypto en los Estados Unidos :

  

Estado actual

     

A partir de 2009 ... Todavía existen algunas restricciones, incluso para productos de mercado masivo, en particular con respecto a la exportación a "estados deshonestos" y organizaciones terroristas. Los equipos de encriptación militarizados, la electrónica aprobada por TEMPEST, el software criptográfico personalizado e incluso los servicios de consultoría criptográfica aún requieren una licencia de exportación. Además, se requiere el registro de cifrado con el BIS para la exportación de "productos, software y componentes de cifrado de mercado masivo con cifrado que exceda los 64 bits". Además, otros elementos requieren una revisión única o una notificación a BIS antes de exportar a la mayoría de los países. Por ejemplo, se debe notificar al BIS antes de que el software criptográfico de código abierto esté disponible públicamente en Internet, aunque no se requiere revisión.

Por lo tanto, aunque el registro en BIS sigue siendo necesario para los proveedores de productos de encriptación , pueden exportar software que utiliza cifrados más fuertes.

Usted, como usuario final o administrador del servidor, no necesita preocuparse por esto.

    
respondido por el Rory Alsop 19.04.2012 - 12:53
fuente

Lea otras preguntas en las etiquetas