Vlákno názorů k článku Blokování reklamy na úrovni operátora? Opravdu hloupý nápad od Lol Phirae - existuje jiná firma, která certifikát sama nainstaluje a...

To je sice teoreticky možné, ale v praxi IMHO nerealizovatelné. Pokud by O2 doporučilo nainstalovat své certifikáty kvůli MITM, tak první, kdo začne řvát, budou bankovní domy a další finanční instituce, které spustí protikampaň a zatlačili by na O2. A když klientům natlačí jednoduché sdělení "instalací CA od O2 váš operátor vidí do účtů a vašich transakcí", tak O2 si neškrtne. Který z klientů bank by chtěl, aby O2 mohlo vidět do jeho účtů?

Tak něco jiného je, když si děláte něco na svém PC a něco jiného, když to děláte na infrastruktuře. Povolit AV nahlížet do HTTPS spojení přes MITM na Vašem PC je obdobné, jako vytisknout výpis z banky, který přišel do Vašeho PC přes HTTS a vyvěsit ho na náměstí.
Banku zajímá pouze přenos dat na "hranici" Vašeho PC, co si pak s daty děláte, to už je jen záležitost uživatele.

Jako ze browser bude mit implementovany vlastni DNS resolver?

Jakmile O2 spustí blokaci reklam, okamžitě v ČR stoupne SSL licencí pro loadbalancery a do půl roka většina zpravodajských serverů poběží na HTTPS. :-)
Mokrý sen Michala Špačka. :-)))

"Tedy O2 mělo uživatelům povinně tlačit "bezpečnostní" balíček, software, který si každý nainstaluje, a nikdo neřekně ani Ň."
A to já právě rozporuji, že když O2 začne tlačit "security pack" pro své uživatele, tak nikdo by neřekl ani Ň. :-)
Vaše i moje tvrzení jsou čisté hypotézy "coby kdyby". Ale když vidím, jaký humbuk spustilo O2 jen tím, že jen oznámilo, že by to tak chtěli, tak si myslím, že ještě větší humbuk by bylo, kdyby to nejen spustili, ale ještě by se takto chtěli dostat do HTTPS.

Tak určitě boj proti pedofilii a terorismu je argument, proti kterému občan nemůže diskutovat, protože by ho hned zavřeli jako pedofilního teroristu. :-)
Akorát by to ještě pak měli vysvětlit výrobcům webových prohlížečů, co již implementovali HSTS Preloading, protože pak se tito ctihodní občané nedostanou na stránky našich zákazníků, protože jsme je již dali na HSTS list. :-)

Ano, musí si doinstalovat cizí CA. Což nemusí být pro útočníka zas tak jednoduché. Moderní OS či browser (pokud nevyužívá key store systému, ale má svůj) vyžaduje interakci, pokud by něco takového importoval zvenku.
A v okamžiku, kdy browsery budou umět využít DNSSEC, tak si útočník nevystačí s případně naimportovanou vlastní CA.

Ajajaj, Michale, máš u mne bod! :-)
Máš pravdu, rychleji jsem psal než myslel.