On Thu, Nov 11, 2010 at 5:30 PM, L.D. Paniak <span dir="ltr"><<a href="mailto:ldpaniak@fourpisolutions.com">ldpaniak@fourpisolutions.com</a>></span> wrote:<br><div class="gmail_quote"><blockquote class="gmail_quote" style="margin: 0pt 0pt 0pt 0.8ex; border-left: 1px solid rgb(204, 204, 204); padding-left: 1ex;">
<br>
Here is a short blurb on why having WPA/2-PSK turned on on your wifi<br>
doesn't help solve the problem of people stealing your cookies.<br>
<br>
<a href="http://www.boingboing.net/2010/11/10/password-doesnt-shea.html" target="_blank">http://www.boingboing.net/2010/11/10/password-doesnt-shea.html</a><br>
<br>
I find it odd that WPA-PSK does not negotiate per-user keys in a more<br>
secure way.  It is so close to having complete credential isolation not<br>
only from people outside the network, but inside as well.<br>
<br>
Looks like the only options are VPN back to a trusted network </blockquote><div><br>There is no such thing as a back to back VPN. So the maximum we can<br>hope for is to encrypt the first leg (which is over public WiFi and hope for <br>
the best for the rest of trip to the site. This will normally over wired <br>communications, hence less likely to have sniffers on.<br><br></div><blockquote class="gmail_quote" style="margin: 0pt 0pt 0pt 0.8ex; border-left: 1px solid rgb(204, 204, 204); padding-left: 1ex;">
or only do business with sites that care enough about your credentials <br></blockquote><blockquote class="gmail_quote" style="margin: 0pt 0pt 0pt 0.8ex; border-left: 1px solid rgb(204, 204, 204); padding-left: 1ex;">to use SSL for the whole transaction.<br>
</blockquote></div><br>As much as I would like that, there just way too many sites out there, <br>as well as services that are not encrypted. A regular PC user will have <br>way too many services and only a fraction of it is encrypted. Think about<br>
various Instant Messaging (Gtalk/Jabber/XMPP, MSN, Yahoo, AIM), IRC,<br>Skype, streaming audio from a radio station on the net. <br><br>Then when it comes to sites, there is RSS (e.g. Google Reader is not <br>encrypted), and several popular sites that have no encryption (e.g. Facebook).<br>
<br>The issue here is that there are way too many pieces (sites, services) to<br>deal with. Waiting for each and every one to implement SSL is just not<br>practical.<br><br>I hope that encryption at a lower level would be the answer, e.g. IPSec.<br clear="all">
Will we have to wait till we move to IPV6 for this?<br><br>In the meantime ...<br><br>Enough complaining: Should we doing something about all this? For<br>example, pool our resources and setup a VPN that we all can use for<br>
for an at-cost fee?<br>-- <br>Khalid M. Baheyeldin<br><a href="http://2bits.com">2bits.com</a>, Inc.<br><a href="http://2bits.com">http://2bits.com</a><br>Drupal optimization, development, customization and consulting.<br>
Simplicity is prerequisite for reliability. --  Edsger W.Dijkstra<br>Simplicity is the ultimate sophistication. --   Leonardo da Vinci<br>