The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Анонсирована внутриядерная реализация WireGuard для OpenBSD, opennews (??), 12-Май-20, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


26. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Lockywolf (ok), 12-Май-20, 12:36 
А чем он лучше strongSwan?
Ответить | Правка | Наверх | Cообщить модератору

31. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +1 +/
Сообщение от Ананимус (?), 12-Май-20, 13:00 
IPSec большой и сложный, WG влезает в три тыщи строк на OpenBSD.
Ответить | Правка | Наверх | Cообщить модератору

41. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от пох. (?), 12-Май-20, 13:31 
in-kernel ipsec в разы проще. И вряд ли занимает 3000 строк, да и тех половина общая - криптографические библиотеки ядра.

Все сложное и ненадежное там предусмотрительно вынесено в userspace. Кстати, open помнится единственная система, вообще не умеющая ipsec без юзерспейс демона. (кроме, конечно, венды, но это неточно)

Ответить | Правка | Наверх | Cообщить модератору

45. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 13:38 
$ cloc net/ipv4/esp4*.c net/ipv6/esp6*.c net/xfrm/*.c
      18 text files.
      18 unique files.
       0 files ignored.

github.com/AlDanial/cloc v 1.84  T=0.08 s (238.9 files/s, 252342.2 lines/s)
-------------------------------------------------------------------------------
Language                     files          blank        comment           code
-------------------------------------------------------------------------------
C                               18           3245            675          15094
-------------------------------------------------------------------------------
SUM:                            18           3245            675          15094
-------------------------------------------------------------------------------

И это без крипты.

Ответить | Правка | Наверх | Cообщить модератору

46. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 13:39 
Правда это линукс, щас в open посмотрю.
Ответить | Правка | Наверх | Cообщить модератору

47. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 13:44 
$ cloc sys/netinet/ipsec_*.c sys/netinet/*psp*.c sys/net/pfkeyv2*
       7 text files.
       7 unique files.
       0 files ignored.

github.com/AlDanial/cloc v 1.84  T=0.04 s (182.8 files/s, 213075.4 lines/s)
-------------------------------------------------------------------------------
Language                     files          blank        comment           code
-------------------------------------------------------------------------------
C                                6           1060            935           5723
C/C++ Header                     1             49             42            349
-------------------------------------------------------------------------------
SUM:                             7           1109            977           6072
-------------------------------------------------------------------------------\

Ну тоже немало. И это без учета размазанных по стеку кусков.

Ответить | Правка | Наверх | Cообщить модератору

80. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от пох. (?), 12-Май-20, 17:09 
ну так чудо-вайргад-то тоже поди без udp померян - без которого он не жизнеспособен.
Ответить | Правка | Наверх | Cообщить модератору

89. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 18:37 
А без него типа UDP кода в ядре не будет, лол.
Ответить | Правка | Наверх | Cообщить модератору

55. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от bOOster (ok), 12-Май-20, 14:36 
Ну как бэ механизмы обмена ключами к IPSEC относиться весьма косвенно. IPSEC и на симметричных ключах без механизмов обмена в целом работает.
Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

82. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от пох. (?), 12-Май-20, 17:23 
в целом - работает, только как его включить в именно open? ;-)

(мне на самом деле гораздо интереснее - как это сделать в винде, но, похоже, ответ - никак)

Ответить | Правка | Наверх | Cообщить модератору

111. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Дон Ягон (ok), 12-Май-20, 21:58 
> как его включить в именно open? ;-)

Тут http://www.openbsd.org/faq/faq17.html написано, как, примерно, это делается.
Али не работает что?

Ответить | Правка | Наверх | Cообщить модератору

141. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от пох. (?), 14-Май-20, 11:50 
Не работает то что ты не смог прочитать: работа ipsec без ike в принципе. Насколько я вижу - фак по настройке iked, зачем он мне?

Между линуксом и фрей - работает. Между циской и линуксом - работает. В проклятой, имени корпорации зла - не работает. Ну так корпорация - зла!

Ответить | Правка | Наверх | Cообщить модератору

144. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Дон Ягон (ok), 14-Май-20, 13:14 
> Не работает то что ты не смог прочитать: работа ipsec без ike
> в принципе. Насколько я вижу - фак по настройке iked, зачем
> он мне?

Я действительно пропустил про "без ike" и обратил внимание только на симметричные ключи.

Судя по /etc/examples/ipsec.conf и https://man.openbsd.org/ipsec.conf.5 то, что ты хочешь, таки возможно (но я не проверял на практике).

Что-то типа такого (пример из examples выше):

# Set up a tunnel using static keying:
#
# The first rule sets up the flow; the second sets up the SA.  As default
# transforms, ipsecctl(8) will use hmac-sha2-256 for authentication
# and aes for encryption.  hmac-sha2-256 uses a 256-bit key; aes
# a 128-bit key.

flow esp from 192.168.7.0/24 to 192.168.8.0/24 peer 192.168.3.2
esp from 192.168.3.1 to 192.168.3.2 spi 0xabd9da39:0xc9dbb83d \
       authkey 0x54f79f479a32814347bb768d3e01b2b58e49ce674ec6e2d327b63408c56ef4e8:0x7f48ee352c626cdc2a731b9d90bd63e29db2a9c683044b70b2f4441521b622d6 \
       enckey 0xb341aa065c3850edd6a61e150d6a5fd3:0xf7795f6bdd697a43a4d28dcf1b79062d

А если не секрет, чем хуже вариант с IKEv2?

Ответить | Правка | Наверх | Cообщить модератору

145. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от пох. (?), 14-Май-20, 15:14 
тем что демон дыряв by design.

И там где я могу не бояться одновременно гугля, nsa и cia, шпионящих за мной, от васяна я вполне надежно защищен статическим никогда не меняемым ключом.

> Судя по /etc/examples/ipsec.conf

а его кроме интерфейсной оболочки для iked кто-то читать-то вообще собирался?
У остальных-то есть setkey для ручного управления sa, который никаких демонов не будит.

Ответить | Правка | Наверх | Cообщить модератору

147. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Дон Ягон (ok), 14-Май-20, 15:56 
"Security Associations can be set up manually with ipsecctl(8) or automatically with the isakmpd(8) or iked(8) key management daemons."

( https://man.openbsd.org/ipsec.4 )

Раскрой мысль плиз, про пресловутую "дырявость by design" или посоветуй, где почитать?

Ответить | Правка | Наверх | Cообщить модератору

148. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от пох. (?), 14-Май-20, 16:05 
описания ipsec почитать, вероятно.

Ну или просто оценить количество ручек-глючек-вариаций настроек, и понять, что этот дремучий ентерпрайс не может в принципе быть реализован целиком, совместимо и надежно - даже если выбрать любые два.

Хотя сам по себе, без ike - прост как палка в руках неандертальца.

Ответить | Правка | Наверх | Cообщить модератору

149. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Дон Ягон (ok), 14-Май-20, 16:46 
А, ты об этом. В этом я с тобой скорее согласен.
Но я думал у тебя какие-то конкретные претензии именно к iked/isakmpd.
Ответить | Правка | Наверх | Cообщить модератору

150. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от пох. (?), 14-Май-20, 17:13 
Нет, я даже вполне мог бы поверить (до недавних детских ошибок) что он не хуже и не ненадежнее racoon{,2} не говоря уж про strongswan
Ответить | Правка | Наверх | Cообщить модератору

56. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от bOOster (ok), 12-Май-20, 14:42 
ЧЕ там большого и сложного? IKE?
Ответить | Правка | К родителю #31 | Наверх | Cообщить модератору

59. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 14:54 
В StrongSwan примерно 350 тысяч строк кода _только_ на C.
Ответить | Правка | Наверх | Cообщить модератору

61. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от bOOster (ok), 12-Май-20, 15:03 
> В StrongSwan примерно 350 тысяч строк кода _только_ на C.

Ты мух то от котлет отдели, там напихано все что только можно. А в реальной эксплуатации ты пользуешь процентов 10% из всего что там напихано.

Ответить | Правка | Наверх | Cообщить модератору

62. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +1 +/
Сообщение от Ананимус (?), 12-Май-20, 15:05 
Ну так это и называется "большой и сложный". Шансов обосраться с очередным zero day на кодовой базе в 350 тысяч строк значительно проще, чем на кодовой базе в 3.5 тыщи строк.
Ответить | Правка | Наверх | Cообщить модератору

72. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от lockywolfemail (ok), 12-Май-20, 15:40 
https://cve.mitre.org/cgi-bin/cvekey.cgi?keyword=strongswan

29 эксплоитов с 2004 года? И сколько из них zero-day?

Ответить | Правка | Наверх | Cообщить модератору

73. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 15:54 
Сколько из них ещё не нашли? Сколькими из них не поделились?
Ответить | Правка | Наверх | Cообщить модератору

75. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от lockywolfemail (ok), 12-Май-20, 16:02 
> Сколько из них ещё не нашли? Сколькими из них не поделились?

Ну так и в wireguard непонятно сколько.

Ответить | Правка | Наверх | Cообщить модератору

76. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 16:03 
Wireguard? В котором 3.5k строк? Который можно целиком за вечер прочитать?
Ответить | Правка | Наверх | Cообщить модератору

77. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от lockywolfemail (ok), 12-Май-20, 16:06 
> Wireguard? В котором 3.5k строк? Который можно целиком за вечер прочитать?

Ну, ниже уже написали, что в ядерном ipsec те же самые 3000 строк. А для того, чтобы уязвимости в юзерспейсе играли роль, надо, чтобы уязвимыми местами тоже кто-то пользовался.

Ну, то есть, я не утверждаю, что wireguard плох, но пока его триумфальность не очевидна.

Ответить | Правка | Наверх | Cообщить модератору

79. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 16:09 
> А для того, чтобы уязвимости в юзерспейсе играли роль, надо, чтобы уязвимыми местами тоже кто-то пользовался.

Ты думаешь там 400 тыщ строк кода, которыми никто не пользуется? :)

Ответить | Правка | Наверх | Cообщить модератору

83. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от пох. (?), 12-Май-20, 17:26 
ну, вообще-то, в целом.... ДА! ;-)

Во всяком случае, этих удивительных особей ученые в природе практически не обнаружили. Такое впечатление, что стандарт делали нарочно чтоб надежную реализацию написать было невозможно. Но, разумеется, Хэнлон подсказывает, что нет.

Ответить | Правка | Наверх | Cообщить модератору

40. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +1 +/
Сообщение от пох. (?), 12-Май-20, 13:29 
ну, типа, для установки соединения и rekeying не нужен здоровенный невменяемый и к тому же сто раз уже ломанный демон в юзерспейсе.

Линуксные измеризмы еще показали, до кучи, чуть лучшую скорость на идеальном тестовом примере без потерь, но это может у них в линуксе ipsec такой.

Ответить | Правка | К родителю #26 | Наверх | Cообщить модератору

57. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Lockywolf (ok), 12-Май-20, 14:42 
> ну, типа, для установки соединения и rekeying не нужен здоровенный невменяемый и
> к тому же сто раз уже ломанный демон в юзерспейсе.
> Линуксные измеризмы еще показали, до кучи, чуть лучшую скорость на идеальном тестовом
> примере без потерь, но это может у них в линуксе ipsec
> такой.

Ну, демон наверняка появится. Просто к гадалке не ходи, вся эта пки просто так не делается.

Ответить | Правка | Наверх | Cообщить модератору

58. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +1 +/
Сообщение от Ананимус (?), 12-Май-20, 14:52 
В Wireguard нет PKI, нет revocation листов и прочей ерунды. Просто два чувака обмениваются ключами, как в SSH.
Ответить | Правка | Наверх | Cообщить модератору

66. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Аноним (66), 12-Май-20, 15:07 
> В Wireguard нет PKI, нет revocation листов и прочей ерунды. Просто два чувака обмениваются ключами, как в SSH.

Кто тебе мешает самому написать свой интерфейс управления conf файла wireguard?

> нет revocation листов

Удаляешь пир и конфига вот тебе и revocation, больше он не подключится.

Ответить | Правка | Наверх | Cообщить модератору

67. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 15:08 
А зачем мне все это писать если он и так отлично работает?
Ответить | Правка | Наверх | Cообщить модератору

74. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +1 +/
Сообщение от lockywolfemail (ok), 12-Май-20, 15:58 
В SSH есть CA, revocation lists и всё такое.

Ответить | Правка | К родителю #58 | Наверх | Cообщить модератору

78. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 16:08 
Это нужно только для подписанных ключей.
Ответить | Правка | Наверх | Cообщить модератору

97. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от OpenEcho (?), 12-Май-20, 20:36 
> Это нужно только для подписанных ключей.

Именно, - подписанные теми кто авторизует доступ к куче ресурсов с возможностью ограничивать даже "root"-oв через principal механизм в зависимости куда одним можно лазить а другим нет и удобством управления стандартизированного, проверенного временем механизма.

Ответить | Правка | Наверх | Cообщить модератору

113. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 22:09 
> Именно, - подписанные теми кто авторизует доступ к куче ресурсов с возможностью ограничивать даже "root"-oв через principal механизм в зависимости куда одним можно лазить а другим нет и удобством управления стандартизированного, проверенного временем механизма.

Правда SSH не умеет шарить все это самостоятельно и все публичные CA ключи все равно раскидываются по нодам тем же Ansible, но какая разница :D

Ответить | Правка | Наверх | Cообщить модератору

88. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от OpenEcho (?), 12-Май-20, 18:26 
> нет PKI, нет revocation листов и прочей ерунды.

Ерунды говоришь?

А если у тебя клиентов размером в четыре циферки?

С PKI админ подписывает CSR и отдает клиенту CRT для пользования, не дотрагиваясь ни до одного сервaка... в случае же с новой игрушкой, необходимо передергивать конфиги на всех серваках.

Ответить | Правка | К родителю #58 | Наверх | Cообщить модератору

94. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 19:53 
> С PKI админ подписывает CSR и отдает клиенту CRT для пользования, не дотрагиваясь ни до одного сервaка... в случае же с новой игрушкой, необходимо передергивать конфиги на всех серваках.

В случае с новой игрушкой админ пишет в git репозиторий и нажимает 'git push', после чего за него все делает Ansible.

Ответить | Правка | Наверх | Cообщить модератору

95. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от OpenEcho (?), 12-Май-20, 20:26 
>после чего за него все делает Ansible.

Вот именно -> привлечение кучи (git, ansible/python) стороннего софта, открывающего дополнительные векторы атак. Плюс, каждый новый админ придумывает новую систему, - "а кому же принадлежит ентот килючик"

Ответить | Правка | Наверх | Cообщить модератору

96. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 20:32 
> Вот именно -> привлечение кучи (git, ansible/python) стороннего софта, открывающего дополнительные векторы атак. Плюс, каждый новый админ придумывает новую систему, - "а кому же принадлежит ентот килючик"

Если у вас нет в конторе нет системы деплоя (ansible, chef, puppet, whatever), то ключики в WG добавить это далеко не самая большая проблема :D

Ответить | Правка | Наверх | Cообщить модератору

99. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +1 +/
Сообщение от OpenEcho (?), 12-Май-20, 20:47 
> Если у вас нет в конторе нет системы деплоя (ansible, chef, puppet,
> whatever), то ключики в WG добавить это далеко не самая большая
> проблема :D

Деплой и контроль над доступом - принципиально разные вещи!

Деплоить ключи через механизмы деплоя - это все равно, что посылать баксы в конверте через обычную почту. Именно поэтому, теми кто шарит в криптографии давно был придуман очень простой и эффективный PKI, в котом -НЕ НУЖНО ничего деплоить, тем более через софт который переодически "0-day"

Ответить | Правка | Наверх | Cообщить модератору

100. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 21:03 
> Деплой и контроль над доступом - принципиально разные вещи!

Шта? Какая тебе разница, что деплоить на сервера?

Ответить | Правка | Наверх | Cообщить модератору

104. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от OpenEcho (?), 12-Май-20, 21:28 
Разница только в том, что меня немедленно попрут с работы, если я начну деплоить ключи доступа через ansible
Ответить | Правка | Наверх | Cообщить модератору

107. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 21:40 
>  Разница только в том, что меня немедленно попрут с работы, если я начну деплоить ключи доступа через ansible

Ну так это проблемы твоей работы, что я могу сказать.

Ответить | Правка | Наверх | Cообщить модератору

101. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 21:03 
Если у тебя дыра в деплое, то на твои торчащие наружу вебсервера зальют telnet и никакой VPN тебя уже не спасет :D
Ответить | Правка | К родителю #99 | Наверх | Cообщить модератору

105. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +1 +/
Сообщение от OpenEcho (?), 12-Май-20, 21:30 
> Если у тебя дыра в деплое, то на твои торчащие наружу вебсервера
> зальют telnet и никакой VPN тебя уже не спасет :D

Ок, я все понял, деплойте дальше доступ через ansible ;)

Ответить | Правка | Наверх | Cообщить модератору

106. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 21:39 
Ты так говоришь, как будто это что-то плохое.
Ответить | Правка | Наверх | Cообщить модератору

108. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от OpenEcho (?), 12-Май-20, 21:49 
> Ты так говоришь, как будто это что-то плохое.

Я уже ответил, - чем это плохо, не знаю , что еще добавить...

Ответить | Правка | Наверх | Cообщить модератору

109. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 21:51 
> Я уже ответил, - чем это плохо, не знаю , что еще добавить...

Нет, не ответил. Кроме ААААА МЕНЯ УВОЛЯТ аргументов как-то не было особо.

Ответить | Правка | К родителю #108 | Наверх | Cообщить модератору

121. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от OpenEcho (?), 12-Май-20, 23:08 
>> Я уже ответил, - чем это плохо, не знаю , что еще добавить...
> Нет, не ответил. Кроме ААААА МЕНЯ УВОЛЯТ аргументов как-то не было особо.

Читай выше, если тебе коненчо это надо...

Ответить | Правка | К родителю #109 | Наверх | Cообщить модератору

110. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 21:56 
Не знаю, боишься ansible? Ну сливай файлик с ключами wget'ом раз в 5 секунд с If-Modified и раскатывай скриптом. Проблема реально придуманая.
Ответить | Правка | К родителю #108 | Наверх | Cообщить модератору

112. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +1 +/
Сообщение от Дон Ягон (ok), 12-Май-20, 22:03 
Добавлять, имхо, и нечего, ты всё правильно сказал.
Ответить | Правка | К родителю #108 | Наверх | Cообщить модератору

116. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 22:17 
Кроме того, что публичный ключ CA и revocation list все равно придется раскидывать по тем же нодам тем же Ansible :D
Ответить | Правка | К родителю #112 | Наверх | Cообщить модератору

123. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от OpenEcho (?), 12-Май-20, 23:09 
> Кроме того, что публичный ключ CA и revocation list все равно придется
> раскидывать по тем же нодам тем же Ansible :D

Публичный ключ и crl - не есть секрет !

Ответить | Правка | К родителю #116 | Наверх | Cообщить модератору

124. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 23:13 
> Публичный ключ и crl - не есть секрет !

Публичный ключ (в authorized_keys добавлются публичные ключи, лол) ВНЕЗАПНО тоже не секрет :D

Ответить | Правка | К родителю #123 | Наверх | Cообщить модератору

63. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от bOOster (ok), 12-Май-20, 15:06 
>> ну, типа, для установки соединения и rekeying не нужен здоровенный невменяемый и
>> к тому же сто раз уже ломанный демон в юзерспейсе.
>> Линуксные измеризмы еще показали, до кучи, чуть лучшую скорость на идеальном тестовом
>> примере без потерь, но это может у них в линуксе ipsec
>> такой.
> Ну, демон наверняка появится. Просто к гадалке не ходи, вся эта пки
> просто так не делается.

Любит народ изобретением велосипедов заниматься, а так то и Kerberos за PKI весьма неплохо пойдет.

Ответить | Правка | К родителю #57 | Наверх | Cообщить модератору

64. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от bOOster (ok), 12-Май-20, 15:06 
> Любит народ изобретением велосипедов заниматься, а так то и Kerberos за PKI
> весьма неплохо пойдет.

Сорри IKE :)))

Ответить | Правка | Наверх | Cообщить модератору

68. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 15:09 
НО ЗАЧЕМ? Весь профит Wireguard в том, что он тупой как валенок. Это же прекрасно!
Ответить | Правка | К родителю #63 | Наверх | Cообщить модератору

69. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +1 +/
Сообщение от bOOster (ok), 12-Май-20, 15:12 
> НО ЗАЧЕМ? Весь профит Wireguard в том, что он тупой как валенок.
> Это же прекрасно!

Не спорю - прекрасно, но ключики - стоящие годами на VPN - это очень плохая практика :)

Ответить | Правка | Наверх | Cообщить модератору

70. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 15:15 
Почему? Для публичных сертификатов критически важно иметь expiration date, потому что сертификат валиден до тех пока, пока валиден CA, и revocation list лопнет, если пихать туда ВСЕ сертификаты выпущенные CA. А с ключами-то в чем проблема?
Ответить | Правка | Наверх | Cообщить модератору

90. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +1 +/
Сообщение от OpenEcho (?), 12-Май-20, 18:51 
>revocation list лопнет

А вы пробывали ? CRL держит только подписанные CN имена, и если у вас CRL больше чем мегабайт, то вы скорее всего админ у гугла :)

Ответить | Правка | Наверх | Cообщить модератору

92. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 19:13 
Представь, что у сертификата нет expiration date и тебе нужно хранить все сертификаты Let's Encrypt, котоорые протухают каждые три месяца.
Ответить | Правка | Наверх | Cообщить модератору

102. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +1 +/
Сообщение от OpenEcho (?), 12-Май-20, 21:20 
> Представь, что у сертификата нет expiration date и тебе нужно хранить все
> сертификаты Let's Encrypt, котоорые протухают каждые три месяца.

Вы о чем?
"Представь что ты птица, но ты не птица и тебе надо учитывать таких птиц..."
LetsEncrypt сертификаты - все без исключения с expiration.

Выдавать безсрочные сертификаты - глупо. Это не проблема PKI, а двоечника админа.

Еще раз, CN(common name) махимум 64 символа. CRL держит только эти именна.
Для примера, VerySign CRL файл всего навсего размером в 125Кб, что при нынешнем оборудовании  - меньше чем самая поганая фотка

Ответить | Правка | Наверх | Cообщить модератору

103. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 21:25 
О господи... ты вообще прочитал на что отвечаешь? По-моему, нет.
Ответить | Правка | Наверх | Cообщить модератору

91. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +2 +/
Сообщение от OpenEcho (?), 12-Май-20, 19:02 
Для малого бизнеса и для "дома" пойдет, но не для серьезного бизнеса.
Управлять nameless ключами - это вообще не серьезно... Передергивать конфиги на всех серваках при добавлении/удалении клиентов на большой сети - это просто дурдом. Плюс, нет верификации серверов и клиентов относительно СА, что есть потенциальный MITM
Ответить | Правка | К родителю #68 | Наверх | Cообщить модератору

93. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +1 +/
Сообщение от Ананимус (?), 12-Май-20, 19:18 
>  Для малого бизнеса и для "дома" пойдет, но не для серьезного бизнеса.

Для site2site туннелей это вообще идеальная штука. Для b2b тоже.

>Управлять nameless ключами - это вообще не серьезно...

Ну да, ну да, SSH в интерпрайзе нет.

> Передергивать конфиги на всех серваках при добавлении/удалении клиентов на большой сети - это просто дурдом.

Hint: именно это самое делает OpenAccess, когда ты юзера блокируешь :D

> Плюс, нет верификации серверов и клиентов относительно СА, что есть потенциальный MITM

Какой к чертям MITM? Верификация относительно CA нужна тогда, когда у тебя есть сертификт, полученный через недостоверный источник (ты зашел на https://yandex.ru и он сам отдал тебе свой сертификат). Если у тебя и клиент, и сервер, шарят ключи заранее по доверенному каналу, никакая валидация относительно CA не нужна, лол.

Ответить | Правка | Наверх | Cообщить модератору

120. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от OpenEcho (?), 12-Май-20, 22:58 
> Для site2site туннелей это вообще идеальная штука. Для b2b тоже.

Все зависит от необходимости уровня защиты сети, размера сети, похеризма и параноии...
Новомодные 32 байтовые ключи на элиптических кривых - это эквивалент 2048-3072бит RSA что не считается уже давно достаточным уровнем(после того, как гугля достигла квантумной супримаси).

>>Управлять nameless ключами - это вообще не серьезно...
> Ну да, ну да, SSH в интерпрайзе нет.

Не понял иронии... SSH поддерживает PKI, где можно создавать имеенованные сертификаты, которые хорошо видны в логах...

>> Передергивать конфиги на всех серваках при добавлении/удалении клиентов на большой сети - это просто дурдом.
> Hint: именно это самое делает OpenAccess, когда ты юзера блокируешь :D

Какой OpenAccess?
На серваках лежит только публичный ключ СА. Все. Все что подписанно им, - истина.
Никто ничего не передергивает/рестартует/добавляет/удаляет на серваках. Никахих добавлений в authorized_keys и их родствеников в других протоколах. Клиент присылает мне CSR, я его верифицирую через как миниум 3 независимых канала, подписываю его, и отправляю обратно CRT(или если ресурс очень важный, то из рук в руки под подпись). Теперь он может заходить туда где есть наш публичный СА и делать только то, что ему разрешили через principal(прописанный в сертификате) Никаких конектов к сервакам или мороки с деплоями (через стороний софт тем более). Единственное что должно быть на серваках - публичный СА ключ.

>> Плюс, нет верификации серверов и клиентов относительно СА, что есть потенциальный MITM
> Какой к чертям MITM? Если у тебя и
> клиент, и сервер, шарят ключи заранее по доверенному каналу, никакая валидация
> относительно CA не нужна, лол.

Такое впечатление, что мы с разных планет. Технология работает не только на просторах хттп.
Доверенный канал - это что ? гмэйл, яндекс? Может ssh ? И вы правда по телефону сравнивали фингерпринты? Со всеми сотнями серверов? Если есть канал, он может быть МИТМ. Если нет верификации ключей, то МИТМ  можно организовать. Лолайте дальше ;)

Ответить | Правка | Наверх | Cообщить модератору

122. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 23:08 
> Все зависит от необходимости уровня защиты сети, размера сети, похеризма и параноии...
> Новомодные 32 байтовые ключи на элиптических кривых - это эквивалент 2048-3072бит RSA что не считается уже давно достаточным уровнем(после того, как гугля достигла квантумной супримаси).

В Wireguard есть опциональный Preshared Key на этот случай. Учитывая, что нет готового решения для пост-квантовой криптографии (кроме PSK), я не понимаю, чего ты конкретно хочешь :D

> Не понял иронии... SSH поддерживает PKI, где можно создавать имеенованные сертификаты, которые хорошо видны в логах...

Логи SSH? Глазами? Серьезно? :D

> Какой OpenAccess?

OpenVPN Access. Ынтырпрайз для любителей OpenVPN.

> Никто ничего не передергивает/рестартует/добавляет/удаляет на серваках. Никахих добавлений в authorized_keys и их родствеников в других протоколах. Клиент присылает мне CSR, я его верифицирую через как миниум 3 независимых канала, подписываю его, и отправляю обратно CRT(или если ресурс очень важный, то из рук в руки под подпись). Теперь он может заходить туда где есть наш публичный СА и делать только то, что ему разрешили через principal(прописанный в сертификате) Никаких конектов к сервакам или мороки с деплоями (через стороний софт тем более). Единственное что должно быть на серваках - публичный СА ключ.

Правда есть три маленькие детали. Во-первых, на публичный ключ CA на сервера должен как-то попасть. На _каждый_ SSH сервер. Вы его туда руками добавляете? :D

Во-вторых, revocation list должен попадать на сервера ASAP. На _каждый_ SSH сервер. Вы его туда руками добавляете?

Ну и политики в /etc/ssh тоже должны как-то попадать :D

Если вы добавляете это все руками, то это просто комедия. Если вы пушите это через Ansible/Puppet/Chef, то расскажи мне САКРАЛЬНУЮ РАЗНИЦУ В БЕЗОПАСНОСТИ между записью файликов в /etc/ssh, и записью файликов в /root/.ssh/authorized_keys, ~user1/.ssh/authorized_keys. Учитывая, что делать это нужно на тех же самых SSH хостах :)

> Доверенный канал - это что ? гмэйл, яндекс? Может ssh ? И вы правда по телефону сравнивали фингерпринты? Со всеми сотнями серверов?

Какой сотней серверов, если речь про Wireguard? Который VPN? У тебя сто VPN серверов? :D

> Если есть канал, он может быть МИТМ. Если нет верификации ключей, то МИТМ  можно организовать.

Тока ты забыл про одну маленькую деталь. Сертификат для проверки CA тоже нужно как-то доставить клиенту :D

Ответить | Правка | Наверх | Cообщить модератору

126. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от OpenEcho (?), 12-Май-20, 23:58 
> В Wireguard есть опциональный Preshared Key на этот случай.

Канал передачи ключей проверенный???

>Логи SSH? Глазами? Серьезно? :D

Я все никак догнать не могу, что смешного???

# cat /var/log/secure | grep 'user_root12'

May 12 16:31:44 ХОСТ sshd[23637]: Accepted publickey for root from хх.хх.хх.хх port 7266 ssh2: RSA-CERT ID user_root12 (serial хххххххх) CA RSA SHA512:хххххххххххххххххххххххххх


>Правда есть три маленькие детали. Во-первых, на публичный ключ CA на сервера должен как-то попасть. На _каждый_ SSH сервер. Вы его туда руками добавляете? :D

Ну да, руками, на первой исталяции, приходит/приезжает/прилетает технарь, ему под подпись выдаются публичные ключи, которые они уже устанавливают через иммиджинг систему.
Я же уже сказал, все зависит от систем, которые вы обслуживаете, если это вордпрессы на AWS, это дело одно, а если это военка, финансы, электростанции и т.д. и т.п. то это совсем другое дело...

>Во-вторых, revocation list должен попадать на сервера ASAP. На _каждый_ SSH сервер. Вы его туда руками добавляете?

Когда система уже доверенная, то доставка идет через проверенный, верифицированный канал и CRL в этом случае уже не есть секрет, т.к. он это просто публичный ключ подписанный тем же СА...

Ответить | Правка | Наверх | Cообщить модератору

128. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 13-Май-20, 07:11 
> Когда система уже доверенная, то доставка идет через проверенный, верифицированный канал и CRL в этом случае уже не есть секрет, т.к. он это просто публичный ключ подписанный тем же СА...

Какой верифицированный канал, лол? Как ты CRL на сервер доставляешь?

Ответить | Правка | Наверх | Cообщить модератору

131. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от факен (?), 13-Май-20, 08:38 
серьёзный бизнос - это там кде админ в танчики играет, вместо того чтобы работать?
Ответить | Правка | К родителю #91 | Наверх | Cообщить модератору

117. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  –1 +/
Сообщение от Аноним (117), 12-Май-20, 22:29 
Похоже Линус любит тупые вещи. Сначала линукс, потом гит, теперь и эту поделку.
Ответить | Правка | К родителю #68 | Наверх | Cообщить модератору

118. "Анонсирована внутриядерная реализация WireGuard для OpenBSD"  +/
Сообщение от Ананимус (?), 12-Май-20, 22:31 
Тео тоже нравится.
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру