The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

В рамках проекта Cryptocat создан web-чат с шифрованием на с..., opennews (??), 28-Июл-12, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


7. "В рамках проекта Cryptocat создан web-чат с шифрованием..."  +/
Сообщение от arisu (ok), 28-Июл-12, 14:50 
а ещё мы все завтра можем умереть. и никакая криптография не спасёт.
Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

28. "В рамках проекта Cryptocat создан web-чат с шифрованием..."  +/
Сообщение от Аноним (-), 28-Июл-12, 19:19 
> а ещё мы все завтра можем умереть. и никакая криптография не спасёт.

Просто толку то от защиты которая по факту является дверью в чистом поле? От чего она защищает? От MITM? Активный MITM может впарить левый скрипт. От сервера? Сервер тоже может впарить левый скрипт. Ну и в чем смысл такого шифрования? Создать ложное ощущение защищенности, в надежде что хомячки и так схавают и будут думать что оно шифрованное, но при том можно будет при желании прослушать?

Понимаешь, Кэп, криптографию не катит строить на гнилом фундаменте. Или уж есть очевидные продолбы, или нет. В данном случае они есть и никак не фиксятся особо. Ну разве что некое оффлайновое веб-приложение которое не перекачивается каждый раз с сервера... но проще GPG какой-нибудь взять или там IM клиент с OTR. Вебня + JS просто не предусматривает сколь-нибудь эффективного противодействия подмене скриптов что по пути, что на сервере.

Ответить | Правка | Наверх | Cообщить модератору

44. "В рамках проекта Cryptocat создан web-чат с шифрованием..."  +/
Сообщение от Аноним (-), 29-Июл-12, 03:11 
AGPLv3 позволяет тебе развернуть свой сервер, а поддержка SSL в браузере позволяет тебе _привязать_ self-signed сертификат намертво к сайту, его нельзя будет подменить что бы браузер не заметил и он не проверяется через доверенные центры которые могут быть дискредитированы потому что самоподписанный.
Ответить | Правка | Наверх | Cообщить модератору

51. "В рамках проекта Cryptocat создан web-чат с шифрованием..."  +/
Сообщение от Аноним (-), 29-Июл-12, 03:56 
> AGPLv3 позволяет тебе развернуть свой сервер,

Окей, но
1) А какие основания у В. Пупкина доверять мне?
2) А как гарантировать что к пользователю придет именно тот скрипт который ему отправил сервер, а не нечто левое, от хакеров/спецслужб/прочих добрых или не очень добрых сущностей, hijack-ающих трафф. От которых по идее и защищаемся. А то прозрачные прокси еще не отменяли, например.

> а поддержка SSL в браузере позволяет тебе _привязать_ self-signed сертификат
> намертво к сайту, его нельзя будет подменить что бы браузер не заметил

А его и не надо подменять. Достаточно сломать очередной из 100500 DigiNotar-образных CA и от их лица подписать что "а вот этот хост - белый и пушистый. И вообще оно - сайт вот этого гражданина. DigiNotar'ом клянусь!". А то что это другой сертификат подписанный другим CA - так кто ж там разберется? Была бы какая-то стандартная механика в браузере для детектирования таких фокусов - я еще понимаю. Но ее ж нет! Поэтому мало кто заметит что теперь сертификат какой-то другой, подписан очередным DigiNotar'ом, который клянется что сайт правильный и принадлежит мне. А то что это CA хакнули или просто что-то зажали в тиски - так поди ж разберись. И лечится весь этот дебилизм разве что выносом всех корневых CA сертификатов... после чего ваша жизнь станет не слишком пресной :)

> и он не проверяется через доверенные центры которые могут быть дискредитированы
> потому что самоподписанный.

И что? Как это помешает впарить на поддельном сайте ДРУГОЙ сертификат сервера? Выписанный другим CA на этот же домен, например? Да, это будет другой сертификат. А радости то? Это ж вполне может выглядеть для юзера как валидный сертификат. На вот этот вот домен с вот этим сервером. А то что это другой сертификат, и это вообще не тот сервер как-то и не будет отловлено. Потому что кто угодно может выписывать сертификаты на что угодно.

Ответить | Правка | Наверх | Cообщить модератору

82. "В рамках проекта Cryptocat создан web-чат с шифрованием..."  +/
Сообщение от Af. (?), 29-Июл-12, 17:14 
> 1) А какие основания у В. Пупкина доверять мне?
> 2) А как гарантировать что к пользователю придет именно тот скрипт который

1) Это не имеет отношения к информатике. При обмене оба в чём-то доверяют друг другу или третьему арбитру. Иначе процесс попросту НЕ существует. От каменного века и до сих пор.

2) Хостить личные сервера. И помнить: никакое шифрование не спасёт от тупо человеческого предательства или засланного казачка, а эта тема к информатике отношения не имеет.

P.S. Насколько помню, в новостях не компрометировали только предварительный обмен открытыми ключами собственного "изготовления". Кстати, за их использование в некоторых странах могут наказать.

Ответить | Правка | Наверх | Cообщить модератору

89. "В рамках проекта Cryptocat создан web-чат с шифрованием..."  +/
Сообщение от Аноним (-), 30-Июл-12, 12:02 
> 1) Это не имеет отношения к информатике.

Вообще-то имеет. При использовании нормальных средств криптографии ожидается что нет откровенных подстав такого плана что кто-то посторонний может впарить что попало + возможность проверить кто чем является. В этой схеме данная возможность или отсуствует или столь невнятна что я ее не разглядел. Когда я качаю GPG из репов моего дистра, я знаю кто писал код и кто собирал пакет. И предоставлены внятные доказательства авторства пакетов в виде подписей. Поэтому какой попало MITM вгрузить что попало не сможет. А вот вебня никогда не делалась с упором на аутентификацию того что именно и кто вгружает клиенту в браузер...

> При обмене оба в чём-то доверяют друг другу или третьему арбитру.

В указанной схеме нет явных методов проверить что код занимающийся шифрованием исходит от того от кого задекларировано, а не левого MITM.

> Иначе процесс попросту НЕ существует. От каменного века и до сих пор.

Спасибо, Капитан.

> 2) Хостить личные сервера. И помнить: никакое шифрование не спасёт от тупо
> человеческого предательства или засланного казачка,

Зато оно должно спасать от MITM. И активных и пассивных. Личный сервер это прекрасно, но опять же - кто гарантирует что юзеру придет именно тот код который мой сервак слал? Браузеры никогда не создавались для аутентифицированной доставки кода.

> а эта тема к информатике отношения не имеет.

Зато к информатике имеет отношение что браузер запускает все что ему пришлет сервер и все сервера в этом плане равноправны. Грубо говоря если вместо сервера Васи мне подсунут сервер Пети, который отгрузит похожий по внешним признакам скрипт - фиг отличишь. Потому что ничто не мешает ему вести себя похоже. Есть SSL, но его надежность - ниже всякой критики.

> Кстати, за их использование в некоторых странах могут наказать.

А в некоторых странах так и вовсе могут камнями закидать.

Ответить | Правка | Наверх | Cообщить модератору

90. "В рамках проекта Cryptocat создан web-чат с шифрованием..."  +/
Сообщение от GG (ok), 30-Июл-12, 12:22 
> Когда я качаю GPG из репов моего дистра, я знаю кто писал код и кто собирал пакет.

Как будто тот, кто писал и собирал не мог проебать свою подпись
Или не мог под влиянием терморектальника или нефти сам подписать какую-нибудь лажу

Ну или https и зафаерволить все левые хосты для полной секурности

Ответить | Правка | Наверх | Cообщить модератору

96. "В рамках проекта Cryptocat создан web-чат с шифрованием..."  –1 +/
Сообщение от Аноним (-), 30-Июл-12, 12:53 
> Как будто тот, кто писал и собирал не мог проeбать свою подпись

В принципе мог, но такие случаи крайне редки. Это будет ломовой секурити-анонс мирового класса. И полпланеты сразу же будет трубить о данном факте.

> Или не мог под влиянием терморектальника или нефти сам подписать какую-нибудь лажу

См. выше. А в упомянутой вами механике - вообще очевидных простых методов проверить кто и что, внушающих доверие - просто нет. Потому что вебня никогда не предназначалась для проверки кто автор кода. Она просто не о том.

> Ну или https

А https - не есть полностью секурный протокол. Потому что большая пачка CA доверяемых по дефолту. И каждый может за другого поставить подпись. Вон comodohacker удостоверил себе что он гугл, мозилла, скайп и что там еще - все и сразу. CA конечно сдох, но секурность 100500 CA которые бырыжат сертификатами за бабло и могут подписать все и всем доверия как-то не внушает. Вот тут уже хаксоры или парни с корочками вполне могут подсуетиться. Вероятность найти по простому слабину в N субъектах примерно в N раз выше чем в 1 субъекте.

> и зафаерволить все левые хосты для полной секурности

К сожалению я делаю вывод что вы - ламер. Вы попросту не представляете себе как работает прозрачный прокси. Позорище космофлота.

Ответить | Правка | Наверх | Cообщить модератору

102. "В рамках проекта Cryptocat создан web-чат с шифрованием..."  +/
Сообщение от коксюзер (?), 30-Июл-12, 15:01 
> В принципе мог, но такие случаи крайне редки. Это будет ломовой секурити-анонс
> мирового класса. И полпланеты сразу же будет трубить о данном факте.

Пока кто-нибудь не обнаружит факт утечки ключа и не сообщит об этом публично, все, кто доверял ключу, продолжат доверять. Ну и случай с Red Hat показывает, что всем, в принципе... ну вы понели.

> там еще - все и сразу. CA конечно сдох, но секурность

К сожалению, Comodo жив.

> 100500 CA которые бырыжат сертификатами за бабло и могут подписать все
> и всем доверия как-то не внушает. Вот тут уже хаксоры или
> парни с корочками вполне могут подсуетиться. Вероятность найти по простому слабину
> в N субъектах примерно в N раз выше чем в 1
> субъекте.

Да. Вообще, забавны все эти рассуждения, по сути, о том, как неопытные пользователи будут удалять из браузера сертификаты CA и проверять по независимым каналам подлинность самоподписанного сертификата (а то и аж целостность получаемых скриптов!), дабы заткнуть паклей дыры в дизайне Cryptocat. Который, что характерно, нацелен на тех, кто не знает, как это делается, либо на тех, кому... ну вы понели. Не говоря о том, что поставить и настроить чат-клиент с OTR - гораздо проще и удобнее, чем все эти пляски.

Ответить | Правка | Наверх | Cообщить модератору

104. "В рамках проекта Cryptocat создан web-чат с шифрованием..."  +/
Сообщение от GG (ok), 30-Июл-12, 15:30 
> К сожалению я делаю вывод что вы - ламер.

Если я ламер, кто кто ты тогда?
Выводятел?

Ответить | Правка | К родителю #96 | Наверх | Cообщить модератору

59. "В рамках проекта Cryptocat создан web-чат с шифрованием..."  +/
Сообщение от GG (ok), 29-Июл-12, 11:20 
> AGPLv3 позволяет тебе

Агпл ничего не позволяет, она только в отличие от GNU GPL требует открывать код хостящегося на твоём личном серваке публичного сервиса.

Ответить | Правка | К родителю #44 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру