> Там скорее Неуловимый Джо - это нафик никому не нужно, поскольку не
> имеет смысла строить доверенный канал, без построения комплексной системы безопасности
> сервера.Вы хотите сказать, что сейчас "комплексной системы безопасности сервера" нет или она плоха? Я почему-то так не думаю. По крайней мере хочется верить в лучшее, т.к. другого ничего не остается...
Весь смысл, за что ежегодно платятся бабки сторонней конторе(аля - Certificate Authority, such as verisign, Equifax и прочие) - это проверить достоверность ключа настоящего владельца. Создавать еще какие то новые доверительные каналы, ИМХО это построение велосипеда. Есть отлаженная система CA, охватывающая весь мир и есть всемирно известные сертификационные центры(их всего то штук 50 на весь мир будет) нафиг еще строить какие то "доверительные каналы"?
На самом дырявом сервере, невозможно подменить сами данные, если они подписаны стороним, хорошо известным и всем доступным сертификационным сервисом, через который сверяются ключи.
> По большому счету, самая ценная весчь - это cvs/svn-репозитарий. Это ценность.
svn/cvs - это еще одна головная боль. GIT судя повсему во Фре никогда не станет официальной репой опять же изза лицензии, но это уже оффтоп...
> Но его копий есть.
А где гарантия, что копия тоже не левая. Все держится исключительно на честном слове и личных связях. Все пользователи должны знать друг друга в лицо? Или заюзать фэйсбук для определения "друзей"? :)
Хотя для решения проблемы всем достаточно знать, что код подписан всем известным представителем от Фри. Тогда не надо будет как Лениским подпольщиками или как усама бин ладен передавать ключ из рук в руки на флэшках и только знакомым лицам... 20 век все таки, самый крутой EV сертификат где проверят личность перед тем как подписать ключ, стоит не более 300 баксов в год, что значительно меньше затрат на любой из конференций.
> Вы про X509 на веб-морду? А смысл в нем?
И не только про нее. Когда публикуется официальные секьюрити оповещения, код подписан хрен знает кем, который не имеет даже тех самых доисторических механизмов PGP где ключ подписывается как минимум несколькими людьми(которых, кстати не все имееют возможность проверить тоже), чтобы этому ключ было доверие.
> Если все одно доверенный канал не означает доверенности к софту
Доверие понятие относительное, тем более в окрытом проекте. Колину Перцивлу вы доверяете? Или Павлу Давидек? А Курлямбе ХренЕгоЗнаевичу? Нет? А вот в Курлямбии, ХренЕгоЗнаевич очень даже известный и доверяемый чувак.
Если бы фонд имел ВСЕГО ОДИН официально подписаный ключ, то дальше можно было-бы строить на нем древовидную структуру доверия по регионам, по разделам и т.д. и т.п., передавая полномочия и доверие от одного к другому, где исключается возможность абсолютно левому, залетному кул-хацкеру что либо изменить в кодах субмитнутых народом. На текущий момент, если будет хакнута репа и подменен код у того же Павла Давидек, - нет никакго механизма перепроверить достоверность кода не то что автоматически,а будет даже проблемно сделать это вручную.
> один хрен за 10 тыщь км хрен проверишь и доверишся.
В том то вся и фишка, достаточно иметь один подписаный ключ, тогда любой со всего света можно смело(автоматически) перепроверить достоверность, новостей, секъюрити советов и кода, точно так же как это делает любой браузер посещающий HTTPS, сравнивающий публичный ключ с третьей стороной ака CA.
> RSA половинку?
> Могу, почему нет. Сопоставив с тем, что пришел другим, более доверенным путем
> или различными путями.
Доверенный путь - На флэшке? Через знакомых, которых вы знаете в лицо?
А как типа быть другим, у кого нет возможности или нет доверия каналу?
Нет этого механизма на данный момент. Вы можете напрямую получить ключ от первоисточника на конференции от самой известной персоны, но в проекте то ведь задействованы не только "известные персоны" и не все имееют возможность посещать конференции. Вот об этом я и говорю, что не можете вы проверить ключ, - не у всех, т.к. нет этой структуры вообще.
Многие вообще не втыкают в криптографию подисания, - но это не значит, что люди не достойны элементарной защите от паддонков.
> Или тем, который был получен ранее, доверенным путем и сверен, и доверенность
> которого подтверждена. Факт подмены обнаруживается тут же - не сойдеться подпись
> на патче.
Это у вас сойдется, при условии, что у вас есть возможность и время на личные встречи для передачи из рук в руки ключа и то при условии что информация не исказилась по дороге к вам ;) А как быть тем кто в глубинке ?
> И не стал бы на этом зацикливаться.
А зря... ИМХО не стоит ждать когда жаренный петух клюнет, примеров с саванной и соурсе- форге мало?
