В рамках проекта GPG4Browsers подготовлена написанная на языке JavaScript реализация стандарта OpenPGP (RFC 4880 (http://tools.ietf.org/html/rfc4880.html)). Поддерживаются все хэш-функции, асимметричные и симметричные шифры (кроме IDEA), определённые в стандарте и применимые для таких областей использования, как шифрование и расшифровка сообщений, создание и проверка цифровых подписей, импорт и экспорт сертификатов.
В настоящее время GPG4Browsers доступен только в форме дополнения для браузера Chrome и поддерживает интеграцию с Gmail (подписывание, шифрование и расшифрование сообщений). GPG4Browsers полностью совместим с GnuPG со стандартными настройками, за исключением поддержки сжатия (для создания совместимого с GPG4Browsers сообщения следует использовать опцию "--compress-algo none").
Код распространяется под лицензией LGPLv2.1 и при желании может быть портирован для других браузеров. Реализация каждого метода шифрования и хэшей, а также функции манипулирования с ключами и...URL: http://www.reddit.com/r/netsec/comments/mh1s6/gpg4browsers_i.../
Новость: http://www.opennet.me/opennews/art.shtml?num=32351
Новости "* на JavaScript" уже настораживают. К чему всё это, кто-нибудь может объяснить?
Ну как к чему? Повсеместное использование интернет технологий во всех областях. Работа, дом, основное развлечение у многих.
Сейчас интернет - это тебе и музыка и видео и общение и практически всё остальное для чего используют компьютер. Отсюда и "переезд" всех нужных и ненужных идей и технологий в браузер.
А так то уж что что, а реализация шифрования на JS никак не лишняя. За это только жирный +
А давай сравним языки программирования с точки зрения аудитории:
Если вы напишешь программу на GTK+ ее, возможно, скачает 3,5 гика через годик, когда она попадет в репозитории. Если попадет.
Если вы напишешь программу на C# то с вашего сайта, который еще нужно сделать, ее скачают 100 человек, тридцать из которых спросят у вас что такое ошибка "0x80070643" , .NET почему им надо его устанавливать.
А если вы напишете программу на Javascript то ее будут использовать 1 000 000 человек.
Думайте сами.Я свой выбор сделал.
Если программа ерунда, очередной CD эректор, то хоть на чем написана будет никому ненужна.
Если программа нужная то написана ли она на gtk+ или c# или javascript пользоваться ей будет много людей. Дело не в средстве а в цели
Нет, это совершенно не так. Каналы распространения даже важнее качества самой программы. Адобе с флешем/флексом уже прокатилась на этой карусели.
Это не говоря уже про то, что если у пользователя программа не запустится, как это частенько бывает с java/c#/gtk+, то угадайте что? Правильно он не будет ее использовать.Кстати про gtk+. Вы видели хоть одного молодого человека который бы заявлял: " GTK+ - это технология передовая, буду изучать." ? На мой взгляд, поциент скорее мертв, чем жив.
А qt? Там благополучно перезжают на javascript + qml.
Java. Последний раз видел Swing интерфейс лет так 5 назад.
c# - Угадай что?
> Нет, это совершенно не так. Каналы распространения даже важнее качества самой программы.
> Адобе с флешем/флексом уже прокатилась на этой карусели.А) Не Adobe, а Macromedia.
B) Flash написан не на C# или JavaScript
C) Он так распространен потому-что ничего другого тогда, да и сейчас, нету.
> А если вы напишете программу на Javascript то ее будут использовать 1 000 000 человек.
> Думайте сами.Подумали. Поняли что файрфокс и хром писаный на сях используют сотни миллионов человек :)
И сколько заняло распространение файрфокса и хрома на миллионы человек?
5 лет?
А что бы миллионы начали пользоваться моим js приложением мне нужно, хм... три дня? Достаточно засветится на /. хабре и тд.
И никаких установок и прочего геморроя для пользователя.
Ну покажи уже своё крутое js приложение. Хватит бредить про 3 дня и миллионы пользователей.
> И сколько заняло распространение файрфокса и хрома на миллионы человек?У вас распостранение вашего на _любом_ ЯП займет примерно столько же. Тем более что JS это аналого "посмотрел и удалил". Если 5 000 000 юзеров посмотрят 1 раз и потом навсегда забудут про ваш сайт, а постоянных визитеров останется только 10 штук - какой вам с этого прок? На десктопе вон гугл вообще при деинсталле хрома интересуется - "за что нас так?" :)))
>Если 5 000 000 юзеров посмотрят 1 раз и потом навсегда забудут про ваш сайтЭто просто супер. Да и 5 000 000 показов рекламы это как бы 10 000$ минимум.
И да, я своим сайтом зарабатываю. В отличии от большинства здешних "программистов"
>>Если 5 000 000 юзеров посмотрят 1 раз и потом навсегда забудут про ваш сайт
> Это просто супер. Да и 5 000 000 показов рекламы это как
> бы 10 000$ минимум.
> И да, я своим сайтом зарабатываю. В отличии от большинства здешних "программистов"Это вытягивание бабла подкладкой под г.внорекламу. Не стыдно так "зарабатывать", а, "программист"?
Кстати, не подскажешь, из 5 млн просмотревших рекламу - кто купит хотя бы десяток единиц рекламируемых прокладок Олвэйз?
Кстати сколько человек сидит на устаревшей неподдерживаемой и дырявой версии firefox? Миллионы (15% от всех). А сколько Сидит на устаревшей версии gmail? Ровно 0(ноль!) человек.
Имо, за использование с/с++/с# там где можно обойтись html+js надо наказывать как за распространение вредоносных программ.
> Имо, за использование с/с++/с# там где можно обойтись html+js надо наказывать как
> за распространение вредоносных программ.Ага. Даешь браузер на JS + HTML?! Кстати на сайте убунты вполне можно посмотреть на что-то такое и даже устроить рекурсию. Только вот это не совсем честные браузеры :P
p.s. и да, засуньте ваш гмыл себе в глотку. Мне не нравится когда гугл за меня может решить что мне удобно так и сяк и все переколбасить а мне останется только покорно всосать. Поэтому я пользуюсь тундербердом. И что-то меня никто не поломал за столько лет. Странно.
> Я свой выбор сделал.О, очередной разработчик весёлых ферм. Ну сделали и славно, хорошо что ваших поделок мы не увидим. Что же касается нормального софта, то именно тем "3.5 гикам" он прежде всего и нужен, если под "3.5 гиками" вы имеете в виду программистов, дизайнеров, инженеров и всех остальных кто работает, а не х*и пинает. Да и 1000000, как только появится альтернатива вашей поделке, для которой не надо постоянно сидеть в сети и которая не тормозит как адский ад, сразу перейдут на наё, GTK+ она там или C#.
> программистов,Программистам мне нужен ГТК. Самый популярный язык програмирования JS.
>дизайнеров,Дизайнерам не нужен ГТК. Самое популярное и высокооплачиваемое направление дизайна - дизайн веб сайтов.
>инженеровИнженерам тем более не нужен ГТК. Инженерам полезнее системы совмесной совмесного проектирования и общения - позволяющие вместе работать людям из разных стран - что может предложить Web но ни как не ГТК.
>и всех остальныхИ кто остается? Правильно 3,5 маргинала на мнение которых не существенно.
> для которой не надо постоянно сидеть в
> сетиЗачем постоянно сидеть в сети? Gmail offline хороший пример.
> и которая не тормозит как адский ад,Gmail работает быстрее thunderbird. GDoc быстрее LibreOffice, что у вас тормозит, расскажите?
Программистам нужны средства разработки - хорошо контролируемые и стыкующиеся между собой. С вебом здесь плохо всё - ни контроля за средой толкового (сравните любой веб-редактор с гибкостью эклипса), ни взаимодействия со сторонними инструментами, в том числе самописными. То есть кое-что сделать можно, но костыли выходят жуткие. Это я на собственном опыте знаю - сам веб-разработчик. Натив (emacs тот же) или десктопная жаба в лице эклипса/нетбинса/идеи здесь куда как предпочтительнее, тем более что смешиваются они в любой пропорции. А если говорить о том, что можно написать для веба и что для десктопа - то и здесь разница колоссальная, если речь идёт не о ферме какой. Потому что десктопный софт имеет нормальный доступ к системе и оборудованию - от трея до подключённых специализированных железок.Дизайнерам нужны инструменты - хотел бы я посмотреть на аналог фотошопа или корела на js. Потому что опять же - для профессионала нужны работа с большими массивами данных, сложной алгоритмикой и, как следствие, большим и сложным кодом с возможностью автоматизации. И еще нужна хорошая повторяемость - если я вчера сделал некоторую процедуру над некоторыми данными и получил определенный результат, то и сегодня эта процедура над этими же данными должна дать тот же результат, если я явно ничего не менял. Для этого, конечно, никаких непрошеных апдейтов быть не должно. И, к вашему сведению, работы по созданию этикеток, оберток, рекламных листовок и прочей полиграфии много больше, чем дизайна сайтов. Просто шума там меньше, потому что техпроцесс давно понятен и стабилен, в отличие от криво-косого веба.
Инженерам нужны прежде всего мощные средства проектирования - скоростные, интеллектуальные, способные работать с большими проектами. То есть - достаточно оптимальные по потреблению памяти и процессора и имеющие многомегабайтные массивы кода. А написать возможность сетевого взаимодействия в каком-нибудь Автокаде или Eagle по сравнению с его основным функционалом - это мелочь, которая даже одного процента ресурсов разработки не съест.
А вот недостатков у веб-софта с точки зрения того, кто работает, валом. Плохой контроль за собственными данными (ладно, сочтём это паранойей), неудобство стыковки различных инструментов, невозможность контроля версии софта. Та же смена интерфейса Gmail - яркий пример. Гугл что-то там куролесит, и зафиксировать нужную версию никак не получится. В то время как для какого-нибудь скайпа (который, замечу, мало того что проприетарен, так еще и очень старается обновляться без ведома пользователя) это всего лишь вопрос правила в файрволле.
Кстати, то, что GMail быстрее Thunderbird - так єто промашка мозиллы. Тот же The Bat! вполне шустр. О гуглодоках и говорить нечего - если сравнить их с офисом 95 (по возможностям примерно эквивалентным) - то проиграют со свистом. А современный софт тяжелее, так и умеет на порядок больше.
И, кстати, гуглософты быстрее десктопа далеко не всегда - тот же гмаил ох как любит потормозить, соединяясь с сервером. И не надо про соединение - во-первых, интернет работает нормально, а во-вторых десктопный софт, по очевидным причинам, в этих условиях не тормозил бы.Веб, в сущности, выехал ровно на одной фиче - возможности запуска софта без установки. Всё остальное либо реализуется в десктопном софте проще, либо в вебе не реализуется вообще.
> Программистам мне нужен ГТК. Самый популярный язык програмирования JS.Те кто на нем пишут в 99% являются скрипткиддями, и только 1% достоин названия програмиста. Вот перед нами например воинствующий скрипткидь, выучивший свой первый васик и явно уверенный что все остальное - не нужно. Ну, потому что он этого не знает и знать не желает.
>>дизайнеров,
> Дизайнерам не нужен ГТК. Самое популярное и высокооплачиваемое направление
> дизайна - дизайн веб сайтов.Да елки, пилоты - не нужны! Потому что ну его нахрен эти самолеты. Давайте только вебсайты делать! А давайте вы ПО бортовому компьютеру боинга на вашем JS напишете? Только чур я одним рейсом с вами не полечу, извините.
>>инженеров
> Инженерам тем более не нужен ГТК. Инженерам полезнее системы совмесной
> совмесного проектирования и общенияДля начала окончите уже школу и выучите как пишется слово "совместно". И вообще, а вы всех инженеров то опросили на предмет того что им нужно? Никого не забыли? Точно?
> позволяющие вместе работать людям из разных стран -
> что может предложить Web но ни как не ГТК.Хотите я вас расстрою? У инженеров как правило задачи ничего не имеющие общего с вебом. А совместная работа - иногда нужна, иногда нет. Но вот невозможность совершения работы при отваливании интернет канала или заваливании портала писаного жопорукими хтмлщиками типа вас как правило совершенно неприемлимо. Как неприемлим и взлом конфиденциальных или чувствительных к отказам проектов, etc. Вы как, хотите чтобы парни типа комодохакера хакнули систему управления ближайшего к вам химзавода? А может нехрен бы такое в веб то вывешивать по этой причине, а?
>>и всех остальных
> И кто остается? Правильно 3,5 маргинала на мнение которых не существенно.Да вас послушать - пекари не нужны. Токари не нужны. Пилоты не нужны.
"... не будет ни театров, ни кино - одно сплошное телевидение!"
>> для которой не надо постоянно сидеть в сети
> Зачем постоянно сидеть в сети? Gmail offline хороший пример.И чем он лучше тундерптицы?
>> и которая не тормозит как адский ад,
> Gmail работает быстрее thunderbird.Сильно зависит от. Вообще, в гробу я видел удовольствие пользоваться спайварью от гугла которая вечно сливает все в гугл для "благой цели" пичкания меня правильной контекстной рекламой.
> GDoc быстрее LibreOffice,
Ага, особенно на жпрс в поезде. Ну подумаешь, отваливается раз в 30 секунд, это ж мелочи? :)))
> что у вас тормозит, расскажите?
Да вот как-то открытый документ с базой смсок мегафона там _дико_ тормозил, икал ошибками раз в секунду и вообще серверу было плохо. Настолько что просто сэйвануть документ себе на диск занимало минут 10. Нормально так - доступность документа зависит от внешних воздействий и того насколько там сейчас сервак гугли ворочается под текущей нагрузкой. Понятно что документ популярный, ну а мне то какое дело? Это потенциальная возможность факапа.
Итого: гугловебоз головного мозга. Да чтоб у вас автопилот в самолете был на этом написан.
(Ложка дегдя) В каком бразере он работает быстрее? Все кроме Chrome адский тормозит. Так что все что вы тут втираете правда работает но с большим НО.
>Программистам мне нужен ГТК. Самый популярный язык програмирования JS.Самый популярный - C. Если сравнивать языки как токовые (GTK - C++).
Но сравнение ГТК с JS, это сравнение %%% с пальцем , вроде чем-то похожи но есть подвох.>Дизайнерам не нужен ГТК. Самое популярное и высокооплачиваемое направление дизайна - дизайн веб сайтов.
Самое высокооплачиваемое и популярное ? Какой бред. Дизайн интерьеров распространён куда шире и стоит в разы дороже.
>Инженерам тем более не нужен ГТК. Инженерам полезнее системы совмесной совмесного проектирования и общения - позволяющие вместе работать людям из разных стран - что может предложить Web но ни как не ГТК.
Опять про палец... Инженерный софт в web? Мессенджеры вне браузеров гораздо удобнее.
>Зачем постоянно сидеть в сети? Gmail offline хороший пример.Не тормозит?
>Gmail работает быстрее thunderbird. GDoc быстрее LibreOffice, что у вас тормозит, расскажите?Зачем постоянно сидеть в сети?
Аноним типичный интернет задрот.
Толсто.
Google и другие американские мегакорпорации хотят подмять под себя рынок разработки ПО, особенно в Web. Для этого им надо разрекламировать определенные решения (HTML5, Dart, Javascript, Android, Chrome, Java машины как в кривом Далвике, и т.д.) чтобы заманить разработчиков. Остальные решения отомрут не потому что они плохие, а попросту из-за недостатка интереса от толпы. Посвященные тролли (и в меньшей степени неосознающие хомяки), кто обеими руками за корпоратократию и "американские ценности", работают на крупных форумах по рекламе этих технологий. Рекламируют конечно же не явно (и порой не бесплатно), а через "Реализации ХХХ на JavaScript" и прочие "Обзоры Андройда на устройстве ХХХ"...
Гугл выбрал стратегию "Не будь злым", т.е. все, начиная от топ менеджеров до разработчиков так или иначе (осознанно или нет) настроены на создание комбинации "продукт + поддержка пользовталей/разработчиков". Гугл не держит продуктов, которые обделены такой поддрежкой. Соответвенно, для получения поддержкки от разработчиков Гугл открывает исходники практически везде, иначе такой ход не сработает. Ну и конечно в продукты вливается огромное количество денежных и купленных человеческих ресурсов (99% дохода гугла - запатентованная реклама в интернете), ввиду чего заманивать пользователей/разработчиков вполне легко.
Про опасность влияния таких мегакорпораций, как Гугл, на опенсорс я уже писал http://www.opennet.me/openforum/vsluhforumID3/80317.html?n=&...
> Google и другие американские мегакорпорации хотят подмять под себя рынок разработки ПО, особенно в Web.Замечательное предложение! В фортунки :)))
PS: Не вы странные какие-то чес слово. А кому вчера сейчас и по всей очевидности завтра принадлежал этот рынок? Неужели России? А может Индии? Или Бразилии? Не смешите мои тапки. Есть Штаты и есть вся остальная мелочь. Разве что Китай. Но там как на Луне своя жизнь.
Зачем ты разговариваешь с копипастой?
> кому вчера сейчас и по всей очевидности завтра принадлежал этот рынок? Неужели России? А может Индии?Сегодня и тем более завтра - уже НИКОМУ! Т.к. "рынок" ПО стремительно переходит на свободную модель разработки, открытый код и проч. Американские мегакорпорации теряют от этого доходы за продажу КОПИЙ софта, поэтому с помощью Гугла и других корпораций пытаются перехватить инициативу на этой волне. Боятся полного доминирования социализма в ИТ индустрии, которая может перекинутся и на другие отрасли. "Этим людишкам только дай волю", и они сразу же забудут все "американские ценности" и начнут мутить социлизм-коммунзм http://www.opennet.me/openforum/vsluhforumID3/81285.html?n=&...
Никуда он не перекинется - по крайней мере пока стоимость разработки и копирования в других отраслях не станет так же низка, как в софте. Да и в софте - происходит всего лишь вполне капиталистическая оптимизация затрат, не более. Разумеется, те, кто за счёт этих затрат живёт, сопротивляются.
> поэтому с помощью Гугла и других корпораций пытаются перехватить инициативуправильно читать:
"возглавили это движение". а то складывается впечатление что их это напрягает и они вот прямо засуетились, что не соответсвует истине. они прикинули вариант утечки денег и начали строить дамбу заранее.
Модно. Javascript стал отставать от нормальных языков не в 100 в а 10 раз, и народ подуал что на нём можно писать всё. Это продёт.
Отставать? Превосходить.
> Отставать? Превосходить.в тормозах?
Вот людям делать нечего, криптографию на js переписывают.
Побенчить JS вполне можно. Правда, в данном случае - увы, не выйдет.
Да вы батенька ...
То что они делаю очень нужно. Я бы например все свои Коментарии/твитты/личные данные оставляемые в интернете подписывал бы своим ключом, если бы такая возможность была. А то некоторые модераторы/администраторы пошли. Да и ломают сайты через два дня на третий.А как вам возможность sha1 текущей страницы и запомнить, чтоб знать не изменилась ли она?
> То что они делаю очень нужно. Я бы например все свои Коментарии/твитты/личные
> данные оставляемые в интернете подписывал бы своим ключом,Капитан намекает что твиты больно короткие чтобы туда еще и подпись влезла.
> если бы такая возможность была.
А она, ВНЕЗАПНО, есть. Вы только представьте себе, можно подписать сообщение и например скопипастить его. Не очень удобно, но если хочется. Для почтовиков есть и более цивильные решения. Для веба тоже можно придумать, при том без всяких JS. Например подписывание выделенного блока текста сделать по идее вполне реально. Видимо просто никому нахрен не вперлось, потому что криптография с публичными ключами реально понятна 3.5 гикам. Остальным это китайская грамота как правило.
> А то некоторые модераторы/администраторы пошли.
Не, как раз нормально. Даже отлично. Вот ляпнете вы сгоряча лишнего - велкам в суд. А вот тут факт что вы подписали сообщение очень даже пригодится. Чтобы доказать что это именно ВЫ ляпнули, а не какой-то посторонний хакер Вася, сперший ваш аккаунт или вообще какой-то другой анонимус, например использовавший вас как прокси. А вот с ключом - не отмажетесь. В великобритании уже просекли фишку: если вы откажетесь сдать ключ - вы можете за это сесть.
> Да и ломают сайты через два дня на третий.
И как ваши ключи помешают взлому?
> А как вам возможность sha1 текущей страницы и запомнить, чтоб знать не
> изменилась ли она?Дык это и сейчас можно. Что-то типа curl page | sha1sum - и вот вам sha1. А на JS... это конечно можно, но зачем? Это будет весьма тормозно и будет заметно жрать проц. Да и SHA для такого явно избыточен.
> Капитан намекает что твиты больно короткие чтобы туда еще и подпись влезла.Нет.
> А она, ВНЕЗАПНО, есть.Вы только представьте себе, можно подписать сообщение и
> например скопипастить его.Нет. Подчищать пробелы и убирать всевозможное форматирование типа - предлагаете вручную.
> Для почтовиков
> есть и более цивильные решения.Нет. Почтовые программы не нужны.
> Не, как раз нормально. Даже отлично. Вот ляпнете вы сгоряча лишнего -
> велкам в суд.Вам может и отлично. А вот я дееспособный совершеннолетний гражданин и отвечаю за свои слова. И редактировать мои сообщения без моего ведома не нужно.
> И как ваши ключи помешают взлому?Когда очередной раз взломают админку очередного форума и все ваши сообщения заменят на ссылку на CP/ломаные программы/расизм, тогда вы расскажите нужно подписывать сообщения или не нужно.
> Дык это и сейчас можно. Что-то типа curl page | sha1sum -То что получит curl и то что увидите вы две большие разницы. Показать сайт который уже давнеько торгует виагрой, но владелец не знает об этом? Наверное также проверяет.
> и вот вам sha1. А на JS... это конечно можно, но
> зачем? Это будет весьма тормозно и будет заметно жрать проц.Скажите честно вы пьяны?
>> Капитан намекает что твиты больно короткие чтобы туда еще и подпись влезла.
> Нет.В твит даже просто пубкей не влезет. В лучшем случае его fingerprint только. Ну и сама подпись. А сообщение... да ну его нафиг, кому нужны сообщения? Нехай только из подписи и состоит :)))
>> А она, ВНЕЗАПНО, есть.Вы только представьте себе, можно подписать сообщение и
>> например скопипастить его.
> Нет. Подчищать пробелы и убирать всевозможное форматирование типа - |b| |/b|
> предлагаете вручную.А знаете в чем проблема? Вы подпишете сообщение, а движок на сервере что-то такое же по смыслу подправит. И ваша подпись на раз пойдет псу под хвост, став невалидной. Единственный известный мне метод лечения - использование плейнтекста и постинг в виде характерно оформленного блока. На его офромление всяикми |b| и любыми элементами которые парсятся сервером вам придется забить, под страхом инвалидации цифровой подписи. Если сервер поменяет хоть 1 бит (а может) - подпись в миг станет невалидной. И кроме |b| есть и еще куча потенциально проблемных мест.
>> Для почтовиков есть и более цивильные решения.
> Нет. Почтовые программы не нужны.Вам не нужны? Не пользуйтесь. А я вот предпочитаю удобный и быстрый почтовик. Настроенный как мне удобно. Интерфейс которого не зависит от прихоти гугла или кого там еще. Почта в котором мне доступна даже без наличия интернета. Мне так удобнее - вебфэйсы это удел ламеров которым положить на удобство и скорость своей работы.
>> Не, как раз нормально. Даже отлично. Вот ляпнете вы сгоряча лишнего - велкам в суд.
> Вам может и отлично. А вот я дееспособный совершеннолетний гражданин и отвечаю
> за свои слова. И редактировать мои сообщения без моего ведома не нужно.В нашей стране можно ответить за что угодно ;)
>> И как ваши ключи помешают взлому?
> Когда очередной раз взломают админку очередного форума и все ваши сообщения заменят
> на ссылку на CP/ломаные программы/расизм, тогда вы расскажите нужно подписывать сообщения
> или не нужно.Пусть себе заменяют. А я тут при чем? Я этого не делал же. Ну наспамил какой-то козел, все вменяемые люди поймут что я тут не при чем и имел место взлом. Куда хуже будет если взломают именно _меня_ и не только отспамят, но еще и моим ключом подпишут. А вот в этом случае - иди потом доказывай что не верблюд. Если сообщение с "CP/ломаные программы/расизм" будет подписано моим ключом - вот тут уже все шансы огрести неприятностей. А то что это какой-то там хакер отдуплился (тем более что реализация на JS+HTML как правило склонны к XSS/CSRF и прочим на радость оным) - иди еще докажи. Не будешь же ты товарищу майору который браузер впервые в жизни видит про CSRF рассказывать? Да и загружаемый с ремотного сервера скрипт - недоверяемая штука. Вылезет MITM и воткнет свой скрипт в то место где был правильный. Отличием будет то что он тырит привкей сливая его на хаксорский сервант. А вот после этого хакер сможет везде гадить от моего имени только в путь. Все-таки почтарь или браузер я с левого сайта качать не буду, и MITM не имеет внятных шансов раздать их мне когда ему приспичит. А вот с JS - да запросто.
И кстати наивный вопрос: если модератор захочет исправить сообщение, что помешает ему просто удалить цифровую подпись с корнем? Нет подписи - нет проблем с ее валидацией :)))
>> Дык это и сейчас можно. Что-то типа curl page | sha1sum -
> То что получит curl и то что увидите вы две большие разницы.Зависит от сайта, но вообще - бывает, да. Но опять же - можно разобраться и откуда аякс данные тягает и уже для них считать, например. Никакой ракетной науки там нет.
> Показать сайт который уже давнеько торгует виагрой, но владелец не знает
> об этом? Наверное также проверяет.Хм... не понял к чему тут виагра. Если вы о том что кто-то про виагру дописать может - ну он и sha1 может переписать тогда по логике вещей. Не вижу что вообще дает sha1 сам по себе.
>> зачем? Это будет весьма тормозно и будет заметно жрать проц.
> Скажите честно вы пьяны?Отвечаю честно: вы web`анулись :))). Знаете, любой инструмент хорош в меру. Веб - в частности.
Кстати к вопросу о изменении текста сервером и тегах {b}. Вот например сервер в одном из вариантов просмотра выполняет тег. Сволочь :)
> В твит даже просто пубкей не влезет. В лучшем случае его fingerprint
> только. Ну и сама подпись. А сообщение... да ну его нафиг,
> кому нужны сообщения? Нехай только из подписи и состоит :)))Сколько вариантов подписывания информации вы знаете? Дай угадаю - ноль, правильно?
> А знаете в чем проблема? Вы подпишете сообщение, а движок на сервере
> что-то такое же по смыслу подправит. И ваша подпись на раз
> пойдет псу под хвост, став невалидной.Какая из букв в слове javascript в заголовке статьи вам не понятна?
> Вам не нужны? Не пользуйтесь. А я вот предпочитаю удобный и быстрый
> почтовик.При 7,5gb почты thunderbird загружается 5,5 минут и ищет от 7 до 10 минут. Против 1 и 1 секунды gmail. Быстрые программы такие быстрые!
> В нашей стране можно ответить за что угодно ;)Благо не надо отвечать за воду и общие слова, которые вы приводите вместо аргументов, правда?
> Пусть себе заменяют. А я тут при чем? Я этого не делал
> же. Ну наспамил какой-то козел, все вменяемые люди поймут что я
> тут не при чем и имел место взлом.
> вменяемые люди поймутВ суде расскажите. Там у нас много... вменяемых.
> А
> то что это какой-то там хакер отдуплился (тем более что реализация
> на JS+HTML как правило склонны к XSS/CSRFДополнения к хрому, о которых говорится в новости не подвержены xss, выучите матчасть уже.
> И кстати наивный вопрос: если модератор захочет исправить сообщение, что помешает ему
> просто удалить цифровую подпись с корнем? Нет подписи - нет проблем
> с ее валидацией :)))Тонкий намек форумы бывают разные. И некоторые придуманы не только для вашего испражнения, но и для дела. Подделка сообщений на них может стоить много денег.
> Зависит от сайта, но вообще - бывает, да. Но опять же -
> можно разобраться и откуда аякс данные тягает и уже для них
> считать, например. Никакой ракетной науки там нет.Смешно.
> Хм... не понял к чему тут виагра. Если вы о том что
> кто-то про виагру дописать может - ну он и sha1 может
> переписать тогда по логике вещей. Не вижу что вообще дает sha1
> сам по себе.Контроль целостности слышали такой термин? Хотя зачем я спрашиваю?
> При 7,5gb почты thunderbird загружается 5,5 минут и ищет от 7 до
> 10 минут. Против 1 и 1 секунды gmail. Быстрые программы такие
> быстрые!Это не программы "такие быстрые" это кто-то жОстко спекулирует смыслом. Если чел хранит почту локально, то 7,5 Гиг ящик характеризует его как человека, готового на подвиг. В частности, подождать XXX минут на поиск. А если человек не хранит локально, он использует IMAP. А там уже немножко поиначе.
>> кому нужны сообщения? Нехай только из подписи и состоит :)))
> Сколько вариантов подписывания информации вы знаете? Дай угадаю - ноль, правильно?Конечно! Куда уж нам, дуракам, чай пить?
>> А знаете в чем проблема? Вы подпишете сообщение, а движок на сервере
>> что-то такое же по смыслу подправит. И ваша подпись на раз
>> пойдет псу под хвост, став невалидной.
> Какая из букв в слове javascript в заголовке статьи вам не понятна?Мне не понятно вот что:
1) Если сервер рулится не вами, то
* Конструкция сайта и как он процессит ваше сообщение - на совести админов и разработчиков софта который там есть. Вам это неподконтрольно. Ну будет у половины сообщений подпись зафэйлена. Потому что "парсер - лох!" (с) хабрахабр. И?
* Более того - админ всегда прав. Если он захочет подкорректировать ваше сообщение, ему это никто не запретит. А подпись можно и вообще удалить, если будут вопросами о ее несовпадении задалбывать.
* Класть ли на свой сервер подобный по смыслу скрипт для визитеров - вообще дело добровольное.
* Если кто-то сотрет ваше сообщение - не вижу как вам поможет подпись в этом случае :)2) Если сервер рулится вами ... тогда накукуй JS? Разве что у вас все написано на node.js и для единообразия? Но имхо было бы культурнее и быстрее libssl дернуть. А то придет к вам пачка флудоботов - JS у вас и загнется на раз подписи лепить. SSL и на сях то при большой нагрузке может загнуться, что очень радует ssl-ные сайты. А на JS подписывание умрет намного раньше.
Итого: в каком месте наступает epic win?
>> Вам не нужны? Не пользуйтесь. А я вот предпочитаю удобный и быстрый почтовик.
> При 7,5gb почты thunderbird загружается 5,5 минут и ищет от 7 до 10 минут.У меня в сумме около 5 гб почты. Правда, она разложена в разных папках, сгруппированых по смыслу. Потому что 7.5Г дряни в одной папке - это примерно как свалка, куда свозят весь мусор города. Хотя ради интереса надо б посмотреть что будет с 7.5Г в 1 папке. А сколько там при этом писем? Обещаю сунуться с секундомером и посмотреть. Ну и разумеется я не считаю время на синхр с серваком почты - он делается в фоне а в случае imap еще и не очень тупо.
> Против 1 и 1 секунды gmail. Быстрые программы такие быстрые!
Ага, только вот по жпрс этот ваш гмыл только свой интерфейс минуту прогружает. А если еше и в транспорте - он вообще не загрузится и почты не будет. И кроме того у меня нет аккаунта на гугле. Нафиг мне этот ваш гмэйл, если у меня ряд мылбоксов на других серверах?
А если еще и ToS гугля почитать - они как-то больно много всего хотят.
>> В нашей стране можно ответить за что угодно ;)
> Благо не надо отвечать за воду и общие слова, которые вы приводите
> вместо аргументов, правда?Ну и за ваше вебанатство - тоже. В культурном обществе за такую пропаганду по привязке к 1 поствщику услуг вообще канделябрами по роже бьют.
>> тут не при чем и имел место взлом. вменяемые люди поймут
> В суде расскажите. Там у нас много... вменяемых.В суде, знаете ли, надо будет доказать что вон то сообшение вообще я писал. Если в нем будет моя подпись (а хотя-бы и сделанная спертым у меня ключом) - это уже половина доказательства. Знаете, если "кого-то застрелили пистолетом" - это как бы одно. А если "кого-то застрелили ВАШИМ пистолетом" - это уже хуже. Доказывать что стреляли не вы станет намного сложнее и совсем не факт что вам поверят вообще. По этой причине оружие полагается хранить надлежащим образом. Но в случае JS и ключей как-то совсем не светит сохранить приватность приватного ключа.
>> А то что это какой-то там хакер отдуплился (тем более что реализация
>> на JS+HTML как правило склонны к XSS/CSRF
> Дополнения к хрому, о которых говорится в новости не подвержены xss, выучите
> матчасть уже.Зато сам хром подвержен стукачеству в гугл, убогости интерфейса, отсутствию нормальных средств типа адблокплюса и ноускрипта + покладанием на мое приваси. Спасибо, конечно, но с такими "друзьями" никакие враги не нужны. К тому же дополнение надо устанавливать и в этом плане оно ничем не отличается от обычной программы из репов, хоть того же gpg. Кроме того что я майнтайнерам репов моего дистра доверяю больше чем гуглу. Ибо они не сливают за валюту мои данные и статистику по ним как последние проститутки.
>> И кстати наивный вопрос: если модератор захочет исправить сообщение, что помешает ему
>> просто удалить цифровую подпись с корнем? Нет подписи - нет проблем с ее валидацией :)))
> Тонкий намек форумы бывают разные. И некоторые придуманы не только для вашего
> испражнения, но и для дела. Подделка сообщений на них может стоить много денег.Модератору форума? Хм, это скорее вам бан на форуме будет стоить денег, если вы вздумаете бычиться с администрацией. В конечном итоге админ сервера всегда прав и хоть вы там на ушах стойте, а переспорить его вы не сможете. Как максимум можно подорвать доверие к админам, но подписи в этом процессе мало помогут. И кстати еще вопрос, что хуже: сотрет ли модер только бранную часть сообщения или совсем его убьет. Или вы надеетесь что модеры не будут стирать сообщение только потому что там подпись? :)
>> считать, например. Никакой ракетной науки там нет.
> Смешно.Не смешнее чем на JS. Можно подумать, JS делает какую-то особую магию которая недоступна другим.
>> Не вижу что вообще дает sha1 сам по себе.
> Контроль целостности слышали такой термин? Хотя зачем я спрашиваю?Слышали. И? Вы не можете доверять ремотной информации в общем случае. А для просто контроля не побились ли данные хватит и галимненького CRC32, не говоря о том что сетевые протоколы и без ваших соплей это реализуют. TCP или передает данные верно, или если это не удается сделать - разрывает соединение, т.к. не может выполнить гарантии даваемые протоколом. Поэтому втыкание SHA1 в страницы имеет очень ограниченную полезность.
Кстати лучше уж считайте SHA256 тогда. Это намного интереснее - майнер биткоинов назыавется. Лох считает, а бабки - тому кто скрипт лоху вгрузил :)
*Сначала им нечего было делать и они придумали компьютер, потом интернет, а теперь вот это...*
> доступен только в форме дополнения для браузера ChromeFAIL.
Сурсы открыты, перепиши под тормозилу, кто мешает.
> Сурсы открыты, перепиши под тормозилу, кто мешает.А при чем тут фурифокс? По логике вещей, единственная польза от JS - то что работает в любом браузере и это не надо доустанавливать явно. А тут и этого нет. Ну и нахрена оно такое нужно?
> А при чем тут фурифокс? По логике вещей, единственная польза от JS
> - то что работает в любом браузере и это не надо
> доустанавливать явно. А тут и этого нет. Ну и нахрена оно
> такое нужно?На глупые вопросы не отвечаю.
> На глупые вопросы не отвечаю.Что, разумного ответа не придумалось даже на столь простой вопрос? :)
Перепиши для своего фуррифокса, опенсорс же
> Перепиши для своего фуррифокса, опенсорс жеСпасиб, уже наелся всяких irc на js и прочих. И понял что обычный севый xchat умеет в 20 раз больше а тормозит в 20 раз меньше.
>поддерживает интеграцию с Gmail (подписывание, шифрование и расшифрование сообщений).Это просто бомба.
От гугла то такого не дождешься.
*ужел перепиливать под яндекс и мыломс.ру*
> От гугла то такого не дождешься.Ну еще бы, ему это индексировать мешает.
> *ужел перепиливать под яндекс и мыломс.ру*
Откройте уже для себя нормальные почтовики, которые интегрируются с gnupg. И у вас сразу отпадет вагон геморроя: одна связка почтаря + gpg сможет работать с гуглом, мылом, яндексом, рамблером и вообще любым почтовым сервисом. В том числе обеспечивая шифрование и подписывание сообщений.
Хотя конечно когда все просто работает - это же так скучно! Вот изобрести супер-пепелац на ява скрипте, кривой, тормозной и только под один сервис - это круто! (но ведь свое не пахнет, поэтому http://lurkmore.ru/%D0%92%D1%81%D0&...)
> Откройте уже для себя нормальные почтовики, которые интегрируются с gnupg.Нормальные это какие? Outглюк? Мозилу с отваливающимися каждые полтора месяца расширениями?
И какие из этих нормальных почтовиков имеют версии под андроид/iPad/winMo? А js выполняется везде.
> вас сразу отпадет вагон геморроя:И появится два вагона нового, от тормозов до уязвимостей.
> работать с гуглом, мылом, яндексом, рамблером и вообще любым почтовым сервисом.
Ага по pop3. У меня 7,5 гигов почты - спасибо не надо.
> Хотя конечно когда все просто работает - это же так скучно!
А у меня все работает в браузере без установки кривых, текущих поделок на с/с++.
> Нормальные это какие? Outглюк? Мозилу с отваливающимися каждые полтора месяца расширениями?Я мозиллу юзаю. На десктопе. На телефоне (n900) - допиленной нокией почтарь на основе modest. Вполне культурный и резвый. И умеющий хранить почту оффлайн. И по жпрс с нормальной скоростью работает, а не как гмыло или прочие мылру.
> И какие из этих нормальных почтовиков имеют версии под андроид/iPad/winMo?Не сторонник мазохизма - то как гмыл (мылру/яндекс/whoever else) работает по gprs - иначе чем супермегазоосадомазопорно просто не назвать. А без интернета мне вообще почта окажется недоступна. Так меня не устраивает - иногда она используется для mission critical задач, а не только долбо...ства и отсылки никому не нужных фоточек.
> А js выполняется везде.
Угу. Только если я выпал из сети - и уже не выполняется. А вот из локального почтаря и его базы аттач на раз откроется. И на десктопе и на ноуте и на телефоне (угробища типа ифона мы рассматривать не будем - это не для тех у кого бывают mission critical задачи, а тем кому потребццтвовать).
>> вас сразу отпадет вагон геморроя:
> И появится два вагона нового, от тормозов до уязвимостей.Вот что-что а яваскрипт тормозит сильнее всех остальных вместе взятых. Зависимости? О, у JS есть одна, зато коронная - без интернета оно вообще не жилец. Поэтому прочитать письмо которое пришло вчера допустим в самолете или поезде (где интернета нет или он летает как г-но в проруби) попросту не выйдет совсем.
>> работать с гуглом, мылом, яндексом, рамблером и вообще любым почтовым сервисом.
> Ага по pop3. У меня 7,5 гигов почты - спасибо не надо.У нормальных людей imap еще бывает. То что поп3 устарел - факт.
>> Хотя конечно когда все просто работает - это же так скучно!
> А у меня все работает в браузере без установки кривых, текущих поделок на с/с++.Ага. А что если интернета не оказалось или он тормозной? Это же так приятно - мудохаться с тормозами жпрс в мухосранске. Или вообще полностью обломаться открыть аттач который тебе вчера прислали. Кстати JS тоже умеет течь.
И кстати а ничего что "без установки кривых, текущих поделок на с/с++" ака браузеров этот самый JS попросту не заработает вообще? :)))
Итого: махровое ламерство и вебанутость, имхо. Любой инструмент хорош на своем месте.
> Я мозиллу юзаю. На десктопе. На телефоне (n900) - допиленной нокией почтарь
> на основе modest. Вполне культурный и резвый. И умеющий хранить почту
> оффлайн.И умеющий ее подписывать? Или какого вы его приплели?
> Не сторонник мазохизма - то как гмыл (мылру/яндекс/whoever else) работает по gprs
> - иначе чем супермегазоосадомазопорно просто не назвать.Ваши личные проблемы. А это n900 - все ясно. Купите нормальный телефон уже хотя б optimus one за 6500р.
> А без интернета мне вообще почта окажется недоступна.Вранье Gmail offline на чистом html +js
> Только если я выпал из сети - и уже не выполняется.Что еще о javascript вы знаете кроме названия?
Глупость и необразованность некоторых просто поражают.
> у JS есть одна, зато коронная - без интернета оно вообще
> не жилец.Все ясно.
> У нормальных людей imap еще бывает. То что поп3 устарел - факт.То есть те у кого нет imap не нормальные? Отличный подход, достойный юноши.
> Ага. А что если интернета не оказалось или он тормозной?Тогда вам поможет предложенный вами же IMAP. OH WAIT...
> Кстати JS тоже умеет течь.Нет.
> И умеющий ее подписывать? Или какого вы его приплели?Умеющий при сильном желании. Кстати, всегда можно поставить gpg и подписать произвольный блок текста при сильном желании. Так можно отправить шифрованное/подписанное сообщение вообще через что угодно куда вообще можно постить текст. Хоть через pastebin, хоть это и изврат слегка :D.
>> Не сторонник мазохизма - то как гмыл (мылру/яндекс/whoever else) работает по gprs
>> - иначе чем супермегазоосадомазопорно просто не назвать.
> Ваши личные проблемы. А это n900 - все ясно.Что ясно? Что вышки с HSPA есть не везде, потому что их установка стоит денег? Местами, простите, GPRS то по обычному GSM не долетает или еле-еле виден. Ну и сколько там грузится гмыл - нетрудно себе представить :)
> Купите нормальный телефон уже хотя б optimus one за 6500р.
Спасиб, но зонды от гугля мне и бесплатно не нужны. Даже если мне за это приплатят. Тем более что покупка любого телефона мало влияет на качество сигнала и используемую технологию. Знаете какая Ж, когда стоит в чистом поле сота и там не то что HSPA а вообще даже EDGE нет (т.е. классический такой 2G GSM в эталонном виде) а на нее еще и претендует толпа местных аборигенов? Там если не повезло и аборигены оккупировали соту - гмыло и за час не загрузится, пардон ;)
>> А без интернета мне вообще почта окажется недоступна.
> Вранье Gmail offline на чистом html +jsЯ рад за них но судя по названию оно прибито гвоздями к гугловым сервисам. Которыми я вообще не пользуюсь. У меня вообще нет гугл аккаунта. И не будет, потому что я ни разу не agree с ToS гугла.
>> Только если я выпал из сети - и уже не выполняется.
> Что еще о javascript вы знаете кроме названия?То что у некоторые фанаты оного окончательно вебанулись и заработали гуглоз головного мозга. Не, на самом деле JS вполне симпатичный ЯП, но опять же - каждому делу свой инструмент. Писать на JS тяжелую криптографию - примерно такой же изврат как очертя голову писать на гольном си клон фэйсбука.
> Глупость и необразованность некоторых просто поражают.
+100500. Выучили JS и думают что кроме него вообще ничего не нужно. Ха-ха, откуда такие наивные болванчики берутся?
>> у JS есть одна, зато коронная - без интернета оно вообще не жилец.
> Все ясно.А что тут не ясного? Он хоть как-то с оффлайном только совсем недавно научился работать. А написание на нем криптографии конечно возможно но больше напоминает борьбу с геморроем и ограничениями. Хотя любителей забивания гвоздей микроскопами такая фигня никогда не смущала :)
>> У нормальных людей imap еще бывает. То что поп3 устарел - факт.
> То есть те у кого нет imap не нормальные? Отличный подход, достойный юноши.Ну у вас же у кого нет гмыла и не хочется юзать медвежьи услуги гугла - ненормальные. Чем это хуже моего критерия - не совсем понятно.
>> Ага. А что если интернета не оказалось или он тормозной?
> Тогда вам поможет предложенный вами же IMAP. OH WAIT...Для начала мне поможет нормальный почтовик, в котором оффлайн режим - штатная фича, а не побочный довесок к тотальной гуглозависимости.
>> Кстати JS тоже умеет течь.
> Нет.Что - нет? Юзать какие-нибудь сущности в таком виде при котором GC их никогда не пришибет - законом не запрещается. Более того, это может быть настолько неочевидно и трудновоспроизводимо что программер вообще не допрет поначалу что что-то идет не так. Я вполне себе видал странички которые повисев ночь могли откушать чуть ли не гигаз памяти. Поскольку подобное поведение было в всех браузерах от гуглохрома до старого ишака - выводы напрашиваются. Как вы утечку ни назовите, а она возможна и выглядит примерно одинаково ;)
Кстати, а когда вы уже перепишете браузеры с этого галимого си на JS, раз уж там все так зашибись? Обещаю дотошно сравнить скорость и потребление памяти. Вот и посмотрим как оно :)
В дискуссии на /r/netsec/ эту ссылку уже запостили, но считаю не лишним запостить ее и сюда:"Javascript Cryptography Considered Harmful"
http://www.matasano.com/articles/javascript-cryptography/Одна из основных проблем - с (не)доступностью из JavaScript генератора случайных чисел, пригодного для криптографических целей. (Вероятно, ситуация будет постепенно улучшаться. Пока один из подходов - накапливать в коде на JavaScript свой entropy pool, но это менее надежно и менее удобно, чем тот же /dev/*random, до которого не доберешься.)
Например, в случае реализации DSA, это может привести к утечке секретного ключа, даже если исходно пара ключей генерировалась как положено (например, с помощью GnuPG и лишь потом была импортирована в реализацию на JavaScript для использования).
http://rdist.root.org/2010/11/19/dsa-requirements-for-random.../
http://en.wikipedia.org/wiki/Digital_Signature_Algorithm#Sen...grep'нул содержимое GPG4Browsers-v0.1.zip на эту тему. Пока что js/ciphers/asymetricencryption/dsa.js выглядит недописанным. Там есть функция generateK(), которая использует нигде не определенную randomfn().
Можно попросить юзера подёргать мышку туда-сюда (если только кто-нибудь это уже не запатентовал :))
> Можно попросить юзера подёргать мышку туда-сюда (если только кто-нибудь это уже не
> запатентовал :))Даже если запатентовали, если не ошибаюсь, putty именно так и делает, много лет, так что наверное прокатит за prior art.
>People log in to it with usernames and passwords. You'd rather they didn't send their passwords in the clear, where attackers can capture them. You could use SSL/TLS to solve this problem, but that's expensive and complicated. So instead, you create a challenge-response protocol, where the application sends Javascript to user browsers that gets them to send HMAC-SHA1(password, nonce) to prove they know a password without ever transmitting the password.Глупая статья.
>SSL/TLS ... expensive and complicatedДальше можно не читать.
>>SSL/TLS ... expensive and complicated
> Дальше можно не читать.А ведь как ни странно, эти жабаскриптовые бакланы правы. Куча недавних атак на оные протоколы это подтверждает. Не говоря уж о том что при наличии в доверяемых 100500 CA, слом одного CA ведет к подставе всех остальных. И где-то заныкался comodohacker с его поддельными сертификатами и парой потенциально раздолбаных CA. Поэтому он может выписать сертификат на что угодно. Толку от такого протокола и его сертификатов не густо, если какой-то галимый хакер может на раз подписаться что он и гугл, и мозилла, и ebay и прочие скайпы.
Шнайер об этом писал давным-давно. Задолго до того, как этот трэш повсеместно стал применяться как супер-пупер-мега-дупер-крутейшая технология безопасности.
В этой статье такой стиль - приводятся абсурдные точки зрения некоторых сторонников JavaScript crypto и показывается их абсурдность. Именно такие участки Вы процитировали - например, мол "SSL/TLS слишком тяжел, и поэтому мы реализуем свою альтернативу на JS" - что авторы статьи не считают хорошей идеей и обоснуют почему. Если не читать, а лишь просмотреть мельком - да, может создаться впечатление, что статья глупая. Пожалуй, это не самый удачный способ подачи информации, либо такие участки авторам следовало более явно выделить шрифтом/цветом. Если же все же прочесть - там дельные мысли. Не требуется соглашаться со всеми, но и глупыми их не назовешь.
А JS вообще не защищен от MITM. Если ремотный атакующий засевший у меня на проводе мне левый скрипт криптографии вдует - я могу еще и с своими привкеями на ровном месте расстаться. JS с ремотного серванта априори untrusted и доверять ему свои пубкеи - глупость несусветная.
>в форме дополнения для браузера Chrome
>JS с ремотного серванта
> ремотного- Там же написано!
- Так они же не читают!!!
Зачем мне разбирать в бреде сумасшедшего речения святых?
> Одна из основных проблем - с (не)доступностью из JavaScript генератора случайных чисел,На тебе случайных чисел http://www.random.org/integers/?num=1000&min=1&max=999999999...
---
Вот, там же клиенты, в том числе на JS - http://www.random.org/clients/http/archive/один из них - https://github.com/11rcombs/node-random/blob/master/main.js
> Вот, там же клиенты, в том числе на JS - http://www.random.org/clients/http/archive/И откуда ты знаешь что они тебе будут рандом отгружать? :)
А то вон соня уже поюзала рандом. Везде одинаковый. В эллиптической криптографии. Хакеры оценили это по достоинству и вычислили ключи :)//Вот например капча - 88876. Стопроцентный рандом, не заметно разве? :)
>> Вот, там же клиенты, в том числе на JS - http://www.random.org/clients/http/archive/
> И откуда ты знаешь что они тебе будут рандом отгружать? :)
> А то вон соня уже поюзала рандом. Везде одинаковый. В эллиптической криптографии.
> Хакеры оценили это по достоинству и вычислили ключи :)
> //Вот например капча - 88876. Стопроцентный рандом, не заметно разве? :)Рандом вообще без нефигового криптоанализа на качество не проверить. Однако реально. Только ресурсов это укушает немерено. И времени. Опять же, выборка нужна офигительной длинны для качественной проверки.
Ага. И дебианщики вон разок вкусили что бывает за предсказуемый рандом. Потом баааааальшая пачка ключей полетела в блеклист. Как расхаканые.
>> Вот, там же клиенты, в том числе на JS - http://www.random.org/clients/http/archive/
> И откуда ты знаешь что они тебе будут рандом отгружать? :)Дело в том, как ты их потом заюзаешь. СЧ нужны лишь для раскрутки генератора,
а дальше сам уж, нормальную энтропию состяпашь с нужным МА и дЫспэрсиёй и
только потом уже из неё будешь сосать байты для своих ПСЧ.
> Дело в том, как ты их потом заюзаешь. СЧ нужны лишь для раскрутки генератора,Дык если тебе подсунут неслучайное число - PRNG _неслучайно_ раскрутится. Далее будет очередной "дебиан vs OpenSSL".
Случайные числа из вне, это всего лишь формальность.
Взял пару штук, и генери свой массив c проверкой,
пока там матожиданиё не станет 1/2 и дисперсия 1/12 :)
> Случайные числа из вне, это всего лишь формальность.
> Взял пару штук, и генери свой массив c проверкой,
> пока там матожиданиё не станет 1/2 и дисперсия 1/12 :)Возьми пару штук истинно белых случайных числе с равномерным распределением где-либо в оси, софтверно? От которой у тебя есть ВСЕ исходники, так, в помощь. Ну?
>> Случайные числа из вне, это всего лишь формальность.
>> Взял пару штук, и генери свой массив c проверкой,
>> пока там матожиданиё не станет 1/2 и дисперсия 1/12 :)
> Возьми пару штук истинно белых случайных числе с равномерным распределением где-либо в
> оси, софтверно? От которой у тебя есть ВСЕ исходники, так, в
> помощь. Ну?1, 2
> Взял пару штук, и генери свой массив c проверкой,Дали тебе случайные числа. Допустим 4 и 9. А теперь допустим что их каждому третьему такие же выдают, а остальным например 5 и 12 и 7 и 19.
При этом даже не зная каким ты там по счету был, при знании алгоритма твоего PRNG (а прятать такие вещи неэффективно и глупо) можно с вполне разумными затратами на брут восстановить состояние PRNG "как было у тебя в нужный момент времени". При этом похрен что матожидание. Не похрен что мы узнаем что там тебе навыдавал генератор как рандомы и что он уже нифига не рандом а полностью предсказуем для нас - мы _знаем_ какое он вообще следующее "случайное" число выдаст. Это как если бы ты мог в казино всегда заранее знать в какую лунку упадет шарик. Ну, обобрал бы их до нитки и свалил =)
> Ну, обобрал бы их до нитки и свалил =)Вот для этого стоят лысые братаны и фильтруют входные данные, и тех кто зачастил отшибают.
Короча, практиков НОЛЬ, теоретиков целый интернет, все только и п...ят от дырявости
реализаций ГПСЧ, но не один бот не показал результатов.
Рано или поздно это должно было появиться.
Если туда добавить ГОСТ алгоритмы, выделить гос.бабла на сертификацию оного и модификацию сайтов-торговых площадок/банк-клиентов/etc, то, возможно жизнь админов и прочих причастных станет немножечко легче, в плане перевода своих контор с винды, особенно, если не потребность в винде обусловлена только необходимостью использовать данные программы.
Для сайтов ПФР/ФНС/ГосУслуги функционал для сдачи отчетности/получения услуг, можно встроить прямо в сайт, без необходимости покупать CryptoPro и прочие поделки...
Эх, мечты, мечты....
Есть ещё один плагин для браузеров - WebPG. Существует в версиях для Firefox(Seamonkey, Thunderbird) и Chrome(Chromium). Поддерживает функции: шифрование, расшифровывание, цифровая подпись, управление ключами. Текущая версия 0.9.2 от 24 января 2013 года. Есть экспериментальная интеграция с гугловской почтой. Сайт http://webpg.org/
На Ютубе есть несколько видео, как происходит шифрование и расшифрование сообщений!