Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

PyPI пересмотрит политику в отношении персональных данных и прекратит поддержку PGP-подписей, opennews (??), 24-Май-23, (0) [смотреть все] показательно нужности PGP, Аноним (2), 23:36 , 24-Май-23, (2) –2 // Ставлю сотку против металлической копейки, что эти 0 3 - разрабы старой школы р, Dzen Python (ok), 23:41 , 24-Май-23, (5) +9 Но лучше варианта ты же все равно не предложишь , Аноним (8), 00:27 , 25-Май-23, (8) +7 // Скрыто модератором, Аноним (-), 20:09 , 25-Май-23, (37) +1 Чтобы OpenPGP заработал, как надо, необходимо соблюдать несколько условий 1 Защ, Аноним (21), 08:34 , 25-Май-23, (21) +5   // Создавать ключи без строка действия, или ставить 1000 лет Размер ключа делать ма, Аноним (21), 08:49 , 25-Май-23, (22) +1   Не, ну ты скажешь тоже , YetAnotherOnanym (ok), 09:13 , 25-Май-23, (24) +8   Цифровизация в РФ под угрозой или все пункты соблюдены ИФНС во всю выдают сертиф, Аноним (30), 14:21 , 25-Май-23, (30)   // Лично мне в Законе не нравится пункт о уничтожении публичных ключей Моё мнение , Аноним (34), 15:33 , 25-Май-23, (34) +1   Всё идет строго по пунктам их их плана 1 https www opennet ru openforum vsluh, Аноним (50), 15:44 , 27-Май-23, (50)   Пока нет достоверной верификации независиммым третьим лицом , - PGP подписи, OpenEcho (?), 15:12 , 25-Май-23, (31)   // Есть п 2 Верификация, достоверность зависит от лица проверяющего паспорт и E-ma, Аноним (34), 15:46 , 25-Май-23, (35)   Где эти 5 человек И кто они, и почему я им должен верить что это не один и то, OpenEcho (?), 00:26 , 26-Май-23, (38)   Желательно обмен проводитьсреди грамотных людей, личности которых ты хорошо знае, Аноним (41), 07:14 , 26-Май-23, (41)   Точно, у меня завтра с хорошим кентом, Линусом Торвальдосом встреча, а после зав, OpenEcho (?), 14:32 , 26-Май-23, (43)   Подписывай ключи тех кого хорошо знаешь одноклассников, однокурсников, сотрудни, Аноним (49), 13:38 , 27-Май-23, (49)   2 Как только человек начинает говорить про WoT в контексте подписи артефактов, , нона (?), 01:09 , 29-Май-23, (51) +1   // Не использование подписанных ключей при подписи программ, ISO, есть баг Это, Аноним (53), 09:57 , 10-Июн-23, (53)   Хм Об этих 5 пользователях по 3м запросам, значит, не смогли бы правдоподобно н, Dzen Python (ok), 23:38 , 24-Май-23, (3) –1 но номер телефона то возьмут причём с проверкой , Аноним (4), 23:40 , 24-Май-23, (4) +3 Зачем тогда принимать такие пакеты, непонятно , Аноним357 (?), 23:57 , 24-Май-23, (7) // Хуже, я как-то столкнулся с разработчиком, который старательно подписывал свои п, timur.davletshin (ok), 08:09 , 25-Май-23, (20) +1 // наверное можно было хотя-бы отпечаток ключа предоставить , Аноним357 (?), 01:42 , 26-Май-23, (40) Логическая ошибка, Аноним (10), 01:52 , 25-Май-23, (10) +2 // Где 29 ключей хрен пойми откуда взялись и проверить их принципиально невозможн, Аноним (15), 03:22 , 25-Май-23, (15) +2 // Не хрен пойми откуда, а 1 от разработчика, чей другой пакет уже использовали , Аноним (16), 05:17 , 25-Май-23, (16) +4 // экспертиза опеннета Дальше в общем можно не читать То есть местные д-лы даже н, пох. (?), 09:44 , 25-Май-23, (25) –1 Любая собака может опубликовать ключ на крупных публичных серверах ключей , но , Аноним (17), 07:28 , 25-Май-23, (17) +2 // по крайней мере можно будет быть уверенным что новая версия того же самого пакет, пох. (?), 09:48 , 25-Май-23, (26) Разработчики не умеют использовать и проверять подписанные ключи Что сделаем А, fuggy (ok), 01:58 , 25-Май-23, (11) +2 // да-да, придёт тов майор и сразу по ушам, Аноним (12), 02:08 , 25-Май-23, (12) Абсолютно верно Сталкивался не раз с тем, что банально приватные ключи выкладыв, timur.davletshin (ok), 08:00 , 25-Май-23, (18) Для того чтоб проверить, надо сперва верить, что публичный ключ и правда принадл, OpenEcho (?), 15:22 , 25-Май-23, (32) // во всех - это перфекционизм но в некоторых есть https tails boum org instal, ivan_erohin (?), 17:58 , 25-Май-23, (36) // И где гарантия, что эти сайты не взломаны, показывающие эти подписи Т е просто , OpenEcho (?), 00:33 , 26-Май-23, (39) ГАРАНТИЮ дает только страховой полис и то за страховое возмещение придется судит, ivan_erohin (?), 10:49 , 26-Май-23, (42) А зачем тогда вообще вся эта лапша с ПГП По разному, если платить за EV верифика, OpenEcho (?), 14:41 , 26-Май-23, (44) Централизую децентрализованное Недорого Гарантия , Алексей (??), 02:31 , 25-Май-23, (13) +6 // С публичными серверами некоторое время произошёл факап из-за атаки при помощи чр, timur.davletshin (ok), 08:07 , 25-Май-23, (19) Лучше бы они хоть какой-то модерацией пакетов занимались чем этим , Аноним (27), 10:13 , 25-Май-23, (27) Разработчкик выкладывет свой код в любой публичный репозиторий кода с отказом об, Абц (?), 12:40 , 25-Май-23, (28) –1 То есть, из разработчиков PyPI ушли люди, действительно умевшие в PGP и пришли л, Аноним (-), 13:09 , 25-Май-23, (29) // Таких нет, - в принципе, т к за столько десятилетий так и не появились верифици, OpenEcho (?), 15:29 , 25-Май-23, (33) –2 Задача подписи в том, чтобы определить, что у пакета не поменялся автор Критери, Аноним (46), 19:40 , 26-Май-23, (46) 2,3,4,7,10,11,13,27,28,29,46

Сообщения

[Сортировка по времени | RSS]

	21. "PyPI пересмотрит политику в отношении персональных данных и ..."	+5 +/–
	Сообщение от Аноним (21), 25-Май-23, 08:34
	Чтобы OpenPGP заработал, как надо, необходимо соблюдать несколько условий: 1. Защита секретного ключа. Безопасность самой OS с которой осуществляется подпись: https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/lin... Защита ключей с помощью аппаратных хранилищ: https://www.nitrokey.com/news/2018/nitrokey-partners-linux-f... https://www.nitrokey.com/news/2019/nitrokey-partners-gentoo-... https://www.nitrokey.com/news/2021/nitrokey-equips-arch-linu... 2. Работа с подписями. Необходимо подписывать чужие публичные ключи, сверять по буквам Ф.И.О. и фотографию, верифицировать контроль над E-mail, которые указаны в идентефикаторе публичного ключа. Загружать свои публичные ключи и подписи на сервера ключей OpenPGP. Обмен ключами можно проводить в универе среди однокурсников, на работе среди сотрудников, ... 3. Понимать как работает PGP, прочесть документацию: https://www.opennet.me/docs/282.shtml https://www.altlinux.org/%D0%A0%D0%B0�...
	Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

	22. "PyPI пересмотрит политику в отношении персональных данных и ..."	+1 +/–
	Сообщение от Аноним (21), 25-Май-23, 08:49
	Создавать ключи без строка действия, или ставить 1000 лет. Размер ключа делать максимально большим. Обязательно, при создании нового ключа, подписывать его своим старым ключём.
	Ответить | Правка | Наверх | Cообщить модератору

	24. "PyPI пересмотрит политику в отношении персональных данных и ..."	+8 +/–
	Сообщение от YetAnotherOnanym (ok), 25-Май-23, 09:13
	> прочесть документацию Не, ну ты скажешь тоже...
	Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

	30. "PyPI пересмотрит политику в отношении персональных данных и ..."	+/–
	Сообщение от Аноним (30), 25-Май-23, 14:21
	Цифровизация в РФ под угрозой или все пункты соблюдены? ИФНС во всю выдают сертификаты, а тема то незащищенная вовсе
	Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

	34. "PyPI пересмотрит политику в отношении персональных данных и ..."	+1 +/–
	Сообщение от Аноним (34), 25-Май-23, 15:33
	Лично мне в Законе не нравится пункт о уничтожении публичных ключей. Моё мнение подписаные в УЦ ключи должны хранится вечно. Если нет, то с этого мало пользы. Также не нравится отсутствие централизированных публичных серверов со всеми ключами. Как найти ключ Васи Пупкина? Не нравится требование о установки блоба для работы с ключами. Ключ должен создавать пользователь, а УЦ только подписывать публичную часть.
	Ответить | Правка | Наверх | Cообщить модератору

	50. "PyPI пересмотрит политику в отношении персональных данных и ..."	+/–
	Сообщение от Аноним (50), 27-Май-23, 15:44
	> Цифровизация в РФ под угрозой или все пункты соблюдены? Всё идет строго по пунктам их их плана: 1. https://www.opennet.me/openforum/vsluhforumID10/5567.html 2. https://www.opennet.me/openforum/vsluhforumID10/5564.html 3. Следующим пунктом плана всех чипировать: https://nauka.tass.ru/nauka/17848123
	Ответить | Правка | К родителю #30 | Наверх | Cообщить модератору

	31. "PyPI пересмотрит политику в отношении персональных данных и ..."	+/–
	Сообщение от OpenEcho (?), 25-Май-23, 15:12
	> Чтобы OpenPGP заработал Пока нет **достоверной** верификации независиммым "третьим лицом", - PGP подписи само/всех-обман. И этого, самого главного пункта нет в перечисленном выше
	Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

	35. "PyPI пересмотрит политику в отношении персональных данных и ..."	+/–
	Сообщение от Аноним (34), 25-Май-23, 15:46
	Есть п. 2 Верификация, достоверность зависит от лица проверяющего паспорт и E-mail, более 5 человек вполне достаточно. https://www.linux.org.ru/forum/security/16839105?cid=16840324
	Ответить | Правка | Наверх | Cообщить модератору

	38. "PyPI пересмотрит политику в отношении персональных данных и ..."	+/–
	Сообщение от OpenEcho (?), 26-Май-23, 00:26
	> Есть п. 2 Верификация, достоверность зависит от лица проверяющего паспорт и E-mail, > более 5 человек вполне достаточно. > https://www.linux.org.ru/forum/security/16839105?cid=16840324 Где эти 5 человек??? И кто они, и почему я им должен верить что это не один и тот-же человек подписавший себя тремя вымышленнами анонимами? Где те проекты используюшие услуги этих 5 человек подписывающих чужие ключи ? Линух? А может секьюрити офицеры из Фряхи? Как проверить, что эти 5-ро не афереисты, которые слизали паспортные данные чтоб провернуть гнилое дело вместо подписывания твоего сертификата? И т.д. и т.п.
	Ответить | Правка | Наверх | Cообщить модератору

	41. "PyPI пересмотрит политику в отношении персональных данных и ..."	+/–
	Сообщение от Аноним (41), 26-Май-23, 07:14
	>> Обмен ключами можно проводить в универе среди однокурсников, на работе среди сотрудников, ... Желательно обмен проводитьсреди грамотных людей, личности которых ты хорошо знаешь. > Как проверить, что эти 5-ро не аферисты, которые слизали паспортные данные чтоб провернуть гнилое дело вместо подписывания твоего сертификата? >> https://www.linux.org.ru/forum/security/16839105?cid=16840324 Цепочка доверия. Если к интересующему тебя ключу есть ~5 разных цепочек доверия, то с высокой вероятностью ключ принадлежит собственнику. Да можно, создать 5 фиктивных ключей, чтобы подписать ключ мошенника. Но очень сложно чтобы эти 5 фиктивных ключей подписали реальные люди для образования цепочек доверия между тобой и ключом мошенника. Делаю акцент на аккуратную проверку паспортных данных Ф.И.О., фотографии и верификацию E-mail, подавляющим числом пользователей OpenPGP при подписании чужих ID ключей. Пару неаккуратных пользователей, подписывающих всё что попадает им в руки, включая ключи аферистов, WOT выдержит.
	Ответить | Правка | Наверх | Cообщить модератору

	43. "PyPI пересмотрит политику в отношении персональных данных и ..."	+/–
	Сообщение от OpenEcho (?), 26-Май-23, 14:32
	> Желательно обмен проводитьсреди грамотных людей, личности которых ты хорошо знаешь. Точно, у меня завтра с хорошим кентом, Линусом Торвальдосом встреча, а после завтра с Вовкой Путиным, заодно ключами обменяемся, подпишем их там друг другу... > Цепочка доверия. Если к интересующему тебя ключу есть ~5 разных цепочек доверия, > то с высокой вероятностью ключ принадлежит собственнику. дорогой друг, я очень рад, правда, что ты понял как мог бы работать этот концепт, но как показывает десятилетия  практики, WOT не работает за исключением нескольких чудаков на планете, но вот массы свято верят в подписанные кем-то и чем-то ключи и думают они очень круты, т.к. научились в одну строчку запустить верификацию хер знает чего > WOT выдержит. Ты как покажешь цепочку доверия того же Торвальдаса, которую я могу проверить, лично и по паспортным данным, ну не его, ну хотя-бы тех 5 пацанов, вот тогда и поговорим как твой вебо-траст выдержит
	Ответить | Правка | Наверх | Cообщить модератору

	49. "PyPI пересмотрит политику в отношении персональных данных и ..."	+/–
	Сообщение от Аноним (49), 27-Май-23, 13:38
	> Точно, у меня завтра с хорошим кентом, Линусом Торвальдосом встреча ... Подписывай ключи тех кого хорошо знаешь: одноклассников, однокурсников, сотрудников. >> Цепочка доверия. Если к интересующему тебя ключу есть ~5 разных цепочек доверия, >> то с высокой вероятностью ключ принадлежит собственнику. > но как показывает десятилетия  практики, WOT не > работает за исключением... Работает у тех кто прилагает усилия. Надо всего-то подписать ключи тех людей кого знаешь. https://git.kernel.org/pub/scm/docs/kernel/pgpkeys.git/tree/... https://archlinux.org/master-keys https://git.altlinux.org/gears/a/alt-gpgkeys.git?p=alt-gpgke... >> WOT выдержит. > Ты как покажешь цепочку доверия того же Торвальдаса, которую я могу проверить, лично и по паспортным данным, ну не его, ну хотя-бы тех 5 пацанов, вот тогда и поговорим как твой вебо-траст выдержит Ты можешь проверить только паспорта тех чьи ключи лично подписываешь. После того как подпишет некоторое количество ключей можно посмотреть цепочки доверия от твоего ключа к торвальдсу, например: https://www.opennet.me/openforum/vsluhforumID3/130597.html#43
	Ответить | Правка | Наверх | Cообщить модератору

	51. "PyPI пересмотрит политику в отношении персональных данных и ..."	+1 +/–
	Сообщение от нона (?), 29-Май-23, 01:09
	2. Как только человек начинает говорить про WoT в контексте подписи артефактов, можно сразу дальше не читать — просто шалунишка в штанишках. Атака организуется на раз-два-три. Как пример: ни один из дистров не использует WoT для управления ключами для подписи пакетов.
	Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

	53. "PyPI пересмотрит политику в отношении персональных данных и ..."	+/–
	Сообщение от Аноним (53), 10-Июн-23, 09:57
	> Как пример: ни один из дистров не использует WoT для управления ключами для подписи пакетов. Не использование подписанных ключей при подписи программ, ISO, ... есть баг. Это неверное использование PGP. Раньше (до Сновдена и Осанджа) так не было. Лучше, чтобы пакет с прогой, ISO, ... был подписан сразу несколькими подписями его разработчиков, а не одной. Как это делается, например https://gnupg.org/ftp/gcrypt/gnupg/gnupg-2.2.14.tar.bz2.sig https://gnupg.org/ftp/gcrypt/gnupg/gnupg-2.2.14.tar.bz2
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема