| 1.2, Аноним (2), 23:36, 24/05/2023 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– | |
> достоверные подписи охватывали лишь 0.3% от всех файлов
показательно нужности PGP
| | |
| |
| 2.5, Dzen Python (ok), 23:41, 24/05/2023 [^] [^^] [^^^] [ответить]
| +9 +/– |
 Ставлю сотку против металлической копейки, что эти 0.3% - разрабы старой школы/разрабы из копрораций и просто смогли/повезло недавно занести подпись в *доверенные* УЦ с пруфами. А не как смуззи-самоудовлетворение через самоподписанное самоподписанным.
| | |
| 2.21, Аноним (21), 08:34, 25/05/2023 [^] [^^] [^^^] [ответить] | +5 +/– | Чтобы OpenPGP заработал, как надо, необходимо соблюдать несколько условий 1 За... большой текст свёрнут, показать | | |
| |
| 3.22, Аноним (21), 08:49, 25/05/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
Создавать ключи без строка действия, или ставить 1000 лет.
Размер ключа делать максимально большим.
Обязательно, при создании нового ключа, подписывать его своим старым ключём.
| | |
| 3.30, Аноним (30), 14:21, 25/05/2023 [^] [^^] [^^^] [ответить]
| +/– |
Цифровизация в РФ под угрозой или все пункты соблюдены?
ИФНС во всю выдают сертификаты, а тема то незащищенная вовсе
| | |
| |
| 4.34, Аноним (34), 15:33, 25/05/2023 [^] [^^] [^^^] [ответить]
| +1 +/– | |
Лично мне в Законе не нравится пункт о уничтожении публичных ключей. Моё мнение подписаные в УЦ ключи должны хранится вечно. Если нет, то с этого мало пользы.
Также не нравится отсутствие централизированных публичных серверов со всеми ключами. Как найти ключ Васи Пупкина?
Не нравится требование о установки блоба для работы с ключами. Ключ должен создавать пользователь, а УЦ только подписывать публичную часть.
| | |
|
| 3.31, OpenEcho (?), 15:12, 25/05/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> Чтобы OpenPGP заработал
Пока нет **достоверной** верификации независиммым "третьим лицом", - PGP подписи само/всех-обман. И этого, самого главного пункта нет в перечисленном выше
| | |
| |
| |
| 5.38, OpenEcho (?), 00:26, 26/05/2023 [^] [^^] [^^^] [ответить]
| +/– |
> Есть п. 2 Верификация, достоверность зависит от лица проверяющего паспорт и E-mail,
> более 5 человек вполне достаточно.
> https://www.linux.org.ru/forum/security/16839105?cid=16840324
Где эти 5 человек??? И кто они, и почему я им должен верить что это не один и тот-же человек подписавший себя тремя вымышленнами анонимами? Где те проекты используюшие услуги этих 5 человек подписывающих чужие ключи ? Линух? А может секьюрити офицеры из Фряхи? Как проверить, что эти 5-ро не афереисты, которые слизали паспортные данные чтоб провернуть гнилое дело вместо подписывания твоего сертификата?
И т.д. и т.п.
| | |
| |
| 6.41, Аноним (41), 07:14, 26/05/2023 [^] [^^] [^^^] [ответить] | +/– | Желательно обмен проводитьсреди грамотных людей, личности которых ты хорошо знае... большой текст свёрнут, показать | | |
| |
| 7.43, OpenEcho (?), 14:32, 26/05/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> Желательно обмен проводитьсреди грамотных людей, личности которых ты хорошо знаешь.
Точно, у меня завтра с хорошим кентом, Линусом Торвальдосом встреча, а после завтра с Вовкой Путиным, заодно ключами обменяемся, подпишем их там друг другу...
> Цепочка доверия. Если к интересующему тебя ключу есть ~5 разных цепочек доверия,
> то с высокой вероятностью ключ принадлежит собственнику.
дорогой друг, я очень рад, правда, что ты понял как мог бы работать этот концепт, но как показывает десятилетия практики, WOT не работает за исключением нескольких чудаков на планете, но вот массы свято верят в подписанные кем-то и чем-то ключи и думают они очень круты, т.к. научились в одну строчку запустить верификацию хер знает чего
> WOT выдержит.
Ты как покажешь цепочку доверия того же Торвальдаса, которую я могу проверить, лично и по паспортным данным, ну не его, ну хотя-бы тех 5 пацанов, вот тогда и поговорим как твой вебо-траст выдержит
| | |
| |
| 8.49, Аноним (49), 13:38, 27/05/2023 [^] [^^] [^^^] [ответить] | +/– | Подписывай ключи тех кого хорошо знаешь одноклассников, однокурсников, сотрудни... большой текст свёрнут, показать | | |
|
|
|
|
|
| 3.51, нона (?), 01:09, 29/05/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
2. Как только человек начинает говорить про WoT в контексте подписи артефактов, можно сразу дальше не читать — просто шалунишка в штанишках. Атака организуется на раз-два-три. Как пример: ни один из дистров не использует WoT для управления ключами для подписи пакетов.
| | |
| |
| 4.53, Аноним (53), 09:57, 10/06/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> Как пример: ни один из дистров не использует WoT для управления ключами для подписи пакетов.
Не использование подписанных ключей при подписи программ, ISO, ... есть баг. Это неверное использование PGP.
Раньше (до Сновдена и Осанджа) так не было.
Лучше, чтобы пакет с прогой, ISO, ... был подписан сразу несколькими подписями его разработчиков, а не одной. Как это делается, например
https://gnupg.org/ftp/gcrypt/gnupg/gnupg-2.2.14.tar.bz2.sig
https://gnupg.org/ftp/gcrypt/gnupg/gnupg-2.2.14.tar.bz2
| | |
|
|
|
| 1.3, Dzen Python (ok), 23:38, 24/05/2023 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
> Министерство юстиции США направило в PyPI требования о раскрытии данных 5 пользователей, которые [...] были выполнены.
>The data request was:
> "Names (including subscriber names, user names, and screen names);"
> "Addresses (including mailing, residential addresses, business addresses, and email addresses);"
> "Telephone or instrument numbers (including the registration Internet Protocol address);"
> "Means and source of payment of any such services (including any credit card or bank account number) and billing records;"
Хм. Об этих 5 пользователях по 3м запросам, значит, не смогли бы правдоподобно ничего отрицать? Или просто выставили равное оффициальному число (много меньшее реального) ради успокоения и наших, и ваших, и ихних?
> We have waited for the string of subpoenas to subside, though we were committed from the beginning to write and publish this post as a matter of transparency, and as allowed by the lack of a non-disclosure order associated with the subpoenas received in March and April 2023.
*Голосом Станиславского:*
- Браток, НЕ-ВЕ-РЮ! НЕ. ВЕРЮ.
Соломку подстелили, значится, и теперь потенциальный скандал можно зарубить будет на корню ходом "на нас надавили!". Банально, но все равно действенно.
| | |
| 1.4, Аноним (4), 23:40, 24/05/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– | |
> В честности, планируется минимизировать хранимые и получаемые от пользователей персональные данные
но номер телефона то возьмут ? (причём с проверкой..)
| | |
| 1.7, Аноним357 (?), 23:57, 24/05/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> За последние три года вместе с пакетами в PyPI было загружено около 50 тысяч цифровых подписей, связанных с 1069 PGP-ключами. 29% ключей отсутствуют на крупных публичных серверах ключей, т.е. не могут рассматриваться как заслуживающие доверия.
Зачем тогда принимать такие пакеты, непонятно.
| | |
| |
| 2.20, timur.davletshin (ok), 08:09, 25/05/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
 Хуже, я как-то столкнулся с разработчиком, который старательно подписывал свои пакеты, почту и прочее, но отказывался предоставить публичный ключ. Порядочное "ЧО" я тогда получил )))
| | |
|
| 1.10, Аноним (10), 01:52, 25/05/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– | |
> 29% ключей отсутствуют на крупных публичных серверах ключей, т.е. не могут рассматриваться как заслуживающие доверия.
Логическая ошибка
| | |
| |
| 2.15, Аноним (15), 03:22, 25/05/2023 [^] [^^] [^^^] [ответить]
| +2 +/– |
Где? 29% ключей хрен пойми откуда взялись и проверить их принципиально невозможно. Ну ок. Эдак и похова собака тебе подписать может что угодно: лапы, хвост и усы имеются!
| | |
| |
| 3.16, Аноним (16), 05:17, 25/05/2023 [^] [^^] [^^^] [ответить]
| +4 +/– | |
> 29% ключей хрен пойми откуда взялись
Не хрен пойми откуда, а:
1. от разработчика, чей (другой) пакет уже использовали и проблем с ним замечено не было,
2. от предыдущей версии пакета, код которой верифицировали,
3. мой собственный пакет, подписанный моим ключом (или пакет компании, где я работаю, подписанный её ключом),
4. из мелкого публичного сервера ключей, или крупного, о существовании которого создатели пипей не слышали,
5. из другого источника, которому можно доверять:
5.2. общался с разработчиком по почте лично, просил прислать его ключ,
5.3. брат жены друга, который прошёл один из предыдущих пунктов
> и проверить их принципиально невозможно
После того, как их поддержку выпилили, проверить их стало возможно, да?
| | |
| |
| 4.25, пох. (?), 09:44, 25/05/2023 [^] [^^] [^^^] [ответить]
| –1 +/– |
> Не хрен пойми откуда, а:
> 1. от разработчика, чей (другой) пакет уже использовали и проблем с ним замечено не было,
экспертиза опеннета. Дальше в общем можно не читать. То есть местные д-лы даже не понимают, как работает pgp.
> После того, как их поддержку выпилили, проверить их стало возможно, да?
да, твоим методом номер пять - "из другого источника, которому можно доверять". Если бы он существовал не только в твоих фантазиях, ты бы вполне мог попросить у него подписанную хэш-сумму пакета - раз уж ты даже смог где-то взять его публичный ключ.
Но скорее всего фантазии так и останутся фантазиями, потому что разработчики там примерно такие же.
| | |
|
| 3.17, Аноним (17), 07:28, 25/05/2023 [^] [^^] [^^^] [ответить]
| +2 +/– |
Любая собака может опубликовать ключ на "крупных публичных серверах ключей", но он не станет от этого "доверенным"
| | |
| |
| 4.26, пох. (?), 09:48, 25/05/2023 [^] [^^] [^^^] [ответить]
| +/– | |
по крайней мере можно будет быть уверенным что новая версия того же самого пакета или другой от того же автора - действительно подписаны его ключом. Что, разумеется, тоже ровным счетом ничего не означает, подписаны, его ключом - и - вот что? Но кому-то возможно так спокойнее.
С тем же успехом можно просто публичный ключ класть рядом с кодом, как во времена ftp.gnu.org и делали. Параноики могли параноить, для остальных это был просто ненужный файл.
| | |
|
|
|
| 1.11, fuggy (ok), 01:58, 25/05/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
 Разработчики не умеют использовать и проверять подписанные ключи. Что сделаем? А давайте совсем выпилим отображение ключей подписей.
Надеюсь у кого-нибудь отвалится сборка и PyPI надают по ушам. Вон гитхаб хеш у архивов поменял, так такой вой поднялся на весь интернет, а тут.
| | |
| |
| 2.18, timur.davletshin (ok), 08:00, 25/05/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> Разработчики не умеют использовать и проверять подписанные ключи.
Абсолютно верно. Сталкивался не раз с тем, что банально приватные ключи выкладывали в открытый доступ или просто высылали их. Увы, но информ. безопасность идёт с некоторым обременением и этот порог вхождения не могут преодолеть зачастую даже представители целевой аудитории.
| | |
| 2.32, OpenEcho (?), 15:22, 25/05/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> Разработчики не умеют использовать и проверять подписанные ключи.
Для того чтоб проверить, надо сперва верить, что публичный ключ и правда принадлежит тому, кого он идентифицирует. Пока каждый может безплатно и без проверки пушнуть в кейсторадж свои ключи переписав любого, - это фуфло. Так же как и коммунистическая вера в группы добровольных общин подписывающих(?) других людей. Где они, верящие в святой ПГП? Где они, кросс-подписи во всех популярных проектах? А, да, - вы просто верьте то что на нашем сайте (взломанном? да вы что?! не бывает такого!) можете сверить с нашим ключом. Если бы это фуфло работало, то каждый бы мог сам себе выписывать паспорт, водительские права и т.д и т.п.
| | |
| |
| |
| |
| 5.42, ivan_erohin (?), 10:49, 26/05/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> И где гарантия, что эти сайты не взломаны
ГАРАНТИЮ дает только страховой полис.
и то за страховое возмещение придется судиться (по опыту с ОСАГО),
страховщики очень жадные и жлобные.
// интересно, сколько будет стоить застраховать сайт (ключ) от взлома на год ?
> Т.е. просто верьте на слово, - "мы крутая пацанва, нас все знают
в конечном счете да.
> и нас никто и никогда не ломал..."
если бы ломали, то поднялся бы такой хай в интернетах,
что заметили бы даже самые придонные ламеры и нубы.
| | |
| |
| 6.44, OpenEcho (?), 14:41, 26/05/2023 [^] [^^] [^^^] [ответить]
| +/– |
> ГАРАНТИЮ дает только страховой полис.
> и то за страховое возмещение придется судиться (по опыту с ОСАГО),
> страховщики очень жадные и жлобные.
А зачем тогда вообще вся эта лапша с ПГП?
> // интересно, сколько будет стоить застраховать сайт (ключ) от взлома на год
> ?
По разному, если платить за EV верификацию, то можно под пол лимона зелени застраховаться, но только не с ПГП, а с SSL
>> Т.е. просто верьте на слово, - "мы крутая пацанва, нас все знают
> в конечном счете да.
А нах тогда вообще этот самобман с ПГП, где самое главное - **доверие** подписи, - не проверяемое ?
>> и нас никто и никогда не ломал..."
> если бы ломали, то поднялся бы такой хай в интернетах,
> что заметили бы даже самые придонные ламеры и нубы.
Так переодически именно это и случается :))))
Потому как строить охеренно крутые , беттонно-чугунные ворота с неломаемым в принципе замком, но... без забора, в открытом поле - нет никакого смысла
| | |
|
|
|
|
|
| 1.13, Алексей (??), 02:31, 25/05/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +6 +/– | |
> 29% ключей отсутствуют на крупных публичных серверах ключей, т.е. не могут рассматриваться как заслуживающие доверия.
Централизую децентрализованное. Недорого. Гарантия.
| | |
| |
| 2.19, timur.davletshin (ok), 08:07, 25/05/2023 [^] [^^] [^^^] [ответить]
| +/– |
С публичными серверами некоторое время произошёл факап из-за атаки при помощи чрезвычайно длинных цепочек доверия, так что даже дефолтные SKS пришлось в GnuPG менять. После этого запара с публичными ключами только усугубилась. Зато теперь придумали зоопарк с p=p и более экзотичными способами втулить подписи во вложение к email.
| | |
|
| 1.28, Абц (?), 12:40, 25/05/2023 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
Разработчкик выкладывет свой код в любой публичный репозиторий кода с отказом об ответственности.
Далее, если оно надо разрабу, выдвинуть на рассмотрение для влючения в каталог pypi.org.
Владельцы pypi определяют степень нужности, проводят код ревью, берут на себя ответственность, за то, что они кладут в свой каталог и у них не будет никаких персональных данных разработчика.
Т.е. разраб запушил свое творчество в открытый мир, забыв о подтверждениях телефона, сдаче отпечатков пальцев и анализов. Все равно это не гарантирует, что учетку или инфраструктуру проктаа не взломают и от твоего имени не вкомитят что угодно.
Можно на pypi показывать пакеты уже загруженные и кандидатов на включение, но скачиваются кандидаты из внешних реп без гарантий.
| | |
| 1.29, Аноним (-), 13:09, 25/05/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
>Кроме того, разработчики PyPI объявили о решении прекратить поддержку PGP-подписей для верификации пакетов, так как они не решают возложенные на них задачи и в текущем виде бесполезны.
То есть, из разработчиков PyPI ушли люди, действительно умевшие в PGP и пришли любители аутентификации по радужке из московского метро и сбербанка. Ну вы поняли, чем это пахнет.
| | |
| |
| 2.33, OpenEcho (?), 15:29, 25/05/2023 [^] [^^] [^^^] [ответить]
| –2 +/– | |
> действительно умевшие в PGP
Таких нет, - в принципе, т.к. за столько десятилетий так и не появились верифицирющие/удостоверяющие люди/центры и как результат сама идея изпользования ПГП как **публичного** удостоверяющего инструмента - нет. ПГП как и любая ассинхронная криптография работает исключительно только когда публичными ключами обменялись из рук в руки (под подпись и с проверкой по пасспорту) или существует **доверенный, верефицирюющий, независсимый** центр, которого в ПГП инфраструктуре - нет.
| | |
|
| 1.46, Аноним (46), 19:40, 26/05/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Задача подписи в том, чтобы определить, что у пакета не поменялся автор. Критерий вида "ключи не зарегистрированы на крупных серверах с ключами" ни о чем абсолютно. Не пытайтесь завести и в pgp сертификационные центры и просрачиваемость, тут хоть и есть видимость подобного, но все работает совершенно иначе, ключи можно продлевать или ставить им вечные сроки, и работать они не перестают если просрочены.
| | |
|
