ru.security

Привет, Eugene! 14 Jun 18 11:36, Eugene Muzychenko послал(а) письмо к All: EM> Где/что можно почитать о том, как в общих чертах организована работа с EM> USB-ключами (конкретно - eToken Pro 72k и 5110)? То есть, каков формат EM> хранилища, какие единицы информации в нем хранятся, как они EM> соотносятся друг с другом, какой уровень абстракции предоставляют EM> драйверы ключе, какое место занимает в этой модели криптопровайдер, и EM> т.п. EM> Все, что удалось нагуглить по общим запросам за несколько часов, EM> сводится к тому, что вся эта машинерия не пойми как устроена, не пойми EM> с чем совместима, и пытаться ее понимать нет смысла - надо просто EM> купить готовый комплект из ключа, сертификата и CSP, и тогда, если EM> повезет, все заработает. EM> Хочется понять, в каких случаях предлагается действительно надежное EM> средство обеспечения безопасности, а в каких - исключительно security EM> through obscurity. Безопасность, говоришь? Криптопровайдер? Полюбуйся, как Федеральная налоговая служба уже 3 года использует устаревшие, то есть небезопасные cipher suites. http://lkul.nalog.ru/faq.php?alias=connection6_1 Зачем тогда вся эта бодяга с псевдо-безопасностью? Желаю успехов, Eugene! За сим откланиваюсь, Michael. ... node (at) f1042 (dot) ru -+- GoldED+/LNX 1.1.5-b20170303  * Origin: ==\.f1042.ru.>>== (2:5020/1042)

Привет! Где/что можно почитать о том, как в общих чертах организована работа с USB-ключами (конкретно - eToken Pro 72k и 5110)? То есть, каков формат хранилища, какие единицы информации в нем хранятся, как они соотносятся друг с другом, какой уровень абстракции предоставляют драйверы ключе, какое место занимает в этой модели криптопровайдер, и т.п. Все, что удалось нагуглить по общим запросам за несколько часов, сводится к тому, что вся эта машинерия не пойми как устроена, не пойми с чем совместима, и пытаться ее понимать нет смысла - надо просто купить готовый комплект из ключа, сертификата и CSP, и тогда, если повезет, все заработает. Хочется понять, в каких случаях предлагается действительно надежное средство обеспечения безопасности, а в каких - исключительно security through obscurity. Всего доброго! Евгений Музыченко eu-gene@muzy-chen-ko.net (все дефисы убрать)

Hello, Victor Sudakov. On 01.05.18 9:18 ПП you wrote: NS>> я и намекаю, что моё сообщение может шифроваться ключом не NS>> получателя, а посредника (ключ получателя я получал через NS>> посредника, да?), а потом уже посредник шифрует ключом NS>> получателя. прозрачно. VS> Telegram и WhatsApp дают возможность сверить отпечаток ключа VS> собеседника, ты можешь сделать это по отдельному и независимому от VS> мессенджера каналу связи. Впрочем, нельзя полностью исключать VS> параноидальный вариант, что показываемй отпечаток собеседника - VS> лишь имитация, либо что переписка шифруется, кроме настоящего VS> ключа собеседника, еще каким-то ключом, например заранее зашитым в VS> мессенджер ключом АНБ. Ответ на этот вопрос IMHO может дать только VS> независимый аудит исходного кода мессенджера. Кто знает, доступны VS> ли исходники Telegram и проводил ли кто-нибудь аудит? В WhatsApp VS> меня смущает то, что несмотря на уверения о шифровании end-to-end, VS> каким-то образом работает Web-версия. Как, спрашивается, якобы VS> зашифрованные end-to-end сообщения транслируются (дублируются) в VS> веб? Я не понимаю. А ещё я не понимаю, как при перестановке клиента (и смене ключа шифрования) остаётся доступ к старым сообщениям. Мне кажется сообщения шифруются, да, но не только двумя ключами получателя и отправителя, но и как минимум каким-то третьим техническим ключом. Просто всё вот это шифрование, оно для чего? Не для какой-то там остальной приватности, нет. Оно для защиты от человека по середине в лице работодателя, сотрудника провайдера, соседа с сниффером, и т.д. -- Best regards! Posted using Hotdoged on Android

Привет! 02 May 18 22:44, you wrote to me: VS> не совсем понятна твоя мыль, почему у сборной команды закладки менее VS> вероятны, чем у одного разработчика или закрытой команды В сборной команде чаще смотрят чужой код просто с целью ознакомления, поэтому вероятность вопроса "блин, а это еще что за хрень?" там выше. Закрытая команда может сговориться, и сделать закладки умышленно, а про одиночного разработчика и говорить нечего. Пользователи, кто просто собирает проект из исходников, даже с минимальной доработкой, очень редко внимательно лазят по всему коду. Всего доброго! Евгений Музыченко eu-gene@muzy-chen-ko.net (все дефисы убрать)

Dear Eugene, 02 May 18 11:21, you wrote to me: VS>> аудит TrueCrypt подтвердил мысль о безопасности опенсорса. EM> Угу, как частный случай. Открытость может быть достаточным признаком Достаточным - ты прав, не всегда. Необходимым - всегда. EM> безопасности только у совсем небольшого проекта, который нетрудно EM> проверить руками. Hу, или у проекта, который делает сборная команда, EM> состав которой регулярно меняется. А в проекте одного разработчика или EM> закрытой команды, несмотря на открытые исходники, может быть полно EM> закладок, найти которые можно только тщательным аудитом. Вот тут мне не совсем понятна твоя мыль, почему у сборной команды закладки менее вероятны, чем у одного разработчика или закрытой команды, но с общим посылом соглашусь. Victor Sudakov, VAS4-RIPE, VAS47-RIPN

Dear Eugene, 02 May 18 11:42, you wrote to me: VS>> Вот оно оказывается как сделано. Остроумно. EM> Где ж тут ум-то? Обычные тупость и лень. Где тут тупость? Действительно остроумный способ совместить end-to-end шифрование с Веб-версией. EM> А еще более тупо у них сделан EM> standalone-клиент под винду (возможно, что и под линукс так же) - EM> web-код обернут каким-то переносным браузером типа хрома и запакован в EM> экзешник размером под сотню мег. Это конечно ужас. EM> Осталось дождаться "кросс-платформенного" софта в виде отдельных EM> виртуальных машин. :) Так уже. Масса софта идёт в виде OVA. Или Docker возьми для примера. Victor Sudakov, VAS4-RIPE, VAS47-RIPN

Привет! 02 May 18 09:24, you wrote to me: VS> Вот оно оказывается как сделано. Остроумно. Где ж тут ум-то? Обычные тупость и лень. А еще более тупо у них сделан standalone-клиент под винду (возможно, что и под линукс так же) - web-код обернут каким-то переносным браузером типа хрома и запакован в экзешник размером под сотню мег. После распаковки он превращается в несколько сотен, при запуске создает четыре процесса и отжирает полгига. Я, как такое увидел, сперва поверить не мог, что это запланированное поведение, а не глюк. Как только в себя пришел - тут же снес. Осталось дождаться "кросс-платформенного" софта в виде отдельных виртуальных машин. :) Всего доброго! Евгений Музыченко eu-gene@muzy-chen-ko.net (все дефисы убрать)

Привет! 02 May 18 09:17, you wrote to me: VS> аудит TrueCrypt подтвердил мысль о безопасности опенсорса. Угу, как частный случай. Открытость может быть достаточным признаком безопасности только у совсем небольшого проекта, который нетрудно проверить руками. Hу, или у проекта, который делает сборная команда, состав которой регулярно меняется. А в проекте одного разработчика или закрытой команды, несмотря на открытые исходники, может быть полно закладок, найти которые можно только тщательным аудитом. О случайных багах и говорить нечего - одно линуксовое ядро чего стоит. :) Всего доброго! Евгений Музыченко eu-gene@muzy-chen-ko.net (все дефисы убрать)

Dear Eugene, 01 May 18 22:09, you wrote to me: VS>> В WhatsApp меня смущает то, что несмотря на уверения о шифровании VS>> end-to-end, каким-то образом работает Web-версия. Как, VS>> спрашивается, якобы зашифрованные end-to-end сообщения VS>> транслируются (дублируются) в веб? EM> Web-клиент их таскает непосредственно с телефона, и отдает ему же. EM> Если телефон вне связи - клиент не работает. Вот оно оказывается как сделано. Остроумно. Victor Sudakov, VAS4-RIPE, VAS47-RIPN

Dear Eugene, 01 May 18 21:38, you wrote to me: VS>> У гмыла, скорее всего, просто куча серверов и ты попадаешь на VS>> разные. А вот зачем почтовый клиент устраивает этот цирк, вот это VS>> вопрос. EM> Мне вот интересно, зачем гугл с некоторых пор начал устраивать цирк с EM> отправкой на резервный email предупреждений Security Alert всякий раз, EM> как я воспользуюсь его же клиентом в андроидофоне. Раньше он правильно EM> определял телефон, а теперь упорно определяет, как unknown device. EM> Шарился по настройкам аккаунта, но способа постоянной привязки не EM> нашел. Что-то сломалось, а вчера ещё работало (с) VS>> шифруются ли сообщения ещё чьим-нибудь ключом параллельно - на VS>> этот вопрос мог бы дать ответ, наверное, только независимый аудит VS>> кода Телеграма. EM> Тут очень полезно вспомнить, как еще недавно опенсорс считался чуть ли EM> не принципиально безопасным в плане закладок. :) Почему "считался" в прошедшем времени? AFAIK до сих пор считается: при действительно серьезных сертификациях софта всегда затребуют и предоставляют его исходники. EM> И как все напряглись EM> с TrueCrypt, и как облегченно выдохнули, когда аудит не нашел там EM> ничего подозрительного. А я бы ничуть не удивился, если б нашел. :) Но как видишь, аудит TrueCrypt подтвердил мысль о безопасности опенсорса. Victor Sudakov, VAS4-RIPE, VAS47-RIPN