Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 163
Куда бежать? Смешивать алгоритмы или использовать что-то другое?
Использовать все доступные генераторы в системе как шумы друг для друга.
Никуда бежать не надо, алгоритм не скомпрометирован, скомпрометирован продукт RSA Security. Просто нужно использовать открытые альтернативы, например Gnu PG (а так же всячески напирать на независимый аудит кода, как это было сделано с TrueCrypt)
На это все уже просто нет слов. В последнее время уже складывается впечатление, что все это сюжет какого-то шпионского блокбастера и вообще все мы как Труман из «Шоу Трумена»
Всё равно продешевили. Знали б прикуп, и далее по тексту…
Теория заговора в действии. Я лично ни на грамм не верю этим «секретным документам», сделанным за пять минут в M$ офисе. Но даже если это и правда…
Кому не плевать, что ваши документы могут прочитать какие-то АНБ? Кому вы нафиг нужны?
А если серьёзно — ну вот вы все такие криптоанархисты, юзаете всякие bitmessage, i2p и прочее. И при этом используете винду, skype и прочие вещи, которым доверять нельзя точно. И которые ещё и напрочь дырявые. Ещё я прямо здесь читал фразу «сидеть в социальной сети через tor»… Ну вы поняли, да? Про эти бэкдоры (если они есть) знает минимальное количество человек, а значит угрозы они не представляют.
И при этом игнорируете реальные угрозы, оставляя в браузере включённый JavaScript, используя tor (внезапно, он сильно ослабляет безопасность — выходная нода может внедрить в страничку всякой гадости), оставляя в браузере плагины… О чём это я? Основная угроза — хакеры, которые действительно могут получить ваши данные и использовать их. А для гипотетического сотрудника АНБ вы с вашими данными — песчинка в море, и следить за каждым никому не упёрлось.
Лучше бы занялись переходом на свободное ПО, всяко больше было бы пользы — никакой троянец к вам бы не пролез.
Кому не плевать, что ваши документы могут прочитать какие-то АНБ? Кому вы нафиг нужны?
А если серьёзно — ну вот вы все такие криптоанархисты, юзаете всякие bitmessage, i2p и прочее. И при этом используете винду, skype и прочие вещи, которым доверять нельзя точно. И которые ещё и напрочь дырявые. Ещё я прямо здесь читал фразу «сидеть в социальной сети через tor»… Ну вы поняли, да? Про эти бэкдоры (если они есть) знает минимальное количество человек, а значит угрозы они не представляют.
И при этом игнорируете реальные угрозы, оставляя в браузере включённый JavaScript, используя tor (внезапно, он сильно ослабляет безопасность — выходная нода может внедрить в страничку всякой гадости), оставляя в браузере плагины… О чём это я? Основная угроза — хакеры, которые действительно могут получить ваши данные и использовать их. А для гипотетического сотрудника АНБ вы с вашими данными — песчинка в море, и следить за каждым никому не упёрлось.
Лучше бы занялись переходом на свободное ПО, всяко больше было бы пользы — никакой троянец к вам бы не пролез.
Теория теорией, но это все равно ужасно. Нужен ты кому нибудь или нет, все равно каждый хочет пользоваться надежными инструментами и сервисами, и как минимум ожидает что они будут соответствовать своему назначению. Например на минуту представим что покупая машину производитель убеждает что она пригодна для езды и надежна хотя на самом деле краш тесты не производились и вообще дверь можно открыть любым ключем, потому что дядя Жора заплатил ОАО АвтоЗаду 10500 рублей, чтобы его наемные друзья Вася и Петя могли когда им будет остро необходимо снять магнитолу или снимать меня как я вожу для дальнейшего шантажа. Меня бы это очень беспокоило. Хотя. Какому вору лично я нужен… Ну это так. Мысли в слух.
Не совсем так. В случае с софтом — представим, что в машине встроена система, позволяющая отследить перемещения или сделать в нужный момент форсированную остановку. Доступно это, разумеется, только спецслужбам. Да, не очень приятно, но мы же с вами законопослушные люди? Плюс в данном случае у нас есть альтернатива, предоставляющая несколько меньше удобств, но не имеющая подобной функциональности.
В случае же с сервисами, всё ещё веселее. Когда вы оставляете вещь в камере хранения, вы же не против, чтобы её проверили на наличие там потнциально опасных Причём даже не полным осмотром, а чем нибудь вроде такой штуки, что стоит в аэропорте на проверке багажа, да ещё и в автоматизированном режиме? В случае с сервисами правила устанавливает их владелец, а вы можете, например выбрать другой.
В случае же с сервисами, всё ещё веселее. Когда вы оставляете вещь в камере хранения, вы же не против, чтобы её проверили на наличие там потнциально опасных Причём даже не полным осмотром, а чем нибудь вроде такой штуки, что стоит в аэропорте на проверке багажа, да ещё и в автоматизированном режиме? В случае с сервисами правила устанавливает их владелец, а вы можете, например выбрать другой.
Оставайтесь послушными, ложитесь, когда стреляют. Ведь в законопослушных не стреляют. Пока.
Наверное потому, что неизвестно заранее кто честный, а кто нет.
Есть бельё, которое отражает мягкий рентген. Поискать ссылку?))
Не, ну ладно, сиськи — это нормально
Так пусть созерцают и завидуют либо вам (мужики), либо ей (женщины) :)
Да, есть люди, которые не хотят, чтобы их обнажённые фотографии появлялись в интернете (какая глупость, пусть смотрят и гордятся..). Вот просто не хотят — и их нежелание к тому же ещё и законами подкреплено. Странно, да?
Знаете, Ваше мнение останется Вашим мнением — всё же есть люди, для которых приоритеты другие, а Ваши им непонятны — поэтому и не стоит им ничего навязывать в духе «Ну и что, да пусть смотрят, вы не переживайте, а гордитесь!» У кого-то комплексы, у кого-то моральные убеждения, у кого-то религия, у кого-то просто с этим связаны не самые лучшие эмоции — и всё это нужно уважать, когда пытаешься решить за другого, что он хочет показывать, а что нет.
Знаете, Ваше мнение останется Вашим мнением — всё же есть люди, для которых приоритеты другие, а Ваши им непонятны — поэтому и не стоит им ничего навязывать в духе «Ну и что, да пусть смотрят, вы не переживайте, а гордитесь!» У кого-то комплексы, у кого-то моральные убеждения, у кого-то религия, у кого-то просто с этим связаны не самые лучшие эмоции — и всё это нужно уважать, когда пытаешься решить за другого, что он хочет показывать, а что нет.
А я предпочту чтобы все видели сиськи-письки, нежели вынимать из карманов все барахло, снимать ремни и обувь.
Ага. Тем более есть и менее приятные способы глубокого досмотра…
А я поедпочёл бы садиться в самолёт как в парке на лавочку или как в троллейбус на работу, чтобы не было никаких рамок и просветок, чтобы не было в них никакой необходимости. Чтобы ни у кого просто не возникало желание ничего взорвать, никого зарезать или угнать самолёт, чтобы каждый понимал, что это глупость какая-то и варварство… Я верю, это достижимая цель: люди постепенно становятся цивилизованнее, стремятся сохранить ценности, всё больше осознают ценность человеческой жизни. Вот что надо сделать, чтоб ускорить этот процесс?
Знаете почему все евреи пошли и звезды надели? Потому что они были законопослушными.
Государство это те же бандиты, они просто добрались до верхушки, а паразиты они и в Африке паразиты.
Государство это те же бандиты, они просто добрались до верхушки, а паразиты они и в Африке паразиты.
Я — не законопослушный. Многие законы мне не нравятся и то, что г-жа Мизуллина или еще какие-нибудь мудаки придумывают всякую ересь не является для меня основанием, для того, чтобы корректировать свое поведение. И, нет, я не совокупляюсь с маленькими детьми.
Был один афоризм про строгость законов и необязательность их исполнения…
Вот например сейчас вы написали сообщение, за которое вас, при желании, можно схватить за задницу и довести до суда. Вычислить вас будет нетрудно даже если бы в вашем профиле не было всей необходимой для этого информации. И вы при этом опасаетесь, что американцы могут слушать ваш зашифрованный трафик? Странно как-то.
А какие законы вы собираетесь нарушать? Если те, которые подразумевают наличие свидетелей (ну например решите устроить несанкционированный концерт в церкви), то надо все-таки либо корректировать поведение и не совершать такие действия, либо открыто протестовать (но желательно тоже не нарушая).
Вот например сейчас вы написали сообщение, за которое вас, при желании, можно схватить за задницу и довести до суда. Вычислить вас будет нетрудно даже если бы в вашем профиле не было всей необходимой для этого информации. И вы при этом опасаетесь, что американцы могут слушать ваш зашифрованный трафик? Странно как-то.
А какие законы вы собираетесь нарушать? Если те, которые подразумевают наличие свидетелей (ну например решите устроить несанкционированный концерт в церкви), то надо все-таки либо корректировать поведение и не совершать такие действия, либо открыто протестовать (но желательно тоже не нарушая).
Так, хорошо, за что вы меня будете судить?
Мне вас не за что судить. Но вот г-жа Мизулина при желании могла бы.
КОАП 5.61 п.2 «Оскорбление»
УК 319 «Оскорбление представителя власти»
Это первое что попалось на глаза. Я не юрист, потому не сомневаюсь, что пропустил еще десяток статей как минимум. В общем, надеюсь, я показал, что вам нет смысла трястись за надежность криптографии. Если вас захотят посадить, то хватит элементарной провокации.
КОАП 5.61 п.2 «Оскорбление»
УК 319 «Оскорбление представителя власти»
Это первое что попалось на глаза. Я не юрист, потому не сомневаюсь, что пропустил еще десяток статей как минимум. В общем, надеюсь, я показал, что вам нет смысла трястись за надежность криптографии. Если вас захотят посадить, то хватит элементарной провокации.
Так я не про нее, а про других абстрактных сферических мудаков в вакууме, про «других». Понятно же;)
Было бы кого и было бы желание, а за что судить всегда найдут. От страны это даже не зависит особо.
1) Вы написали «Мизулина и какие-нибудь еще мудаки». Из постановки фразы следует, что и она тоже мудак.
2) Вы написали «мудаки придумывают всякую ересь» в контексте законов. Т.е. те, кто придумывают законы (непременно представители власти), мудаки, а законы — ересь. Не могу сказать, что я не согласен с этим заявлением, но наверняка найдется несколько статей УК и КОАП, под которые эта фраза подпадает.
Так все-таки — чего вы боитесь, если сами себя закапываете? :)
2) Вы написали «мудаки придумывают всякую ересь» в контексте законов. Т.е. те, кто придумывают законы (непременно представители власти), мудаки, а законы — ересь. Не могу сказать, что я не согласен с этим заявлением, но наверняка найдется несколько статей УК и КОАП, под которые эта фраза подпадает.
Так все-таки — чего вы боитесь, если сами себя закапываете? :)
Если коротко, суть моего комментария была не в необходимости шифрования и боязни прослушки, а в критике тезиса «мы же все с вами умные законопослушные люди, чего нам бояться»?
Да много чего надо бояться. Такая логика — это отказ от ответственности за свою жизнь: вон есть умные дяди, пусть они решают, что для нас хорошо, а что плохо. Барин лучше знает. Пока общество хочет быть стадом баранов, пастухи найдутся. У меня есть своя форма протеста против сложившийся мировой практики: я минимизирвал количество соприкосновений себя с государством и оно меня почти не беспокоит.
Если придумаю что-нибудь более эффективное, обязательно начну делать.
Да много чего надо бояться. Такая логика — это отказ от ответственности за свою жизнь: вон есть умные дяди, пусть они решают, что для нас хорошо, а что плохо. Барин лучше знает. Пока общество хочет быть стадом баранов, пастухи найдутся. У меня есть своя форма протеста против сложившийся мировой практики: я минимизирвал количество соприкосновений себя с государством и оно меня почти не беспокоит.
Если придумаю что-нибудь более эффективное, обязательно начну делать.
а в критике тезиса «мы же все с вами умные законопослушные люди, чего нам бояться»?
Но речь-то идет как раз в контексте прослушки ;)
Я в недоумении от того, как параноики перескакивают с темы на тему.
Пока общество хочет быть стадом баранов, пастухи найдутся.
Ваши предложения? Вы можете назвать какое-либо общество, которое нельзя сравнить со стадом баранов, и которое при этом не является полностью анархическим и без всякого лидера?
У меня есть своя форма протеста против сложившийся мировой практики: я минимиирвал количество соприкосновений себя с государством и оно меня почти не беспокоит.
Аналогично. Вот только я мог бы сказать «вы — баран, идете за пастухом и даже не пытаетесь возражать».
А можно вот прям так за всех не говорить? Если Вы используете Windows и Skype и/или не можете представить себе того, кто использует что-то другое — это не значит, что Windows и Skype используют все. Если Ваши документы никому не интересны — это не значит, что интересных документов не существует. Если Вы используете JS в Tor или Tor без HTTPS- ну так ССЗБ, но не перекладывайте свои привычки на других. Короче — не считайте других идиотами по умолчанию и говорите лучше только о конкретных людях. А чем писать гневные комментарии — напишите краткую и полезную статью об извлечении максимума безопасности из рекомендованых Вами средств.
Если бы все люди были неинтересны АНБ — не было бы смысла во всей этой слежке и прочем дерьме. И нужно всегда иметь уверенность, что тот, кого ты выбрал на правящую позицию, не будет внезапно закручивать гайки и организовывать тотальную слежку, доводя законы до абсурда и делая всех преступниками, при этом имея возможность это доказать.
«сидеть в социальной сети через tor»Как будто что-то плохое. Если СС использовать чисто как канал связи с кем-то, кто есть только в СС, при этом сохраняя свою анонимность, но не ставя целью защиту переданной информации — почему бы и нет? Если сидеть под своим аккаунтом, но не хотеть, чтобы Ваше местоположение определили — почему бы и нет?
Если бы все люди были неинтересны АНБ — не было бы смысла во всей этой слежке и прочем дерьме. И нужно всегда иметь уверенность, что тот, кого ты выбрал на правящую позицию, не будет внезапно закручивать гайки и организовывать тотальную слежку, доводя законы до абсурда и делая всех преступниками, при этом имея возможность это доказать.
Я — не использую винду и скайп. Я как раз-таки линуксоид. И не использую Tor вообще. Вот не надо за меня додумывать. Я просто наблюдаю за местными. И ржу каждый раз. Очень громко.
Прикиньте, я тоже линуксоид, только у меня есть Скайп — всех-то под другие мессенджеры не перетянешь (Скайп под АппАрмор, конечно, с всё-запретительным профилем). Tor тоже пока не использую — да и надобности пока нет, но вот I2P осваиваю активно. Просто нельзя всех грести под одну гребёнку, как Вы это сделали своим комментарием, задев всех, кто не попал под Ваше описание, и заслужив кучу минусов у комментария. Вы же додумали за других — почему тогда нельзя додумывать за Вас?
Да, тут 100% есть люди, чьи данные понадобились бы каким-нибудь спецслужбам. И не все действияи этих спецслужб можно объяснить с точки зрения защиты населения от преступности. Потому что это опять-таки инструмент правящего круга, у которого в последнее время много где интересы не совпадают с интересами общественности (из самого простого — явление «маски-шоу» в России). И, знаете, от этого нужно иметь защиту — в этом нет ничего смешного. Или Вы собираетесь это оспорить?
Да, тут 100% есть люди, чьи данные понадобились бы каким-нибудь спецслужбам. И не все действияи этих спецслужб можно объяснить с точки зрения защиты населения от преступности. Потому что это опять-таки инструмент правящего круга, у которого в последнее время много где интересы не совпадают с интересами общественности (из самого простого — явление «маски-шоу» в России). И, знаете, от этого нужно иметь защиту — в этом нет ничего смешного. Или Вы собираетесь это оспорить?
И, знаете, от этого нужно иметь защиту — в этом нет ничего смешного.
1) Речь идет об американском бекдоре. Для Кровавой Гебни он бесполезен.
2) Если не секрет — у вас есть мобильный телефон? Если да — какая на нем ОС? Если андроид — стоковый или нет?
Телефон на Symbian, Nokia 5800. Ещё коммуникатор на WinMobile 2003, не подключённый к интернету, весь обмен данными через SD-карту — в основном в нём все-все данные, не относящиеся к непосредственно телефону. Ну и потихоньку думаю о приспособлении какого-нибудь микрокомпьютера под Линуксом в качестве телефона-коммуникатора — а пока денег особо даже на прототип нет =) Если разработать смартфон, где все коммуникации между приложениями тебе подвластны, да с хорошим файрволом, то единственный вектор атаки, который я вижу — это геолокация по вышкам сотовой связи. Но на Jolla денег нет точно так же, как ни крути =(
Итак: у «кого надо» при желании могут быть записи всех ваших переговоров, сообщений, сетевого трафика и, да, перемещений.
И кстати, вы заметили, что трафик на хабр не шифруется?
Но это лирика. Вот допустим вам совершенно бесплатно (ну там лотерея или тому подобное) предлагают первоклассный телефон на удобной ОС, с которым вам будет реально удобнее выполнять те задачи, которые вы возлагаете на телефон. Скажем, Nexus 5 или iPhone 5s (смотря кто из какого лагеря). Вы откажетесь от него на том основании, что он непременно будет стучать на вас? Или же просто оцените удобство синхронизации контактов с облаком, подсказок google now (если кому-то они реально полезны) и так далее, взвесив риски и поняв, что рисков, вообще говоря, нет никаких?
И кстати, вы заметили, что трафик на хабр не шифруется?
Но это лирика. Вот допустим вам совершенно бесплатно (ну там лотерея или тому подобное) предлагают первоклассный телефон на удобной ОС, с которым вам будет реально удобнее выполнять те задачи, которые вы возлагаете на телефон. Скажем, Nexus 5 или iPhone 5s (смотря кто из какого лагеря). Вы откажетесь от него на том основании, что он непременно будет стучать на вас? Или же просто оцените удобство синхронизации контактов с облаком, подсказок google now (если кому-то они реально полезны) и так далее, взвесив риски и поняв, что рисков, вообще говоря, нет никаких?
Ну а кто сказал, что то, что я не хотел бы разглашать, я передавал бы через каналы, подвластные другим, при этом не заботясь о шифровании? На хабр я вроде секреты всякие заливать не собираюсь, в переговорах, сообщениях и прочем ничего страшного нет… Себе дороже всё же.
Взял бы. Но не использовал бы просто потому, что у меня немного другие приоритеты — я предпочитаю ноутбук для почти всего, что не делают мой телефон и коммуникатор. Ну и плюс хочу собрать свой телефон, поскольку… Просто мечта такая, вот и всё.
А вот Нексус бы взял, наверное. И прошил бы каким-нибудь CyanogenMod, чтобы удобнее было, ну и безопаснее от всяких гуглов =)
Взял бы. Но не использовал бы просто потому, что у меня немного другие приоритеты — я предпочитаю ноутбук для почти всего, что не делают мой телефон и коммуникатор. Ну и плюс хочу собрать свой телефон, поскольку… Просто мечта такая, вот и всё.
А вот Нексус бы взял, наверное. И прошил бы каким-нибудь CyanogenMod, чтобы удобнее было, ну и безопаснее от всяких гуглов =)
*deleted comment*
Т.е. вы сидите, ни с кем не общаетесь и очень громко ржете?
>ну вот вы все такие криптоанархисты, юзаете всякие bitmessage, i2p и прочее.
>И при этом используете винду, skype
Плохоньие вам криптоанархисты попадались, бракованные.
>И при этом используете винду, skype
Плохоньие вам криптоанархисты попадались, бракованные.
>> Кому не плевать, что ваши документы могут прочитать какие-то АНБ?
>> Кому вы нафиг нужны?
Это вы так считаете пока «плывете по течению» и у вас все ровно в отношениях с государством. Но когда-нибудь в вашей жизни приключится ситуация, когда придется «плыть против течения» и тогда станет понятно чего стоит свободное мнение.
>> Кому вы нафиг нужны?
Это вы так считаете пока «плывете по течению» и у вас все ровно в отношениях с государством. Но когда-нибудь в вашей жизни приключится ситуация, когда придется «плыть против течения» и тогда станет понятно чего стоит свободное мнение.
Это вы так считаете пока «плывете по течению» и у вас все ровно в отношениях с государством.
С которым государством? С США?
Вы думаете США только для себя это слушают? Уверен у спецслужб круговая порука (и это доказано статьями о Штази и Венгерских спецслужбах, все делятся инфой друг с другом, наверняка там целый рынок личных данных).
Вы думаете США только для себя это слушают?
А вы думаете, они поделятся с ФСБ механизмом, позволяющим прослушивать в том числе американский трафик? Результатами анализа — может быть, да и то совсем не факт. И уж точно ни я, ни, скорее всего, вы не удостоимся подобной чести — не того масштаба персоны.
Да я просто уверен что там гигантский маркет информации с разнообразными ценами за них и это не считая двойных агентов.
Сенатора за Генерала, диссидента за педофила.
Сенатора за Генерала, диссидента за педофила.
Вы себя к какой категории причисляете? :)
Бизнесмен индвидуалист, думаю, не дорого возьмут, так как, как показывает практика, у них есть возможность и циферки на счетах менять в момент и файлы нужные подсунуть хоть куда.
Так если чекисты и так могут что угодно с вами сотворить — какую же им информацию брать у американцев, и зачем?
Я не живу в России уже достаточно давно, а вот перейти кому-нибудь дорогу там могу.
А вообще думаю подготовить статью о важности анонимности в наше время.
А вообще думаю подготовить статью о важности анонимности в наше время.
Действуйте. Только упомяните вполне типичный случай, который и ко мне относится: это когда деанонимизация, вообще говоря, ничем не чревата. Когда человеку нельзя нанести вред публикацией любых его переписок, материалов на его компьютере и так далее. В общем, когда человеку нечего скрывать, и одновременно с этим человек никому не интересен, принципиально не лезет по вертикали власти даже в масштабе фирм, не имеет отношения к большим деньгам, не имеет врагов, и не планирует что-либо из этих пунктов менять в будущем. Я с удовольствием послушаю про важность анонимности применительно к себе.
Пожалуй, добавлю тут еще.
Я смотрю Вы сетевик с CCNP CCIP.
Не знаю где Вы работаете, но допустим в Вашей сети придется заметка прослушать вот такого человека, подключить к нему и читать его данные. Нравится? Ну поздравляю, тогда Вы по ту сторону баррикад — любитель власти над другими.
Не согласитесь? Ну тогда Вам светит следующее:
Когда человеку нельзя нанести вред публикацией правды, можно нанести вред публикацией неправды. Пользуетесь облаками? Зальем детское порно. Свой сервер? Отправим запрос на срочное изъятие и повесим порно или наркоторговлю.
Не нравится кооперировать — заставим. Конечно детское порно будут использовать только в случае, если Вы можете как-то навредить им, а так у них есть варианты по проще, как убрать Вас с работы с волчьим билетом.
Ясно что из этих двух человек-трус выберет первое, но является ли первое для него спасением? Нет, коллаборационистов не любят обе стороны. Первой стороне они нужны постольку-поскольку, вторая сторона если победит, вообще выжгет пламенем их (факт, посмотрите сколько еврейских надсмотрщиков добралось до Нюрнберга).
Эта идея хорошо обработана в фильме V — For Vendetta.
Советую посмотреть и Вам.
Грядет война, третья мировая война, но не между разными нациями, а между людьми и государственными аппаратами, ядерный паритет вел к этому изначально, так как не так легко развязать войну для того чтобы оправдать свое существование. Уже сейчас у индивидуума больше возможностей защитить себя, нежели с использованием государства.
Я смотрю Вы сетевик с CCNP CCIP.
Не знаю где Вы работаете, но допустим в Вашей сети придется заметка прослушать вот такого человека, подключить к нему и читать его данные. Нравится? Ну поздравляю, тогда Вы по ту сторону баррикад — любитель власти над другими.
Не согласитесь? Ну тогда Вам светит следующее:
Когда человеку нельзя нанести вред публикацией правды, можно нанести вред публикацией неправды. Пользуетесь облаками? Зальем детское порно. Свой сервер? Отправим запрос на срочное изъятие и повесим порно или наркоторговлю.
Не нравится кооперировать — заставим. Конечно детское порно будут использовать только в случае, если Вы можете как-то навредить им, а так у них есть варианты по проще, как убрать Вас с работы с волчьим билетом.
Ясно что из этих двух человек-трус выберет первое, но является ли первое для него спасением? Нет, коллаборационистов не любят обе стороны. Первой стороне они нужны постольку-поскольку, вторая сторона если победит, вообще выжгет пламенем их (факт, посмотрите сколько еврейских надсмотрщиков добралось до Нюрнберга).
Эта идея хорошо обработана в фильме V — For Vendetta.
Советую посмотреть и Вам.
Грядет война, третья мировая война, но не между разными нациями, а между людьми и государственными аппаратами, ядерный паритет вел к этому изначально, так как не так легко развязать войну для того чтобы оправдать свое существование. Уже сейчас у индивидуума больше возможностей защитить себя, нежели с использованием государства.
Не знаю где Вы работаете, но допустим в Вашей сети придется заметка прослушать вот такого человека, подключить к нему и читать его данные. Нравится?
Что за чушь? Если инженер работает у интернет-провайдера, то в сети уже установлен СОРМ и не нужно никого просить о прослушке. Если инженер работает в частной фирме, то придут не к нему, а к директору фирмы и директор даст указание что-то сделать и это уже вопрос трудовых отношений и должностных обязанностей. Т.е. инженер-сетевик не будет сотрудничать со спец. службами ни в каком сценарии. Он им просто не нужен.
но допустим в Вашей сети придется заметка прослушать вот такого человека, подключить к нему и читать его данные.
Я не операторский сетевик, а ентерпрайзный. И иногда я могу позвонить пользователю, предупредить его, зайти на его компьютер, установить и запустить wireshark с записью на диск, свернуть wireshark и сказать «продолжай работать». И пользователь в итоге будет доволен тем, что его трафик сниффился, так как это поможет устранить какую-то досаждавшую ему проблему. Но да, этот пример к делу не относится.
Если бы я был операторским сетевиком, и мне позвонили бы с такой просьбой из ФСБ, я бы послал их
Ну тогда Вам светит следующее
Вы уверены? А зачем? Я же писал, что я никому не интересен, я — типичный неуловимый Джо. Какой смысл начинать под меня копать? Тогда уж под раздачу попадет много миллионов других жителей страны.
А что вы подразумеваете под деанонимизацией? Разговор ведь с этого начался. В нашей стране у всех есть паспорта, и каждый обязан по требованию предъявить паспорт менту. Какая еще тут анонимность? В лес жить я не поеду, извиняйте, мне в городе хорошо.
В общем, по-моему, вас куда-то не туда занесло — из виртуального мира, где анонимность ценится, в реальный мир, где ее нет и никогда не было. Не надо подменять понятия.
А Вы вот и поймите, что на таком маркете Ваша цена где-то рядом со мной. Неуловимые Джо — пешки в этой войне, а не генералы и не кони. И если надо будет, ими зарядят пушку.
Паспорт можно всегда купить, потерять.
Паспорт можно всегда купить, потерять.
Вы сыплете неуместными аллегориями.
Вот я — простой работяга. Дайте конкретный сценарий, при котором меня могут решить разыграть как пешку, и при этом меня спасла бы анонимность в интернете. Повторяю: мы говорим именно про анонимность в интернете, а в реальной жизни мы все на виду.
Вот я — простой работяга. Дайте конкретный сценарий, при котором меня могут решить разыграть как пешку, и при этом меня спасла бы анонимность в интернете. Повторяю: мы говорим именно про анонимность в интернете, а в реальной жизни мы все на виду.
Да могут никогда не обратиться.
К Гансу в Вестфаллии никогда не приходило Гестапо, ему нравилось при третьем рейхе, из этого не следует что третий рейх был манной небесной без концлагерей.
Так же и в СССР, Васе в Ксыварде было зашибись при Союзе, не значит что Союз был прелестным краем без гулагов.
Вас может и не затронет это, т.к. Вы нееврей аноним, но вот Ваших друзей — может. А может и не затронет. Только вот когда за Вами вдруг по какой-то причине придут, кто будет Вас защищать или Ваших близких?
К Гансу в Вестфаллии никогда не приходило Гестапо, ему нравилось при третьем рейхе, из этого не следует что третий рейх был манной небесной без концлагерей.
Так же и в СССР, Васе в Ксыварде было зашибись при Союзе, не значит что Союз был прелестным краем без гулагов.
Вас может и не затронет это, т.к. Вы не
К начальству? Да их не интересует Ваше начальство. Им не нужно шума, они не хотят писать заявлений. Они по телефону выскажут Вам какую-нибудь парочку фактов из Вашей жизни, и при мысли о том, что их можно обнародовать, у Вас волосы могут дыбом встать. Потому что программиста из Фейсбука подкупить проще, чем с Цукербергом встречаться, чтобы согласовать бекдор.
Проще позвонить Цукербергу и высказать пару фактов, от которых у него далее по тексту…
Цукерберг публичная личность, вполне может релизнуть сам с «другой стороны» и ему будет доверия больше чем гос-ву. А вот с неуловимым Джо ситуация иная.
А вот с неуловимым Джо ситуация иная.
Ага. Всем на него насрать, если речь не идет о совсем уж серьезной уголовке. Вы можете себе представить себе публикацию материалов вроде этого про неуловимого Джо? Ну ходит Джо по шлюхам — и в чем, собственно, проблема? Если у Джо есть жена, то, возможно, будет скандал на кухне. Ужас. Вся жизнь разрушена.
Просто силами одного программиста сделать бекдор в фейсбуке невозможно.
Если изменение в коде, будет коммит, который все разработчики сразу увидят у себя в почте. Если это чёрный ход к SQL-базе, подключения сразу увидят DBA, которые только и делают, что мониторят все выполняющиеся запросы и думают, что действительно необходимо, а что можно убрать или оптимизировать.
Скрытно от команды в большом продукте бекдор существовать не может. Так что нужен именно Цукерберг, а не рядовой сисадмин.
Если изменение в коде, будет коммит, который все разработчики сразу увидят у себя в почте. Если это чёрный ход к SQL-базе, подключения сразу увидят DBA, которые только и делают, что мониторят все выполняющиеся запросы и думают, что действительно необходимо, а что можно убрать или оптимизировать.
Скрытно от команды в большом продукте бекдор существовать не может. Так что нужен именно Цукерберг, а не рядовой сисадмин.
Они по телефону выскажут Вам какую-нибудь парочку фактов из Вашей жизни, и при мысли о том, что их можно обнародовать, у Вас волосы могут дыбом встать.
По-моему, вы фильмов пересмотрели…
Начнем с того, что не существует и никогда не существовало фактов из моей жизни, от одной мысли о публикации которых у меня волосы дыбом встанут. У меня нет скелетов в шкафу, меня нечем шантажировать.
Далее. Если меня начнут бить по почкам, совать иголки под ногти и так далее, то я, конечно, сделаю что велено.
Но в очередной раз спрашиваю: причем тут анонимность, конфиденциальность и т.д.?
Вопрос анонимности в реальной жизни открыт без онлайн слежки.
С онлайн слежкой, а в интернете сейчас все, можно найти любого преступника, не важно педофил он или политический.
В музыке это называется sidechain, когда звук пересылают одному каналу, чтобы получить семпл реального времени для обработки другого звука. Так и с интернетом, по каналу реального времени получить данные на вас в случае чего (вдруг завтра сетевые операторы с сертификацией CCNP будут пособниками буржуев и немедленно расстреляны, такое вполне может случиться, в СССР подобное происходило) теперь намного проще, потому что такие люди как Вы отдали всю власть и право на свою жизнь в чужие руки, в руки людей со своими взглядами на жизнь, довольно-таки плохими в общем случае, т.к. во власть идут те, кто ничего не могут добиться в жизни или те кто хотят увеличить свой достаток или закрепить свое существование в тяжелое время — коллаборационисты.
С онлайн слежкой, а в интернете сейчас все, можно найти любого преступника, не важно педофил он или политический.
В музыке это называется sidechain, когда звук пересылают одному каналу, чтобы получить семпл реального времени для обработки другого звука. Так и с интернетом, по каналу реального времени получить данные на вас в случае чего (вдруг завтра сетевые операторы с сертификацией CCNP будут пособниками буржуев и немедленно расстреляны, такое вполне может случиться, в СССР подобное происходило) теперь намного проще, потому что такие люди как Вы отдали всю власть и право на свою жизнь в чужие руки, в руки людей со своими взглядами на жизнь, довольно-таки плохими в общем случае, т.к. во власть идут те, кто ничего не могут добиться в жизни или те кто хотят увеличить свой достаток или закрепить свое существование в тяжелое время — коллаборационисты.
А при чём здесь анонимность в интернете? Гораздо проще прийти на предприятие и сказать: «выведите сюда всех сетевиков», затем провести обыски и найти требуемые CCNP-сертификаты (ну или предположить их наличие по специфике работы).
по каналу реального времени получить данные на вас в случае чего теперь намного проще
Какие данные? Сертификации, как было замечено выше, легко можно пробить через работодателей. Обычно такое никто не скрывает.
Ну и по-моему, ваш пример отдает каким-то безумием и запущенной паранойей.
такие люди как Вы отдали всю власть и право на свою жизнь в чужие руки
Ё-мое, опять начинается… У вас какой-то прямо невыносимый зуд в одном месте — любой разговор сводите к «политики — бяки».
Самый большой секрет всех спецслужб мира в том, что они все сотрудничают друг с другом.
Это вы так считаете пока «плывете по течению» и у вас все ровно в отношениях с государством. Но когда-нибудь в вашей жизни приключится ситуация, когда придется «плыть против течения» и тогда станет понятно чего стоит свободное мнение.
Напомнило широко известный монолог:
… Я понимаю. Ты нашел в Америке рай: у тебя хорошо шел бизнес, тебя защищала полиция, и тебе ненужны были такие друзья как я. А теперь, ты приходишь и говоришь: «Дон Корлеоне, мне нужна справедливость». Но ты не просишь с уважением, не предлагаешь дружбу, даже не думаешь обратится ко мне: «Крестный».
Нет, ты приходишь ко мне в день свадьбы моей дочери, и просишь меня...
Ок, меня могут счесть сторонником теории заговора, но когда я вижу вот такие тексты, мне кажется, что:
— есть программа формирования общественного мнения по некоторым сложным вопросам;
— на популярных сайтах присутствуют мотивированные товарищи, которые по методичке выдают вот такой FUD («да, следят, но всё же свои, а не американцы, а у сотрудников КГБ кодекс чести, бойтесь лучше хакеров, а лучше не шифроваться, чтобы не привлекать внимания, Старший Брат не желает зла).
— есть программа формирования общественного мнения по некоторым сложным вопросам;
— на популярных сайтах присутствуют мотивированные товарищи, которые по методичке выдают вот такой FUD («да, следят, но всё же свои, а не американцы, а у сотрудников КГБ кодекс чести, бойтесь лучше хакеров, а лучше не шифроваться, чтобы не привлекать внимания, Старший Брат не желает зла).
Зачем Старшему Брату желать вам зла?
Если вы будете счастливы и довольны, будете хорошо зарабатывать или создавать новые технологии — принесёте всем пользу.
Если вас гнобить и преследовать, от безысходности сопьётесь и зачем вы такой нужны стране?
Если вы будете счастливы и довольны, будете хорошо зарабатывать или создавать новые технологии — принесёте всем пользу.
Если вас гнобить и преследовать, от безысходности сопьётесь и зачем вы такой нужны стране?
да, следят, но всё же свои, а не американцы, а у сотрудников КГБ кодекс чести, бойтесь лучше хакеров, а лучше не шифроваться, чтобы не привлекать внимания, Старший Брат не желает зла
Так наоборот же. Dual_EC_DRBG является вполне приличным ГПСЧ за исключением одного маленького момента — у NSA есть к нему отмычка. Кровавая гебня вряд ли знает соответствующие константы, т.е. эта дыра не поможет им следить за всеми.
есть программа формирования общественного мнения по некоторым сложным вопросам
По-моему, сейчас активно формируют общественное мнение на тему «АНБ плохие, следят за всеми, фу-фу-фу, а Сноуден хороший». Очень успешно формируют. Правда, это как-то странно. Ну да, ненависть направлена на американцев, но завтра кто-нибудь раструбит про существование СОРМов и про имеющий такую же закладку ГОСТ — и ярость хомячков переключится на наших чекистов.
Короче, ясно всё с местными. Сторонники теории заговора. Честно, до сегодняшнего для надеялся, что хоть IT'шные сайты она обошла стороной.
Адекватным лишь посоветую не делать так, как сделал я, если вам важно членство в данном сообществе. Поскольку критику здесь просто не воспринимают.
Короче, добра всем, а я ухожу на более дружелюбные ресурсы.
Адекватным лишь посоветую не делать так, как сделал я, если вам важно членство в данном сообществе. Поскольку критику здесь просто не воспринимают.
Короче, добра всем, а я ухожу на более дружелюбные ресурсы.
Ага, глупые дяди здесь совсем не любят, когда от одного делают выводы про остальных. Плюс они ещё и осмеливаются оспаривать критику и подвергать сомнениям «прописные истины», высказанные одним из пользователей.
Простите, но Ваш уход (или «уход») — совершенно детская обида, направленная к совести спорящих с Вами. Чего же Вы ждёте — «Ой, я так его обидел своим аргументом, надо было аккуратнее спорить, не знал, что он такой обидчивый»?
Вас критикуют — либо прислушивайтесь к аргументам, либо опровергайте их. Не стоит тут показывать себя самым умным, тут это никто не может делать по одной простой причине — тут найдётся человек в чём-то умнее выделывающегося. В чём-то, может, и глупее — но есть один принцип:
Лучше пишите статьи навроде «Настоящая анонимность — самые частые ошибки, которые делают люди, пытающиеся быть анонимными». На Ваш гайд даже будут ссылаться, если постараетесь в написании и напишете его с уважением к читателям, ну и тему детально раскроете, естественно. Более того, будут активно дополнять и вскоре Вы можете с удивлением обнаружить, что грамотность относительно анонимности среди простых людей повысилась, отчасти — благодаря Вам.
А ваш уход бессмысленный и ничего полезного из него не выйдет.
Удачи Вам =)
Простите, но Ваш уход (или «уход») — совершенно детская обида, направленная к совести спорящих с Вами. Чего же Вы ждёте — «Ой, я так его обидел своим аргументом, надо было аккуратнее спорить, не знал, что он такой обидчивый»?
Вас критикуют — либо прислушивайтесь к аргументам, либо опровергайте их. Не стоит тут показывать себя самым умным, тут это никто не может делать по одной простой причине — тут найдётся человек в чём-то умнее выделывающегося. В чём-то, может, и глупее — но есть один принцип:
Дискуссия о какой-то идее среди сообщества, состоящего из людей с достаточно обширными знаниями в предмете обсуждения, отлично шлифует недостатки этой идеи.Значит, взялись утверждать какую-то позицию — не делайте это в комментариях в стиле «вы все глупые и ничего не знаете, я пошёл». Так выигрывают только достаточно очевидные идеи, а очевидности в утверждении «Вы все глупые» точно нет.
Лучше пишите статьи навроде «Настоящая анонимность — самые частые ошибки, которые делают люди, пытающиеся быть анонимными». На Ваш гайд даже будут ссылаться, если постараетесь в написании и напишете его с уважением к читателям, ну и тему детально раскроете, естественно. Более того, будут активно дополнять и вскоре Вы можете с удивлением обнаружить, что грамотность относительно анонимности среди простых людей повысилась, отчасти — благодаря Вам.
А ваш уход бессмысленный и ничего полезного из него не выйдет.
Удачи Вам =)
А в суд за это на RSA не подают?
Доказательства не устроят суд.
Предположим, что Сноуден пришёл и дал показания… Как он докажет, что эти документы отражают реальность? Они юридически не значимы.
Нужны показания людей, которые лично были в этом замешаны. RSA просто использовало принятый стандарт. Судить надо институт стандартизации, или доказывать умысел RSA.
Предположим, что Сноуден пришёл и дал показания… Как он докажет, что эти документы отражают реальность? Они юридически не значимы.
Нужны показания людей, которые лично были в этом замешаны. RSA просто использовало принятый стандарт. Судить надо институт стандартизации, или доказывать умысел RSA.
Мораль: никогда не используйте «сертифицированный» софт для криптографии.
А какой использовать? Где гарантия, того что в даже если все пишешь сам по учебнику, в алгоритме нет закладок...? Либо надо быть мегаспецом, но опять же кто ему поверит?
Нужно использовать алгоритмы прошедшие процедуру рецензирования и различные конкурсы (чем больше независимых конкурсов — тем лучше). Если в статье говорится про Dual_EC_DRBG (а судя по ссылкам на статье в википедии — так оно и есть), то о нем, после подобных конкурсов и аудитов, много раз отзывались как о подозрительном и потенциально имеющем бекдор.
Ну и конечно не бывает ничего идеального, P≠NP не доказано посему любой алгоритм потенциально ненадежен и лучше использовать их комбинации, а в случае с генераторами случайных чисел — использовать источники истинного рандома, как то энтропия собранная путём регистрации случайных событий в системе либо использования аппаратных генераторов случайных чисел (с открытым дизайном конечно же)
Ну и конечно не бывает ничего идеального, P≠NP не доказано посему любой алгоритм потенциально ненадежен и лучше использовать их комбинации, а в случае с генераторами случайных чисел — использовать источники истинного рандома, как то энтропия собранная путём регистрации случайных событий в системе либо использования аппаратных генераторов случайных чисел (с открытым дизайном конечно же)
Например, в процессорах Intel есть такие генераторы.
Если выложат их принципиальные схемы, это будет считаться «открытым дизайном»?
Если выложат их принципиальные схемы, это будет считаться «открытым дизайном»?
С генератором Intel есть проблемы. В общих чертах они показали как создали свой генератор, однако есть теоретическая работа, которая показывает, что для внедрения backdoor-а достаточно минимальных изменений непосредственно перед производством: ru.wikipedia.org/wiki/RdRand «По некоторым мнениям, может представлять собой пример клептографии (умышленного внедрения криптографически слабого элемента)[2]. Внедрение уязвимости гипотетически возможно, к примеру, путем изменения типа допирования в одном из транзисторов (требуется модификация как минимум двух литографических масок)[3]»
Отличить правильно реализованную схему от схемы с трояном практически невозможно (микроскопом тип допирования для транзистора не увидеть). В схеме генератора в качестве промежуточного этапа стоит шифрование AES с ключом, известным только Интелу.
Отличить правильно реализованную схему от схемы с трояном практически невозможно (микроскопом тип допирования для транзистора не увидеть). В схеме генератора в качестве промежуточного этапа стоит шифрование AES с ключом, известным только Интелу.
Если их смешать с фоном из микрофона и приправить координатами мыши — почему бы и не пользоваться? /dev/random так и работает вроде…
Круто! А не получится, что крипто-софт сможет подслушивать пользователя, восстанавливая данные микрофона из random?
Если их смешать с фоном из микрофона и приправить координатами мыши — получится случайный генератор с внедренной неслучайной последовательностью — следовательно он будет более слабый нежели просто фон из микрофона и координаты мыши. Здесь конечно не работает принцип ложки дёгтя в бочке мёда, но всё равно ненадежные источники лучше полностью исключить.
Смотря как смешивать. Если поочерёдно брать число то из одного генератора, то из другого — будет ослабление.
Если все источники складывать по XOR — не вижу недостатков.
Если все источники складывать по XOR — не вижу недостатков.
В таком случае еще меньше смысла использовать генератор случайных чисел в процессоре — скорости он не прибавит, (т.к. в этом случае скорость наполнения пула энтропии будет равна скорости самого медленного источника), секьюрности тоже — какой смысл xor'ить пул энтропии какой-либо «заранее известной» последовательностью?
Смысл в том, что для разных хакеров разные последовательности «заранее известны».
Кто-то хорошо смоделирует микрофон, кто-то знает алгоритм в процессоре.
Но успешной атака будет только тогда, когда будут раскрыты все источники.
Кто-то хорошо смоделирует микрофон, кто-то знает алгоритм в процессоре.
Но успешной атака будет только тогда, когда будут раскрыты все источники.
Если у вас для энтропии используется пара LSB с АЦП с микрофона — никому ничего там «смоделировать» не удасться. Проблема в том что есть источники истинного рандома — например шум АЦП (другое дело что он может быть смещен каким либо образом, для этого используются различные алгоритмы типа схемы фон Неймана), а есть источники псевдорандома. Так вот для первых возможны только статистические методы атаки, для вторых же мы просто можем восстановить полную последовательность, следовательно источники второго типа в отличии от первых, каким бы образом вы их не комбинировали — xor'ом или хеш-функцией, в лучшем идеальном случае (к примеру когда у нас идеальная хеш-функция) просто не прибавляют энтропии (читайте безопасности), в худшем — ослабляют её.
На словах всё гладко, а на деле то драйвер может быть не настроен и с микрофона читаются нули (не отличимые от истинно случайной последовательности :)), то АЦП там 14-битный и младшие 2 бита всегда 11, то физическая частота оцифровки занижена и отсчёты всегда приходят парами, т.к. нижележащий драйвер апсемплит програмно. Я бы не ставил всё на один источник. Кто знает, чем оно обернётся в реальной конфигурации.
В таких случаях в системе сборки энтропии обязательно предусмотрены т.н. randomness тесты, которые в перечисленных вами случаях просто отключат сбоящие каналы энтропии, а если отключается последний — сообщают администратору, т.к. в этом случае не просто не нужно а опасно использовать такой источник. А в случае использования интеловского генератора как раз может случится непоправимое — пара источников энтропии исчезнет, и он останется основным вносящим энтропию. И да, я нигде не говорил что нужно ставить всё на один источник, я говорил всего лишь что ненадежные источники (а это еще и опасный источник — т.к. он ненадежен но randomness-тесты он проходит) стоит заранее исключить из сбора энтропии.
Зачем исключать? RDRAND можно пометить, как недоверенный и проверять, что среди источников есть доверенные. Исключать не нужно. Вдруг доверенный источник на самом деле окажется недоверенным, а RDRAND как раз спасёт ситуацию (ведь мы, как и возможный хакер, точно не знаем, как его предсказать).
В том то и разница что в отличии от нас, возможный хакер (в лице АНБ) скорее всего отлично знает как его предсказывать.
А если хакер из ФСБ, ключи RDRAND не знающий, но сотрудничающий с физическим институтом, изучающим процессы в микрофонных усилителях. Удалять источники имхо не нужно.
Да хоть пусть он лично знаком с тем кто этот конкретный микрофонный усилитель делал — кроме как статистически этот источник никак моделировать не получится, если только этот конкретный ADC не делали с закладкой (а т.к. этот ADC могут использовать еще в 1000 приложениях — вероятность этого стремиться к нулю). Различайте устройства которые специально делались для применений в криптографии и устройства, побочным эффектом которых является создание энтропии.
Можете пользоваться OpenSSL. Правда там Dual_EC_DRBG тоже реализован согласно стандарту NIST SP 800-90, то есть точно так же уязвим.
Самое смешное, что в OpenSSL (сертифицированный по FIPS 140-2) в реализацию Dual_EC_DRBG вкралась ошибка, обнаруженная на днях, из-за которой алгоритм никогда не использовался, даже если его вручную включить: The Register, подробное объяснение в списке рассылки. Баг легко исправляется, но после этого потребовалась бы дорогая пересертификация по 140-2, и его исправлять не собираются.
Из интересного — для сертификации по FIPS 140-2 требовалось реализовать Dual_EC_DRBG именно с теми «токсичными» параметрами, которые указаны в стандарте NIST. («if you want to be FIPS 140-2 compliant you MUST use the compromised points.»)
Из интересного — для сертификации по FIPS 140-2 требовалось реализовать Dual_EC_DRBG именно с теми «токсичными» параметрами, которые указаны в стандарте NIST. («if you want to be FIPS 140-2 compliant you MUST use the compromised points.»)
у PGP был очень хороший тезис на эту тему, «мы никогда не будет доверять правительственным алгоритмам шифрования, но вполне доверяем правительственным алгоритмам цифровых подписей. Просто правительство заинтересовано, чтобы шифры ломались и совсем не заинтересовано чтобы подделывались подписи».
Интересно посмотреть в RSA для подписей другой генератор случайных чисел использовался или тот же самый.
Интересно посмотреть в RSA для подписей другой генератор случайных чисел использовался или тот же самый.
совсем не заинтересовано чтобы подделывались подписиМожете пояснить почему?
Потому что в надежности цифровой подписи получатель заинтересован в большей степени, что отправитель. Почти нет таких случаев, когда правительство хотело бы, чтобы авторство сообщения, подписанного по разработанному правительством алгоритму, осталось под сомнением.
+1,
Ну и к тому же соотношение вреда/пользы совсем другое. Кража секретов дает огромную мощь спецслужбам, а вред заключается в основном в разоблачениях в прессе, которые безвредны.
У компрометации цифровых подписей нету особо другого применения кроме банального фрода, ну и к тому же кровь правительства это деньги, а на цифровые подписи столько завязано в банковской системе как в межбанковской так и в обычных кредитках, что их компрометация(в том числе и со стороны нечестных сотрудников спецслужб) может фактически уничтожить государство. Ну если не уничтожит, то финансовые круги которые спонсируют избирательные компании всех политиков в США, могут на 2 порядка больнее сделать чем какие-то журналисты.
Ну и к тому же соотношение вреда/пользы совсем другое. Кража секретов дает огромную мощь спецслужбам, а вред заключается в основном в разоблачениях в прессе, которые безвредны.
У компрометации цифровых подписей нету особо другого применения кроме банального фрода, ну и к тому же кровь правительства это деньги, а на цифровые подписи столько завязано в банковской системе как в межбанковской так и в обычных кредитках, что их компрометация(в том числе и со стороны нечестных сотрудников спецслужб) может фактически уничтожить государство. Ну если не уничтожит, то финансовые круги которые спонсируют избирательные компании всех политиков в США, могут на 2 порядка больнее сделать чем какие-то журналисты.
А подделывать сообщения от других людей оно разве не хочет? Подделывать подписанный софт?
Это делается намного проще. Посмотрите, где зарегистрировано большинство корневых сертификационных центров, которым браузеры доверяют.
Зачем правительству подделывать сообщения других других людей, если проще придти в ним домой с предложением, от которого нельзя отказаться (сшитое дело с возможностью получить условный срок вместо реального)?
Когда есть мощный аппарат принуждения, подделывать мало что требуется.
Когда есть мощный аппарат принуждения, подделывать мало что требуется.
«Зачем правительству расшифровывать сообщения других других людей, если проще придти в ним домой с предложением, от которого нельзя отказаться ...»
Затем, что без знания содержимого сообщений усложняется подготовка «выгодного предложения» клиенту.
Например, чтобы «предложить» вам заплатить налоги, правительству необходимо знать ваши доходы и расходы, что затруднительно, если все ваши финансовые операции зашифрованы end-to-end.
Цифровая подпись каждой транзакции же наоборот облегчает составление «предложения», потому что позволяет установить источник транзаций. Кстати, именно по такой же причине, например, вы не можете просто прийти в банк без паспорта и положить анонимно деньги на счет.
Цифровая подпись каждой транзакции же наоборот облегчает составление «предложения», потому что позволяет установить источник транзаций. Кстати, именно по такой же причине, например, вы не можете просто прийти в банк без паспорта и положить анонимно деньги на счет.
в зависимости от банка, кстати.
Как этот банк называется?
ТКС, Связной, например. Да все, которые принимают себе деньги через терминал — терминал же паспорт не просит. А связной он по слухам вообще не разглашает и не выдает. Тут, впрочем, утверждать не берусь — я вполне доверяю тому, кто мне это говорил, но сам не проверял.
Нужно воспользоваться банковской картой и пин-кодом, которые без паспорта не дадут. Не анонимно.
Речь шла только об анонимном переводе. Естественно про счет банк в курсе, чей это счет. А для того что бы кому-то положить деньги на счет в указанных банках — не нужен ни паспорт, ни связанные с ним данные.
«У надёжных средств защиты нет сертификата. У сертифицированных нет удобства. У удобных нет надёжности.»
А так ли уж многим нужна криптография? В крайнем случае — да, делать что-нибудь свое с рядом переменных доступных только группе лиц, взять к примеру библиотеку либрусека, написать утилиту для стеганографии которая будет изменять текст большого количества книг закладывая в них зашифрованный текст к примеру в сотню-две книг. Причем полезный текст будет только в одной из. И кроме базового пароля еще какие-нибудь привязанные к дате или числовому ряду. Bittorrens sync и просто раздача торрентов для генерации стабильно большого потока трафика. + регулярное изменение текста самих книг.
Вроде уровень сложности может получится достаточно неплохим, поправьте если ошибаюсь?
Вроде уровень сложности может получится достаточно неплохим, поправьте если ошибаюсь?
А я вот как раз проектирую сервис с шифрованием на клиенте. И только 5 минут назад думал что одного RSA будет достаточно. Ан нет. Буду думать каким алгоритмом дополнить RSA
Вам еще не поступило коммерческое предложение от анб?
Алгоритм RSA хорош, проверен временем, к нему претензий нет.
Претензии есть к софту компании RSA, который черпает энтропию из ГПСЧ с закладкой.
А по поводу конкурентов алгоритма RSA вариантов немного. Точнее, один. DH.
Претензии есть к софту компании RSA, который черпает энтропию из ГПСЧ с закладкой.
А по поводу конкурентов алгоритма RSA вариантов немного. Точнее, один. DH.
Вообще, ситуация двоякая. С одной стороны государство нагибает свои же структуры использовать ГОСТ, значит считает его защищенным от заклятых друзей. С другой стороны, глупо думать, что там нет закладок. Каким образом достигается такое — самое интересное.
Там есть какая-то хитрость с S-блоками, возможно, все строится на ней.
Там есть какая-то хитрость с S-блоками, возможно, все строится на ней.
Поэтому надо использовать ГОСТ(AES(Blowfish())) — даже если случится невероятное и спецслужбы договорятся…
И сертифицировано будет везде. Сертификация требует, чтобы данные шифровались ГОСТ? Ну так вот он. AES? Ну так вот он.
И сертифицировано будет везде. Сертификация требует, чтобы данные шифровались ГОСТ? Ну так вот он. AES? Ну так вот он.
насколько я помню, наборы S-блоков для ГОСТ—28147-89 выдаются разработчиком алгоритма, и некоторые из них вполне могут быть слабыми.
поэтому ГОСТ :)
Любые официальные структуры в гробу видали по-настоящему криптостойкие системы. Но монополию на настоящую криптозащиту оставить только за собой не получилось. Opensource-сообщество не засудишь и не запугаешь. Особенно с учетом интернациональности. Но палки в колеса старательно вставляют, злыдни.
Но монополию на настоящую криптозащиту оставить только за собой не получилось.
Потому модная криптография на эллиптических кривых — для них прямо-таки сказка. Тут и скорость работы повыше, и есть возможность пролоббировать такую кривую, к которой имеешь отмычку (а вот вражине будет очень непросто получить такую же отмычку к этой кривой).
Современный эквивалент 30 сребреников.
Было бы неплохо для тех кто по ссылкам не ходит описать вкраце откуда взялась информация про 10 миллионов.
Объясните пожалуйста, почему «RSA» написано латинскими буквами, а «АНБ» — русскими? Собственно, написание «АНБ» вместо «NSA» стало в последнее время повсеместным на Хабре, я вначале даже пугался — неужели раскрыли какое-то секретное российское агентство, которое плело сеть интриг по всему миру? Теперь не пугаюсь, но удивляться продолжаю.
С акронимами всю дорогу путаница была. Даже во времена, когда всё писали «по русски». Навскидку: почему ФБР и ЦРУ, но НАСА и НАТО? А ведь так было даже во времена, когда все тексты тщательно вычитывались редакторами и корректорами! Сейчас эти промежуточные варианты перешли на латинницу, то есть стало NASA и NATO, а вот NSA стало АНБ, так как оно всё-таки ближе к ФБР и ЦРУ…
Может быть потому, что NASA и NATO — это действительно акронимы, а всё остальное перечисленное таки аббревиатуры?
data.grammarbook.com/blog/abbreviations/abbreviations-acronyms-and-initialisms-revisited/
data.grammarbook.com/blog/abbreviations/abbreviations-acronyms-and-initialisms-revisited/
Кто-нибудь может пояснить, рядовому пользователю какие продукты не использовать и на что заменить?
Только open source и только software
Мы не знаем что там в «железных» алгоритмах шифрования нам приготовили на аппаратном уровне
Мы не знаем что там в «железных» алгоритмах шифрования нам приготовили на аппаратном уровне
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
RSA Security получила $10 млн. от АНБ за использование заведомо дырявого генератора псевдослучайных чисел