Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 34
Интересуют подробности, почему такое же нельзя сделать с ruToken?
> Цена одной карты на данный момент составляет 17.14 евро.
«Однако!»(с)
«Однако!»(с)
Вообще, на карте есть небольшая рекламка basiccard.com. Я так подозреваю что они выпускают карты, на основе которых и делаются карты OpenPGP. Цены там существенно ниже начиная от 0.99 евро за карту. Но минимальный заказ — 5 штук. И на счет совместимости я, все-таки, не совсем уверен. Хотя там прямо написано что они GnuPG совместимы.
Ну так о том и речь. Продавать смарткарты, копеешные ценой, которые продают за 0,99$ еще и с прибылью, за 17 евро (не включая цену доставки) это какой-то очень «русский бизнес».
Чуваки нашли нишу.
Чуваки нашли нишу.
Ну, не все так просто. Почитайте инфу на basiccard.com. Я так подозреваю, что они все-таки не какую-то из карт напрямую продают, а как-то их переделывают. Ну и и там 0.99 евро — минимальная цена за одну из карт. Максимальная — 5.49 евро (я не беру в расчет те, которые RFID). Хотя, конечно, тоже не 17 евро.
Кстати, на счет цены я напутал. Я ее смотрел по прайсу, а они, оказывается, стоимость пересылки раскидали по цене карточек. Так что реально одна карта стоит 13.79 евро, а при заказе более 10 штук — 11.68 евро.
В смысле — я смотрел по бумажке с заказом, которая пришла с картами. Там как раз стоимость пересылки раскидана по цене карт.
OK, не «русский», «бизнес Apple». Взять наушники по 50 центов, и продавать по 8,95$ в картонной упаковке с волшебным яблочком.
Работает при наличии достаточного количества фэнбоев, что яблока, что волшебных букв GNU.
Работает при наличии достаточного количества фэнбоев, что яблока, что волшебных букв GNU.
Если интересно, то посмотрите Senselock.
У них есть Senselock в виде обычной смарт-карты.
Кроме хранения ключей, вы еще свой исполняемый код для неё можете написать.
Но внешнюю обвязку к смарт-карте придется городить самому.
У них есть Senselock в виде обычной смарт-карты.
Кроме хранения ключей, вы еще свой исполняемый код для неё можете написать.
Но внешнюю обвязку к смарт-карте придется городить самому.
Странно что PIN-коды не находятся в конвертах, подобных тем которые выдают вместе с банковскими картами.
И ещё. ПИНы всё таки лучше делать рандомные, а не 123456.
И ещё. ПИНы всё таки лучше делать рандомные, а не 123456.
Ну так пин-коды сменные, конечно. Подразумевается что перед реальным использованием вы пин-код смените.
Двухфакторная аутентификация это «something you have» + «something you know».
Здесь же получается: «something you have» + «something everybody knows» :)
Здесь же получается: «something you have» + «something everybody knows» :)
Ну, как я уже писал — на basiccard.com продают карты и по 0.90 евро за штуку в партии более 1000 штук. Только вот я подозреваю что ни карты за 0.90 ни ваши не пододут для использования с GPG. Тогда их низкая стоимость не имеет значения.
Конечно, вы используете их для своих нужд и для вас они подходят. Но мы говорим именно об испольозвании карт с GPG.
Возможно, стоимость карт GPG связана с небольшим спросом на них. С течением врермени, думаю, их стоимость будет снижаться.
Конечно, вы используете их для своих нужд и для вас они подходят. Но мы говорим именно об испольозвании карт с GPG.
Возможно, стоимость карт GPG связана с небольшим спросом на них. С течением врермени, думаю, их стоимость будет снижаться.
Из карты можно легко извлечь секретный ключ (зная PIN, а возможно и не зная). Это явное намеренное ослабление безопасности.
В хорошую карточку ключ заливается только 1 раз и никогда не выдается назад.
В хорошую карточку ключ заливается только 1 раз и никогда не выдается назад.
Уточните, пожалуйста, откуда такие сведения.
Вот текст из описания карты OpenPGP — «Private keys and passwords cannot be read from the card with any command or function.»
Это описание доступно вот здесь — www.g10code.de/docs/openpgp-card-2.0.pdf
Хорошая карта генерирует ключ внутри себя и никогда и не при никаких обстоятельствах не отдает его наружу. Иначе это не смарт-карта, а какая-то флешка получается.
Все верно. OpenPGP именно такая карта. С дополнительной возможностью переместить ваши ключи, сгенерированные программно, внутрь карты.
В этом случае нельзя сделать резервную копию ключа, который сгенерирован на смарт-карте. Т.е. сломайся карта — как минимум придётся срочно генерировать и сертифицировать новый ключ, а как максимум — потерять кучу информации.
Если вы этого боитесь — генерируйте ключ софтом, делайте его вариант на карте по описанной методике и пользуйтесь. Резервная копия ключа у вас будет.
Но смысл карты именно в том что ключи в ней неизвлекаемые. И это так и должно быть в любом случае. Иначе карта будет не лучше обыкновенной флэшки.
Но смысл карты именно в том что ключи в ней неизвлекаемые. И это так и должно быть в любом случае. Иначе карта будет не лучше обыкновенной флэшки.
Не согласен. Если возможность экспорта ключа есть, например, только сразу же после его создания и до снятия питания с карты, то и овцы сыты и волки целы.
Генерация софтом и импорт на карты задачу решает, но кривовато, ИМХО.
Генерация софтом и импорт на карты задачу решает, но кривовато, ИМХО.
Рассуждая абстрактно, это как раз нормально. Если в карте будет возможность извлечь ключи в особых случаях, то потенциальные хакеры обязательно его устроят, например, разобрав карту и организовав такой «особый случай» на уровне электроники. Вы-же не думаете что хакеры только программами оперируют?
Тот же самый особый случай можно устраивать и на флаге предъявления ПИН-кода.
Ну а если уж мы полезли в дебри, тогда
1) Кто проверял спецификации, приложения и карты на невынимаемость ключей, включая side-channel атаки? Если никто, тогда об атаке на память карты говорить несколько преждевременно, скорее всего timing и power analysis дадут больше информации.
2) ГСЧ на карте обычно лучше ГСЧ компа (особенно, если карта качественная и сертифицирована каким-нибудь FIPS-ом, хотя бы)
3) Если ключ генерировать софтом, то остаётся остаточная информацию на HDD компа.
4) «Complexity is the worst enemy of security». Я вот смотрю на спецификацию openpgp-card-2.0 и на вашу инструкцию по импорту ключей на карту — complexity системы зашкаливает, ИМХО.
Ну а если уж мы полезли в дебри, тогда
1) Кто проверял спецификации, приложения и карты на невынимаемость ключей, включая side-channel атаки? Если никто, тогда об атаке на память карты говорить несколько преждевременно, скорее всего timing и power analysis дадут больше информации.
2) ГСЧ на карте обычно лучше ГСЧ компа (особенно, если карта качественная и сертифицирована каким-нибудь FIPS-ом, хотя бы)
3) Если ключ генерировать софтом, то остаётся остаточная информацию на HDD компа.
4) «Complexity is the worst enemy of security». Я вот смотрю на спецификацию openpgp-card-2.0 и на вашу инструкцию по импорту ключей на карту — complexity системы зашкаливает, ИМХО.
Карта может быть удобна для мобильности. Ну и, вообще, с точки зрения возможности дискредитации секретного ключа, хранение на карте надежнее.
На счет-же использования — тут уже каждый решает сам. В нашем проекте GPG предполагается использование для подписания и шифрования небольших текстов и блоков двоичных данных. Думаю для этих целей он вполне подходит.
На счет-же использования — тут уже каждый решает сам. В нашем проекте GPG предполагается использование для подписания и шифрования небольших текстов и блоков двоичных данных. Думаю для этих целей он вполне подходит.
Если кто подскажет, где можно приобрести OpenPGP смарт-карту в текущий момент — буду безмерно благодарен. Kernelconcepts на неопределенное время закрыл магазин.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
GnuPG на смарт-картах. Как это выглядит…