UncleAndy Oct 19 2011 at 22:27

GnuPG на смарт-картах. Как это выглядит…

4 min

8.5K

Cryptography*

+35

Comments 34

OLS Oct 19 2011 at 23:17

Интересуют подробности, почему такое же нельзя сделать с ruToken?

UncleAndy Oct 19 2011 at 23:19

Интересный вопрос. У меня есть несколько карточек другого типа, с которыми я экспериментировал. Создалось впечатление что нужно что-то для совместимости с GPG. Т.к. ни одна из них через gpg не распознавалась.

OLS Oct 20 2011 at 09:33

Скоро придет первая партия — проверю.

UncleAndy Oct 20 2011 at 11:57

Кстати, когда я изучал вопрос применимости токенов, основной проблемой у RuToken называлась ненадежность их электроники — относительно часто выходят из строя. Имейте ввиду.

romx Oct 20 2011 at 08:47

> Цена одной карты на данный момент составляет 17.14 евро.

«Однако!»(с)

UncleAndy Oct 20 2011 at 11:54

Вообще, на карте есть небольшая рекламка basiccard.com. Я так подозреваю что они выпускают карты, на основе которых и делаются карты OpenPGP. Цены там существенно ниже начиная от 0.99 евро за карту. Но минимальный заказ — 5 штук. И на счет совместимости я, все-таки, не совсем уверен. Хотя там прямо написано что они GnuPG совместимы.

romx Oct 20 2011 at 12:07

Ну так о том и речь. Продавать смарткарты, копеешные ценой, которые продают за 0,99$ еще и с прибылью, за 17 евро (не включая цену доставки) это какой-то очень «русский бизнес».
Чуваки нашли нишу.

UncleAndy Oct 20 2011 at 12:41

Ну, не все так просто. Почитайте инфу на basiccard.com. Я так подозреваю, что они все-таки не какую-то из карт напрямую продают, а как-то их переделывают. Ну и и там 0.99 евро — минимальная цена за одну из карт. Максимальная — 5.49 евро (я не беру в расчет те, которые RFID). Хотя, конечно, тоже не 17 евро.

UncleAndy Oct 20 2011 at 12:51

Кстати, на счет цены я напутал. Я ее смотрел по прайсу, а они, оказывается, стоимость пересылки раскидали по цене карточек. Так что реально одна карта стоит 13.79 евро, а при заказе более 10 штук — 11.68 евро.

UncleAndy Oct 20 2011 at 12:53

В смысле — я смотрел по бумажке с заказом, которая пришла с картами. Там как раз стоимость пересылки раскидана по цене карт.

romx Oct 20 2011 at 13:51

OK, не «русский», «бизнес Apple». Взять наушники по 50 центов, и продавать по 8,95$ в картонной упаковке с волшебным яблочком.
Работает при наличии достаточного количества фэнбоев, что яблока, что волшебных букв GNU.

Antonio43 Oct 20 2011 at 09:25

Если интересно, то посмотрите Senselock.
У них есть Senselock в виде обычной смарт-карты.
Кроме хранения ключей, вы еще свой исполняемый код для неё можете написать.
Но внешнюю обвязку к смарт-карте придется городить самому.

timukas Oct 20 2011 at 13:01

Странно что PIN-коды не находятся в конвертах, подобных тем которые выдают вместе с банковскими картами.
И ещё. ПИНы всё таки лучше делать рандомные, а не 123456.

UncleAndy Oct 20 2011 at 13:45

Ну так пин-коды сменные, конечно. Подразумевается что перед реальным использованием вы пин-код смените.

timukas Oct 20 2011 at 14:18

Двухфакторная аутентификация это «something you have» + «something you know».
Здесь же получается: «something you have» + «something everybody knows» :)

UncleAndy Oct 20 2011 at 14:23

И как-же все узнают какой пин-код вы поставили? :) Кстати, пинкоды там не числовые, а символьные. Размером до 32 символов.

timukas Oct 20 2011 at 14:30

Довольно нереально узнать где и у кого была карта до момента смены дефолтного пин-код.

UncleAndy Oct 20 2011 at 14:37

А что в этом плохого? Это как раз хорошо. Для этих карт (именно версии 2) есть специальная последовательность, с помощью которой ее можно сбросить в состояние «с завода». Так что даже если вам досталась карта от кого-то, ничего страшного в этом нет.

UFO just landed and posted this here

UncleAndy Oct 20 2011 at 13:55

Ну, как я уже писал — на basiccard.com продают карты и по 0.90 евро за штуку в партии более 1000 штук. Только вот я подозреваю что ни карты за 0.90 ни ваши не пододут для использования с GPG. Тогда их низкая стоимость не имеет значения.

Конечно, вы используете их для своих нужд и для вас они подходят. Но мы говорим именно об испольозвании карт с GPG.

Возможно, стоимость карт GPG связана с небольшим спросом на них. С течением врермени, думаю, их стоимость будет снижаться.

egorinsk Oct 20 2011 at 15:21

Из карты можно легко извлечь секретный ключ (зная PIN, а возможно и не зная). Это явное намеренное ослабление безопасности.

В хорошую карточку ключ заливается только 1 раз и никогда не выдается назад.

UncleAndy Oct 20 2011 at 15:55

Уточните, пожалуйста, откуда такие сведения.

UncleAndy Oct 20 2011 at 16:17

Вот текст из описания карты OpenPGP — «Private keys and passwords cannot be read from the card with any command or function.»

UncleAndy Oct 20 2011 at 16:19

Это описание доступно вот здесь — www.g10code.de/docs/openpgp-card-2.0.pdf

lorc Oct 20 2011 at 16:42

Хорошая карта генерирует ключ внутри себя и никогда и не при никаких обстоятельствах не отдает его наружу. Иначе это не смарт-карта, а какая-то флешка получается.

UncleAndy Oct 20 2011 at 17:23

Все верно. OpenPGP именно такая карта. С дополнительной возможностью переместить ваши ключи, сгенерированные программно, внутрь карты.

OverQuantum Oct 24 2011 at 22:23

В этом случае нельзя сделать резервную копию ключа, который сгенерирован на смарт-карте. Т.е. сломайся карта — как минимум придётся срочно генерировать и сертифицировать новый ключ, а как максимум — потерять кучу информации.

UncleAndy Oct 24 2011 at 22:29

Если вы этого боитесь — генерируйте ключ софтом, делайте его вариант на карте по описанной методике и пользуйтесь. Резервная копия ключа у вас будет.

Но смысл карты именно в том что ключи в ней неизвлекаемые. И это так и должно быть в любом случае. Иначе карта будет не лучше обыкновенной флэшки.

OverQuantum Oct 24 2011 at 23:22

Не согласен. Если возможность экспорта ключа есть, например, только сразу же после его создания и до снятия питания с карты, то и овцы сыты и волки целы.

Генерация софтом и импорт на карты задачу решает, но кривовато, ИМХО.

UncleAndy Oct 24 2011 at 23:34

Рассуждая абстрактно, это как раз нормально. Если в карте будет возможность извлечь ключи в особых случаях, то потенциальные хакеры обязательно его устроят, например, разобрав карту и организовав такой «особый случай» на уровне электроники. Вы-же не думаете что хакеры только программами оперируют?

OverQuantum Oct 25 2011 at 00:03

Тот же самый особый случай можно устраивать и на флаге предъявления ПИН-кода.
Ну а если уж мы полезли в дебри, тогда
1) Кто проверял спецификации, приложения и карты на невынимаемость ключей, включая side-channel атаки? Если никто, тогда об атаке на память карты говорить несколько преждевременно, скорее всего timing и power analysis дадут больше информации.
2) ГСЧ на карте обычно лучше ГСЧ компа (особенно, если карта качественная и сертифицирована каким-нибудь FIPS-ом, хотя бы)
3) Если ключ генерировать софтом, то остаётся остаточная информацию на HDD компа.
4) «Complexity is the worst enemy of security». Я вот смотрю на спецификацию openpgp-card-2.0 и на вашу инструкцию по импорту ключей на карту — complexity системы зашкаливает, ИМХО.

UFO just landed and posted this here

UncleAndy Oct 23 2011 at 14:26

Карта может быть удобна для мобильности. Ну и, вообще, с точки зрения возможности дискредитации секретного ключа, хранение на карте надежнее.

На счет-же использования — тут уже каждый решает сам. В нашем проекте GPG предполагается использование для подписания и шифрования небольших текстов и блоков двоичных данных. Думаю для этих целей он вполне подходит.

linjan Mar 19 2015 at 18:17

Если кто подскажет, где можно приобрести OpenPGP смарт-карту в текущий момент — буду безмерно благодарен. Kernelconcepts на неопределенное время закрыл магазин.

Show the best of all time