Comments 44
Шифрование нужно применять с умом. Я знаю компанию где все жёсткие диски всех ноутбуков шифруются - но, "для удобства", при загрузке система не спрашивает пароль. Ну и нафига козе баян? Пара часов с QEMU - и все данные у вас в расшифрованном виде...
Аналог из некомпьютерного мира: поставить крутую "сейфовую" дверь в конторе и положить ключ под коврик...
Аналог из некомпьютерного мира: поставить крутую "сейфовую" дверь в конторе и положить ключ под коврик...
0
Да, подобная оптимизация -серьезная проблема.
Я размышлял как это можно оптимизировать, но так и не получил приемлемого результата.
Одна из самых интересных, но трудоемких идей - хранение пароля-файла на телефоне, доступ к которому автоматически производится при загрузке системы, используя блютус...
В моем случае я предупредил про такой вариант. Незнаю что из этого выйдет, но будет надеятся - товарищи не поленяться вводить пароль каждый раз.
К слову. В почтовых программах ввод пароля сделан более разумно - он требуется лишь при получении шифрованного сообщения, в отличие от обмена личными сообщениями где его требуют вводить при запуске программы
Я размышлял как это можно оптимизировать, но так и не получил приемлемого результата.
Одна из самых интересных, но трудоемких идей - хранение пароля-файла на телефоне, доступ к которому автоматически производится при загрузке системы, используя блютус...
В моем случае я предупредил про такой вариант. Незнаю что из этого выйдет, но будет надеятся - товарищи не поленяться вводить пароль каждый раз.
К слову. В почтовых программах ввод пароля сделан более разумно - он требуется лишь при получении шифрованного сообщения, в отличие от обмена личными сообщениями где его требуют вводить при запуске программы
0
Такая проблема может быть решена всего одним корректным способом - использованием внешних средств аутентификации. В самом простом случае - электронных ключей. В любом случае его придется воткнуть до загрузки.
0
С точки зрения надежности GPG выглядет конечно более привлекательно из-за своей открытости но ИМХО у людей, плохо знакомыми с технологией асимметричного шифрования, которыми и видятся ваши заказчики, доля риска слишком высока за счет человеческого фактора и может свести к нулю все плюсы от его применения, являясь основной уязвимостью системы. Легко смоделировать ситуацию, в которой человек может оказаться без уже настроенной системы, что поставит его перед выбором вести незащищённую переписку или настраивать ее самостоятельно, что в контексте выше сказанного, представляется затруднительным. Можно конечно подготовить портативную версию, например на флешке, но и тут есть вероятность что человек может ее потерять или где-то оставить что сделает возможным создать ее копию. В случае же со Skype, человеческий фактор сводиться практически к нулю (если, конечно, например не сохранять пароли от своего аккаунта на компьютере к которому кто-то еще имеет доступ) и главную опасность будет представлять только то, что сама компания продаст ключи, что, согласитесь, мене вероятно чем совершение ошибки человеком слабо разбирающемся в криптографии.
0
На самом деле я тоже боюсь подобных вещей. Но учитывая достаточно юный возраст (до 30 лет) всех заинтерисванных лиц - я попробовал и рискнул предложить им такой вариант. Отдельно портатил время на разъяснения и примеры. Надеюсь что это окажет свое воздействие.
Возможно через некоторое время стоит оказать консультацию повторно - для повторения. Заодно проверить как используется система.
На самом деле я сильно надеюсь на их разумность в этих вещах. В частности сам факт покупки девайсов на телефоны говорит о их заинтерисованности в непрослушиваемой связи. Быть может и здесь они проявят достаточную внимательность.
Но про скайп я все равно не уверен :) Мало ли кто на них может наехать...
Плюс есть еще терморектальный криптоанализ, разговор о котором вообще отдельный...
Возможно через некоторое время стоит оказать консультацию повторно - для повторения. Заодно проверить как используется система.
На самом деле я сильно надеюсь на их разумность в этих вещах. В частности сам факт покупки девайсов на телефоны говорит о их заинтерисованности в непрослушиваемой связи. Быть может и здесь они проявят достаточную внимательность.
Но про скайп я все равно не уверен :) Мало ли кто на них может наехать...
Плюс есть еще терморектальный криптоанализ, разговор о котором вообще отдельный...
+2
Почему бы не забабахать с этими людьми VPN? И передавать по защищенным каналам любые данные. Тогда не придется размышлять какой трафик приложения шифруется, а какой нет всё будет инкапсулировано и зашифровано.
+1
А как насчет электронной почты и аськи?
0
Уж что-что, а внутренняя почта и мгновенные сообщения в локальной сети (в данном случае виртуальной) всегда нормально поднимались.
0
проблема в том что они выходят за эту сеть уже незашифрованными, если использовать сторонние сервисы
0
А не использовать сторонних серверов. Мейл-сервер иметь в рамках ВПНа, жаббер-сервер тоже никаких проблем. И отпадёт главная проблема, почти неразрешимая — соблюдение пользователями политики безопасности, осознание ими принципов шифрования с открытым ключом, бережное отношение к своему ключу, плюс терморектальные атаки.
+1
остается еще не хранить логи... т.е. по любому винчестеры шифровать надо будет - не всю важную информацию можно не хранить.
а если винчестер шифруется, то тут мы получаем те же самые проблемы.
а если винчестер шифруется, то тут мы получаем те же самые проблемы.
0
Весь винчестер, полагаю, шифровать будет избыточно. Достаточно будет создать файл-контейнер (TrueCrypt, PGP) который будет представим как раздел, при вводе пароля. В нём и хранить секретную информацию. К тому же для его шифрования оптимальным будет использование симметричного алгоритма. Пользователю не забывать пароль, отмонтировать раздел после работы, не допускать вирусы. Против терморектального криптоанализа можно можно создать подставной раздел (TrueCrypt) с не очень секретной информацией, который будет монтироваться при подставном пароле.
0
у pgp как конторы pgp сorporation есть хорошие наборы программ (правда там блин разбираться;)), почти для всего есть и есть такая маленькая изюминка в одной из них - зонирование чтоли, где определяешь зоны шифрования и нельзя из более страшей в младшую кинуть (такое в других вроде не встречал) + их софтом делается всё остальное, кроме авторизации по bluetooth (bt только в pgp endpoint вообще вроде есть но для других целей) для этого придётся смотреть в сторону http://www.rohos.ru/welcome/bluetooth_login.htm (жаль такого варианта нет в dcpp и pgp wholediskencryption, последний ещё на win серверах не работает вроде) о котором на этом сайте как-то упоминалось.
как альтернатива pgp расмотреть софт securstar и securit
как альтернатива pgp расмотреть софт securstar и securit
0
Проблема в том, что если верить слухам о pgp - они встраивают в свои алгоритмы пасхальные яица вроде секретных ключей для соответсвующих служб. Плюс оно достаточно дорогое - 420 евров в расчете на три компа, если я правильно понимаю их сайт.
Но да. Согласен - оно не в пример симпатичнее.
Но да. Согласен - оно не в пример симпатичнее.
0
к IM-клиентам тоже есть шифро-плагины, например GnuPG к Миранде:
http://addons.miranda-im.org/details.php…
http://addons.miranda-im.org/details.php…
+2
+1, Я для миранды юзаю OTR ( http://addons.miranda-im.org/details.php… )
Кстати OTR ещё поддерживает Pidgin под *nix ( http://www.cypherpunks.ca/otr/ )
Кстати OTR ещё поддерживает Pidgin под *nix ( http://www.cypherpunks.ca/otr/ )
+1
слабенько.
берем openVPN и сервачек за бугром. регаем с нового IP чистую асю пускаем ее через 2 программы SimpPro и btwc.
У первой алгоритм ElGamal (http://ru.wikipedia.org/wiki/ElGamal), у второй можно выбрать метод криптования "IDEA+Tea+Square+Mars+Safer".
Все. на ближайшие лет 5-10 ваша перевиска в безопасности.
зы. главный фактор - не храните логи ^_^
берем openVPN и сервачек за бугром. регаем с нового IP чистую асю пускаем ее через 2 программы SimpPro и btwc.
У первой алгоритм ElGamal (http://ru.wikipedia.org/wiki/ElGamal), у второй можно выбрать метод криптования "IDEA+Tea+Square+Mars+Safer".
Все. на ближайшие лет 5-10 ваша перевиска в безопасности.
зы. главный фактор - не храните логи ^_^
+1
а я храню логи в каталоге под EFS...
0
А зачем такая каша? Зачем алгоритм ElGamal, и еще IDEA, Tea, Square(?), Mars(?), Safer(?)
0
Алгоритмы со структурой "квадрат" (Square). http://www.ixbt.com/soft/alg-encryption.shtml
Mars http://www.ixbt.com/soft/alg-encryption-aes-2.shtml
Safer http://book.itep.ru/6/safr_648.htm
>А зачем такая каша?
А я хочу спать спокойно
Mars http://www.ixbt.com/soft/alg-encryption-aes-2.shtml
Safer http://book.itep.ru/6/safr_648.htm
>А зачем такая каша?
А я хочу спать спокойно
0
Я вам так скажу. Если хотите спать спокойно, почитайте какую нибудь книгу полезную на эту тему, и не страдайте фигней :)
Все эти теи, сквары и прочее - фигня. Рейндаль как БСШ, ECDH как kep, EC-KCDSA или ECDSA как ЭЦП. И живите спокойно. Если вы не параноик - AES, DSA, ECDH. Все.
В общем и целом - одного VPN'а хватит. Ну и что то придумать с IM
Все эти теи, сквары и прочее - фигня. Рейндаль как БСШ, ECDH как kep, EC-KCDSA или ECDSA как ЭЦП. И живите спокойно. Если вы не параноик - AES, DSA, ECDH. Все.
В общем и целом - одного VPN'а хватит. Ну и что то придумать с IM
0
мне кажется, что лучше использовать IM где это все уже встроенно и легко поддается контролю. Думаю, Miranda + GnuPG, либо свой Jabber сервер + SSL/TLS, либо и то и другое - могли бы быть компромиссным вариантом между удобством для пользователей и удобством внедрения. Skype особого доверия не внушает, если честно. А почта + GnuPG - для рядового пользователя просто неудобно.
Я использую вариант с Miranda IM (всем удобен интерфейс как в аське) плюс ejabberd плюс SSL без GnuPG. несмотря на то, что требований обеспечить защищенный обмен сообщений не было, такая схема уже обеспечивает минимальный уровень безопасности и хорошо себя зарекомендовала как со стороны администрирования так и со стороны удобства использования.
Я использую вариант с Miranda IM (всем удобен интерфейс как в аське) плюс ejabberd плюс SSL без GnuPG. несмотря на то, что требований обеспечить защищенный обмен сообщений не было, такая схема уже обеспечивает минимальный уровень безопасности и хорошо себя зарекомендовала как со стороны администрирования так и со стороны удобства использования.
0
На тему жаббера я думаю напишу еще одну часть. Но в целом оно так и есть :) Оно хорошо как минимум тем, что не позволяет большинству сообщений покинуть офисную сеть, что уже усложняет прослушку. А использование ssl+gpg позволяет надеяться что перехваченные сообщения будут дешифрованы лишь через n*10 лет
0
на десктопа через n*, а на спе.тенике 1/n ;)
0
0
ну просто всегда найдется студент или аспиратн великого ученого (или сам ученый), который найдет недостаток в алгоритме криптования. все пошумят и забудут, а спецслужбы возьмут на карандаш.
потом найдется китаец, который собрав 50 "плейстейшенов" и 5 "денди" в одну систему сумеет на порядки ускорить брут контейнеров.
потом это объединят и вуаля. лучше работать с несколькими избыточными алгоритмами и спать спокойно
потом найдется китаец, который собрав 50 "плейстейшенов" и 5 "денди" в одну систему сумеет на порядки ускорить брут контейнеров.
потом это объединят и вуаля. лучше работать с несколькими избыточными алгоритмами и спать спокойно
0
Это что за спецтехника такая? Паяльник чтоли? )
+1
SSL в джаббере вообще зачастую - просто для галочки. О какой безопасности может идти речь, если невозможно достоверно проверить сертификат сервера? Он же ведь не заверен - денег нет )))
0
Можно написать на бумажке.
0
Что на бумажке написать? (=
0
Fingerprint, вестимо. Для своего собственного CA-authority.
Но вообще разработать достаточно удобную и защищённую схему непросто, это правда.
Но вообще разработать достаточно удобную и защищённую схему непросто, это правда.
+2
да, он не обеспечивает подтверждение того, что сервер именно тот, что нужен. Но при этом он шифрует траффик.
В случае подмены сервера все равно остается pgp
ЗЫ сертификат можно добавить в доверенные даже если нету денег :)
В случае подмены сервера все равно остается pgp
ЗЫ сертификат можно добавить в доверенные даже если нету денег :)
0
Ассиметрическая криптография - подлая штука. Если использовать ее корпоративно, необходимо делать все как положено, в противном случае что она есть, что ее нет - все равно. Нужен центр сертификации, и вообще PKI. Эти игры с GPG и PGP могут кончится плохо.
0
И заканчивается чаще всего потерей данных. Ни вражина, но и сам владелец данных уже не получают... :)
Для работы в среде PKI нужна усидчивость и спокойствие, чего многим не хватает. Плюс аскетичный интерфейс MS'а и сторонних CSP людей стращает, им подавай глянцевые интерфейсы с крупной кнопкой "ВКЛЮЧИТЬ 100% БЕЗОПАСНОСТЬ!".
Для работы в среде PKI нужна усидчивость и спокойствие, чего многим не хватает. Плюс аскетичный интерфейс MS'а и сторонних CSP людей стращает, им подавай глянцевые интерфейсы с крупной кнопкой "ВКЛЮЧИТЬ 100% БЕЗОПАСНОСТЬ!".
0
Моя рабочая связка для email - gnupg/kGpg/kmail
Пользуюсь уже несколько лет. Устраивает вполне.
Пользуюсь уже несколько лет. Устраивает вполне.
0
UFO just landed and posted this here
Sign up to leave a comment.
Шифрование для пользователей. Часть первая.