OpenPGP-модуль для Gmail

[valeg]

Ждем модуль под firefox

[kekekeks]

FireGPG сделан несколько лет назад же.

[IIIEB4YK]

И полтора года как заброшен.

[matiouchkine]

А с тех пор многое поменялось в алгоритмах цифровых подписи/шифрования?

[IIIEB4YK]

С тех пор поменялась версия браузера.

[matiouchkine]

grepular.com/FireGPG_on_Firefox_5 — сам не проверял, но мой опыт переписывания аддонов под FF4+ говорит, что это работа на два часа.

[IIIEB4YK]

Окститесь, ибо грядёт на носу Firefox 9.
Работа может быть сколь угодно простой, но начальный тезис был в том, что расширения нет, и именно его я подтверждаю (в этом также легко убедиться, поискав в каталоге расширений).

[afiskon]

>> С тех пор поменялась версия браузера.

Раза 3-4 за прошедший год, если не ошибаюсь. Но это, безусловно, вина разработчиков FireGPG, что в Mozilla не беспокоятся об обратной совместимости.

[IIIEB4YK]

А где я кого-то обвинял? Я констатировал факт.

[torkve]

Сам FireGPG-то работает, а вот поддержку GMail они дропнули со словами, что их задолбалось поддерживать постоянные изменения в гмыле, из-за которых плагин ломался.

[matiouchkine]

А. Ой. Пардон, я не очень в теме.

Мне всегда казалось, что если есть нужда в шифровании/подписи и право на установку чего-нибудь на компьютер — проще тундербёрд какой взгромоздить, сейчас и gMail и Я.Почта отлично поддерживают IMAP.

[matiouchkine]

Кстати, спасибо за прекрасную опечатку ;-)

Я теперь всегда так буду шефу говорить, если он со своим «до утра надо» подвалит: «Простите, нас задолбалось и уходит домой».

[atd]

Ох… Иногда иллюзия защищённости хуже отсутствия защищенности.

[atd]

P.S.: для тех, кто не понял и минусует: я не против OpenPGP и шифрования почты как такового. Я против реализации шифрующих механизмов в настолько ненадёжном (с точки зрения доверия) рантайме, как js в браузере.

Ведь никто не гарантирует, что базовые методы рантайма не будут подменены такими, которые просто вышлют ваши приватные ключи в неизвестном направлении.

[TrueDrago]

Полностью с вами согласен, я таким вещам свои данные бы не доверил.

[Ivanhoe]

О чем вообще можно говорить, когда у вас на машине что-то подменено?

[atd]

js-рантайм можно подменить не только на вашей машине, но и на сайте, на котором будет выполняться этот плагин

[Ivanhoe]

Можно подменить набор функций, которые использует Gmail. Но разве упомянутый плагин как-то на них завязан?

[atd]

например, на конструктор Array().
Подменяем его, смотрим на аргументы, фильтруем ненужное, и, вуаля, у нас есть ваш приватный ключ.

[Ivanhoe]

> например, на конструктор Array()
Но ведь это же часть стандартной библиотеки JS? Разве можно его просто взять и подменить, не влезая в JS-движок?
Я просто с JS не знаком близко.

[atd]

да, можно

[Zend]

Даже несмотря на весь скепсис относительно безопасности, сама реализация довольна удобна. Надеемся, что подобные вещи будут развиваться.

[arty]

«без установки дополнительного софта»
«в качестве расширения для Google Chrome»
ага-ага

[vibornoff]

JS для работы с приватными ключами? Ну нафиг.
Есть же WebPG для Chrome. Он общается с системным gpg-agent'ом через сокет. Таким образом, все криптографические преобразования и ввод пароля для разблокировки ключей происходят за пределами браузера.

[mihmig]

Стоп! При написании письма черновик постоянно сохраняется открытым текстом?

[yurnov]

плагин открывает новую вкладку для подготовки писька, оттуда автосохранения нет

[soko1]

Удобно, но не разу не безопасно. Браузер — одна из самых дырявых программ и доверять ей доступ к своему закрытому PGP-ключу как минимум глупо. Хотя если браузер запускать не под отдельным пользователем (или не в чруте), то разницы по сути никакой.