Adobe случайно опубликовала в блоге свой секретный ключ PGP

[Hellsy22]

Вот это доверие сотрудникам, вот это я понимаю! Рядовой работник саппорта имеет прямой доступ к закрытой части ключа. Интересно, а рутовые пароли от серверов им тоже выдают, ну, на всякий случай?

[EvilMushroom]

А зачем их выдавать? Они их на стикерах пишут и по офису развешивают.

[avk_vod]

Вы что! Это не безопасно. Написан на желтом листочке и приклеен на монитор.

[aszhitarev]

Под клавиатурой же!

[agugnin]

«Да я вас прошу, откуда взолщик догадается что это пароль?..» (С) служительница бухгалтерии

[x67]

Так это и есть стикеры) можно еще просто ставить везде одинаковый пароль, тогда и запоминать не надо будет) забыл пароль к своей корпоративной почте — спроси у соседа!

[alix_ginger]

Причем пароль — «123456»

[ReakTiVe-007]

слишком сложный, там 111111

[tUUtiKKi13]

Если закрытая часть ключа есть у саппорта – ключ уже скомпрометирован.

[ONEGiN]

«рутовые пароли» это уже небезопасно.

[Kobalt_x]

Да, новым уровнем будут SSH ключи для пользователей которым разрешен sudo у саппорта или тупо ssh ключ для рутаиу саппорта

[perfect_genius]

[AlexanderS]

Не отождествляейте индивида на картинке с тем, кто выложил приватный ключ. Сучок, когда пришло время, всё правильно сделал! )

[perfect_genius]

Проблема не в сотруднике, а лёгкости возникновения чрезвычайной ошибки.

[AlexanderS]

Да, это, по сути, вопросы ИБ.

[DnD_designer]

Вот только вчера дружно вопрошали: «Нафига тут вторая кнопка-то в такой лёгкой доступности?!?»

[TheShock]

Очевидно ведь — для этого замечательного момента в фильме то!

[AlexanderS]

Ну а чего вы хотите от генно-модифицированного енота: как умел — так и сделал! В соответствии со своей логикой ;)

[Dioxin]

Зачем же так грубо про деревце то? :)

[TheShock]

Я тоже сперва прочитал слово как «инвалид»

[mSnus]

Я есть Рут!

[werton]

Я есть GRUB!

[antonksa]

Спасибо, поржал от души!

[Taciturn]

А где именно Adobe использует этот ключ? Посмотрел письма приходящие от них — никакого PGP.

[navion]

Чтобы читать уведомления об уязвимостях.

[Intenditore]

Ну когда наберёшь себе полный офис индусов ещё и не такое будет :D

[igoriok]

Шифруют как бы открытым ключём. Иначе какой смысл. Закрытый используют для отпечатка/подписи. Зная закрытый, можно расшифровать все письма к Adobe.

[unxed]

0-day может быть и в письмах к Эдоб.

Вот если на днях уволится их сотрудник, админивший почтовые сервера — флеш, пожалуй, умрет несколько раньше заявленного срока.

[SargeT]

əˈdəʊbi
www.macmillandictionary.com/pronunciation/british/adobe
Простите занудство, просто почему-то весь пост-совок упорно зовёт Эдоуби Эдоуб/Эдоб/Адоб. Откуда это взялось, и почему распространилось даже на тех, у кого хороший английский – любопытно.

[vlivyur]

Потому что произносится не по правилам, а массовый доступ к звукам появился после букв. Если б оно писалось как Adobi, то может и звали б его как положено (но и то «o» стала б по-другому звучать).

[SargeT]

Ну, тогда уж Adobie/Adoby следовало бы писать, чтобы читалось как эдоуби. Adobi это вообще мало на что похоже.
Но в любом случае остаются открытыми два вопроса:

• Почему же игнорируя по правилам последнюю букву, «правильные» ставят неправильно ударение, не на первую гласную? Уж или всё по правилам, или «трусы надень».
• Почему только на территории пост-совка читают эдоб, а, например, испанцы, бельгийцы и шведы (других не-американцев не слышал) озвучивают верно. А, ну может ещё в Азии или Африке проблемы с прочтением, ими мне даже не приходило в голову интересоваться, они в английский трэшовее наших пятиклассников.

[vlivyur]

Да, думал про Adoby, написал не правильно. А с чего бы на первую-то гласную, когда по транскрипции ударение на «o»?

[SargeT]

Так вот в том и штука, что если читать по транскрипции, то будет Эдоуб. на первую гласную ударение. ЭЭдоуб. А читают все как эдОуб, игнорируя правило первой гласной, но соблюдая правило затухания последней. Либо лыжи не едут, либо я что-то пропустил и туплю. Где-то я двойку получил по инглишу?

[vlivyur]

В английской транскрипции знак ударения ставится перед ударным слогом.

[SargeT]

Я не то сказал, что имел ввиду в первом предложении последнего коммента. Если читать по транскрипцииправилам языка, то нужно читать Эдоуб. Если читать по транскрипции, то эдОуби. А люди почему-то последнюю букву выкидывают по правилам, а ударение ставят по транскрипции. Эта логика мне и непонятна.

[vlivyur]

Воспринимают как приставку :)
Мне, как неанглоязычному, проще поставить ударение на o, тем более если читать как открытый слог и что есть всякие above/adapt, где тоже не на первом слоге ударение.

[SargeT]

О, вот оно что, логично. Действительно, похоже на приставку. Так я на это слово не смотрел, наверно из-за того что оно всегда пишется с заглавной буквы, и таким образом лично у меня «А» с приставкой не ассоциируется. Спасибо.

[Dm3Ch]

Я могу ошибаться. Но насколько я знаю данные шифруются закрытым ключом, а расшифровывается открытым.

[khrundel]

Вы ошибаетесь. Открытый и закрытый ключ, с точки зрения алгоритма шифрования RSA ничем не отличаются, то что зашифровано открытым расшифровывается закрытым и наоборот. Открытый ключ доступен всем, поэтому все могут послать письмо адоубу, так что только адоуб может расшифровать, либо все могут расшифровать хэш документа, зашифрованный закрытым ключом, тем самым убедиться, что подпись создана адоубом.

[Dreyk]

но можно ведь и от имени Адоба слать письма

[rPman]

почтовые сервера через которые велась переписка, а точнее их владельцам и администраторам доступны эти письма.

[mirsev]

Сразу страшно не будет: чтобы воспользоваться закрытым ключом, ещё passphrase надо знать.

[Tangeman]

Ну, чтобы «кто угодно» нужно ещё знать пароль для расшифровки ключа — просто ради интереса я импортировал его в gpg — и — как и ожидал — был спрошен на тему пароля.

Разумеется, это не делает инцидент менее значительным, но если всё же пароль достаточно сложный — то вряд-ли «кто угодно» будет в состоянии им воспользоваться.

[x67]

Ждем публикации пароля в блоге)

[mistergrim]

Ну, по крайней мере, страус не засунул голову в песок, сделав удивлённую мину и сказав, что всё нормально, а

К данному моменту группа реагирования на инциденты Adobe сгенерировала новую пару ключей и выложила новый открытый ключ.

Хотя бы.

[mickvav]

А что они могли ещё по этому поводу сделать, о чем не стыдно рассказать публично?

[romxx]

Зато, уверен, в резюме у этого сотрудника порядок и «полный фарш», и все тестовые задания на собеседовании он сделал.
«Водить не купил»(с).

[habarov]

Товарищи, мне вот пришло не так давно письмо от одной организации, и внутри файла внизу был открытый ключ написан. Я действительно плохо понимаю в шифровании, поэтому мой вопрос такой. Какой смысл имеет указывать этот ключ, если файл и так не зашифрован? Если для подтверждения подлинности отправителя, то как мне, обычному человеку, узнать, что это действительно цифровая подпись именно этой организации, а не случайный набор цифр? Подскажите, пожалуйста, где почитать?

[Busla]

Открытый ключ рассылают корреспондентам, чтобы можно было послать ответ в зашифрованном виде.

[navion]

Но как проверить, что ключ является подлинным, а не был заменён по пути?

[vedenin1980]

Видимо, зайти на блог Adobe по https и проверить совпадение с открытым ключом там.

[rPman]

в письме должна быть для этого сигнатура — цифровая подпись содержимого (без этого ключа) сделанная приватным ключем того кто написал.

вы должны заранее были озаботиться тем, чтобы со 100% гарантией получить публичный ключ от человека с кем общаетесь, например личная встреча, любой цифровой носитель или даже на бумаге.

[imwode]

А что мешает вставить открытый ключ в тело письма и подписать потом письмо вместе с ключом? Замена содержимого приведет к потере целостности и нарушению подписи.

[a5b]

Если открытый ключ получать вместе с письмом, то тогда заменят содержимое текста письма, укажут там другой открытый ключ и успешно подпишут им новое сообщение. Чтобы ключ не подменили, его (или его отпечаток) надо надежно передать или широко опубликовать. Например, через key server (https://pgp.mit.edu/), постоянно указывая в письмах в списки рассылок, или подписав сертификат открытого ключа в одном из множества центров сертификации (как это делают в https — корневые ключи предустановлены с ОС и Firefox). Примеры PSIRT ключей

• публикация на сайте сторонней организации https://www.first.org/members/teams/cisco_psirt и на сервере pgp.mit.edu
• публикация на своем сайте с https: https://security-center.intel.com/PGPPublicKey.aspx вместе с архивом сертификатов прошлых лет: https://security-center.intel.com/PGPPublicKeyArchive.aspx

Многие CERT публикуют свои ключи на https://www.first.org/members/teams/

[Busla]

Можно, в частности, положиться на DKIM.

[ltalash1]

Не думаю, что это случайность, сотрудник, который имеет работу с системами шифровки данных, должен хорошо в этом разбираться. Думаю, что теперь Adobe будет более cерьёзно ставиться к работе сотрудников.