А если проблема в ментальности… ну, тогда тем более я правильно что пользуюсь услугами своих же регистраторов :-), хоть и грабителей (судя по комментариям людей тут, хотя лично я с этим не сталкивался, но у меня и доменов то несколько штук и на лицевом счёте никогда лишнего нет и даже DNS сервера свои использую), но зато не теряю домены :-)
Моим же первым (ну может вторым) письмом в поддержку был вопрос, собственно, как мне отправить документы то безопасно то них? Не, безусловно, если бы я не посчитал это спамом, начал бы переписку с поддержкой и выложил бы документы, то само собой блокировок доменов бы не было. Но проблема в том, что я никогда бы не мог не посчитать подобное письмо (и его отсутствие в личном кабинете) не спамом. Так что чего уж мечтать то…
Как я могу настроить или повлиять на использование TLS между SMTP серверами? Это невозможно. От клиента (MUA) до сервера — могу. Надеятся (только надеяться) что от сервера до gandi SMTP будет только один hop — могу. А в общем случае я никак не управляю и не знаю будет ли TLS в SMTP использован.
Если ссылка будет вести на gandi.net, тот самый, на который я сам всегда логинился, то для меня этого будет достаточно. «Похожие» ссылки (то бишь фишинг)… ну об этом вроде бы всех пользователей устали предупреждать что это такое.
Скорее вы правы в том, что сколько PGP/DKIM/whatever не суй, но простому пользователю это будет всё параллельно. К сожалению. И наверное тоже может быть разумно не тратить время (зарплату технарей) на поддержку всей этой криптоинфраструктуры, ибо ради небольшого меньшинства не стоит оно того. Ну что ж… именной по этой причине, значит, Gandi лично мне и не подошёл и я был «отключен» от мира на несколько дней (благо что всего несколько дней! многие MTA наверное даже не успели удалить у себя из очередей письма недоходившие до меня).
«Ну в вашем случае вы бы и остальные проигнорировали» — точно уж не скажу, как я бы себя повёл. Но на самом деле, мне кажется, решающим было только то, что оно отсутствовало в сообщениях в личном кабинете. Уж или не сували бы туда даже новостные сообщения или сували бы всё. Просто когда уж даже реклама там логируется в сообщениях в кабинете, то как-то не ожидаешь что важнейшие сообщения туда не попадут.
И даже если всё же предположить что gandi ну вот так вот решила принимать документы (кто хочет, тот отвечает на email с PDF-кой, а кто-то другой пускай тикеты в support пишет и к ним прикладывает эти PDF-ки), предположить что она о возможных документа предупреждала (ну кроме сообщений неотличимых от спама), то типа она «чиста» и это я плохо читаю T&C и ленюсь переспрашивать их поддержку об их же письмах, типа я виноват, а они нет. Но есть то, что делается по совести и хорошо, а есть то что делается «на отвали», «и так сойдёт». Формально работа сделана, но качество разное. И претензия к Gandi именно к этичности и грамотности их поступков/решений. С одними компаниями тратить кучу нервов и времени, а с другими нет. Тут вот люди и выбирают.
На тот момент я жил с родителями и конкретно на меня (чтобы моё имя где-нибудь упоминалось) ничего не приходило. И на тот момент (2017-ый год) я не уверен что был зарегистрирован там. Регистрация — время идущее на дни. Получние справки (и всё равно вопрос приняли бы они её?) до 3-х дней, насколько вижу в описании. А у меня по сути полностью отключена связь с внешним миром — домены заблокированы, почта не ходит и мне критично как можно скорее всё сделать работоспособным (домены «разблокировать»). Задача решаема, но в огромные сроки.
Тоже согласен что в T&C это, допустим (лень открывать сейчас), было прописано. Но, чисто по человечески, почему нельзя документы было сразу спросить? Почему надо было ждать годы, а потом неотличимо от спама их просить (посмотрев письмо сегодня ещё раз, я не вижу ничего чтобы говорило что это нельзя автоматически сгенерировать спам-роботом) меня их предоставить, потом блокировать домены, заставлять меня с ними разбираться через временные почтовые ящики (email)? Допустим, судя по комментариям здесь и на hacker news, многих вообще не спрашивают о документах и поэтому им нет повода всех подряд предоставлять документы. Но письмо то с ссылкой на какой-нибудь TLS (о PGP и не прошу уж) можно было бы предоставить? Или хотя бы какую-нибудь информацию известную только им включить в письмо (а не идентификатор который публично прописан в whois)? Или, раз уж новостные письма (реклама и прочее) видны в личном кабинете, то почему не сделать и этот abuse report видимым и абсолютно никаких проблем с его аутентификацией?
В РФ все документы сразу спрашивали. Никаких трений, никаких неожиданностей, никаких непониманий о прописке и отсутствия почты (обычной) на моё имя, никаикх блокировок домена, писем которые не отличить от спама.
Subject? Ну вы серьёзно по subject-у собираетесь оценивать легитимность письма или вы спам сообщения не видели как делаются? В теле написано чтобы я прислал сканы персональных документов. Провайдер почты — это я сам. Видно что подключение было с их IP. Подменить это всё можно (на сетевом уровне), но это уже целенаправленная атака, которую безусловно спамеры для меня делать не будут. Но сколько случаев когда просто из сетей, которые ломают, по неаккуратности не закрывают/whatever, вылезает спам, с легитимных IP-адресов. Уж извините, но аутентификация без криптографии невозможна во всех этих случаях. Достаточно ссылки на https тикет в их RT.
«достаточно просто зайти в портал и открыть тикет с вопросом» — я убеждён что серьёзная техническая компания такой шаг заставлять пользователя не может (если забыть про отправку plaintext-ом документов в письме). Это не укладывается в голове. Но да, это буквально единственный шаг который можно было бы сделать. Но даже если бы домены мои и не блокировали, я бы с gandi распрощался, видя как они заставляют аутентифицировать себя своему клиенту.
Согласен про «may». Но получается, что беспечные пользователи отправят email-ом, а не такие беспечные будут общаться с поддержкой, открывая тикеты и прилагая там свои документы и тратя на это время. Они это не могут автоматизировать и заставить всех просто сразу же (после получения письма) слать документы через HTTPS личный кабинет? Это просто несерьёзно.
Ещё бы я добавил что предупреждения о важных вещах, типа протухания доменов/сертификатов, обычно шлют не один раз. Например за месяц, потом за неделю, но предупредят что achtung! будьте внимательнее и не забудьте оплатить/продлить/whatever. В случае с abuse-ом одно письмо предупреждение и всё. Но это уже из серии придирок.
Ну вот Gandi упорно просили предоставить сканы каких-нибудь писем/посылок которые бы приходили на мой адрес, чтобы типа было видно что почтовая корреспонденция на этот адрес приходит, да ещё чтобы это было в течении последнего месяца (вроде). А что делать если мне реально в течении года никакой почты не приходит, я ничего на дом не заказываю, итд? А на страничку в паспорте РФ о прописке им пофиг.
Я верю что требования документов это не Gandi-отсебятина. И претензия не к этому требованию, а к тому, как эти документы у меня спросили (неотличимо от спама), заблокировали домены (перестали resolve-ится), упорно не верили что я ничего на дом (посылки) не заказываю.
То что написано в законах меня не очень волнует, ибо написано многое, а вот информационная безопасность и особенно приватность пользователей по всему миру страдает. Давайте без сказок о том, что «мы приняли GDPR» и значит всё теперь хорошо с безопасностью данных пользователей. И я не то чтобы волнуюсь что Gandi это куда-то ещё сольёт — мне просто не нравится сам факт что чужая страна просит/смотрит в личные документы касающиеся только моей страны, её внутренней кухни. Просто когда я там заводил домены, то меня никто не предупреждал что тебе придётся выдавать свои персональные данные.
Мои кириллические документы — для них это проблема. Я считаю что мне повезло. Уж других документов у меня нет (в том числе и заграничного паспорта, где есть латиница).
Заголовки показывают что участвовали сервера Gandi, но эта информация подделывается. Номер тикета какого есть, но… где мне его посмотреть? Единственный идентификатор связанный действительно со мной это «SM10328-GANDI», присутствующий и в whois БД (откуда спамеры много чего берут). То есть, мне приходит письмо, где данные только из whois, в котором ни DKIM, ни PGP, но они просят прислать мои документы по почте в PDF. У меня и сейчас не возникнет мысли что серьёзная компания такие серьёзные документы способна просить отправить в открытом виде (без шифрования) по почте. Уж хотя бы через HTTPS веб-интерфейс к какому-нибудь support ticket-у их приложить предложили. С моей точки зрения, письмо, где ни капли криптографии, никакой информации которую бы я смог узнать/получить через TLS-соединение (из их RT например), никакой информации известной только им, а не всем (whois) и с просьбой важные документы отправить в открытом виде по email — это на 100% спам. Или, предполагается (с их точки зрения), что я должен им написать письмо с вопросом «это точно вы прислали такое и хотите мои документы по email?». Грамотная серьёзная компания не станет так делать, это не серьёзно. Но Gandi сделали. Более того, насколько помню, чуть ли даже не новостные письма от них отображались в личном кабинете… а письмо про abuse отсутствовало. Ещё одна странность именно с этим подобным письмом (как технарь, сейчас, я понимаю что RT система у них наверное как-то отвязана от всего остального, от остальных писем и поэтому оно не появлялось в личном кабинете).
Это всё я им, кстати, высказал и написал, чтобы они мне намекнули как я бы мог аутентифицировать их. Проигнорировали (our technical department will look, итд). А дальше растянувшееся на несколько дней объяснение что такое прописка/регистрация, наши паспорта и прочее, оно же ведь ещё и на кириллице в сканах.
А я вот только что увидел news.ycombinator.com/item?id=22001822 новость и там тоже кто-то говорит что у него 34 раза за 12 мес. просили идентификацию, а у кого-то вообще ни разу за много лет. Так что… кому как повезёт с ними :-)
А я вот после habr.com/ru/post/501860/#comment_21613898 как-раз наоборот зарёкся пользоваться зарубежными, ибо если какой abuse report, то как мне потом чего доказывать и показывать иностранным компаниям? Во-первых, мне не хочется свои персональные данные им показывать, во-вторых, я задолбался объяснять фанцузам что такое прописка в паспорте гражданина РФ и что это типа места жительства. Если какие проблемы, то есть практический ненулевой риск потерять домены (а если там почта, которую все знают?).
С российсскими компаниями хотя бы есть возможность взаимодействия, ибо они «рядом».
Честно говоря, уже и не помню. Посмотреть не могу, так как в тот же день, как мне вернули домены/контроль, я от них свалил. Но если бы запрос был в админке, то там вроде по другому бы выглядели письма, как минимум с какими-нибудь идентификаторами тикетов. Их то я ни разу глазами не пропускал мимо. Или (!) же если бы там просто было упоминание что у меня тикет новый есть, то я хотя бы был бы вынужден проверить его в админке и увидел бы и факт HTTPS сессии не давал бы сомнений что действительно тикет от них.
Точно не помню, но у них я был, мне кажется, не один год, пока не случилась эта оказия.
Когда-то тоже их использовал, но один раз они прислали письмо с просьбой предоставить мои идентификационные данные (скан документов), так как кто-то на мой домен написал какой-то abuse report. При этом, в самом письме нет ни подписи, ни единого слова, хотя бы ID моих тикетов/контрактов, которые бы могли намекать что письмо действительно от gandi, а не спаммера.
Прошло время (то ли неделя, то ли две) и мои домены просто отключили молча. В DNS/whois они перестали resolve-ится полностью, как-будто и не было. Три дня я был полностью без связи с миром по сути, так как не было email-а из-за отсутствующих доменов. Выслал им скан паспорта. Объяснял что такое «регистрация»/«прописка» в России, чтобы подтвердить данные об адресе в whois. В итоге домены они назад включили.
Но письмо, *абсолютно* не отличимое от спама — я считаю полным сраньём с их стороны. И я так и не узнал что был за abuse report и мне не пояснили как я мог догадаться что их письмо было не спамом, ибо там абсолютный ноль в информации показывающей ИХ знание обо мне, хотя бы логин какой был бы в нём (PGP подпись уж не прошу).
Когда-то тоже их использовал, но ушёл, так как если на компьютере с которого я захожу в личный кабинет, засветился Tor-relay, то доступ они блокируют с этого IPv4 адреса. Причём то, что это «relay», а не выходная нода, им плевать, не смотря на то, что я же всё равно должен вводить login/пароль для авторизации.
* Представляет ровно один бинарник (после компиляции) на Go + Git для хранения самих данных блога. Хостить можно где угодно, требуя минимум телодвижений. Конфиг ровно один Hjson файл. Для комментариев ещё один бинарник
* SGBlog даёт возможность отдельно дать ссылку на визитку
* «Минимум телодвижений и интерфейса — в идеале интерфейса CMS вообще не должно быть видно, админская панель не нужна, посты должны редактироваться, создаваться и просматриваться в одном месте»: SGBlog идеально этому удовлетворяет, так как CMS интерфейса нет вообще, никакой панели, только ваш же удобный shell+git+редактор (Vim, Emacs, whatever)
* «Полноценный WYSIWYG редактор» — это зависит от вашего редактора
* «Нормальные комментарии — возможность оставлять анонимные комментарии и авторизовываться через максимум соц. сетей для персонифицированных комментариев»: SGBlog принимает комментарии в виде email сообщений, где сам автор (сам email адрес) будет скрыт. Соцсети, правда, не поддерживает
* «Минималистичный внешний вид — я не хочу заниматься версткой и темами, подходящее оформление должно быть из коробки» — соблюдено
Плюс он может быть также одновременно и Gopher сервером для создания, в том числе, phlog-а!
А ещё лучше использовать GCM режим шифрования (crypto/cipher.NewGCM) и не париться с padding-ом вообще: и код проще, и только шифрование используется, и распараллеливается. А самое главное: GCM автоматически даст аутентификацию сообщений. Шифрование без аутентификации… мягко говоря, недопустимо.
habr.com/ru/post/452200 — вот тут есть пример гораздо более безопасного решения, но на Python. Из сложностей: ASN.1 вместо простой сериализации как у вас (простота это тоже хорошо). И просто для справки: если хочется ГОСТ криптографию, то вот для Go есть GoGOST: gogost.cypherpunks.ru
Спасибо за bugreport! На этой неделе сделаю релиз с этим исправлением. Проверить под Windows не смогу (нет нигде), но хотя бы не будет падать из-за import-ов.
Если ссылка будет вести на gandi.net, тот самый, на который я сам всегда логинился, то для меня этого будет достаточно. «Похожие» ссылки (то бишь фишинг)… ну об этом вроде бы всех пользователей устали предупреждать что это такое.
Скорее вы правы в том, что сколько PGP/DKIM/whatever не суй, но простому пользователю это будет всё параллельно. К сожалению. И наверное тоже может быть разумно не тратить время (зарплату технарей) на поддержку всей этой криптоинфраструктуры, ибо ради небольшого меньшинства не стоит оно того. Ну что ж… именной по этой причине, значит, Gandi лично мне и не подошёл и я был «отключен» от мира на несколько дней (благо что всего несколько дней! многие MTA наверное даже не успели удалить у себя из очередей письма недоходившие до меня).
«Ну в вашем случае вы бы и остальные проигнорировали» — точно уж не скажу, как я бы себя повёл. Но на самом деле, мне кажется, решающим было только то, что оно отсутствовало в сообщениях в личном кабинете. Уж или не сували бы туда даже новостные сообщения или сували бы всё. Просто когда уж даже реклама там логируется в сообщениях в кабинете, то как-то не ожидаешь что важнейшие сообщения туда не попадут.
Тоже согласен что в T&C это, допустим (лень открывать сейчас), было прописано. Но, чисто по человечески, почему нельзя документы было сразу спросить? Почему надо было ждать годы, а потом неотличимо от спама их просить (посмотрев письмо сегодня ещё раз, я не вижу ничего чтобы говорило что это нельзя автоматически сгенерировать спам-роботом) меня их предоставить, потом блокировать домены, заставлять меня с ними разбираться через временные почтовые ящики (email)? Допустим, судя по комментариям здесь и на hacker news, многих вообще не спрашивают о документах и поэтому им нет повода всех подряд предоставлять документы. Но письмо то с ссылкой на какой-нибудь TLS (о PGP и не прошу уж) можно было бы предоставить? Или хотя бы какую-нибудь информацию известную только им включить в письмо (а не идентификатор который публично прописан в whois)? Или, раз уж новостные письма (реклама и прочее) видны в личном кабинете, то почему не сделать и этот abuse report видимым и абсолютно никаких проблем с его аутентификацией?
В РФ все документы сразу спрашивали. Никаких трений, никаких неожиданностей, никаких непониманий о прописке и отсутствия почты (обычной) на моё имя, никаикх блокировок домена, писем которые не отличить от спама.
«достаточно просто зайти в портал и открыть тикет с вопросом» — я убеждён что серьёзная техническая компания такой шаг заставлять пользователя не может (если забыть про отправку plaintext-ом документов в письме). Это не укладывается в голове. Но да, это буквально единственный шаг который можно было бы сделать. Но даже если бы домены мои и не блокировали, я бы с gandi распрощался, видя как они заставляют аутентифицировать себя своему клиенту.
Согласен про «may». Но получается, что беспечные пользователи отправят email-ом, а не такие беспечные будут общаться с поддержкой, открывая тикеты и прилагая там свои документы и тратя на это время. Они это не могут автоматизировать и заставить всех просто сразу же (после получения письма) слать документы через HTTPS личный кабинет? Это просто несерьёзно.
Ещё бы я добавил что предупреждения о важных вещах, типа протухания доменов/сертификатов, обычно шлют не один раз. Например за месяц, потом за неделю, но предупредят что achtung! будьте внимательнее и не забудьте оплатить/продлить/whatever. В случае с abuse-ом одно письмо предупреждение и всё. Но это уже из серии придирок.
Я верю что требования документов это не Gandi-отсебятина. И претензия не к этому требованию, а к тому, как эти документы у меня спросили (неотличимо от спама), заблокировали домены (перестали resolve-ится), упорно не верили что я ничего на дом (посылки) не заказываю.
То что написано в законах меня не очень волнует, ибо написано многое, а вот информационная безопасность и особенно приватность пользователей по всему миру страдает. Давайте без сказок о том, что «мы приняли GDPR» и значит всё теперь хорошо с безопасностью данных пользователей. И я не то чтобы волнуюсь что Gandi это куда-то ещё сольёт — мне просто не нравится сам факт что чужая страна просит/смотрит в личные документы касающиеся только моей страны, её внутренней кухни. Просто когда я там заводил домены, то меня никто не предупреждал что тебе придётся выдавать свои персональные данные.
Мои кириллические документы — для них это проблема. Я считаю что мне повезло. Уж других документов у меня нет (в том числе и заграничного паспорта, где есть латиница).
Заголовки показывают что участвовали сервера Gandi, но эта информация подделывается. Номер тикета какого есть, но… где мне его посмотреть? Единственный идентификатор связанный действительно со мной это «SM10328-GANDI», присутствующий и в whois БД (откуда спамеры много чего берут). То есть, мне приходит письмо, где данные только из whois, в котором ни DKIM, ни PGP, но они просят прислать мои документы по почте в PDF. У меня и сейчас не возникнет мысли что серьёзная компания такие серьёзные документы способна просить отправить в открытом виде (без шифрования) по почте. Уж хотя бы через HTTPS веб-интерфейс к какому-нибудь support ticket-у их приложить предложили. С моей точки зрения, письмо, где ни капли криптографии, никакой информации которую бы я смог узнать/получить через TLS-соединение (из их RT например), никакой информации известной только им, а не всем (whois) и с просьбой важные документы отправить в открытом виде по email — это на 100% спам. Или, предполагается (с их точки зрения), что я должен им написать письмо с вопросом «это точно вы прислали такое и хотите мои документы по email?». Грамотная серьёзная компания не станет так делать, это не серьёзно. Но Gandi сделали. Более того, насколько помню, чуть ли даже не новостные письма от них отображались в личном кабинете… а письмо про abuse отсутствовало. Ещё одна странность именно с этим подобным письмом (как технарь, сейчас, я понимаю что RT система у них наверное как-то отвязана от всего остального, от остальных писем и поэтому оно не появлялось в личном кабинете).
Это всё я им, кстати, высказал и написал, чтобы они мне намекнули как я бы мог аутентифицировать их. Проигнорировали (our technical department will look, итд). А дальше растянувшееся на несколько дней объяснение что такое прописка/регистрация, наши паспорта и прочее, оно же ведь ещё и на кириллице в сканах.
С российсскими компаниями хотя бы есть возможность взаимодействия, ибо они «рядом».
Точно не помню, но у них я был, мне кажется, не один год, пока не случилась эта оказия.
Прошло время (то ли неделя, то ли две) и мои домены просто отключили молча. В DNS/whois они перестали resolve-ится полностью, как-будто и не было. Три дня я был полностью без связи с миром по сути, так как не было email-а из-за отсутствующих доменов. Выслал им скан паспорта. Объяснял что такое «регистрация»/«прописка» в России, чтобы подтвердить данные об адресе в whois. В итоге домены они назад включили.
Но письмо, *абсолютно* не отличимое от спама — я считаю полным сраньём с их стороны. И я так и не узнал что был за abuse report и мне не пояснили как я мог догадаться что их письмо было не спамом, ибо там абсолютный ноль в информации показывающей ИХ знание обо мне, хотя бы логин какой был бы в нём (PGP подпись уж не прошу).
* Представляет ровно один бинарник (после компиляции) на Go + Git для хранения самих данных блога. Хостить можно где угодно, требуя минимум телодвижений. Конфиг ровно один Hjson файл. Для комментариев ещё один бинарник
* SGBlog даёт возможность отдельно дать ссылку на визитку
* «Минимум телодвижений и интерфейса — в идеале интерфейса CMS вообще не должно быть видно, админская панель не нужна, посты должны редактироваться, создаваться и просматриваться в одном месте»: SGBlog идеально этому удовлетворяет, так как CMS интерфейса нет вообще, никакой панели, только ваш же удобный shell+git+редактор (Vim, Emacs, whatever)
* «Полноценный WYSIWYG редактор» — это зависит от вашего редактора
* «Нормальные комментарии — возможность оставлять анонимные комментарии и авторизовываться через максимум соц. сетей для персонифицированных комментариев»: SGBlog принимает комментарии в виде email сообщений, где сам автор (сам email адрес) будет скрыт. Соцсети, правда, не поддерживает
* «Минималистичный внешний вид — я не хочу заниматься версткой и темами, подходящее оформление должно быть из коробки» — соблюдено
Плюс он может быть также одновременно и Gopher сервером для создания, в том числе, phlog-а!
habr.com/ru/post/452200 — вот тут есть пример гораздо более безопасного решения, но на Python. Из сложностей: ASN.1 вместо простой сериализации как у вас (простота это тоже хорошо). И просто для справки: если хочется ГОСТ криптографию, то вот для Go есть GoGOST: gogost.cypherpunks.ru