![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
don_katalanШон Таунсенд
Stanislav уговорил меня немного покапитанствовать на тему криптографии и безопасности, и сам уже написал два лонгрида о #PKI (public key infrastructure). Напомню ещё раз кратко, как работает ключевая инфраструктура, в идеальном варианте. У вас есть надежное устройство (а не телефон с китайским антивирусом, Яндекс диском и пачкой мутного софта, непонятно чем занимающегося кроме шпионажа), умеющее генерировать криптографические ключи и подписывать документы. Потом вы приходите в центр сертификации (ЦСК или CA), показываете им свой публичный ключ (кстати, проверять секретный ключ тоже необходимо, то есть подписать им что-то по требованию CA) и говорите: "Я Руслан Рябошапка" или "Я бухгалтер ООО "Рога и копыта", и токен тот должен проверять каким-то образом и кто его держит в руках, иначе он превращается в обычный ключ (как от входной двери), и что он подписывает, а точнее, что ВЫ подписываете. Мне часто напоминают о банках, так вот, в банке вы всегда можете оспорить платеж. А с цифровыми подписями вы, как правило, не можете их оспорить. Но вернемся к инфраструктуре. ЦСК подписывает ваш публичный ключ своим секретным ключом и получается сертификат, такой как на скриншоте. CA в схеме является доверенным посредником. А кто собственно сказал, что ему можно доверять? Я находил уязвимости в нескольких АЦСК, и уязвимости настолько позорные, что я бы им ночной горшок не доверил. И они не несут ни малейшей ответственности за выданные сертификаты, перекладывая всё на вас. Дальше. У вас есть отдельный ключ от офиса, от почтового ящика, от машины, от квартиры, отдельные (я надеюсь) пароли для банка и для фейсбука. А теперь представьте, что у вас один ключ для всего и это ваш телефон или пластиковая карта? По-моему, как-то грустно становится. Проблема может быть и на другой стороне. Устройство, которое проверяет вашу подпись тоже должно быть надежным и доверенным, в нем хранятся публичные ключи CA для проверки сертификатов, и если туда добавить "левый" CA, как это пытается сделать Казахстан (чтобы прослушивать граждан), то можно точно так же сгенерировать левый сертификат и он будет работать в скомпрометированной системе. В данный момент у нас есть ненадежные устройства пользователей, на которых лежат непонятно кем и как сгенерированные ключи, подписанные ненадежными ЦСК, которые не несут никакой ответственности за происходящее, и эти ключи можно использовать для входа в любой гос. сервис, тоже не надежный. И вы не узнаете о том, что случилась беда, пока она не произойдёт. Отлично! Просто замечательно! Всё это известно всем, кто хоть чуть-чуть интересовался вопросом. PKI хорошо работает там, где уже установлены доверительные отношения между участниками, и где все пользователи имеют должную квалификацию. А да, если кто-то заикнётся про Эстонию, такое случается каждый раз, когда речь заходит о "цифровизации", которую я называю #жижитализация, то вы задаёте неправильный вопрос. Правильный вопрос, не "Почему в Эстонии работают ID-карты?", а "почему в Эстонии работают права собственности даже без ID-карт?" Кстати, нужно добавить, что цифровая подпись государства (а не ваша) на загране или ID-карте - это очень хорошо, но там подпись является не идентификатором, а устанавливает подлинность документа. То есть это что-то вроде водяных знаков, которые не дают подделать паспорт. А идентификация происходит тогда, когда есть проверяемый документ и вы к нему в комплекте, чтобы сравнить фото и вашу морду. А ещё, бывает авторизация, когда вы должны дать явное разрешение на определенное действие, например на продажу собственности, причем дать её добровольно, но для этого вас в начале нужно идентифицировать, а проверить удаленно мы можем только подлинность документа. Именно поэтому интернет-сервисы просят у вас "фотографию с паспортом", а иногда ещё и с быстро протухающим токеном, чтобы вы не успели зафотошопить доказательство. И то почта и фейсбук. А не "все гос. услуги". И все кто этого не понимает занимаются карго-культом и будут жестоко наказаны за своё легкомыслие. Все эти бредни про онлайн-идентификацию, это всё равно, как если бы вы могли продать квартиру, послав скан паспорта на e-mail. Вы точно этого хотите? (В комментариях есть ещё примеры и пояснения)
(https://www.facebook.com/ruheight/posts/719308315184196)
Stanislav уговорил меня немного покапитанствовать на тему криптографии и безопасности, и сам уже написал два лонгрида о #PKI (public key infrastructure). Напомню ещё раз кратко, как работает ключевая инфраструктура, в идеальном варианте. У вас есть надежное устройство (а не телефон с китайским антивирусом, Яндекс диском и пачкой мутного софта, непонятно чем занимающегося кроме шпионажа), умеющее генерировать криптографические ключи и подписывать документы. Потом вы приходите в центр сертификации (ЦСК или CA), показываете им свой публичный ключ (кстати, проверять секретный ключ тоже необходимо, то есть подписать им что-то по требованию CA) и говорите: "Я Руслан Рябошапка" или "Я бухгалтер ООО "Рога и копыта", и токен тот должен проверять каким-то образом и кто его держит в руках, иначе он превращается в обычный ключ (как от входной двери), и что он подписывает, а точнее, что ВЫ подписываете. Мне часто напоминают о банках, так вот, в банке вы всегда можете оспорить платеж. А с цифровыми подписями вы, как правило, не можете их оспорить. Но вернемся к инфраструктуре. ЦСК подписывает ваш публичный ключ своим секретным ключом и получается сертификат, такой как на скриншоте. CA в схеме является доверенным посредником. А кто собственно сказал, что ему можно доверять? Я находил уязвимости в нескольких АЦСК, и уязвимости настолько позорные, что я бы им ночной горшок не доверил. И они не несут ни малейшей ответственности за выданные сертификаты, перекладывая всё на вас. Дальше. У вас есть отдельный ключ от офиса, от почтового ящика, от машины, от квартиры, отдельные (я надеюсь) пароли для банка и для фейсбука. А теперь представьте, что у вас один ключ для всего и это ваш телефон или пластиковая карта? По-моему, как-то грустно становится. Проблема может быть и на другой стороне. Устройство, которое проверяет вашу подпись тоже должно быть надежным и доверенным, в нем хранятся публичные ключи CA для проверки сертификатов, и если туда добавить "левый" CA, как это пытается сделать Казахстан (чтобы прослушивать граждан), то можно точно так же сгенерировать левый сертификат и он будет работать в скомпрометированной системе. В данный момент у нас есть ненадежные устройства пользователей, на которых лежат непонятно кем и как сгенерированные ключи, подписанные ненадежными ЦСК, которые не несут никакой ответственности за происходящее, и эти ключи можно использовать для входа в любой гос. сервис, тоже не надежный. И вы не узнаете о том, что случилась беда, пока она не произойдёт. Отлично! Просто замечательно! Всё это известно всем, кто хоть чуть-чуть интересовался вопросом. PKI хорошо работает там, где уже установлены доверительные отношения между участниками, и где все пользователи имеют должную квалификацию. А да, если кто-то заикнётся про Эстонию, такое случается каждый раз, когда речь заходит о "цифровизации", которую я называю #жижитализация, то вы задаёте неправильный вопрос. Правильный вопрос, не "Почему в Эстонии работают ID-карты?", а "почему в Эстонии работают права собственности даже без ID-карт?" Кстати, нужно добавить, что цифровая подпись государства (а не ваша) на загране или ID-карте - это очень хорошо, но там подпись является не идентификатором, а устанавливает подлинность документа. То есть это что-то вроде водяных знаков, которые не дают подделать паспорт. А идентификация происходит тогда, когда есть проверяемый документ и вы к нему в комплекте, чтобы сравнить фото и вашу морду. А ещё, бывает авторизация, когда вы должны дать явное разрешение на определенное действие, например на продажу собственности, причем дать её добровольно, но для этого вас в начале нужно идентифицировать, а проверить удаленно мы можем только подлинность документа. Именно поэтому интернет-сервисы просят у вас "фотографию с паспортом", а иногда ещё и с быстро протухающим токеном, чтобы вы не успели зафотошопить доказательство. И то почта и фейсбук. А не "все гос. услуги". И все кто этого не понимает занимаются карго-культом и будут жестоко наказаны за своё легкомыслие. Все эти бредни про онлайн-идентификацию, это всё равно, как если бы вы могли продать квартиру, послав скан паспорта на e-mail. Вы точно этого хотите? (В комментариях есть ещё примеры и пояснения)
(https://www.facebook.com/ruheight/posts/719308315184196)