https://opennet.dev/openforum/vsluhforumID3/83632.html Спустя два года с момента выхода прошлого значительного релиза представлена (http://marc.info/?l=openssl-announce&m=133174050203217&w=2) новая версия OpenSSL 1.0.1 (http://openssl.org/), библиотеки с реализацией протоколов SSL/TLS и различных алгоритмов шифрования. Несмотря на незначительный на первый взгляд номер версии в OpenSSL 1.0.1 представлено несколько существенных новшеств.<br><br><br>Ключевые улучшения:<br><br><br>- Поддержка протоколов TLS v1.2 (http://tools.ietf.org/html/rfc5246) и TLS v1.1 (http://www.ietf.org/rfc/rfc4346.txt);<br>- Поддержка протокола SRP (http://srp.stanford.edu/) (Secure Remote Password) и пакетов шифрования (ciphersuites) TLS-SRP для создания безопасного канала связи с использованием обычных паролей, которые в состоянии запомнить человек. Пример создания SRP-сессии можно посмотреть здесь (http://www.opennet.ru/tips/2676_openssl_srp_tls_crypt.shtml);<br>- Поддержка в TLS/DTLS расширения heartbeat (http://tools.ietf.org/html/draft-ietf-tls-dtls-heartbeat-04);<br>- Поддержка протокола SCTP (htt https://opennet.dev/openforum/vsluhforumID3/83632.html#68 Tue, 20 Mar 2012 23:15:57 GMT &gt;&gt; [...] работает только из-за бабла.<br>&gt; Что в этом плохово?<br><br>Полная бессмысленность. В клинических случаях даже кризисы-дефолты не доходят.<br><br>Вот эссе, которое на днях подсунули почитать: http://flibusta.net/b/144270/read (краткий пересказ для некоторых: если ты ставишь программки "для ускорения интернета" или даже крутишь бездумно конфиги по чужому блогпосту, совершенно не вникая в суть делаемого и происходящего вследствие -- то ты не профи, ты не админ, ты не технарь, а просто чайник с большим или меньшим самомнением и идёшь ты дорогой в никуда)<br><br>PS: возвращаясь к OpenSSL -- можно и не за бабло крупно ошибиться, а ишача на линтер. Разница в том, чему придали неоправданую важность.<br> https://opennet.dev/openforum/vsluhforumID3/83632.html#67 Tue, 20 Mar 2012 23:06:04 GMT &gt; Вы вопросы вообще читаете или комментируете от балды?<br><br>Давно уж от балды. :( Поправь его сейчас МакКузик, он и его бы загрызть попробовал, наверное.<br> https://opennet.dev/openforum/vsluhforumID3/83632.html#66 Mon, 19 Mar 2012 21:10:20 GMT &gt; Если в линуксе кривая реализация, это не значит, что протокол плохой.<br><br>Где было про реализацию и кривизну? Просто баг - не используемая метка, которая <br>компилятором тупа удаляется, так как ни одного перехода на неё всё равно не будет.<br><br> <br> https://opennet.dev/openforum/vsluhforumID3/83632.html#65 Mon, 19 Mar 2012 19:55:12 GMT Если в линуксе кривая реализация, это не значит, что протокол плохой.<br> https://opennet.dev/openforum/vsluhforumID3/83632.html#64 Sun, 18 Mar 2012 17:03:12 GMT &gt;&gt; Начинайте продвигать!!! :) <br>&gt;&gt; А вот Google предлагает SPDY, по смыслу очень похож на SCTP, <br>&gt;&gt; так что, перспективы массового SCTP стали ещё призрачней.<br>&gt; cat /usr/bin/withsctp <br>&gt; #!/bin/sh <br><br># withsctp <br>checksctp: Protocol not supported<br><br>:D<br> <br>Дырявый он в своё время был, вот наверно года с 2006 у меня все конфиги ядра без него. <br>Кстати, он до сих пор EXPEREMENTAL <br>---<br># git pull <br># make<br><br>net/sctp/protocol.c: В функции &#171;sctp_addr_wq_timeout_handler&#187;:<br>net/sctp/protocol.c:676:1: предупреждение: метка &#171;free_next&#187; определена, но не используется [-Wunused-label]<br><br><br>ля-ля-ля... <br><br>[code]<br>diff --git a/net/sctp/protocol.c b/net/sctp/protocol.c<br>index 5942d27..9c90811 100644<br>--- a/net/sctp/protocol.c<br>+++ b/net/sctp/protocol.c<br>@@ -673,7 +673,9 @@ void sctp_addr_wq_timeout_handler(unsigned long arg)<br> SCTP_DEBUG_PRINTK("sctp_addrwq_timo_handler: sctp_asconf_mgmt failed\n");<br> sctp_bh_unlock_sock(sk);<br> https://opennet.dev/openforum/vsluhforumID3/83632.html#63 Sun, 18 Mar 2012 15:07:08 GMT &gt; Это не телефон, а смартфон.. Спрашивали про ipsec в телефонах, между прочим! <br>&gt; Так что пример не катит.<br><br>А часто вы почту на простых телефонах проверяете?<br>Один фиг, к тому моменту, когда ваша компания внедрит ipv6+ipsec в _локальной_ сети, ваш телефон уже будет это поддерживать.<br> https://opennet.dev/openforum/vsluhforumID3/83632.html#62 Sun, 18 Mar 2012 12:21:57 GMT &gt;&gt; Интересно, что препятствует энергичному развитию и продвижению протокола?<br>&gt; Фаерфокс на SCTP - http://www.eecis.udel.edu/~amer/PEL/Firefox/sctp_firefox_3.0... <br>&gt; Апач over SCTP - http://www.eecis.udel.edu/~nataraja/research.html <br>&gt; Начинайте продвигать!!! :) <br>&gt; А вот Google предлагает SPDY, по смыслу очень похож на SCTP, <br>&gt; так что, перспективы массового SCTP стали ещё призрачней.<br><br>cat /usr/bin/withsctp<br>#!/bin/sh<br># -*- sh -*-<br>LIBDIR=/usr/lib/lksctp-tools<br>BINDIR=/usr/bin<br>export LD_PRELOAD=${LIBDIR}/libwithsctp.so.1.0.11<br>if ! ${BINDIR}/checksctp 2&gt; /dev/null<br>then<br> ${BINDIR}/checksctp;<br> exit 1;<br>fi<br><br>exec $*<br> https://opennet.dev/openforum/vsluhforumID3/83632.html#61 Sun, 18 Mar 2012 12:12:38 GMT &gt;&gt;&gt; IPsec применяется при обмене трафиком между хостами, у которых есть об этом <br>&gt;&gt;&gt; предварительная договоренность.<br>&gt;&gt; Угу, щаз... попробуй установи и поддерживай соединение с "договорёнными" хостами из дома.<br>&gt;&gt; Только не говори, что у вас к удалённым хостам прямой оптокабель!<br>&gt; Кабеля нет, зато есть PSK или сертификат, для обмена трафиком с этими <br>&gt; хостами. В большинстве случаев SSL/TLS работает не требуя от клиента авторизации, <br>&gt; в отличие от IPsec где обе стороны знают друг о друге. <br><br>повторяем для невнимательных<br><br>для работы ssl/tls в том виде в которjм вы её здесь описываете необходима инфраструктура сертификатов (т.е. хосты напрямую себя не знают, но чтобы работать безопасно клиент должнен знать публичный ключ сервера, который он собственно получает на этапе согласования) -- подобная схема реализуется в том-же racoon'е с помощью схемы rsasig<br><br>P.S.<br>опять-же процедура проверки валидности предоставленного сертификата во всей красе показала себя в этом году -- т.к. сильно желающие смогли получ https://opennet.dev/openforum/vsluhforumID3/83632.html#60 Sun, 18 Mar 2012 09:35:26 GMT &gt;&gt; Неочевидно, как тот же Apache сможет узнать имя, указанное в сертификате.<br>&gt; А зачем Apache что-то знать кроме организации сессии HTTP вон с тем <br>&gt; узлом?<br>&gt; Не его собачье дело совать нос в защищённый сетевой уровень, который УЖЕ <br>&gt; САМ аутентифицировал хост пользователя, организовал авторизованное соединение и гарантирует безопасную, конфиденциальную передачу данных.<br><br>Вы вопросы вообще читаете или комментируете от балды?<br><br>При использовании SSL, сертификат клиента может быть использован для его авторизации на сервере (web, mail и т.п.). Я предъявляю сертификат, и мне дается доступ к моему почтовому ящику, к моему личному разделу сайта, не задавая других вопросов, потому что кто я - написано в сертификате.<br><br>Как то же самое реализовать используя IPsec? Если никак - то это минус.<br>