Компания "НТЦ ИТ РОСА" опубликовала (https://www.rosalinux.ru/2016/11/01/rosa-crypto-tool/) графический интерфейс для работы с электронной цифровой подписью с помощью токенов КриптоПро (https://ru.wikipedia.org/wiki/%D0%9A%D1%... в Linux. Ранее работа с КриптоПро в Linux требовала выполнения (http://wiki.rosalab.ru/ru/index.php/%D0%98%D0... консольных команд, что усложняло использование токенов обычными пользователями. Графический интерфейс позволяет (https://www.rosalinux.ru/wp-content/uploads/2016/11/rct-help... подписывать файлы с помощью токена, проверять подпись файла, отделять файл от подписи, шифровать и расшифровывать файлы. В текущей версии поддерживаются токены рутокен и криптопровайдер КриптоПро, в будущих выпусках планируется поддержка других токенов и криптопровайдеров. Код (http://mirror.rosalab.ru/rosa/rosa2014.1/repository/SRPMS/ma... и бинарные пакеты (http://mirror.rosalab.ru/rosa/rosa2014.1/repository/x86_64/m... размещены в репозитории ROSA Linux.
URL: https://www.rosalinux.ru/2016/11/01/rosa-crypto-tool/
Новость: http://www.opennet.me/opennews/art.shtml?num=45410
Как то напрягает этот КриптоПро, как и все российское шифрование в целом. Там поди бэкдоров от майора немеряно. Вы тоже так считаете?
Тоже так считаю. Нафиг.
Надо предложить инициировать аудит иностранным независимым специалистам.
Как TrueCrypt. И посмотреть как они на это отреагируют. :)
И потом посмотреть, какую, на это предложение, они кинут отмазку.
(они будут уходить тихо... тссс...)
Исходники для начала есть? Или джентльменам из ФСБ - верят на слово?
> Исходники для начала есть? Или джентльменам из ФСБ - верят на слово?Глупые, это же частники. Хотели капитализм? Кушайте, не обляпайтесь.
Как надоели эти фразы про капитализм. Вы капитализм в России видели? Я не видел.
клоун: Капитализм есть, свободной рыночной экономики нет. А не без неё что капитализм, что социализм, что натуральное хозяйство - всё едино.Взять РЖД (монополист на гос. дотациях): у него что при плановой экономике план и дотации, что при капитализме план и дотации.
Усспакойсся, капитализма тоже нет.
> клоун: Капитализм есть, свободной рыночной экономики нет. А не без неё что
> капитализм, что социализм, что натуральное хозяйство - всё едино.
> Взять РЖД (монополист на гос. дотациях): у него что при плановой экономике
> план и дотации, что при капитализме план и дотации.Так во всём мире. Не огорчайся.
а куда он делся то?
Полу-феодализм, полу-капитализм или капитализм феодального типа или много укладное общество. Читаем классиков. Ваш Кэп.
>> Глупые, это же частники. Хотели капитализм? Кушайте, не обляпайтесь.
> Как надоели эти фразы про капитализм. Вы капитализм в России видели? Я не видел.Вы отвечали на какую-то другую фразу про капитализм, кстати. :)
При коммунизме ты бы работал на монопольную госкомпанию на маленькую зарплату.> Хотели капитализм? Кушайте, не обляпайтесь.
Капитализм подразумевает уважение к частной собственности. Чего в россии сейчас нету.
> Капитализм подразумевает уважение к частной собственности. Чего в россии сейчас нету.Вы, разумеется, готовы подтвердить своё утверждение -- или всё так же останетесь балаболом?
клоун: малое - дом Прокофьевых. Для сравнения посмотри историю дома Эдиты Мейсфилд (Edith Macefield's). Небо и земля.Большое - Башнефть: продать, отобрать, перепродать.
> малое - дом ПрокофьевыхА именно? Сходу вижу:
---
Дом Прокофьевых не сохр., во время войны в нем находилась прачечная. Место, где стоял дом семьи Прокофьевых, отмечено памятной доской.
--- http://www.enclo.lenobl.ru/object/1803557730?lc=ru> Большое - Башнефть
Вы бы ещё ЮКОС сразу вспомнили.
Едодавление тракторами, например, вопиющее неуважение.
Отжимание бизнеса. Не говоря уж о территориях.
> Едодавление тракторами, например, вопиющее неуважение.К чему -- малому контрабандному бузинесу?
> Отжимание бизнеса.
Пишите в ближайшую прокуратуру или СК России, смотря по масштабу наблюдаемого в, полагаю, частно-коммерческом секторе. Разумеется, поинтересовавшись происхождением "отжимаемого", чтоб не уподобляться тому же уголовнику Ходорковскому.
> Не говоря уж о территориях.
Ну проиграли японцы войну, проиграли.
Если уш про честный бизнес заговорили, то приведите чем же таким нечестным Павел Дуров занимался во Вконтакте что его чуть не посадили?
> Если уш про честный бизнес заговорили, то приведите чем же таким нечестным
> Павел Дуров занимался во Вконтакте что его чуть не посадили?Не знаю, а гадать неохота (хоть догадки и есть). Спросите https://twitter.com/durov?
Если ваши слова правда, то кроме помидоров и прочих продуктов ничего не контрабандится. Иначе почему они не давят смартфоны, например. Все проще. Придумали ерунду, себе же боком и вышло. Признаться стыдно. Вот дальше и позорятся под лозунги. А кто два факта в логическую цепочку связать не может, доблесно вангует.
у вас там в альтлинуксе все такие "православные" и "патриотичные"?
> у вас там в альтлинуксе все такие "православные" и "патриотичные"?У нас все очень разные. Есть даже один координатор наблюдателей на выборах, который теперь по опыту знает, что ВВП выбирали честно. А что?
PS: ошибся, координатор координаторов наблюдателей на выборах (спасибо myhand за его своеобразный, но всё-таки капельку по существу вопрос).
>> у вас там в альтлинуксе все такие "православные" и "патриотичные"?
> У нас все очень разные. Есть даже один координатор наблюдателей на
> выборах, который теперь по опыту знает, что ВВП выбирали честно.
> А что?да так... есть один друг "патриот"... так вот как всю эту околополитическую ересь (это я про ваши с анонимом комменты) ни увижу, так тоже хочется что-нибудь написать. грустно мне, когда технари рвут на груди тельняжку и готовы там сломя голову что-то отстаивать.
> Есть даже один координатор наблюдателей на выборах, который теперь по опыту знает, что ВВП выбирали честно.я вот это "даже" не вполне понимаю. просто боюсь перепутать, кто из вас дальше зашел и в какую сторону.
> грустно мне, когда технари рвут на груди тельняжку и готовы там сломя голову
> что-то отстаивать.Зачем рвать сломя голову?..
>> Есть даже один координатор наблюдателей на выборах, который теперь по опыту знает,
>> что ВВП выбирали честно.
> я вот это "даже" не вполне понимаю. просто боюсь перепутать, кто из
> вас дальше зашел и в какую сторону.Ну так спросите прямым текстом :) Вообще к нам вполне можно прийти в гости на чай, познакомиться да расспросить людей без посредников в моём лице (тоже ведь порой ошибаюсь).
Выборы это далеко не только контроль за урнами в день выборов и подсчет голосов.
> Выборы это далеко не только контроль за урнами в день выборов и подсчет голосов.А это расскажите шотландцам, или вот посмотрим, как будет с народным контролем в цитадели бомбовой демократии на днях.
> PS: ошибся, координатор координаторов наблюдателей на выборах (спасибо myhand за его своеобразный,
> но всё-таки капельку по существу вопрос).Уточнение не имеет большой ценности. Запрещает утверждать ему подобное - все та же физика. Если, повторюсь, он не Дед Мороз лично.
> Глупые, это же частники. Хотели капитализм? Кушайте, не обляпайтесь.А вы соскучились по госплану и гоенниям на народный опиум, я так смотрю?
>> Глупые, это же частники. Хотели капитализм? Кушайте, не обляпайтесь.Для тех, кто не понял: "свободный рынок" и всё такое, вот это и оно.
Для тех, кто ринется спорить: осторожно, дно минимум двойное, обдумайте на других примерах.> А вы соскучились по госплану
При всех проблемах с ним стоит ознакомиться не только с планированием в том же интеле, но и с тем, как о советском госплане отзывались западные экономисты (вкратце -- #зависть).
> и гоенниям на народный опиум, я так смотрю?
Мне соскучиться не получается как-то особо, а хорошее стараюсь найти много в чём -- при этом стараясь не вляпаться повторно в то плохое, что было даже в дореволюционной России.
PS: не Вы ли случайно как-то упрекали в "чёрно-белом восприятии"?
> что было даже в дореволюционной России.Да никак хруст булок таки был плохим?
>> что было даже в дореволюционной России.
> Да никак хруст булок таки был плохим?Нет -- тогдашних "анижедетей" вроде декабристов ссылали вместо того, чтоб расстреливать.
>>> что было даже в дореволюционной России.
>> Да никак хруст булок таки был плохим?
> Нет -- тогдашних "анижедетей" вроде декабристов ссылали вместо того, чтоб расстреливать.Ах, "недостреляли"... Я уж было подумал что какие-то рудименты головного мозгу сработали - ан нет. (Кстати, к сведению держиморда - тогда вешали.)
Что-ж, по-моему идея назвать "онижедетьми" прошедших Отечественную войну с боевыми наградами - говорит об авторе идеи усе.
> Нет -- тогдашних "анижедетей" вроде декабристов ссылали вместо того, чтоб расстреливать.Т.е. про пятерых повешенных - врут?
>> Нет -- тогдашних "анижедетей" вроде декабристов ссылали вместо того, чтоб расстреливать.
> Т.е. про пятерых повешенных - врут?Думаю, идея была в том - чтобы расстрелять, а потом повесить всех. И, кстати, не забыть четвертовать.
Кровопролитиев Мише мало, короче.
Ну как же, все было так круто, что сейчас который год (который десяток лет) приходится сколенвставанием заниматься )
>> Глупые, это же частники. Хотели капитализм? Кушайте, не обляпайтесь.
> А вы соскучились по госплану и гоенниям на народный опиум, я так смотрю?Собственно, а что плохого в "гонениях" на народный опиум? Шарлатанов надо наказывать - иначе люди могут пострадать.
> Шарлатанов надо наказывать - иначе люди могут пострадать.Факт. Кстати о таковых: http://www.vz.ru/opinions/2016/11/7/842181.print.html
>> Шарлатанов надо наказывать - иначе люди могут пострадать.
> Факт. Кстати о таковых: http://www.vz.ru/opinions/2016/11/7/842181.print.html"В гражданской войне можно выиграть, но нельзя победить."
Да можно победить, можно. Беломудельцам все хочется выиграть - хоть через 100 лет. Раз уж победить не вышло...
"А гражданская рознь всегда вынужденно бесчестна, это подлая брань"
Ну да, да. "Русский бунт" (тм), "бессмысленный и беспощадный", слыхали.
"Каждый из нас может ошибаться, но Россия всегда права!"
И это где-то я уже слышал. Ах, да - "Deutschland über alles".
Исходники есть конечно, просто по ссылке сходите: https://www.rosalinux.ru/2016/11/01/rosa-crypto-tool/Однако это ж просто гуя над CryptoPro. Тут его исходники нужны скорее
Спокойно отреагируют. Всё чисто и надёжно. А сами будут жучков в дырочки запускать. Для своих, так сказать, потребностей.
Не важно кто, что и как считает.. Если есть требования правительственные для компании, хоть ты тресни со своими принципами и безопасностью, а исполнять будешь.
Не важно какие есть требования от правительства, оно для компании не мамка и не папка - нос не вытрет и денег на мороженку не даст, а как бы даже и наоборот. И то что компании забивают б0лт на всю эту демагогию "заплати и спи как рыба об лед" свидетельствует наличие офшорных счетов, двойной бухгалтерии и прочих атрибутов "законопослушности".
Так что живите в своем выдуманном мире,наступайте на горло своим принципам, верьте компетентным органам, внукам своим плетите небылицы, а нам оставьте все остальное
Ну, если вы хотите что-то поставлять госзаказчикам, то с Крипто-Про и ГОСТ-овым шифрованием работать придется. Иначе на площадку госзаказа не попадете. А так конечно никто не не неволит.
>свидетельствует наличие офшорных счетов, двойной бухгалтерии и прочих атрибутов >"законопослушности"Вот честно - имел бы ты дело с налоговой отчетностью в большой компании и знал бы, что там по нескольку раз в год проверяющие из налоговой приходят - ты бы такую ерунду не писал. Реальность от фильмов (или по чему ты там выводы делаешь) очень далека.
> Не важно какие есть требования от правительства, оно для компании не мамка
> и не папка - нос не вытрет и денег на мороженку не даст, а как бы даже и наоборот.2 Led: вот ты всё наезжаешь на предполагаемую "школоту", а между тем вот эталонный образец: не понимает вообще, что несёт, и тем более неспособен сопоставить с опытом по причине полного отсутствия такового.
А несёте Вы, прайдовый анон, то, что было актуально некоторое время в середине девяностых (до дефолта). Судя по всему, жрали это с лопаты деятелей тех пор вроде ходорковского в чьей-нить обработке ещё за тридцать шекелей. Думать учитесь своей головой, ду-мать.
>> Не важно какие есть требования от правительства, оно для компании не мамка
>> и не папка - нос не вытрет и денег на мороженку не даст, а как бы даже и наоборот.
> 2 Led: вот ты всё наезжаешь на предполагаемую "школоту", а между тем
> вот эталонный образец: не понимает вообще, что несёт, и тем более
> неспособен сопоставить с опытом по причине полного отсутствия такового.Возможно. Но ведь то, что ты несёшь, зачастую только ты и понимаешь:(
> Возможно. Но ведь то, что ты несёшь, зачастую только ты и понимаешь:(Бывает; на всякий напомню, что и к тебе нередко требовался "переводчик" хотя бы в моём лице, чтоб твоё конструктивное было понято :)
Точно. Есть рабы, есть хозяева, и так повелось.
> Если есть требования правительственные для компании, хоть ты тресни со своими принципами и безопасностью, а исполнять будешь.Ага. Вот заменят паспорта на УЭК, и придётся нам поголовно использовать проприетарный КриптоКит даже на машинах с GNU/Linux. А там небось бэкдоры, руткиты, механизмы для деанонимизации, слежки за пользователем и всякое такое прочее "во имя всеобщего блага" от Большого Брата (зачёркнуто, подписано сверху: ФСБ).
зачеркнуто и написано АНБ / MI-5, эти же люди вам милее ?
> зачеркнуто и написано АНБ / MI-5, эти же люди вам милее ?Ну да. А также тамплиеры, иллюминаты, масоны, эшелон-4 и маджестик-12.
Вообще-то ГОСТовские алгоритмы шифрования открыты и что-то за пару десятков лет там никаких бэкдоров не найдено.
Вот кто о чем, а тут все о тупом. Вопрос про реализацию.
Так реализуй сам, чо ты как неосилил.
А использование американских или европейских средств шифрования не напрягает, там ведь уже доказано наличие бэкдоров.
для баранов чужие пастухи не страшны
> Там поди бэкдоров от майора немеряно. Вы тоже так считаете?сколько там бэкдоров -- это волнует крайне низко.. по сравнению...
...по срвнению с тем насколько всё подурацки это сделано. чисто технически.
ни opensource, ни unix-style, ни linux-friendly.
извращённый способ установки, извращённый способ использования, нет поддержки библиотек и алгоритмов со стороны прикладного софта, чуть-влев-чуть-вправо и ни чего не работает.
ну и сколько там бэкдоров -- какая нафиг разница если пользоваться по нормальному ничерта нельзя
Так считайте, что российское шифрование предназначено для обмена государства с юрлицами и государства с гражданами, но не для обмена информацией двух физических лиц. Ну и пусть тов. майор читает то, что и так предназначено для властных структур.
А есть варианты? Вы чем пользуетесь?
GPG - дома и на работе. В этих своих госконторах пущай криптобэкдоры ставят, нас это не касается.
> Как то напрягает этот КриптоПро, как и все российское шифрование в целом.Вам сюда: http://0x1.tv/201610018 -- предложите атаку на гостовые алгоритмы, вероятно, озолотитесь.
Конкретно про криптоком слышал (за степень достоверности не поручусь, но человек в теме), что они свой продукт продвигали в основном админресурсом, а не за счёт технического качества. Возможно, что-то с тех пор изменилось -- последние пару лет в ФСТЭК явно взялись подтягивать былую расслабленность, например.
PS (остыв): спасибо myhand за одёргивание, добавил "вероятно, " -- поскольку утверждение "озолотитесь" может быть уверенным прогнозом или предложением, но не оценкой по аналогичным случаям.
Не надоело ссылаться на очень больших но никому не известных експертов?
> Не надоело ссылаться на очень больших но никому не известных експертов?Можно цитату такой характеристики в моём сообщении?
> Вам сюда: http://0x1.tv/201610018 -- предложите атаку на гостовые алгоритмы, озолотитесь.На какую конкретно сумму, кто учредил приз?
>> Вам сюда: http://0x1.tv/201610018 -- предложите атаку на гостовые алгоритмы,
>> озолотитесь.
> На какую конкретно сумму, кто учредил приз?Это было предположение, а не предложение -- но если Ваш интерес предметен, могу обсудить и предложение как частное лицо. Правда, относительно чёрного рынка оно вряд ли будет вкусным -- всё-таки не моя специализация.
>>> Вам сюда: http://0x1.tv/201610018 -- предложите атаку на гостовые алгоритмы,
>>> озолотитесь.
>> На какую конкретно сумму, кто учредил приз?
> Это было предположение, а не предложение -- но если Ваш интерес предметен,
> могу обсудить и предложение как частное лицо.Т.е. ваше предположение о том, что кто-то может озолотиться - не основано ни на чем?
> Т.е. ваше предположение о том, что кто-то может озолотиться - не основано ни на чем?Вы там трезвы вообще или блондинку включили?
>> Т.е. ваше предположение о том, что кто-то может озолотиться - не основано ни на чем?
> Вы там трезвы вообще или блондинку включили?Понятно.
Итого: публичных конкурсов с несмешными призами для проверки отечественной криптографии - нетути. Пациенту остается только прятаться за фантазии о страшных тайнах, спрятанных за семью гостами и почему-то вусмерть интересных всему остальному прогрессивному человечеству.
> Итого: публичных конкурсов с несмешными призами для проверки отечественной криптографии
> - нетути.Какая "проверка криптографии", когда они орфографию проверить не могут?
>>> Т.е. ваше предположение о том, что кто-то может озолотиться - не основано ни на чем?
>> Вы там трезвы вообще или блондинку включили?
> Понятно.Да, понятно. Каждому своё притом.
> На какую конкретно сумму, кто учредил приз?Спасибо, поправил #71 -- как раз недавно кого-то призывал к большей чёткости формулировок и ровно на том и оконфузился. Это была оценка, а не прогноз/предложение.
> Это была оценка, а не прогноз/предложение.А квалификация мну блондинкой-алкоголиком - тоже была предложением?
>> Это была оценка, а не прогноз/предложение.
> А квалификация мну блондинкой-алкоголиком - тоже была предложением?Офигением, поскольку честно считал, что выразился достаточно понятно.
Простите великодушно.
Нет там никаких задних дверей. проверено.
> Нет там никаких задних дверей. проверено.Правильно, ящитаю! Тов.майору и в калитку не западло.
> Нет там никаких задних дверей. проверено.Специалистов по "задним дверям" уже в майоры производят?
> Как то напрягает этот КриптоПро, как и все российское шифрование в целом.
> Там поди бэкдоров от майора немеряно. Вы тоже так считаете?сразу видно что человек с ним не работал :)
Его проблема в том, что порой единственный способ решить проблему "вставьте ключевой носитель ххххххх" состоит в том, чтобы снести винду и все поставить заново.
Вообще эта блевота вызывает только чувство боли и страха, одни, лять плохие воспоминания.
Или обновление IE - при попытке войти в bus.gov.ru например окно с выбором сертификатов не выходит, и потом НАЧИНАЮТСЯ ТАКИЕ КАРУСЕЛИ, что пожалеешь что с it связался.
Какой-то поток сознания. Че сказать то хотел???
все кто работал с крипто-про его поняли ))). Глюкалово это редкостное, просто. Написанное голодными школьниками за еду, судя по качеству API и наборам глюков.
> Там поди бэкдоров от майора немеряно. Вы тоже так считаете?Никак нет!
> Как то напрягает этот КриптоПро, как и все российское шифрование в целом.таковы правила игры, брат... если ты юрлицо, то подчиняешься законам.
Неважно, что бекдоры. Важно, что хоть какой-то интерфейс наваяли.
Какие ваши доказательства?
Кокаинум.
До слёз! :)
Лучше никакого интерфейса, чем это вырвиглазие
Секретарши и бухгалтеры в консоли не будут.
Как по мне, пусть там хоть 100500 бэкдоров, на сервак воткнуть и автоматизировать отправку отчётности по максимуму. Работу работать надо, а не пустозвонить. Для безопасности шифрования можно и свои приблуды юзать, а для сдачи отчётности в линуксе хотя бы это есть.
Ну да, логично, хочет наркоконтроль тьфу налоговая отчетность с бэкдорами)) пусть. Жалко что ли
> Работу работать надо, а не пустозвонить.вообще-то если подумать мозгами -- такие компании как КриптоПро и прилипаллы к ним -- на самом деле МЕШАЮТ РАБОТАТЬ! своим фактом существования, тем что совершают ДИВЕРСИИ против народа, продвигая свои сертификации и алгоритмы, и их кривые реализации
Ну им же тоже кушать хочется. А за что им платить если они фигню не будут придумывать и продвигать?
> Ну им же тоже кушать хочется. А за что им платить если они фигню не будут придумывать и продвигать?а зачем же они таким изощрённым способом себе "еду" зарабатывают?
может проще (и всем лучше) если сразу брать "еду" из бюджета страны? зачем же при этом ещё и *дополнительно* портить жизнь людям своими техническими-говнорешениями?
> продвигая свои сертификации и алгоритмыЕщё один полностью некомпетентный... пусть этот Ваш позор висит, пусть люди видят.
да ну прям криптопро виновато. мешает государство, а криптопро возникает автоматом
Не понял. Что там мешает?
> Не понял. Что там мешает?Несободный социалистический капитализм в котле же. Подробности - выше у клоуна.
Хоть как-то социалистический он в Даниях, Швециях и т.п. (социализм от слова "социум"). А у нас сугубо олигархический.
Лол, а если не будет КриптоПРО и иже с ними, где вы возьмете сертифицированную реализацию?
Ох... сколько можно уже кричать про бэкдоры?! Берите, собирайте OpenSSL с поддержкой ГОСТа и шифруйте им. Исходники открыты. Если пользователь не баран, то опасности не больше, чем в использовании (о, Боже мой!) американского стандарта AES.
Эх, если КриптоПро и Ко были только о сертификатах (к которым они, кстати, имеет меньшего всего отношения).
> Ох... сколько можно уже кричать про бэкдоры?! Берите, собирайте OpenSSL с поддержкой
> ГОСТа и шифруйте им. Исходники открыты.Исходники чего? Крипто-про? Да и госты принимают в рамках непонятных непрозрачных процессов. Без хотя-бы нормальной полной документации и тем более объяснений "почему эти алгоритмы именно такие". Наставить пушку и потребовать доверять - это круто придумано, только не работает.
>> Ох... сколько можно уже кричать про бэкдоры?! Берите, собирайте OpenSSL с поддержкой
>> ГОСТа и шифруйте им. Исходники открыты.
> Исходники чего? Крипто-про? Да и госты принимают в рамках непонятных непрозрачных процессов.
> Без хотя-бы нормальной полной документации и тем более объяснений "почему эти
> алгоритмы именно такие". Наставить пушку и потребовать доверять - это круто
> придумано, только не работает.Исходники есть. В чем проблема проверить?
Документация на ГОСТ Р 34.12-2015 открыта и находится в свободном доступе. Что не так?
> Документация на ГОСТ Р 34.12-2015 открыта и находится в свободном доступе. Что не так?документация на RFC-5084 и RFC-5288 (и прочии RFC) тоже в открытом свободном доступе.
какие были проблемы принять это как государственный стандарт? (потому что мешало освоить деньги?)
То есть, осилить какую-либо ещё документацию, кроме этих двух RFC, для Вас проблема, и поэтому Вы желаете, чтобы средства, доступные Вам, использовалось всей страной?
а почему некоторые бараны не думают о том, почему вообще существуют разные стандарты, но везде этим возмущаются?
>> Ох... сколько можно уже кричать про бэкдоры?! Берите, собирайте
>> OpenSSL с поддержкой ГОСТа и шифруйте им. Исходники открыты.
> Исходники чего? Крипто-про?Выделил с выражением.
https://github.com/gost-engine/engine
> Да и госты принимают в рамках непонятных непрозрачных процессов.
Вартан рассказывал забавную баечку про "непонятные циферки": http://0x1.tv/201610018
А теперь расскажите мне, как их выбирали авторы RSA/DSA, например.
> Наставить пушку и потребовать доверять - это круто придумано, только не работает.
Да уж. Спросите Каддафи при случае.
Выглядит как гуй морда к GNUPG на python-gi, слепленная за полчаса на коленке.
А бабла распилили небось как на подлодку.
Это частная компания, может воровать у себя денег сколько захочет или ты их акционер?
> А бабла распилили небось как на подлодку.Было бы интересно узнать, какими именно силами делали сабж -- по тому, что долетало до меня в процессе подготовки, Ваши эротические фантазии явно являются именно таковыми.
а с тобой не поделились, ай, нехорошки!
Зато новость - мы сделали ФОРМУ, "не имеющую аналогов в мире" и обязательную к использованию в РФ."
Ничего подобного в тексте новости нет. Галюны?
> Ничего подобного в тексте новости нет.Когда столкнёшься с этим, поймёшь ;)
Вас давно уволили-то? Или просто контракт истек?
> Вас давно уволили-то? Или просто контракт истек?Кто забыл о том, "что здесь делают" клоуны-с**к*нчики, фкуки и им подобное -- гляньте http://wiki.opennet.ru/MSSP и посмотрите, очернением только ли фрисофта ограничивается сфера интересов их хозяев. Надеюсь, складывать два с двумя здесь в основном умеют.
PS: зашаблонил ещё одну буковку ;-)
Спасибо за познавательную ссылку, Михаил. Я просто обратил внимание, что риторика комментатора несколько изменила направленность, и критика СПО внезапно ушла на нет. Вот и стало интересно, почему произошло расставание со спонсором шоу.Политический вопрос же оставим за скобками.
> Спасибо за познавательную ссылку, Михаил. Я просто обратил внимание,
> что риторика комментатора несколько изменила направленность,
> и критика СПО внезапно ушла на нет. Вот и стало интересно,
> почему произошло расставание со спонсором шоу.Да нет, он всё так же пытается гадить против фрисофта (иначе бы здесь и не появлялся).
> Политический вопрос же оставим за скобками.
Пожалуй. Здесь интересным применительно к персонажу были зигзаги: какое-то непродолжительное время он прикидывался "государственником", помнится, с периодическими рецидивами; а я на это смотрю и сопоставляю с другими случаями (в основном в других местах), прикидываю первообразную. Так-то штатовский крупный бизнес крепко переплетён с истеблишментом, это и у Джона Перкинса занятно рассказано, и из недавнего -- по "агенту"-шефу ФБР хорошо видно; а заказчики meatbot'ов есть и среди тех, и среди тех, причём ворон ворону глаз не выклюет.
Но это всё и впрямь сугубый офтопик, прошу прощения.
О, телепат из отпуска пришёл. А к тебе вопросов накопииилось...
А почему передупреждение написано безграмотно?
Не будьте так наивны! Бэкдоры есть почти во всех программах, которые так или иначе приглянулись определенному кругу лиц. Тут все просто, в наших программа можно встретить как специально сделанные нашими программистами бэкдоры, так и допущенные по ошибке, незнанию. В других странах также. Вы думаете, что в программах изготовленных за пределами России нет специализированных бэкдоров? Открытый код совершенно не дает уверенности в том, что он не содержит бэкдора. Да, Вы можете его прочитать, но сможете ли вы "переварить" миллионы строк кода основных программ, причем, не допустив ошибок при проверке? Где гарантия, что тот же RH не собирает, например: SELinux, Apache и так далее с определенными патчами в ходе билда бинарника? Забудьте про приватность и безопасность - это все фикция. Мы можем только максимально усложнить несанкционированный доступ к нашей информации и все.
О, эталонный пример так называемого обратного карго-культа.
Все так, все так.И Ассанжа, сидящего в посольстве Эквадора, выдумал Киселев в одной из своих передач.
Кажется, к закону Годвина добавился ещё один, чисто российский, про обратный карго-культ. Нуачо, импортозамещение, тудыть его в качель!
Интересно, как из моего сомнения в верности логической цепочки "бэкдоры есть в проприетарных программах, значит, есть и в опенсорсе" вылез Ассанж с Киселевым. Поясните.
Шапочка из фольги не жмёт?
> Шапочка из фольги не жмёт?Люди, которые считают достаточным упомянуть tinfoil hat, hitler или там conspiracy theory в качестве исчерпывающего финального аргумента, обычно не имеют своей точки зрения -- и тем более навыков её приобретения и аргументирования.
Так, наблюдение.
PS: выделил "своей", а то можно не заметить ударение на слове.
>> Шапочка из фольги не жмёт?
> Люди, которые считают достаточным упомянуть tinfoil hat, hitler или там conspiracy theory
> в качестве исчерпывающего финального аргумента, обычно не имеют своейОбычный ad hominem. Интереснее работа в паре с предыдущим "оратором", выступившим в жанре фл***расства и ж***голизма. Тела шатают окна Овертона -- глядишь кого нестойкого и зацепит либо одна неправда, либо другая, и уже он понесёт её дальше.
>точки зрения -- и тем более навыков её приобретения и аргументирования.
>> Люди
> Обычный ad hominemТогда уж homini или как там будет множественное. И да, я не боюсь.
> Интереснее работа в паре
Кого с кем? Из вышеотметившихся знаю Лёшу Морозова, но подначивать сообща хрупких рассудком вроде scorry было бы крайне жестоко (собственно, не помню, чтоб мы как-то "работали в паре", окромя как над пакетами).
Если совсем просто и приземлённо -- есть люди, готовые подтвердить каждый тезис; и есть неготовые, обычно слопавшие впаренную им чужую точку зрения без малейшей проверки, вот такие как раз склонны к истерикам вроде свежеудалённой с проецированием на других своего собственного "я майданулся потому, что все майданулись". Ну, по моим наблюдениям.
>>> Люди
>> Обычный ad hominem
> Тогда уж homini или как там будет множественное. И да, я
> не боюсь.
>> Интереснее работа в паре
> Кого с кем? Из вышеотметившихся знаю Лёшу Морозова,Я про Аноним-ных ботов, 03:26--(25) и 10:34--(55). Один флудит "сильно влево", другой первого шапочкой-диагозом награждает, подразумевая качок вправо со "все эти леваки итд.".
Может, это уже моя "шапочка" просвечивает. И да, тоже поучаствовал во флуде.
> Если совсем просто и приземлённо -- есть люди, готовые подтвердить каждый тезис;
> и есть неготовые, обычно слопавшие впаренную им чужую точку зрения без
Один флудит "сильно влево" - это как понять?
у Сноудена спросите
> Открытый код совершенно не дает уверенности в том, что он не содержит бэкдора. Да, Вы можете его прочитать, но сможете ли вы "переварить" миллионы строк кода основных программ, причем, не допустив ошибок при проверке?могу прочитать и переварить код пары случайных функций (а также послать патч на исправление найденных недочётов..).
зачем мне переваривать именно всё ? я что разве единственный кто будет переваривать пару случайных функций?
и даже если я НЕ мог бы -- это не являлось бы докозательством невозможности его проверки
Доказательством не возможности проверки являются человеко-часы необходимые для проверки. Если крупный продукт обновляется несколько раз в год то у тебя не хватит или денег что бы нанять достаточное количество людей для проверки, или времени до выхода новой версии, а с выходом новой версии весь процесс проверки надо начинать сначала.
Ну-ну, т.е. сейчас повыходят новые версии ПО, используемого в РФ и все сертификационные конторы уволятся?
нет, они не получают сертификата
А еще один аноним сказал что в компиляторах может быть что-то, что встроит бекдор в бинарик.
> А еще один анонимВикипедия пишет, что вполне себе подписавшиеся гг. Karger и Schell, и подвязавшийся с ними г. Thompson.
https://en.wikipedia.org/wiki/Backdoor_%28computing...
https://en.wikipedia.org/wiki/Backdoor_%28computing...>сказал что в компиляторах может быть что-то, что встроит бекдор в бинарик.
Мда, ну и дизайн.
Что ты еще хотел от вендузятников.
> Что ты еще хотел от вендузятников.Даёшь сертифицированный ГОСТ-ГУЙ для макинтоша?!
Ну, пусть будет. Есть же у нас ICQ for Linux, Adobe AIR, нативный линуксовый клиент для WebMoney, FineReader для командной строки. О них знают полтора человека в мире.А ещё у нас есть CUDA Toolkit и Qt 5, мощные и бесплатные тулкиты размером не одну сотню мегабайт. Только количество софта на них можно посчитать по пальцам, и в обоих случаях используется лишь базовый функционал (отрисовать GUI и перебрать хеши), хотя дополнительные либы дают поражающие воображение возможности - и всего двумя строками кода!
Ещё у нас есть легальная смотрелка DVD "Openplay DVD Player" и лицензионный кодек Fluendo MP3. Под линукс, и DVD-меню работает! Только у всех всё равно ffmpeg+libdvdcss2 и libMAD+LAMEmp3.
Ну добавится ко всему этому ещё и КриптоПРО. Завтра о нём все забудут.
> Qt 5
> Только количество софта на них можно посчитать по пальцамЛол wut? KDE 5 полностью, например, остальное вспоминать лень.
> и в обоих случаях используется лишь базовый функционал (отрисовать GUI и перебрать хеши)
Соглашусь, однако это так же зависит от программы. К тому же, не знаю что за тулкит CUDA, но у Qt5 всё модульно. Не нужен OpenGL, QML, WebKit? Ну и ладно.
> Завтра о нём все забудут.
Прогресс не стоит на месте, особенно в IT :)
> Прогресс не стоит на месте, особенно в IT :)замечу то, что в мире вообще ничего не стоит на месте
> Ну, пусть будет. Есть же у нас ICQ for Linux, Adobe AIR,
> нативный линуксовый клиент для WebMoney"Возможности приложения My WebMoney для Linux
Версия устарела и более не поддерживается."> О них знают полтора человека в мире.
...и один из них (к примеру, Митрофанов) не пользуется из идеологических соображений.
И вот так со всей проприетарщиной. Даже будучи бесплатной - ставится нештатно, собирается не под всё (это затратно) и главное - она не поддерживается. Ни в каком смысле. У проприетарщиков есть только две-три зацепки: жаба, го и дотнетики.> Ещё у нас есть легальная смотрелка DVD "Openplay DVD Player" и лицензионный
> кодек Fluendo MP3.Fedora cannot include the Fluendo plugin directly because although it is free and open source software, it is not freely redistributable because of its licensing terms.
> Только у всех всё равно ffmpeg+libdvdcss2 и libMAD+LAMEmp3.понятно почему, да?
> Ну добавится ко всему этому ещё и КриптоПРО. Завтра о нём все забудут.
Или нет. Ты зря ИМХО всё в кучу лепишь. Наговорил про проприетарь - у неё свои проблемы. Опенсорц со странными требованиями к распространению - другие.
Проприетарь проприетари рознь! 90% проприетари всё-таки взлетает: Bitwig Studio, Corel Aftershot 2, Lightworks, Maya, WPS Office, Crossover Wine, Wine Etersoft, 1С для Linux, старая Опера, Java до открытия кода. Тысячи их! Red Hat вон имеет целый пакет проприетари, многую из которых открыла, но зарабатывает очень большие деньги даже на открытой!По поводу затратного пакетирования - фигня. Сейчас все поддерживают LSB, т.е. собираешь в CentOS 6 - работает везде.
Туда же - российский конкурент Скайпа Trueconf, который по какой-то причине "не взлетает" (хотя запрос есть).
> Туда же - российский конкурент Скайпа Trueconf, который по какой-то причине
> "не взлетает" (хотя запрос есть).Кстати, включён в Альт Образование (поскольку не в репозитории, то лежит пакетами сбоку).
Обычный дизайн для линукс программ. Кнопки большие с понятными для всех пояснениями. То что надо. Не смотреть же на нее по три часа в день. Открыл на пару минут, зашифровал и закрыл.
В составе ГосЛинукс давно уже имеется графический интерфейс для КриптоПро.
Ещё бы Госсайты работали в этом самом Linux, а хотя бы и Гос. Госуслуги вроде бы с грехом пополам работают, но открываем Закупки и видим вот это (http://imgur.com/RRF05E3). На скрине XP, но c CentOS6 результат аналогичный.
Да уже выяснили, что для этого секаса нужны виртуалки, притом как минимум 2. Одна с ie11, другая с ie10.
CryptoFox вам в помощь.
Если не заметил, на скрине у меня именно CryptoFox.
> но открываем ЗакупкиВ ту сторону вылетела живительная пилюля от регулятора, насколько понимаю.
Есть подробности? Очень радует, если это в самом деле так.
> Есть подробности?Пока так. Будет что по существу -- возможно, получится и отдельная новость...
Поделитесь, плз, ссылкой.
И скрин показать сможете? чой то с трудом верится.
Шел 2017 год...
Поставь ТАРДИС на место.
Нет бы порадовались отечественному импортозамещению, а они ругать. Молодцы, орлы! Молодцы, что на что-то способны! Сделали GUI для КриптоПро, да еще и на свободной ОС - отлично!Поддержим ребят и пожелаем всего наилучшего.
> Нет бы порадовались отечественному импортозамещению, ...Вот вы, да и все остальные, что свежий термин «импортозамещение» испорльзуют: чему вы радоваться-то собрались, можете внятно объяснить?
Вы не довольны? Тогда мы идем к вам!
> Вы не довольны? Тогда мы идем к вам!Вообще-то вызывали не Вас, майор, а Шойгу.
тому что в гос.секторе вообще идут продвижки с СПО, например
И тебе свежих бекдоров в анус!
> Нет бы порадовались отечественному импортозамещению, а они ругать.Так есть ведь с кого пример в том брать: http://ruslanostashko.livejournal.com/68893.html (осторожно, минутка пропаганды :)
>> Нет бы порадовались отечественному импортозамещению, а они ругать.
> Так есть ведь с кого пример в том брать: http://ruslanostashko.livejournal.com/68893.html
> (осторожно, минутка пропаганды :)Увоу. Скоро! На экранах Страны1! Отечественный кусковзрыватель "Импортозамещение Ясона Борнова"!1! Герой, очнувшийся в беспамятстве в понедельник, безудержно yum-инсталлит постгресы и альтлинуксы -- покровы сорваны, црушники посрамлены. Безудержный екшен, непредсказуемые повороты сюжета, все тричаса на экране -- чорная консоль.
> все тричаса на экране -- чорная консоль.Ещё курсор. Зелёный. Кубиком. Потому что #russianhackers.
Что сделали, конечно хорошо. Плохо, что даже ели через костыли типа редфокса заставить это все работать на линуксе, то через ональное "ОС WIndows 7 или новее / Mas OS X 10.8 или новее, Браузер Internet Explorer 10 или новее, Safari" в требованиях на сайтах госструкрур, не пробиться.
А я вот не понимаю, как браузерными плагинами вообще можно что-то подписывать. Тебе сервер предлагает - подпиши вот это - и даже не показывает что именно ты подписываешь. А сам - подсовывает тебе договор на отказ от всегло имущества в пользу... Да хоть того же майора... Ну вы поняли принцип...
Так «забавно» читать аргументы носителей шапочки из фольги – у каждого Такие секреты, что государству просто Необходимо получить к ним доступ. Каждый первый – революционер, за которым осуществляют круглосуточную слежку. Куда уж государству без доступа к гигабайтам пор^W секретов.Государство внедряет эти стандарты шифрования внутри гос. учреждений и при общении с ними. Ну, будете вы налоговую отчётность шифровать ГОСТом – в чём проблема? ФСБ прочитает через бэкдор в шифре? А напрямую из налоговой запросить не судьба?
Параноики же могут для личных целей зашифровать файл дважды – сначала AES, а сверху ГОСТ, чтоб ни ЦРУ, ни ФСБ не смогли расшифровать. ;-)
Также есть вопрос к параноикам: отдельно взятый шифр – ладно. А что с софтом, операционной системой, загрузчиком, BIOS'ом и железом, включая переферию. Вы уже пересели на Open Hardware? Проводили аудит всех компонентов? Сидеть на интеловском процессоре, в котором, по некоторым сведениям таки есть недокументированные инструкции, использовать закрытый BIOS, втыкать китайскую периферию с неизвестными прошивками с неизвестными возможностями, и возмущаться бэкдорами в реализации ГОСТа – это супер.
А тем, кто недоволен качеством софта, хочу сказать, что в подобных проектах весьма большой объём работы, и всё требует времени. Все хотят импортозамещения, и почему-то считают, что можно за месяцок-другой и за 10 тысяч рублей выкатить продукт, не хуже импортного, на который было потрачено дофига человеко-лет и дофига денег. Да, некоторые углы срезать можно, когда идёшь по следу, и не наступать на известные архитектурные грабли. Но в сто раз быстрее и дешевле не получится.
>[оверквотинг удален]
> Параноики же могут для личных целей зашифровать файл дважды – сначала AES,
> а сверху ГОСТ, чтоб ни ЦРУ, ни ФСБ не смогли расшифровать.
> ;-)
> Также есть вопрос к параноикам: отдельно взятый шифр – ладно. А что
> с софтом, операционной системой, загрузчиком, BIOS'ом и железом, включая переферию. Вы
> уже пересели на Open Hardware? Проводили аудит всех компонентов? Сидеть на
> интеловском процессоре, в котором, по некоторым сведениям таки есть недокументированные
> инструкции, использовать закрытый BIOS, втыкать китайскую периферию с неизвестными прошивками
> с неизвестными возможностями, и возмущаться бэкдорами в реализации ГОСТа – это
> супер.Хм, я специально дома настраивал файервол с логированием на RaspberryPI а не на бытовом рутере. Посмотрел кто в порты стучится, что наружу лезет. Ничего особенного, ни BIOS ни остальное никуда не лезут. В порты мелочь какая-то по крону стучится. Бросьте, паранойя... Так можно сидеть за бытовым рутером и фантазировать про бэкдоры.
Наша проблема в том что логи iptables c их SPT DPT всякими никто толком не смотрит. Я дак себе сделал скрипт расшифровки на лету логов через /etc/services, /etc/protocols, `host` и сидел смотрел в реалтайме несколько часов.
> А тем, кто недоволен качеством софта, хочу сказать, что в подобных проектах
> весьма большой объём работы, и всё требует времени. Все хотят импортозамещения,
> и почему-то считают, что можно за месяцок-другой и за 10 тысяч
> рублей выкатить продукт, не хуже импортного, на который было потрачено дофига
> человеко-лет и дофига денег. Да, некоторые углы срезать можно, когда идёшь
> по следу, и не наступать на известные архитектурные грабли. Но в
> сто раз быстрее и дешевле не получится.
> Хм, я специально дома настраивал файервол с логированием на RaspberryPI а не на бытовом рутере. Посмотрел кто в порты стучится, что наружу лезет. Ничего особенного, ни BIOS ни остальное никуда не лезут. В порты мелочь какая-то по крону стучится. Бросьте, паранойя... Так можно сидеть за бытовым рутером и фантазировать про бэкдоры.Во-первых, кто сказал, что «супер-бэкдорами» будут пользоваться направо и налево? ;-) Их же так быстро обнаружат и закроют. Вот будете представлять интерес для кого-нибудь, тогда и воспользуются.
> Наша проблема в том что логи iptables c их SPT DPT всякими никто толком не смотрит. Я дак себе сделал скрипт расшифровки на лету логов через /etc/services, /etc/protocols, `host` и сидел смотрел в реалтайме несколько часов.
Я себе написал простенький фаервол, который мониторит логи на попытки постучать в закрытый порт, попытки зайти по ssh и попытки обращения к веб-серверу по адресам, типа /admin/. Первое нарушение – бан на сутки. Второе – две недели. Третье и последующее – три месяца. ;-) (В iptables всего одно правило – дропать всех из данной таблицы ipset. А в таблице – нарушители.) И каждый день письмо на почту с общим количестом забаненных и количеством новых за сегодня.
Сейчас лезут со скоростью порядка 1100 новых IP-адресов в сутки. При том, что мой сайт никому не известен, а на главной странице пусто.
А ты чего в квартире запираешься? Террористов укрываешь? Притон педофилов держишь? На путанах зарабатываешь? Ну-ка ключик размножь нам и выдай...
> Параноики же могут для личных целей зашифровать файл дважды – сначала AES,
> а сверху ГОСТ, чтоб ни ЦРУ, ни ФСБ не смогли расшифровать. ;-)И не только файл, как другие знакомые и делали. (-:
Государство не хочет секретов? Закон Яровой поди для развлекухи приняли.
А ты чего в квартире запираешься? Террористов укрываешь? Притон педофилов держишь? На путанах зарабатываешь? Ну-ка ключик размножь нам и выдай...
а с госзакупками теперь можно будет из-под линукса работать? и ЭЦП из Казначейства подцеплять?
> а с госзакупками теперь можно будет из-под линукса работать?Их ещё самих поправить надо.
"графический интерфейс" - слишком громкое название для окна с четырьмя табами и несколькими полями. что-то мне говорит, что состряпать такое может любой желающий.
Я такой мощный UI в 7м классе на VisualBasic'е делал.
ладно хоть не на HTML
> Я такой мощный UI в 7м классе на VisualBasic'е делал.Подобная хрень делается на Kdialog/Xdialog/etc + shell или на Tcl/Tk на коленке за 20-30 минут. Но кто ж на это пойдёт - за такое время даже пилу для попила завести не успеть.
Это все замечатально, но когда это чудо уже пойдет в OpenSource? Все эти триалы и closed-source либы для шифрования оставьте кому-то.
А зачем?В смысле, я понимаю, зачем это вам – проверить код, чтобы доверять. Но зачем это государству? Государство этому шифру доверяет. То есть государство устраивает, что вы будете отправлять ему документы, зашифрованные этим шифром. Соответственно, какой вам смысл не доверять, отправляя документы этому же государству, если получатель доверяет?
Для личных целей можете не использовать.
Опять-таки, OpenSource здесь мало даёт. В смысле, в некоторых случаях важна именно сертифицированная версия. А сертифицированная версия учитывает не только алгоритм, но и корректность реализации, а также в некоторых случаях и среду сборки. То есть, если есть в википедии ГОСТовый алгоритм, то ещё не факт, что вы его без багов реализуете. А если и реализуете или возьмёте открытые исходники, то нет гарантии, что у вас компилятор нормальный и ненаподставляет бэкдоров в процессе компиляции (нужна доверенная среда сборки).
То есть, ни в одном гос. учреждении не примут то, что вы сами скомпилировали, даже из правильных исходников.
> Но зачем это государству? Государство этому шифру доверяет. То есть государство
> устраивает, что вы будете отправлять ему документы, зашифрованные этим шифром.Подозреваю, что государство устроит, если вы все в одинаковых штанах - и копать отсюда за еду и до обеда. Может ну его нафиг, такое государство?
> Соответственно,
> какой вам смысл не доверять, отправляя документы этому же государству, если
> получатель доверяет?Например, чтобы затруднить сценарий, когда "получатель" отправляет себе документы от вашего имени. Вот лично вы - берете, и дарите все имущество сынку прокурора.
> (нужна доверенная среда сборки).
Почему доверенная среда сборки не может быть открытой?
Затем, что поводов для проверок например в борьбе с коррупцией и продажностью везде хватает, в том числе и в самом государстве, где все это может лишь быть прикрытием ... и выявление зондов никто не отменял. Другими словами, протоколы взаимодействий предполагают выполнение обязательств всеми сторонами. Ну а если это все у всех на виду, то жульничать будет гораздо сложнее.Так что требование открытости и прозрачности более чем правильное - это гарант.
Народ, хочет ..., чтобы в государстве криптография выполнялась правильно по всем канонам и правилам ...
>а с госзакупками теперь можно будет из-под линукса работать? и ЭЦП из Казначейства подцеплять?Сперва нужно запилить гуй самому крипто-про, желающих копаться в ком.строке дураков мало.)
Пока никто из свидетелей качественного ПО и честных закупок еще не объяснил, каковы сложности при создании графического интерфейса "такого уровня"? И что не сможет сделать студент на Qt, ну пусть не за час, а за пару дней?
Не исключаю, что кто-то из сотрудников ROSA это и сделал за рабочий день, а в новости любезной публике просто сообщили, что такое есть и даже работает. К чему этот пафос в комментах про "кучи денег" и "масштабную разработку" (которого в новости нет), я не очень понял.
Почем ты не сделал раз всё так просто?
Кому интересно, появилась страничка http://altlinux.org/ЭЦП