Директор по инфраструктуре организации Python Software Foundation опубликовал отчёт о выполнении требований по раскрытию персональных данных пользователей репозитория PyPI (Python Package Index). В марте и апреле Министерство юстиции США направило в PyPI требования о раскрытии данных 5 пользователей, которые после консультаций с юристами были выполнены. Переданные данные включали имена, адресную информацию, списки загруженных пакетов и сведения о сеансах и IP-адресах...Подробнее: https://www.opennet.me/opennews/art.shtml?num=59191
> достоверные подписи охватывали лишь 0.3% от всех файловпоказательно нужности PGP
Ставлю сотку против металлической копейки, что эти 0.3% - разрабы старой школы/разрабы из копрораций и просто смогли/повезло недавно занести подпись в *доверенные* УЦ с пруфами. А не как смуззи-самоудовлетворение через самоподписанное самоподписанным.
Но лучше варианта ты же все равно не предложишь?
Вон уже предложили. Раз секурно не получается то делать несекурно. Гениальное же решение.
Чтобы OpenPGP заработал, как надо, необходимо соблюдать несколько условий:1. Защита секретного ключа.
Безопасность самой OS с которой осуществляется подпись: https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/lin...
Защита ключей с помощью аппаратных хранилищ:
https://www.nitrokey.com/news/2018/nitrokey-partners-linux-f...
https://www.nitrokey.com/news/2019/nitrokey-partners-gentoo-...
https://www.nitrokey.com/news/2021/nitrokey-equips-arch-linu...2. Работа с подписями.
Необходимо подписывать чужие публичные ключи, сверять по буквам Ф.И.О. и фотографию, верифицировать контроль над E-mail, которые указаны в идентефикаторе публичного ключа. Загружать свои публичные ключи и подписи на сервера ключей OpenPGP. Обмен ключами можно проводить в универе среди однокурсников, на работе среди сотрудников, ...3. Понимать как работает PGP, прочесть документацию:
https://www.opennet.me/docs/282.shtml
https://www.altlinux.org/%D0%A0%D0%B0�...
Создавать ключи без строка действия, или ставить 1000 лет.
Размер ключа делать максимально большим.
Обязательно, при создании нового ключа, подписывать его своим старым ключём.
> прочесть документациюНе, ну ты скажешь тоже...
Цифровизация в РФ под угрозой или все пункты соблюдены?
ИФНС во всю выдают сертификаты, а тема то незащищенная вовсе
Лично мне в Законе не нравится пункт о уничтожении публичных ключей. Моё мнение подписаные в УЦ ключи должны хранится вечно. Если нет, то с этого мало пользы.Также не нравится отсутствие централизированных публичных серверов со всеми ключами. Как найти ключ Васи Пупкина?
Не нравится требование о установки блоба для работы с ключами. Ключ должен создавать пользователь, а УЦ только подписывать публичную часть.
> Цифровизация в РФ под угрозой или все пункты соблюдены?Всё идет строго по пунктам их их плана:
1. https://www.opennet.me/openforum/vsluhforumID10/5567.html
2. https://www.opennet.me/openforum/vsluhforumID10/5564.html
3. Следующим пунктом плана всех чипировать: https://nauka.tass.ru/nauka/17848123
> Чтобы OpenPGP заработалПока нет **достоверной** верификации независиммым "третьим лицом", - PGP подписи само/всех-обман. И этого, самого главного пункта нет в перечисленном выше
Есть п. 2 Верификация, достоверность зависит от лица проверяющего паспорт и E-mail, более 5 человек вполне достаточно.https://www.linux.org.ru/forum/security/16839105?cid=16840324
> Есть п. 2 Верификация, достоверность зависит от лица проверяющего паспорт и E-mail,
> более 5 человек вполне достаточно.
> https://www.linux.org.ru/forum/security/16839105?cid=16840324Где эти 5 человек??? И кто они, и почему я им должен верить что это не один и тот-же человек подписавший себя тремя вымышленнами анонимами? Где те проекты используюшие услуги этих 5 человек подписывающих чужие ключи ? Линух? А может секьюрити офицеры из Фряхи? Как проверить, что эти 5-ро не афереисты, которые слизали паспортные данные чтоб провернуть гнилое дело вместо подписывания твоего сертификата?
И т.д. и т.п.
>> Обмен ключами можно проводить в универе среди однокурсников, на работе среди сотрудников, ...Желательно обмен проводитьсреди грамотных людей, личности которых ты хорошо знаешь.
> Как проверить, что эти 5-ро не аферисты, которые слизали паспортные данные чтоб провернуть гнилое дело вместо подписывания твоего сертификата?
>> https://www.linux.org.ru/forum/security/16839105?cid=16840324Цепочка доверия. Если к интересующему тебя ключу есть ~5 разных цепочек доверия, то с высокой вероятностью ключ принадлежит собственнику.
Да можно, создать 5 фиктивных ключей, чтобы подписать ключ мошенника. Но очень сложно чтобы эти 5 фиктивных ключей подписали реальные люди для образования цепочек доверия между тобой и ключом мошенника.
Делаю акцент на аккуратную проверку паспортных данных Ф.И.О., фотографии и верификацию E-mail, подавляющим числом пользователей OpenPGP при подписании чужих ID ключей. Пару неаккуратных пользователей, подписывающих всё что попадает им в руки, включая ключи аферистов, WOT выдержит.
> Желательно обмен проводитьсреди грамотных людей, личности которых ты хорошо знаешь.Точно, у меня завтра с хорошим кентом, Линусом Торвальдосом встреча, а после завтра с Вовкой Путиным, заодно ключами обменяемся, подпишем их там друг другу...
> Цепочка доверия. Если к интересующему тебя ключу есть ~5 разных цепочек доверия,
> то с высокой вероятностью ключ принадлежит собственнику.дорогой друг, я очень рад, правда, что ты понял как мог бы работать этот концепт, но как показывает десятилетия практики, WOT не работает за исключением нескольких чудаков на планете, но вот массы свято верят в подписанные кем-то и чем-то ключи и думают они очень круты, т.к. научились в одну строчку запустить верификацию хер знает чего
> WOT выдержит.Ты как покажешь цепочку доверия того же Торвальдаса, которую я могу проверить, лично и по паспортным данным, ну не его, ну хотя-бы тех 5 пацанов, вот тогда и поговорим как твой вебо-траст выдержит
> Точно, у меня завтра с хорошим кентом, Линусом Торвальдосом встреча ...Подписывай ключи тех кого хорошо знаешь: одноклассников, однокурсников, сотрудников.
>> Цепочка доверия. Если к интересующему тебя ключу есть ~5 разных цепочек доверия,
>> то с высокой вероятностью ключ принадлежит собственнику.
> но как показывает десятилетия практики, WOT не
> работает за исключением...Работает у тех кто прилагает усилия. Надо всего-то подписать ключи тех людей кого знаешь.
https://git.kernel.org/pub/scm/docs/kernel/pgpkeys.git/tree/...
https://archlinux.org/master-keys
https://git.altlinux.org/gears/a/alt-gpgkeys.git?p=alt-gpgke...
>> WOT выдержит.
> Ты как покажешь цепочку доверия того же Торвальдаса, которую я могу проверить, лично и по паспортным данным, ну не его, ну хотя-бы тех 5 пацанов, вот тогда и поговорим как твой вебо-траст выдержитТы можешь проверить только паспорта тех чьи ключи лично подписываешь. После того как подпишет некоторое количество ключей можно посмотреть цепочки доверия от твоего ключа к торвальдсу, например: https://www.opennet.me/openforum/vsluhforumID3/130597.html#43
2. Как только человек начинает говорить про WoT в контексте подписи артефактов, можно сразу дальше не читать — просто шалунишка в штанишках. Атака организуется на раз-два-три. Как пример: ни один из дистров не использует WoT для управления ключами для подписи пакетов.
> Как пример: ни один из дистров не использует WoT для управления ключами для подписи пакетов.Не использование подписанных ключей при подписи программ, ISO, ... есть баг. Это неверное использование PGP.
Раньше (до Сновдена и Осанджа) так не было.
Лучше, чтобы пакет с прогой, ISO, ... был подписан сразу несколькими подписями его разработчиков, а не одной. Как это делается, например
https://gnupg.org/ftp/gcrypt/gnupg/gnupg-2.2.14.tar.bz2.sig
https://gnupg.org/ftp/gcrypt/gnupg/gnupg-2.2.14.tar.bz2
> Министерство юстиции США направило в PyPI требования о раскрытии данных 5 пользователей, которые [...] были выполнены.
>The data request was:
> "Names (including subscriber names, user names, and screen names);"
> "Addresses (including mailing, residential addresses, business addresses, and email addresses);"
> "Telephone or instrument numbers (including the registration Internet Protocol address);"
> "Means and source of payment of any such services (including any credit card or bank account number) and billing records;"Хм. Об этих 5 пользователях по 3м запросам, значит, не смогли бы правдоподобно ничего отрицать? Или просто выставили равное оффициальному число (много меньшее реального) ради успокоения и наших, и ваших, и ихних?
> We have waited for the string of subpoenas to subside, though we were committed from the beginning to write and publish this post as a matter of transparency, and as allowed by the lack of a non-disclosure order associated with the subpoenas received in March and April 2023.
*Голосом Станиславского:*
- Браток, НЕ-ВЕ-РЮ! НЕ. ВЕРЮ.Соломку подстелили, значится, и теперь потенциальный скандал можно зарубить будет на корню ходом "на нас надавили!". Банально, но все равно действенно.
> В честности, планируется минимизировать хранимые и получаемые от пользователей персональные данныено номер телефона то возьмут ? (причём с проверкой..)
> За последние три года вместе с пакетами в PyPI было загружено около 50 тысяч цифровых подписей, связанных с 1069 PGP-ключами. 29% ключей отсутствуют на крупных публичных серверах ключей, т.е. не могут рассматриваться как заслуживающие доверия.Зачем тогда принимать такие пакеты, непонятно.
Хуже, я как-то столкнулся с разработчиком, который старательно подписывал свои пакеты, почту и прочее, но отказывался предоставить публичный ключ. Порядочное "ЧО" я тогда получил )))
наверное можно было хотя-бы отпечаток ключа предоставить ...
> 29% ключей отсутствуют на крупных публичных серверах ключей, т.е. не могут рассматриваться как заслуживающие доверия.Логическая ошибка
Где? 29% ключей хрен пойми откуда взялись и проверить их принципиально невозможно. Ну ок. Эдак и похова собака тебе подписать может что угодно: лапы, хвост и усы имеются!
> 29% ключей хрен пойми откуда взялисьНе хрен пойми откуда, а:
1. от разработчика, чей (другой) пакет уже использовали и проблем с ним замечено не было,
2. от предыдущей версии пакета, код которой верифицировали,
3. мой собственный пакет, подписанный моим ключом (или пакет компании, где я работаю, подписанный её ключом),
4. из мелкого публичного сервера ключей, или крупного, о существовании которого создатели пипей не слышали,
5. из другого источника, которому можно доверять:
5.2. общался с разработчиком по почте лично, просил прислать его ключ,
5.3. брат жены друга, который прошёл один из предыдущих пунктов> и проверить их принципиально невозможно
После того, как их поддержку выпилили, проверить их стало возможно, да?
> Не хрен пойми откуда, а:
> 1. от разработчика, чей (другой) пакет уже использовали и проблем с ним замечено не было,экспертиза опеннета. Дальше в общем можно не читать. То есть местные д-лы даже не понимают, как работает pgp.
> После того, как их поддержку выпилили, проверить их стало возможно, да?
да, твоим методом номер пять - "из другого источника, которому можно доверять". Если бы он существовал не только в твоих фантазиях, ты бы вполне мог попросить у него подписанную хэш-сумму пакета - раз уж ты даже смог где-то взять его публичный ключ.
Но скорее всего фантазии так и останутся фантазиями, потому что разработчики там примерно такие же.
Любая собака может опубликовать ключ на "крупных публичных серверах ключей", но он не станет от этого "доверенным"
по крайней мере можно будет быть уверенным что новая версия того же самого пакета или другой от того же автора - действительно подписаны его ключом. Что, разумеется, тоже ровным счетом ничего не означает, подписаны, его ключом - и - вот что? Но кому-то возможно так спокойнее.С тем же успехом можно просто публичный ключ класть рядом с кодом, как во времена ftp.gnu.org и делали. Параноики могли параноить, для остальных это был просто ненужный файл.
Разработчики не умеют использовать и проверять подписанные ключи. Что сделаем? А давайте совсем выпилим отображение ключей подписей.
Надеюсь у кого-нибудь отвалится сборка и PyPI надают по ушам. Вон гитхаб хеш у архивов поменял, так такой вой поднялся на весь интернет, а тут.
да-да, придёт тов.майор и сразу по ушам
> Разработчики не умеют использовать и проверять подписанные ключи.Абсолютно верно. Сталкивался не раз с тем, что банально приватные ключи выкладывали в открытый доступ или просто высылали их. Увы, но информ. безопасность идёт с некоторым обременением и этот порог вхождения не могут преодолеть зачастую даже представители целевой аудитории.
> Разработчики не умеют использовать и проверять подписанные ключи.Для того чтоб проверить, надо сперва верить, что публичный ключ и правда принадлежит тому, кого он идентифицирует. Пока каждый может безплатно и без проверки пушнуть в кейсторадж свои ключи переписав любого, - это фуфло. Так же как и коммунистическая вера в группы добровольных общин подписывающих(?) других людей. Где они, верящие в святой ПГП? Где они, кросс-подписи во всех популярных проектах? А, да, - вы просто верьте то что на нашем сайте (взломанном? да вы что?! не бывает такого!) можете сверить с нашим ключом. Если бы это фуфло работало, то каждый бы мог сам себе выписывать паспорт, водительские права и т.д и т.п.
> Где они, кросс-подписи во всех популярных проектах?"во всех" - это перфекционизм. но в некоторых есть:
https://tails.boum.org/install/expert/index.en.html
https://kernel.org/category/signatures.html
>> Где они, кросс-подписи во всех популярных проектах?
> "во всех" - это перфекционизм. но в некоторых есть:
> https://tails.boum.org/install/expert/index.en.html
> https://kernel.org/category/signatures.htmlИ где гарантия, что эти сайты не взломаны, показывающие эти подписи?
Т.е. просто верьте на слово, - "мы крутая пацанва, нас все знают и нас никто и никогда не ломал..."
> И где гарантия, что эти сайты не взломаныГАРАНТИЮ дает только страховой полис.
и то за страховое возмещение придется судиться (по опыту с ОСАГО),
страховщики очень жадные и жлобные.// интересно, сколько будет стоить застраховать сайт (ключ) от взлома на год ?
> Т.е. просто верьте на слово, - "мы крутая пацанва, нас все знают
в конечном счете да.
> и нас никто и никогда не ломал..."
если бы ломали, то поднялся бы такой хай в интернетах,
что заметили бы даже самые придонные ламеры и нубы.
> ГАРАНТИЮ дает только страховой полис.
> и то за страховое возмещение придется судиться (по опыту с ОСАГО),
> страховщики очень жадные и жлобные.А зачем тогда вообще вся эта лапша с ПГП?
> // интересно, сколько будет стоить застраховать сайт (ключ) от взлома на год
> ?По разному, если платить за EV верификацию, то можно под пол лимона зелени застраховаться, но только не с ПГП, а с SSL
>> Т.е. просто верьте на слово, - "мы крутая пацанва, нас все знают
> в конечном счете да.А нах тогда вообще этот самобман с ПГП, где самое главное - **доверие** подписи, - не проверяемое ?
>> и нас никто и никогда не ломал..."
> если бы ломали, то поднялся бы такой хай в интернетах,
> что заметили бы даже самые придонные ламеры и нубы.Так переодически именно это и случается :))))
Потому как строить охеренно крутые , беттонно-чугунные ворота с неломаемым в принципе замком, но... без забора, в открытом поле - нет никакого смысла
> 29% ключей отсутствуют на крупных публичных серверах ключей, т.е. не могут рассматриваться как заслуживающие доверия.Централизую децентрализованное. Недорого. Гарантия.
С публичными серверами некоторое время произошёл факап из-за атаки при помощи чрезвычайно длинных цепочек доверия, так что даже дефолтные SKS пришлось в GnuPG менять. После этого запара с публичными ключами только усугубилась. Зато теперь придумали зоопарк с p=p и более экзотичными способами втулить подписи во вложение к email.
Лучше бы они хоть какой-то модерацией пакетов занимались чем этим.
Разработчкик выкладывет свой код в любой публичный репозиторий кода с отказом об ответственности.
Далее, если оно надо разрабу, выдвинуть на рассмотрение для влючения в каталог pypi.org.
Владельцы pypi определяют степень нужности, проводят код ревью, берут на себя ответственность, за то, что они кладут в свой каталог и у них не будет никаких персональных данных разработчика.
Т.е. разраб запушил свое творчество в открытый мир, забыв о подтверждениях телефона, сдаче отпечатков пальцев и анализов. Все равно это не гарантирует, что учетку или инфраструктуру проктаа не взломают и от твоего имени не вкомитят что угодно.
Можно на pypi показывать пакеты уже загруженные и кандидатов на включение, но скачиваются кандидаты из внешних реп без гарантий.
>Кроме того, разработчики PyPI объявили о решении прекратить поддержку PGP-подписей для верификации пакетов, так как они не решают возложенные на них задачи и в текущем виде бесполезны.То есть, из разработчиков PyPI ушли люди, действительно умевшие в PGP и пришли любители аутентификации по радужке из московского метро и сбербанка. Ну вы поняли, чем это пахнет.
> действительно умевшие в PGPТаких нет, - в принципе, т.к. за столько десятилетий так и не появились верифицирющие/удостоверяющие люди/центры и как результат сама идея изпользования ПГП как **публичного** удостоверяющего инструмента - нет. ПГП как и любая ассинхронная криптография работает исключительно только когда публичными ключами обменялись из рук в руки (под подпись и с проверкой по пасспорту) или существует **доверенный, верефицирюющий, независсимый** центр, которого в ПГП инфраструктуре - нет.
Задача подписи в том, чтобы определить, что у пакета не поменялся автор. Критерий вида "ключи не зарегистрированы на крупных серверах с ключами" ни о чем абсолютно. Не пытайтесь завести и в pgp сертификационные центры и просрачиваемость, тут хоть и есть видимость подобного, но все работает совершенно иначе, ключи можно продлевать или ставить им вечные сроки, и работать они не перестают если просрочены.