Salus populi suprema lex (988) (don_katalan) wrote,
Salus populi suprema lex (988)
don_katalan

Category:

идентификация происходит тогда, когда есть проверяемый документ и вы к нему в комплекте

Шон Таунсенд
Stanislav уговорил меня немного покапитанствовать на тему криптографии и безопасности, и сам уже написал два лонгрида о #PKI (public key infrastructure). Напомню ещё раз кратко, как работает ключевая инфраструктура, в идеальном варианте. У вас есть надежное устройство (а не телефон с китайским антивирусом, Яндекс диском и пачкой мутного софта, непонятно чем занимающегося кроме шпионажа), умеющее генерировать криптографические ключи и подписывать документы. Потом вы приходите в центр сертификации (ЦСК или CA), показываете им свой публичный ключ (кстати, проверять секретный ключ тоже необходимо, то есть подписать им что-то по требованию CA) и говорите: "Я Руслан Рябошапка" или "Я бухгалтер ООО "Рога и копыта", и токен тот должен проверять каким-то образом и кто его держит в руках, иначе он превращается в обычный ключ (как от входной двери), и что он подписывает, а точнее, что ВЫ подписываете. Мне часто напоминают о банках, так вот, в банке вы всегда можете оспорить платеж. А с цифровыми подписями вы, как правило, не можете их оспорить. Но вернемся к инфраструктуре. ЦСК подписывает ваш публичный ключ своим секретным ключом и получается сертификат, такой как на скриншоте. CA в схеме является доверенным посредником. А кто собственно сказал, что ему можно доверять? Я находил уязвимости в нескольких АЦСК, и уязвимости настолько позорные, что я бы им ночной горшок не доверил. И они не несут ни малейшей ответственности за выданные сертификаты, перекладывая всё на вас. Дальше. У вас есть отдельный ключ от офиса, от почтового ящика, от машины, от квартиры, отдельные (я надеюсь) пароли для банка и для фейсбука. А теперь представьте, что у вас один ключ для всего и это ваш телефон или пластиковая карта? По-моему, как-то грустно становится. Проблема может быть и на другой стороне. Устройство, которое проверяет вашу подпись тоже должно быть надежным и доверенным, в нем хранятся публичные ключи CA для проверки сертификатов, и если туда добавить "левый" CA, как это пытается сделать Казахстан (чтобы прослушивать граждан), то можно точно так же сгенерировать левый сертификат и он будет работать в скомпрометированной системе. В данный момент у нас есть ненадежные устройства пользователей, на которых лежат непонятно кем и как сгенерированные ключи, подписанные ненадежными ЦСК, которые не несут никакой ответственности за происходящее, и эти ключи можно использовать для входа в любой гос. сервис, тоже не надежный. И вы не узнаете о том, что случилась беда, пока она не произойдёт. Отлично! Просто замечательно! Всё это известно всем, кто хоть чуть-чуть интересовался вопросом. PKI хорошо работает там, где уже установлены доверительные отношения между участниками, и где все пользователи имеют должную квалификацию. А да, если кто-то заикнётся про Эстонию, такое случается каждый раз, когда речь заходит о "цифровизации", которую я называю #жижитализация, то вы задаёте неправильный вопрос. Правильный вопрос, не "Почему в Эстонии работают ID-карты?", а "почему в Эстонии работают права собственности даже без ID-карт?" Кстати, нужно добавить, что цифровая подпись государства (а не ваша) на загране или ID-карте - это очень хорошо, но там подпись является не идентификатором, а устанавливает подлинность документа. То есть это что-то вроде водяных знаков, которые не дают подделать паспорт. А идентификация происходит тогда, когда есть проверяемый документ и вы к нему в комплекте, чтобы сравнить фото и вашу морду. А ещё, бывает авторизация, когда вы должны дать явное разрешение на определенное действие, например на продажу собственности, причем дать её добровольно, но для этого вас в начале нужно идентифицировать, а проверить удаленно мы можем только подлинность документа. Именно поэтому интернет-сервисы просят у вас "фотографию с паспортом", а иногда ещё и с быстро протухающим токеном, чтобы вы не успели зафотошопить доказательство. И то почта и фейсбук. А не "все гос. услуги". И все кто этого не понимает занимаются карго-культом и будут жестоко наказаны за своё легкомыслие. Все эти бредни про онлайн-идентификацию, это всё равно, как если бы вы могли продать квартиру, послав скан паспорта на e-mail. Вы точно этого хотите? (В комментариях есть ещё примеры и пояснения)
(https://www.facebook.com/ruheight/posts/719308315184196)



Пост спочатку надрукований тут: https://don-katalan.dreamwidth.org/2084367.html.
Tags: #pki, #жижитализация, анализ, піар
Subscribe
promo don_katalan december 29, 2014 14:39 113
Buy for 50 tokens
Расшифровка секретного плана адмиистративно-территориального устройства России после ее распада От гуляющих по сети различных вариантов "государственного" устройства будущего российских территорий отличается наличием территорий в совместном управлении, возвратом исторических территорий…
  • Post a new comment

    Error

    default userpic

    Your reply will be screened

    Your IP address will be recorded 

    When you submit the form an invisible reCAPTCHA check will be performed.
    You must follow the Privacy Policy and Google Terms of use.
  • 0 comments