Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"PyPI пересмотрит политику в отношении персональных данных и прекратит поддержку PGP-подписей"	+/–
Сообщение от opennews (??), 24-Май-23, 23:24
Директор по инфраструктуре организации Python Software Foundation опубликовал отчёт о выполнении требований по раскрытию персональных данных пользователей репозитория PyPI (Python Package Index). В марте и апреле Министерство юстиции США направило в PyPI требования о раскрытии данных 5 пользователей, которые после консультаций с юристами были выполнены. Переданные данные включали имена, адресную информацию, списки загруженных пакетов и сведения о сеансах и IP-адресах... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=59191
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

2. Сообщение от Аноним (2), 24-Май-23, 23:36	–2 +/–
> достоверные подписи охватывали лишь 0.3% от всех файлов показательно нужности PGP
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #5, #8, #21

3. Сообщение от Dzen Python (ok), 24-Май-23, 23:38	–1 +/–
> Министерство юстиции США направило в PyPI требования о раскрытии данных 5 пользователей, которые [...] были выполнены. >The data request was: >    "Names (including subscriber names, user names, and screen names);" >    "Addresses (including mailing, residential addresses, business addresses, and email addresses);" >    "Telephone or instrument numbers (including the registration Internet Protocol address);" >    "Means and source of payment of any such services (including any credit card or bank account number) and billing records;" Хм. Об этих 5 пользователях по 3м запросам, значит, не смогли бы правдоподобно ничего отрицать? Или просто выставили равное оффициальному число (много меньшее реального) ради успокоения и наших, и ваших, и ихних? > We have waited for the string of subpoenas to subside, though we were committed from the beginning to write and publish this post as a matter of transparency, and as allowed by the lack of a non-disclosure order associated with the subpoenas received in March and April 2023. *Голосом Станиславского:* - Браток, НЕ-ВЕ-РЮ! НЕ. ВЕРЮ. Соломку подстелили, значится, и теперь потенциальный скандал можно зарубить будет на корню ходом "на нас надавили!". Банально, но все равно действенно.
Ответить | Правка | Наверх | Cообщить модератору

4. Сообщение от Аноним (4), 24-Май-23, 23:40	+3 +/–
>  В честности, планируется минимизировать хранимые и получаемые от пользователей персональные данные но номер телефона то возьмут ? (причём с проверкой..)
Ответить | Правка | Наверх | Cообщить модератору

5. Сообщение от Dzen Python (ok), 24-Май-23, 23:41	+9 +/–
Ставлю сотку против металлической копейки, что эти 0.3% - разрабы старой школы/разрабы из копрораций и просто смогли/повезло недавно занести подпись в *доверенные* УЦ с пруфами. А не как смуззи-самоудовлетворение через самоподписанное самоподписанным.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

7. Сообщение от Аноним357 (?), 24-Май-23, 23:57	+/–
> За последние три года вместе с пакетами в PyPI было загружено около 50 тысяч цифровых подписей, связанных с 1069 PGP-ключами. 29% ключей отсутствуют на крупных публичных серверах ключей, т.е. не могут рассматриваться как заслуживающие доверия. Зачем тогда принимать такие пакеты, непонятно.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #20

8. Сообщение от Аноним (8), 25-Май-23, 00:27	+7 +/–
Но лучше варианта ты же все равно не предложишь?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #37

10. Сообщение от Аноним (10), 25-Май-23, 01:52	+2 +/–
> 29% ключей отсутствуют на крупных публичных серверах ключей, т.е. не могут рассматриваться как заслуживающие доверия. Логическая ошибка
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #15

11. Сообщение от fuggy (ok), 25-Май-23, 01:58	+2 +/–
Разработчики не умеют использовать и проверять подписанные ключи. Что сделаем? А давайте совсем выпилим отображение ключей подписей. Надеюсь у кого-нибудь отвалится сборка и PyPI надают по ушам. Вон гитхаб хеш у архивов поменял, так такой вой поднялся на весь интернет, а тут.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #12, #18, #32

12. Сообщение от Аноним (12), 25-Май-23, 02:08	+/–
да-да, придёт тов.майор и сразу по ушам
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

13. Сообщение от Алексей (??), 25-Май-23, 02:31	+6 +/–
> 29% ключей отсутствуют на крупных публичных серверах ключей, т.е. не могут рассматриваться как заслуживающие доверия. Централизую децентрализованное. Недорого. Гарантия.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #19

15. Сообщение от Аноним (15), 25-Май-23, 03:22	+2 +/–
Где? 29% ключей хрен пойми откуда взялись и проверить их принципиально невозможно. Ну ок. Эдак и похова собака тебе подписать может что угодно: лапы, хвост и усы имеются!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #16, #17

16. Сообщение от Аноним (16), 25-Май-23, 05:17	+4 +/–
> 29% ключей хрен пойми откуда взялись Не хрен пойми откуда, а: 1. от разработчика, чей (другой) пакет уже использовали и проблем с ним замечено не было, 2. от предыдущей версии пакета, код которой верифицировали, 3. мой собственный пакет, подписанный моим ключом (или пакет компании, где я работаю, подписанный её ключом), 4. из мелкого публичного сервера ключей, или крупного, о существовании которого создатели пипей не слышали, 5. из другого источника, которому можно доверять: 5.2. общался с разработчиком по почте лично, просил прислать его ключ, 5.3. брат жены друга, который прошёл один из предыдущих пунктов > и проверить их принципиально невозможно После того, как их поддержку выпилили, проверить их стало возможно, да?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #25

17. Сообщение от Аноним (17), 25-Май-23, 07:28	+2 +/–
Любая собака может опубликовать ключ на "крупных публичных серверах ключей", но он не станет от этого "доверенным"
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #26

18. Сообщение от timur.davletshin (ok), 25-Май-23, 08:00	+/–
> Разработчики не умеют использовать и проверять подписанные ключи. Абсолютно верно. Сталкивался не раз с тем, что банально приватные ключи выкладывали в открытый доступ или просто высылали их. Увы, но информ. безопасность идёт с некоторым обременением и этот порог вхождения не могут преодолеть зачастую даже представители целевой аудитории.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

19. Сообщение от timur.davletshin (ok), 25-Май-23, 08:07	+/–
С публичными серверами некоторое время произошёл факап из-за атаки при помощи чрезвычайно длинных цепочек доверия, так что даже дефолтные SKS пришлось в GnuPG менять. После этого запара с публичными ключами только усугубилась. Зато теперь придумали зоопарк с p=p и более экзотичными способами втулить подписи во вложение к email.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

20. Сообщение от timur.davletshin (ok), 25-Май-23, 08:09	+1 +/–
Хуже, я как-то столкнулся с разработчиком, который старательно подписывал свои пакеты, почту и прочее, но отказывался предоставить публичный ключ. Порядочное "ЧО" я тогда получил )))
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #40

21. Сообщение от Аноним (21), 25-Май-23, 08:34	+5 +/–
Чтобы OpenPGP заработал, как надо, необходимо соблюдать несколько условий: 1. Защита секретного ключа. Безопасность самой OS с которой осуществляется подпись: https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/lin... Защита ключей с помощью аппаратных хранилищ: https://www.nitrokey.com/news/2018/nitrokey-partners-linux-f... https://www.nitrokey.com/news/2019/nitrokey-partners-gentoo-... https://www.nitrokey.com/news/2021/nitrokey-equips-arch-linu... 2. Работа с подписями. Необходимо подписывать чужие публичные ключи, сверять по буквам Ф.И.О. и фотографию, верифицировать контроль над E-mail, которые указаны в идентефикаторе публичного ключа. Загружать свои публичные ключи и подписи на сервера ключей OpenPGP. Обмен ключами можно проводить в универе среди однокурсников, на работе среди сотрудников, ... 3. Понимать как работает PGP, прочесть документацию: https://www.opennet.ru/docs/282.shtml https://www.altlinux.org/%D0%A0%D0%B0�...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #22, #24, #30, #31, #51

22. Сообщение от Аноним (21), 25-Май-23, 08:49	+1 +/–
Создавать ключи без строка действия, или ставить 1000 лет. Размер ключа делать максимально большим. Обязательно, при создании нового ключа, подписывать его своим старым ключём.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

24. Сообщение от YetAnotherOnanym (ok), 25-Май-23, 09:13	+8 +/–
> прочесть документацию Не, ну ты скажешь тоже...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

25. Сообщение от пох. (?), 25-Май-23, 09:44	–1 +/–
> Не хрен пойми откуда, а: > 1. от разработчика, чей (другой) пакет уже использовали и проблем с ним замечено не было, экспертиза опеннета. Дальше в общем можно не читать. То есть местные д-лы даже не понимают, как работает pgp. > После того, как их поддержку выпилили, проверить их стало возможно, да? да, твоим методом номер пять - "из другого источника, которому можно доверять". Если бы он существовал не только в твоих фантазиях, ты бы вполне мог попросить у него подписанную хэш-сумму пакета - раз уж ты даже смог где-то взять его публичный ключ. Но скорее всего фантазии так и останутся фантазиями, потому что разработчики там примерно такие же.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

26. Сообщение от пох. (?), 25-Май-23, 09:48	+/–
по крайней мере можно будет быть уверенным что новая версия того же самого пакета или другой от того же автора - действительно подписаны его ключом. Что, разумеется, тоже ровным счетом ничего не означает, подписаны, его ключом - и - вот что? Но кому-то возможно так спокойнее. С тем же успехом можно просто публичный ключ класть рядом с кодом, как во времена ftp.gnu.org и делали. Параноики могли параноить, для остальных это был просто ненужный файл.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

27. Сообщение от Аноним (27), 25-Май-23, 10:13	+/–
Лучше бы они хоть какой-то модерацией пакетов занимались чем этим.
Ответить | Правка | Наверх | Cообщить модератору

28. Сообщение от Абц (?), 25-Май-23, 12:40	–1 +/–
Разработчкик выкладывет свой код в любой публичный репозиторий кода с отказом об ответственности. Далее, если оно надо разрабу, выдвинуть на рассмотрение для влючения в каталог pypi.org. Владельцы pypi определяют степень нужности, проводят код ревью, берут на себя ответственность, за то, что они кладут в свой каталог и у них не будет никаких персональных данных разработчика. Т.е. разраб запушил свое творчество в открытый мир, забыв о подтверждениях телефона, сдаче отпечатков пальцев и анализов. Все равно это  не гарантирует, что учетку или инфраструктуру проктаа не взломают и от твоего имени не вкомитят что угодно. Можно на pypi показывать пакеты уже загруженные и кандидатов на включение, но скачиваются кандидаты из внешних реп без гарантий.
Ответить | Правка | Наверх | Cообщить модератору

29. Сообщение от Аноним (-), 25-Май-23, 13:09	+/–
>Кроме того, разработчики PyPI объявили о решении прекратить поддержку PGP-подписей для верификации пакетов, так как они не решают возложенные на них задачи и в текущем виде бесполезны. То есть, из разработчиков PyPI ушли люди, действительно умевшие в PGP и пришли любители аутентификации по радужке из московского метро и сбербанка. Ну вы поняли, чем это пахнет.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #33

30. Сообщение от Аноним (30), 25-Май-23, 14:21	+/–
Цифровизация в РФ под угрозой или все пункты соблюдены? ИФНС во всю выдают сертификаты, а тема то незащищенная вовсе
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #34, #50

31. Сообщение от OpenEcho (?), 25-Май-23, 15:12	+/–
> Чтобы OpenPGP заработал Пока нет **достоверной** верификации независиммым "третьим лицом", - PGP подписи само/всех-обман. И этого, самого главного пункта нет в перечисленном выше
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #35

32. Сообщение от OpenEcho (?), 25-Май-23, 15:22	+/–
> Разработчики не умеют использовать и проверять подписанные ключи. Для того чтоб проверить, надо сперва верить, что публичный ключ и правда принадлежит тому, кого он идентифицирует. Пока каждый может безплатно и без проверки пушнуть в кейсторадж свои ключи переписав любого, - это фуфло. Так же как и коммунистическая вера в группы добровольных общин подписывающих(?) других людей. Где они, верящие в святой ПГП? Где они, кросс-подписи во всех популярных проектах? А, да, - вы просто верьте то что на нашем сайте (взломанном? да вы что?! не бывает такого!) можете сверить с нашим ключом. Если бы это фуфло работало, то каждый бы мог сам себе выписывать паспорт, водительские права и т.д и т.п.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #36

33. Сообщение от OpenEcho (?), 25-Май-23, 15:29	–2 +/–
> действительно умевшие в PGP Таких нет, - в принципе, т.к. за столько десятилетий так и не появились верифицирющие/удостоверяющие люди/центры и как результат сама идея изпользования ПГП как **публичного** удостоверяющего инструмента - нет. ПГП как и любая ассинхронная криптография работает исключительно только когда публичными ключами обменялись из рук в руки (под подпись и с проверкой по пасспорту) или существует **доверенный, верефицирюющий, независсимый** центр, которого в ПГП инфраструктуре - нет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

34. Сообщение от Аноним (34), 25-Май-23, 15:33	+1 +/–
Лично мне в Законе не нравится пункт о уничтожении публичных ключей. Моё мнение подписаные в УЦ ключи должны хранится вечно. Если нет, то с этого мало пользы. Также не нравится отсутствие централизированных публичных серверов со всеми ключами. Как найти ключ Васи Пупкина? Не нравится требование о установки блоба для работы с ключами. Ключ должен создавать пользователь, а УЦ только подписывать публичную часть.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30

35. Сообщение от Аноним (34), 25-Май-23, 15:46	+/–
Есть п. 2 Верификация, достоверность зависит от лица проверяющего паспорт и E-mail, более 5 человек вполне достаточно. https://www.linux.org.ru/forum/security/16839105?cid=16840324
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31 Ответы: #38

36. Сообщение от ivan_erohin (?), 25-Май-23, 17:58	+/–
> Где они, кросс-подписи во всех популярных проектах? "во всех" - это перфекционизм. но в некоторых есть: https://tails.boum.org/install/expert/index.en.html https://kernel.org/category/signatures.html
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32 Ответы: #39

37. Сообщение от Аноним (-), 25-Май-23, 20:09	+1 +/–
Вон уже предложили. Раз секурно не получается то делать несекурно. Гениальное же решение.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

38. Сообщение от OpenEcho (?), 26-Май-23, 00:26	+/–
> Есть п. 2 Верификация, достоверность зависит от лица проверяющего паспорт и E-mail, > более 5 человек вполне достаточно. > https://www.linux.org.ru/forum/security/16839105?cid=16840324 Где эти 5 человек??? И кто они, и почему я им должен верить что это не один и тот-же человек подписавший себя тремя вымышленнами анонимами? Где те проекты используюшие услуги этих 5 человек подписывающих чужие ключи ? Линух? А может секьюрити офицеры из Фряхи? Как проверить, что эти 5-ро не афереисты, которые слизали паспортные данные чтоб провернуть гнилое дело вместо подписывания твоего сертификата? И т.д. и т.п.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35 Ответы: #41

39. Сообщение от OpenEcho (?), 26-Май-23, 00:33	+/–
>> Где они, кросс-подписи во всех популярных проектах? > "во всех" - это перфекционизм. но в некоторых есть: > https://tails.boum.org/install/expert/index.en.html > https://kernel.org/category/signatures.html И где гарантия, что эти сайты не взломаны, показывающие эти подписи? Т.е. просто верьте на слово, - "мы крутая пацанва, нас все знают и нас никто и никогда не ломал..."
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36 Ответы: #42

40. Сообщение от Аноним357 (?), 26-Май-23, 01:42	+/–
наверное можно было хотя-бы отпечаток ключа предоставить ...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

41. Сообщение от Аноним (41), 26-Май-23, 07:14	+/–
>> Обмен ключами можно проводить в универе среди однокурсников, на работе среди сотрудников, ... Желательно обмен проводитьсреди грамотных людей, личности которых ты хорошо знаешь. > Как проверить, что эти 5-ро не аферисты, которые слизали паспортные данные чтоб провернуть гнилое дело вместо подписывания твоего сертификата? >> https://www.linux.org.ru/forum/security/16839105?cid=16840324 Цепочка доверия. Если к интересующему тебя ключу есть ~5 разных цепочек доверия, то с высокой вероятностью ключ принадлежит собственнику. Да можно, создать 5 фиктивных ключей, чтобы подписать ключ мошенника. Но очень сложно чтобы эти 5 фиктивных ключей подписали реальные люди для образования цепочек доверия между тобой и ключом мошенника. Делаю акцент на аккуратную проверку паспортных данных Ф.И.О., фотографии и верификацию E-mail, подавляющим числом пользователей OpenPGP при подписании чужих ID ключей. Пару неаккуратных пользователей, подписывающих всё что попадает им в руки, включая ключи аферистов, WOT выдержит.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38 Ответы: #43

42. Сообщение от ivan_erohin (?), 26-Май-23, 10:49	+/–
> И где гарантия, что эти сайты не взломаны ГАРАНТИЮ дает только страховой полис. и то за страховое возмещение придется судиться (по опыту с ОСАГО), страховщики очень жадные и жлобные. // интересно, сколько будет стоить застраховать сайт (ключ) от взлома на год ? > Т.е. просто верьте на слово, - "мы крутая пацанва, нас все знают в конечном счете да. > и нас никто и никогда не ломал..." если бы ломали, то поднялся бы такой хай в интернетах, что заметили бы даже самые придонные ламеры и нубы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39 Ответы: #44

43. Сообщение от OpenEcho (?), 26-Май-23, 14:32	+/–
> Желательно обмен проводитьсреди грамотных людей, личности которых ты хорошо знаешь. Точно, у меня завтра с хорошим кентом, Линусом Торвальдосом встреча, а после завтра с Вовкой Путиным, заодно ключами обменяемся, подпишем их там друг другу... > Цепочка доверия. Если к интересующему тебя ключу есть ~5 разных цепочек доверия, > то с высокой вероятностью ключ принадлежит собственнику. дорогой друг, я очень рад, правда, что ты понял как мог бы работать этот концепт, но как показывает десятилетия  практики, WOT не работает за исключением нескольких чудаков на планете, но вот массы свято верят в подписанные кем-то и чем-то ключи и думают они очень круты, т.к. научились в одну строчку запустить верификацию хер знает чего > WOT выдержит. Ты как покажешь цепочку доверия того же Торвальдаса, которую я могу проверить, лично и по паспортным данным, ну не его, ну хотя-бы тех 5 пацанов, вот тогда и поговорим как твой вебо-траст выдержит
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41 Ответы: #49

44. Сообщение от OpenEcho (?), 26-Май-23, 14:41	+/–
> ГАРАНТИЮ дает только страховой полис. > и то за страховое возмещение придется судиться (по опыту с ОСАГО), > страховщики очень жадные и жлобные. А зачем тогда вообще вся эта лапша с ПГП? > // интересно, сколько будет стоить застраховать сайт (ключ) от взлома на год > ? По разному, если платить за EV верификацию, то можно под пол лимона зелени застраховаться, но только не с ПГП, а с SSL >> Т.е. просто верьте на слово, - "мы крутая пацанва, нас все знают > в конечном счете да. А нах тогда вообще этот самобман с ПГП, где самое главное - **доверие** подписи, - не проверяемое ? >> и нас никто и никогда не ломал..." > если бы ломали, то поднялся бы такой хай в интернетах, > что заметили бы даже самые придонные ламеры и нубы. Так переодически именно это и случается :)))) Потому как строить охеренно крутые , беттонно-чугунные ворота с неломаемым в принципе замком, но... без забора, в открытом поле - нет никакого смысла
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42

46. Сообщение от Аноним (46), 26-Май-23, 19:40	+/–
Задача подписи в том, чтобы определить, что у пакета не поменялся автор. Критерий вида "ключи не зарегистрированы на крупных серверах с ключами" ни о чем абсолютно. Не пытайтесь завести и в pgp сертификационные центры и просрачиваемость, тут хоть и есть видимость подобного, но все работает совершенно иначе, ключи можно продлевать или ставить им вечные сроки, и работать они не перестают если просрочены.
Ответить | Правка | Наверх | Cообщить модератору

49. Сообщение от Аноним (49), 27-Май-23, 13:38	+/–
> Точно, у меня завтра с хорошим кентом, Линусом Торвальдосом встреча ... Подписывай ключи тех кого хорошо знаешь: одноклассников, однокурсников, сотрудников. >> Цепочка доверия. Если к интересующему тебя ключу есть ~5 разных цепочек доверия, >> то с высокой вероятностью ключ принадлежит собственнику. > но как показывает десятилетия  практики, WOT не > работает за исключением... Работает у тех кто прилагает усилия. Надо всего-то подписать ключи тех людей кого знаешь. https://git.kernel.org/pub/scm/docs/kernel/pgpkeys.git/tree/... https://archlinux.org/master-keys https://git.altlinux.org/gears/a/alt-gpgkeys.git?p=alt-gpgke... >> WOT выдержит. > Ты как покажешь цепочку доверия того же Торвальдаса, которую я могу проверить, лично и по паспортным данным, ну не его, ну хотя-бы тех 5 пацанов, вот тогда и поговорим как твой вебо-траст выдержит Ты можешь проверить только паспорта тех чьи ключи лично подписываешь. После того как подпишет некоторое количество ключей можно посмотреть цепочки доверия от твоего ключа к торвальдсу, например: https://www.opennet.ru/openforum/vsluhforumID3/130597.html#43
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #43

50. Сообщение от Аноним (50), 27-Май-23, 15:44	+/–
> Цифровизация в РФ под угрозой или все пункты соблюдены? Всё идет строго по пунктам их их плана: 1. https://www.opennet.ru/openforum/vsluhforumID10/5567.html 2. https://www.opennet.ru/openforum/vsluhforumID10/5564.html 3. Следующим пунктом плана всех чипировать: https://nauka.tass.ru/nauka/17848123
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30

51. Сообщение от нона (?), 29-Май-23, 01:09	+1 +/–
2. Как только человек начинает говорить про WoT в контексте подписи артефактов, можно сразу дальше не читать — просто шалунишка в штанишках. Атака организуется на раз-два-три. Как пример: ни один из дистров не использует WoT для управления ключами для подписи пакетов.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #53

53. Сообщение от Аноним (53), 10-Июн-23, 09:57	+/–
> Как пример: ни один из дистров не использует WoT для управления ключами для подписи пакетов. Не использование подписанных ключей при подписи программ, ISO, ... есть баг. Это неверное использование PGP. Раньше (до Сновдена и Осанджа) так не было. Лучше, чтобы пакет с прогой, ISO, ... был подписан сразу несколькими подписями его разработчиков, а не одной. Как это делается, например https://gnupg.org/ftp/gcrypt/gnupg/gnupg-2.2.14.tar.bz2.sig https://gnupg.org/ftp/gcrypt/gnupg/gnupg-2.2.14.tar.bz2
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема