abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
eParkomat, startup z ČR, postoupil mezi finalisty evropského akcelerátoru ChallengeUp!
Robot na pivo mu otevřel dveře k opravdovému byznysu
Internet věcí: Propojený svět? Už se to blíží...
dnes 16:00 | Nová verze

Byla vydána verze 0.98 svobodného nelineárního video editoru Pitivi. Z novinek lze zmínit například přizpůsobitelné klávesové zkratky. Videoukázka práce s nejnovější verzí Pitivi na YouTube.

Ladislav Hagara | Komentářů: 0
dnes 15:00 | Zajímavý software

Stop motion je technika animace, při níž je reálný objekt mezi jednotlivými snímky ručně upravován a posouván o malé úseky, tak aby po spojení vyvolala animace dojem spojitosti. Jaký software lze pro stop motion použít na Linuxu? Článek na OMG! Ubuntu! představuje Heron Animation. Ten bohužel podporuje pouze webové kamery. Podpora digitálních zrcadlovek je začleněna například v programu qStopMotion.

Ladislav Hagara | Komentářů: 1
včera 21:21 | Nová verze Ladislav Hagara | Komentářů: 0
včera 11:44 | Zajímavý projekt

Na Indiegogo byla spuštěna kampaň na podporu herní mini konzole a multimediálního centra RetroEngine Sigma od Doyodo. Předobjednat ji lze již od 49 dolarů. Požadovaná částka 20 000 dolarů byla překonána již 6 krát. Majitelé mini konzole si budou moci zahrát hry pro Atari VCS 2600, Sega Genesis nebo NES. Předinstalováno bude multimediální centrum Kodi.

Ladislav Hagara | Komentářů: 0
včera 00:10 | Nová verze

Byla vydána verze 4.7 redakčního systému WordPress. Kódové označením Vaughan bylo vybráno na počest americké jazzové zpěvačky Sarah "Sassy" Vaughan. Z novinek lze zmínit například novou výchozí šablonu Twenty Seventeen, náhledy pdf souborů nebo WordPress REST API.

Ladislav Hagara | Komentářů: 4
6.12. 12:00 | Zajímavý projekt

Projekt Termbox umožňuje vyzkoušet si linuxové distribuce Ubuntu, Debian, Fedora, CentOS a Arch Linux ve webovém prohlížeči. Řešení je postaveno na projektu HyperContainer. Podrobnosti v často kladených dotazech (FAQ). Zdrojové kódy jsou k dispozici na GitHubu [reddit].

Ladislav Hagara | Komentářů: 27
6.12. 11:00 | Bezpečnostní upozornění

Byly zveřejněny informace o bezpečnostní chybě CVE-2016-8655 v Linuxu zneužitelné k lokální eskalaci práv. Chyba se dostala do linuxového jádra v srpnu 2011. V upstreamu byla opravena minulý týden [Hacker News].

Ladislav Hagara | Komentářů: 2
5.12. 22:00 | Komunita

Přibližně před měsícem bylo oznámeno, že linuxová distribuce SUSE Linux Enterprise Server (SLES) běží nově také Raspberry Pi 3 (dokumentace). Obraz verze 12 SP2 pro Raspberry Pi 3 je ke stažení zdarma. Pro registrované jsou po dobu jednoho roku zdarma také aktualizace. Dnes bylo oznámeno, že pro Raspberry Pi 3 je k dispozici také nové openSUSE Leap 42.2 (zprávička). K dispozici je hned několik obrazů.

Ladislav Hagara | Komentářů: 6
5.12. 06:00 | Zajímavý software

OMG! Ubuntu! představuje emulátor terminálu Hyper (GitHub) postavený na webových technologiích (HTML, CSS a JavaScript). V diskusi k článku je zmíněn podobný emulátor terminálu Black Screen. Hyper i Black Screen používají framework Electron, stejně jako editor Atom nebo vývojové prostředí Visual Studio Code.

Ladislav Hagara | Komentářů: 50
5.12. 06:00 | Zajímavý článek

I letos vychází řada ajťáckých adventních kalendářů. QEMU Advent Calendar 2016 přináší každý den nový obraz disku pro QEMU. Programátoři se mohou potrápit při řešení úloh z kalendáře Advent of Code 2016. Kalendáře Perl Advent Calendar 2016 a Perl 6 Advent Calendar přinášejí každý den zajímavé informace o programovacím jazyce Perl. Stranou nezůstává ani programovací jazyk Go.

Ladislav Hagara | Komentářů: 10
Kolik máte dat ve svém domovském adresáři na svém primárním osobním počítači?
 (32%)
 (24%)
 (29%)
 (7%)
 (5%)
 (3%)
Celkem 796 hlasů
 Komentářů: 50, poslední 29.11. 15:50
Rozcestník
Reklama

Dotaz: S/MIME či (Open)PGP?

9.12.2008 01:57 Ladislav Nešněra | skóre: 30 | blog: ..+2
S/MIME či (Open)PGP?
Přečteno: 759×

z toho, co jsem nabrouzdal bych řekl, že si nabíhám na flame.. No, snad to tak nedopadne.

Jde mi zejména o uživatelskou nenáročnost u protistrany především z ČR + mít otevřenou možnost pro komunikaci s úřady. Vychází mi z toho lépe S/MIME. Dostupné v klientech (Outlook, Lotus Notes, atd.) + naše legislativa (by mě zajímalo, proč jen S/MIME). To co mne zvyklává je údajná oblíbenost v linuxové komunitě a inklinace ke slovíčku "Open" ;-)

 

Odpovědi

9.12.2008 07:32 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
S/MIME je standard a součást dalšího balíku standardů, PGP je proprietární řešení, které bylo později také standardizováno (ale, pokud vím, nemá vazby k dalším standardům). Proč veřejná správa vyžaduje S/MIME a ne PGP je zřejmé -- S/MIME využívá koncept certifikační autority, PGP sítě důvěry. Veřejná správa samozřejmě potřebuje nějakou důvěryhodnou instituci, která se zaručí za to, že váš klíč patří opravdu vám. S PGP by si každý úředník musel osobně ověřovat, že váš PGP klíč patří opravdu vám, nebo by musel důvěřovat nějaké důvěryhodné třetí straně -- tedy opět nějaké certifikační autoritě.
9.12.2008 08:04 rastos | skóre: 60 | blog: rastos
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
IMHO, PGP je ekvivalent pre X.509. X.509 použité v mailoch je jedna z možností zabezpečenia komunikácie mailami. Bezpečná komunikácia mailami je nazvaná S/MIME. Pravda je, že zákon o elektronickom podpise bol šitý na mieru pre X.509 - a preto ho štátne inštitúcie podporujú (resp. majú podporovať) ako jedinú variantu. Prečo to ale nemôže fungovať tak, že by dôveryhodná štátna inštitúcia podpisovala PGP kľúče občanov - to mi nie je jasné. Jediné čo ma napadá, že pre PGP (asi) neexistujú HW krabičky, ktoré to šifrovanie robia a znižujú riziko úniku privátneho kľúča. Použitie PGP/GPG by bolo pre občanov lacnejšie. A CA by nemohli ryžovať.

Nemyslím, že by Linuxová komunita dávala prednosť S/MIME pred PGP. Slušný e-mailový klient podporuje oboje. Je to len o tom, čo vyhovuje viac protistrane.
9.12.2008 08:32 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Pokud by nějaká důvěryhodná instituce podpisovala PGP klíče občanů, byla by to opět klasická CA, se stejnými náklady a stejnými cenami. CA "nerýžuje" na tom, že je to X.509 místo PGP, ale má náklady se zabezpečením toho, aby privátní klíč za žádnou cenu neunikl, aby ověřila totožnost, aby měla funkční infrastrukturu a včas vydávala CRL. To vše by bylo s PGP úplně stejné. Akorát ta technologie PGP by tam moc nepasovala, protože PGP je postavena na principu sítě důvěry (oproti principu důvěryhodné autority). Samořejmě jsou oba principy navzájem převoditelné, ale je to zbytečné, lepší je používat tu technologii, která je pro danou věc navržena.
9.12.2008 10:53 rastos | skóre: 60 | blog: rastos
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Ako človeku, ktorý neprevádzkuje CA je mi dosť ťažké uznať náklady spojené s prevádzkovaním CA ;-) Moja predstava o "zabezpečením toho, aby privátní klíč za žádnou cenu neunikl" je skutočne dobrý zámok na skutočne dobrých dverách do miestnosti bez okien a internetového pripojenia, v ktorom sú 1-2 obyčajné PC. K tomu dobrý systém zálohovania a SBS-kár pred dvere ;-)

Ja viem, že ono je to trochu zložitejšie. Ale na druhej strane platiť pár sto až tisíc korún ročne za vec, ktorú použijem raz za uhorský rok (ak nie som podnikateľ) mi pripadá veľa. Navyše odobrený HW funguje len na MS Windows (tm)(c) - aspoň pokiaľ som mal možnosť vidieť.
9.12.2008 16:28 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Pokud chcete poskytovat kvalifikované certifikáty, znamená to třeba tak prověrky NBÚ – nevím, čeho všeho. To asi nebude za hubičku. Skutečně dobrý zámek a skutečně dobré dveře vám taky na nic nebudou, když tím privátním klíčem musíte podepsat desítky certifikátů denně, musíte jím podepsat každých osm hodin CRL – takže za těmi bezpečnými dveřmi ten certifikát budete mít tak 6 hodiny denně, a po zbytek dne vám bude lítat bůhví kde.

Té poslední větě moc nerozumím, ale pokud jste tím myslel, že software pro práci s kvalifikovanými certifikáty funguje jen pod Windows, tak to není pravda – prováděcí vyhláška k zákonu se odvolává na běžné standardy, pracují s nimi i CA, takže žádost o certifikát si můžete vytvořit jak chcete, s výsledným certifikátem si také můžete pracovat jak chcete – takže klidně můžete používat OpenSSL.
9.12.2008 17:05 rastos | skóre: 60 | blog: rastos
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Keď má CA podpísať CRL, tak pracovník CA prinesie CRL na USB kľúči do bezpečnej miestnosti, podpíše a podpísané vynesie na miesto, kde sa dá uverejniť. Nie?

A k tomu HW: pochopil si ma správne. Mám pocit (obávam sa, že to, ako je to reálne, zadarmo nezistím), že ten certifikát, ktorý dostaneš od CA je uložený na čipovej karte. Keď chceš podpísať dokument, tak potrebuješ SW, ktorý ten dokument odkomunikuje do krabičky. Do krabičky pichneš čipovú kartu a z krabičky vylezie podpísaný dokument (alebo detachnutý podpis, to je fuk). Problém vidím v tom SW, ktorý má realizovať ten prenos do a z krabičky. IMHO na to treba drajvery, ktoré sa asi nerobia podľa nejakých noriem. Tie normy hovoria o formáte tých certifikátov (aj to dosť vágne - napr. nie som presvedčený, že definujú, ktoré politiky sú povinné). Dokonca mám pocit, že existujú špeciálne aplikácie, ktoré majú certifikát na to, že zobrazujú skutočne dokument, ktorý človek chce podpísať a prípadne integrujú komunikáciu s čítačkou kariet a pod.

Ja netvrdím, že som expert na danú problematiku. Ale presvedčil by ma nejaký blog, ktorý skutočne popisuje, ako človek išiel do CA v CR alebo SK, došiel domov s niečím, doma sadol za linuxový stroj a poslal podpísaný e-mail. Doteraz som taký nevidel.
xkucf03 avatar 9.12.2008 17:25 xkucf03 | skóre: 45 | blog: xkucf03
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

 

Problém vidím v tom SW, ktorý má realizovať ten prenos do a z krabičky. IMHO na to treba drajvery, ktoré sa asi nerobia podľa nejakých noriem.
http://en.wikipedia.org/wiki/PC/SC

 

http://linux.die.net/man/8/pcscd

 

http://packages.debian.org/lenny/pcscd

 

http://www.gnupg.org/howtos/card-howto/en/smartcard-howto-single.html

 

Mám rád, když se lidé přou, znamená to, že vědí, co dělají, a že mají směr. Frantovo.cz, SQL-Výuka.cz, Nekuřák.net
9.12.2008 19:26 rastos | skóre: 60 | blog: rastos
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Jo človek sa učí celý život ;-) Díky za linky. Stále ale vo mne hlodá červík pochybnosti o tom, že pscd či gpg vie komunikovať s tými konkrétnymi zariadeniami, ktoré som linkoval vyššie.
9.12.2008 19:36 petr_p | skóre: 59 | blog: pb
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Mám pocit (…), že ten certifikát, ktorý dostaneš od CA je uložený na čipovej karte.

Na čipový kartě je uložen soukromý klíč. Naopak certifikát je veřejný.

9.12.2008 19:40 petr_p | skóre: 59 | blog: pb
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
ako človek išiel do CA v CR alebo SK, došiel domov s niečím, doma sadol za linuxový stroj a poslal podpísaný e-mail.

Já jsem viděl, dokonce jsem takové klíče a žádost vyráběl. Žádost na disketě se odebrala s dotyčnou osobou k autoritě, ta ověřila totožnost osoby a shodu údajů v žádosti, vybrala poplatek a za nějakou dobu přišel e-mailem certifikát.

9.12.2008 22:23 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Na čipové kartě (v lepším případě, v horším na souboru na disku) máte soukromý klíč. Když chcete podepsat dokument, vygeneruje se z něj hash a podepisuje se jenom ten hash. Do a z krabičky se tedy přenášejí jenom ten hash. Pokud vím, není moc velký problém sehnat takovou krabičku, která má ovladače jak pro Windows, tak pro Linux i pro Javu. Navíc kde máte uložený privátní klíč je čistě vaše věc, takže pokud neseženete krabičku se správným ovladačem, vygenerujete si privátní klíč a žádost s OpenSSL na disku, a s privátním klíčem si můžete dělat, co chcete. Na CA to nepoznají, zda privátní klíč k té žádosti máte uložený na disku nebo na kartičce.
Ja netvrdím, že som expert na danú problematiku. Ale presvedčil by ma nejaký blog, ktorý skutočne popisuje, ako človek išiel do CA v CR alebo SK, došiel domov s niečím, doma sadol za linuxový stroj a poslal podpísaný e-mail. Doteraz som taký nevidel.
To si klidně můžete vyzkoušet doma, tu CA k tomu nepotřebujete, můžete si ji udělat sám :-) Jinak s certifikáty vydanými českými CA jsem bez problémů pracoval jak s OpenSSL pod Linuxem tak s Javou z Windows nebo Linuxu. Certifikát žádné české komerční CA nemám, takže jsem oficiálně nikdy žádný odpovídající privátní klíč neviděl, ale vím, že to taky funguje ;-)
9.12.2008 22:49 rastos | skóre: 60 | blog: rastos
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
To si klidně můžete vyzkoušet doma, tu CA k tomu nepotřebujete, můžete si ji udělat sám
To mi povídej :-) Celú dobu rozprávam o certifikátoch použiteľných pre komunikáciu so štátnymi úradmi. Tam nejde len o to či nájdem SW ktorý to dokáže, ale o to, aké mantinely stavia a) zákon a b) skutočná CA, ktorá má licenciu NBÚ. Darmo budem mať request vyrobený v OpenSSL, keď mi v CA napr. povedia, že sú mi nanajvýš ochotní tak predať SafeNet iKey 2032/2032 FIPS s privátnym kľúčom už vygenerovaným a uloženým na ňom (to bol príklad, neviem či to tak skutočne je). A k tomu CD s driverom pre Windows, alebo (v tom lepšom prípade) Mandrivu 9.2. Keby šlo používať PGP/GPG, tak by bolo po starosti.
10.12.2008 08:41 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Tak na zjištění tohohle zase nemusíte nic platit. To úplně stačí přečíst si podmínky a tam se minimálně u I. CA a PostSignum dočtete, že jedna z variant je doručit jim vygenerovanou žádost o certifikát ve standardním formátu na nějakém přenosném médiu (nevím, zda pošta stále akceptuje jen diskety, nebo už i USB flash disk).

I.CA: „Dále je nutné vytvořit žádost o certifikát a uložit vzniklý soubor „cert.req" na flesh disk, nebo disketu.“ (Ten překlep ve „flash“ je originál.)

PostSignum QCA: „Vygenerované klíče i žádost o certifikát jsou uloženy do souborů v adresáři, který určíte.“

Zákon (resp. prováděcí vyhláška) se odkazuje na standardy, takže maximálně jsou pro vydání certifikátu dle zákona povinné některé položky certifikátu, které jsou podle standardu volitelné. Ale to by neměl být problém zjistit.
9.12.2008 19:33 petr_p | skóre: 59 | blog: pb
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
takže za těmi bezpečnými dveřmi ten certifikát budete mít tak 6 hodiny denně, a po zbytek dne vám bude lítat bůhví kde.

Střeží ze soukromý klíč autority, nikoliv jakýkoliv certifikát.

Navíc se nikam nic nenosí a nic nikde nepoletuje. Podepisovací mašina autority je zavřená v nepřístupné (fyzicky, elektromagneticky) místnosti a jediný, kdo zná soukromý klíč autority, je ona mašina. Když je třeba vyrobit certifikát, pověřená osoba odešle žádost po lince podepisujícímu stroji, ten vyrobí certifikát a po stejné lince jej pošle ven. Fyzický přístup k těmto strojům je prakticky nemožný.

xkucf03 avatar 9.12.2008 20:45 xkucf03 | skóre: 45 | blog: xkucf03
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

Pak je ještě potřeba zabezpečit přístup k terminálu, který mašině požadavky na certifikáty posílá, a ochránit osoby, které k danému terminálu mají přístup… :-)

Mám rád, když se lidé přou, znamená to, že vědí, co dělají, a že mají směr. Frantovo.cz, SQL-Výuka.cz, Nekuřák.net
9.12.2008 22:09 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Střeží ze soukromý klíč autority, nikoliv jakýkoliv certifikát.
Ano. Mám zlozvyk říkat čemukoli kde je nějaký klíč nebo něco podepsané certifikát. To je samý správce certifikátů, export certifikátu, a pak člověk píše certifikát i místo soukromého klíče.
Navíc se nikam nic nenosí a nic nikde nepoletuje. Podepisovací mašina autority je zavřená v nepřístupné (fyzicky, elektromagneticky) místnosti a jediný, kdo zná soukromý klíč autority, je ona mašina. Když je třeba vyrobit certifikát, pověřená osoba odešle žádost po lince podepisujícímu stroji, ten vyrobí certifikát a po stejné lince jej pošle ven. Fyzický přístup k těmto strojům je prakticky nemožný.
Tím se ale problém s bezpečností pouze přesunul k terminálu a lince k podepisujícímu stroji. Já jsem tím obrazně chtěl říci hlavně to, že dokonale nepřístupný privátní klíč je zároveň dokonale k ničemu. Takže to zabezpečení musí k privátnímu klíči pustit „to správné“ (oprávněné požadavky na podpis), což celé zabezpečení samozřejmě prodražuje.
9.12.2008 13:05 Ladislav Nešněra | skóre: 30 | blog: ..+2
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

díky za upřesnění pojmů - takto mi to konečně zapadlo ;-)


9.12.2008 16:17 Ladislav Nešněra | skóre: 30 | blog: ..+2
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

jaké krabičky?

9.12.2008 16:27 rastos | skóre: 60 | blog: rastos
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
jaké krabičky?
USB tokeny, čítačky čipových kariet a podobne
xkucf03 avatar 9.12.2008 17:10 xkucf03 | skóre: 45 | blog: xkucf03
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

nbusr123 :-D

Mám rád, když se lidé přou, znamená to, že vědí, co dělají, a že mají směr. Frantovo.cz, SQL-Výuka.cz, Nekuřák.net
9.12.2008 19:21 petr_p | skóre: 59 | blog: pb
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

Zpočátku se v Česku mohlo systémové (= automatizované bez lidského zásahu) podepisování provádět také jen certifikovanými krabičkami. Ale úřady si stěžovali, že to je moc drahý, a tak daná vyhláška rychle šla do legislativního koše.

Pokud to je u vás stále vyžadováno, dejte stroj s OpenSSL pod zámek. OpenSSL má opět FIPS 2 certifikaci.

9.12.2008 19:50 pht | skóre: 48 | blog: pht
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Moc nerozumim v cem shledavate rozdil mezi overenim klice u S/MIME (SSL) a PGP. Oboje dvoje totiz pouziva stejny rezim "verejny klic je podepsan privatnim klicem CA a verejny klic CA jsem si obstaral/overil nejak zvlast". Snad jen ze PGP umoznuje jemnejsi deleni urovne duvery (partials atp), ale to je nepodstatne. Kazdopadne u obou systemu dela urednik vzdy totez.
In Ada the typical infinite loop would normally be terminated by detonation.
9.12.2008 22:03 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Já rozdíl shledávám v tom, že PGP není postaveno na konceptu certifikačních autorit, ale na principu sítě důvěry. Jestli mezitím PGP začalo používat i koncept CA, je to pouze důkaz toho, že princip CA asi není zas až tak špatný nápad.
xkucf03 avatar 9.12.2008 22:42 xkucf03 | skóre: 45 | blog: xkucf03
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

PGP/GPG ho přece může používat už dávno, stačí jen změnit styl práce s ním: prostě si stáhneš klíč Franty a zjistíš, že ho podepsala Mařenka a Pepík a pak ještě nějaký VeriSign. Mařenku a Pepíka neznáš, tak jejich podpisy ignoruješ a VeriSignu věříš, takže to asi fakt bude Frantův veřejný klíč. Takže to, že u GPG jde podepsat jeden klíč více lidmi (autoritami) není ničemu na škodu → pro systém postavený na certifikačních autoritách jde použít i GPG.

Osobně považuji obě tyto technologie za dost vyrovnané. Pro e-mail mi přijde pohodlnější S/MIME, pokud má člověk certifikát od nějaké uznávané CA (třeba osobní od Thawte*), protože takto podepsaný dopis vypadá ve většině klientů důvěryhodně, aniž by si příjemce musel cokoli instalovat.

 

*) BTW: Thawte přináší principy sítě důvěry i do světa S/MIME.

Mám rád, když se lidé přou, znamená to, že vědí, co dělají, a že mají směr. Frantovo.cz, SQL-Výuka.cz, Nekuřák.net
10.12.2008 06:48 pht | skóre: 48 | blog: pht
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Co se tyce "uznavanych CA", tak si myslim, ze jejich existence na tomto svete je celkem zbytecna a jen cekam dne kdy k tomuto poznani dospeje zbytek lidstva.
In Ada the typical infinite loop would normally be terminated by detonation.
10.12.2008 08:50 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Proč je „síť důvěry“ a koncept CA to samé jsem napsal už zde. Klíčové je to „změnit styl práce“ – má nějaký smysl PGP, které je postaveno na tom, že nikde nemusí být žádná CA, ohýbat tak, aby se tam CA dostala? PGP tak samozřejmě ohnout jde, ale získám tím něco navíc, oproti PKI? Když navíc PKI je už provázáno s dalšími technologiemi jako SSL a odvozené protokoly (HTTPS, všechny možné protokoly „over SSL“).
10.12.2008 09:58 petr_p | skóre: 59 | blog: pb
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Pro vyvážení pohledu dodám, že TLS umožňuje používat PGP namísto X.509. Je pro to experimetnální RFC 5081 a taktéž hotová implementace v podobně GnuTLS.
10.12.2008 14:43 Ladislav Hagara | skóre: 76 | blog: Ride the Raven
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

Také existuje projekt Enigform snažící se nahradit SSL a TLS právě OpenPGP.

9.12.2008 23:07 rastos | skóre: 60 | blog: rastos
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Predstav si, že by len CA mala verziu PGP schopnú popísať niečí verejný kľúč. Všetci ostatní by mali verziu, v ktorej takáto funkcionalita chýba. Potom by systém CA bol ekvivalentný systému takéhoto hypotetického PGP. Tým, že môj verejný PGP kľúč môže podpísať ktokoľvek, sú možnosti PGP len rozšírené oproti spomínanej hypotetickej verzii. Systém CA je vlastne sieť redukovaná na tvar hviezdice.
10.12.2008 06:52 pht | skóre: 48 | blog: pht
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Mne by zajimalo jak Vas mohlo pri psani tech dvou vet NEnapadnout, ze "koncept CA" je podmnozina "konceptu site duvery".
In Ada the typical infinite loop would normally be terminated by detonation.
10.12.2008 08:46 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Není to podmnožina, oba koncepty jsou vzájemně ekvivalentní. Vždycky mám nějaký orientovaný graf, jediný rozdíl je v tom, že v konceptu CA je ten graf spíš plochý strom, v konceptu sítě důvěry dle PGP to bude spíš hluboký strom nebo dokonce graf s cykly. Rozdíl je jen v tom, ke kterému z těch grafů se více přibližuje původní koncepce toho systému.
10.12.2008 12:34 pht | skóre: 48 | blog: pht
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
ano a strom je podmnozina grafu. tak jsem to myslel. :)

ad vyhoda pgp proti pki (co jste psal jinde) - prakticky (pokud je vse nainstalovano, nastaveno, ...) asi zadna. jinak myslim v tom, ze pgp lze celkem jednoduse pouzit jako samostatny produkt, tj. mohu dostat sifrovany mail v textu, ten neka napastovat a precist si to, zatimco s/mime musi umet program, resp. to z toho musim nejak vypacit a nacpat do openssl.
In Ada the typical infinite loop would normally be terminated by detonation.
10.12.2008 14:55 Ladislav Hagara | skóre: 76 | blog: Ride the Raven
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

GnuPG 2 umí také S/MIME. S S/MIME lze tak pracovat stejně jako s OpenPGP. Místo gpg stačí použít gpgsm.

10.12.2008 21:39 Ondrej 'SanTiago' Zajicek
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

> ale, pokud vím, nemá vazby k dalším standardům

K te navaznosti na dalsi standardy to neni tak jednoznacne - napriklad OpenPGP pouziva standardni RFC 1847 (MIME-SECURE) pro integraci s e-mailem, zatimco S/MIME pouziva RFC 1847 jen castecne (jako moznost pro podpis pripousti multipart/signed mime typ, ale pro sifrovani jen vlastni application/pkcs10 mime typ).

xkucf03 avatar 9.12.2008 10:14 xkucf03 | skóre: 45 | blog: xkucf03
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
IMHO si pořiď oboje a pak budeš rád, když druhá strana bude schopná šifrovat alespoň jedním způsobem.
Mám rád, když se lidé přou, znamená to, že vědí, co dělají, a že mají směr. Frantovo.cz, SQL-Výuka.cz, Nekuřák.net
9.12.2008 13:08 Ladislav Nešněra | skóre: 30 | blog: ..+2
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

:-) Jasně že mám oboje, byť přiznávám, že OpenPGP jsem ještě nezveřejnil :-D

9.12.2008 13:38 Ladislav Nešněra | skóre: 30 | blog: ..+2
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

díky všem. Budu upřednostňovat a okolí doporučovat X.509, byť moje distro má kódy podepsány pomocí GPG ;-)

Následující je bonusovka, ale když někdo odpoví, zlobit se nebudu :-)

Neznáte někdo důvody, proč státní správa nerespektuje např. Verisign (potažmo Thawte) či TC TrustCenter - prostě něco z toho, co má certifikáty součástí instalace? Navíc, když jsem před nějakou dobou zkoušel certifikát Pošty, nezdálo se, že by sami byli nějak certifikováni (předpokládám, že tu jde opět o peníze, ale možná za tím je něco jiného). Bezpečnostně v tom problém nevidím, jen to může trošku zaskočit uživatele a asi to přidává práci správcům.

 

 

xkucf03 avatar 9.12.2008 13:51 xkucf03 | skóre: 45 | blog: xkucf03
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Třeba proto, že tuzemské CA se musí řídit naším právem a jsou více pod kontrolou. Tak daleko, abychom outsourcovali správu identit nějaké cizí, byť věhlasné, firmě, ještě nejsme. Žádoucí by ale bylo procpat ty naše CA do poštovních klientů.
Mám rád, když se lidé přou, znamená to, že vědí, co dělají, a že mají směr. Frantovo.cz, SQL-Výuka.cz, Nekuřák.net
9.12.2008 15:51 Ladislav Nešněra | skóre: 30 | blog: ..+2
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

procpání  +1

moc nevím, co si představit pod ..outsourcovali správu identit.. ani pod tím, jak se do věci promítá naše právo. No, tohle může být zajímavé i na úrovni EU (ach jo, zas jedna vyřešená otázka přivádí celý zástup jiných, ještě vypečenějších :-))

xkucf03 avatar 9.12.2008 17:17 xkucf03 | skóre: 45 | blog: xkucf03
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

Na úrovni EU? Děkuji, ale nechci :-)

Ad outsourcing: Jestli má mít elektronický podpis právní váhu, je potřeba CA plně důvěřovat a mít ji pod kontrolou tak, aby nevydávala certifikáty neoprávněným osobám.

Mám rád, když se lidé přou, znamená to, že vědí, co dělají, a že mají směr. Frantovo.cz, SQL-Výuka.cz, Nekuřák.net
10.12.2008 21:20 Ondrej 'SanTiago' Zajicek
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

> Žádoucí by ale bylo procpat ty naše CA do poštovních klientů.

Spis by bylo zadouci, aby linuxovy software neprebiral v tomto manyry proprietarnich programu a nerozhodoval za uzivatele, kterym organizacim uzivatel implicitne duveruje. IMHO by mnozina duveryhodnych CA u cerstve nainstalovaneho software mela byt prazdna, aby si uzivatel vybral ty, kterym opravdu duveruje. (Distribuce by samozrejme mohly dodavat i sady certifikatu ryznych CA, jen by nebyly implicitne v mnozine duveryhodnych.)

xkucf03 avatar 10.12.2008 21:44 xkucf03 | skóre: 45 | blog: xkucf03
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

S tímhle bys u většiny uživatelů narazil, a IMHO by to vedlo jen k tomu, že by si zvykli, že musí každému serveru přidat výjimku, čistý OS po instalaci by byl o něco méně použitelný než dnes. Kromě toho se na tom dá i něco trhnout, když zařadíš certifikát CA do nějakého oblíbeného prohlížeče či klienta.

Mám rád, když se lidé přou, znamená to, že vědí, co dělají, a že mají směr. Frantovo.cz, SQL-Výuka.cz, Nekuřák.net
9.12.2008 16:47 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Státní správa respektuje to, co dostane akreditaci MVČR (dříve MIČR) nebo obdobnou akreditaci kdekoliv v EU (a zaregistruje se v ČR). To, že se nějaký Microsoft nebo Mozilla.org rozhodne důvěřovat nějaké firmě a přibalí její certifikát do instalace svého produktu – to pro státní správu opravdu nemůže být směrodatné. Mimochodem, úplně správně byste měl po instalaci systému či prohlížeče ty předinstalované certifikáty vymazat a nainstalovat si jen ty, kterým skutečně důvěřujete (ideálně po prostudování certifikační politiky dotyčné CA). Možná cesta je jedině opačná, a to aby tihle velcí registrátoři sami požádali o akreditaci někde v EU. Jinak I. CA už kořenový certifikát ve Windows má, je ve Vistách (v rámci nějakého SP?) a dokonce šel i do XP nějakým updatem. Každý, kdo se certifikáty nějak zabývá to musel zaznamenat, protože kvůli tomu I. CA svůj kořenový certifikát měnila… Ty tři české CA nemají svůj kořenový certifikát podepsaný někým dalším zřejmě proto, že nikdo nenabízí podpis certifikátu CA – každý certifikát má nějaký účel, např. elektronický podpis, šifrování komunikace (serverový certifikát) apod., a jednou z možností je i podpis dalších certifikátů. Jenomže tím vlastně ta nejvyšší CA deleguje svou důvěru na jinou CA, a tvrdí, že se plně zaručuje, že tato CA bude správně vydávat certifikáty. To by ale ta „podřízená“ CA musela přijmou politiku té „nadřízené“ a stala by se vlastně jakoby jejím dealerem – a ten její vlastní kořenový certifikát by tam byl trochu navíc, pokud by podepisovala podle politiky „nadřízené“ CA a de facto jejím jménem, může už rovnou podepisovat jejím certifikátem.
9.12.2008 22:01 Ladislav Nešněra | skóre: 30 | blog: ..+2
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

hmm, to s tím dealerstvím má dost logiku - do toho bych se také nehrnul.

Jsem netušil, co ty certifikáty jsou za mazec. No, ještě že máme ty nejdelší noci ;-)

9.12.2008 23:35 petr_p | skóre: 59 | blog: pb
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

Z hlediska fungování X.509 je skutečně rozdíl mezi autoritou a kořenovou autoritou.

Z praktického hlediska by ale bylo dobré, kdyby české kvalifikované autority vzaly svůj veřejný klíč a ten nechaly podepsat těmi, co mají certifikát od jiné autority. Uživatel by si platnost tohoto podpisu musel kontrolovat ručně, ale bylo by aspoň něco. Takhle musíte zvednout telefon a přesvědčovat slečnu na informační lince, aby vám řekla otisk veřejného klíče svého zaměstnavatele. Zrovna tak by měly tyto otisky být k dispozici na úřadech jakožto úředně ověřený dokument atd.

10.12.2008 08:58 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Z praktického hlediska by ale bylo dobré, kdyby české kvalifikované autority vzaly svůj veřejný klíč a ten nechaly podepsat těmi, co mají certifikát od jiné autority.
Jak už jsem psal, problém je v tom „nechaly“. Kdo by jim to podepsal? Myslíte, že je možné jen tak přijít do Thawte a říct jim, ať mi tady podepíšou můj certifikát certifikační autority? Vždyť by tím museli začít ručit za všechny certifikáty, které vydá moje CA. Nechce se mi to hledat, ale celkem pochybuju o tom, že vůbec tyhle všeobecně známé CA mají kořenový certifikát s povolenou dostatečně dlouhou certifikační cestou, aby se do té cesty vešel ještě jeden (či dokonce více) certifikátů našich QCA.
10.12.2008 10:13 petr_p | skóre: 59 | blog: pb
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

Právě toto omezení je dáno stromovitostí PKI (popravdě řečeno PKI takhle má vypadat, ale jak vidno nikdo to tak nechce).

Proto jsem navrhoval jiné řešení: QCA si nechá vystavit podepisující certifikát od jiné autority a pomocí tohoto cizího certifikátu podepíše svůj kořenový veřejný klíč (nebo celý kořenový certifikát) jako jakýkoliv jiný shluk dat.

Existuje ještě druhé rafinovanější řešení (ale asi jej zakazuje zákon): Vytvořit žádost ze stejného páru klíčů, který slouží jako kořen, a tuto žádost poslat cizí autoritě. Technicky vzato totiž můžete mít na stejný klíč vystaveny zcela odlišné a nezávislé certifikáty.

Takto nevznikne automaticky ověřitelná cesta důvěry, ale bude snadnější ověřit pravost kořenového certifikátu české QCA. Považuji to za mnohem lepší řešení, než to současné, kde vám autorita radí „nainstalujte si náš kořenový certifikát z naších webových stránek bez jakéhokoliv ověření původnosti.“

10.12.2008 11:31 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
To by sice bylo technicky řešitelné, ale v praxi by to podle mne bylo stejně k ničemu, protože by ten podpis nikdo z lidí, pro které je to určeno, neuměl ověřit. A lidi, kteří si umí ověřit podpis libovolné shluku dat, si to ověří přímo u zdroje. To http na začátku bohužel není vtip, HTTPS varianta zřejmě neexistuje.
10.12.2008 15:19 Ladislav Hagara | skóre: 76 | blog: Ride the Raven
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

Obrovskou výhodou OpenPGP je decentralizovanost. OpenPGP nepotřebuje žádnou CA. Pokud dva lidi chtějí bezpečně komunikovat, nepotřebuji k tomu třetího. Sami si klíče vygenerují a bezpečně vymění. Pokud mám cizí OpenPGP klíč (certifikát), sám mohu rozhodnout o jeho důvěryhodnosti. Pokud jej podepíšu, stává se můj podpis součástí certifikátu a zaleží pouze na dalších osobách, jak moc jsem pro ně důvěryhodný. Navíc může být součástí OpenPGP certifikátu fotka vlastníka. To, že státní správa akceptuje jenom X.509 je pouze politické rozhodnutí, nemá to nic společného s kvalitou. Prostě je v X.509 více peněz ...

10.12.2008 16:56 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
To by z vás určitě byli na úřadě nadšení, kdyby si tam s nimi každý chodil vyměňovat certifikát, aby s nimi mohl komunikovat. A vy byste asi byl také radostí bez sebe vyměňovat si certifikát s každým úředníkem extra. Pak by vám někdo ukradl soukromý klíč, a vy byste musel vzpomínat, komu všemu jste ten certifikát vlastně dal, abyste ho mohl zneplatnit.

Součástí X.509 certifikátu může být cokoliv, rozšíření se tam samozřejmě dají přidávat.

A konečně, pro využití certifikátů a klíčů X.509 také nepotřebujete nikoho třetího, oba si vygenerujete self-signed certifikáty, ty si vyměníte, a je to.
Jendа avatar 10.12.2008 17:28 Jendа | skóre: 73 | blog: Výlevníček | JO70FB
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
A vy byste asi byl také radostí bez sebe vyměňovat si certifikát s každým úředníkem extra.
A co kdyby pošta (nebo někdo jiný "důvěryhodný") vytvořila databázi úředně ověřených veřejných klíčů (nebo alespoň fingerprintů)?
Pak by vám někdo ukradl soukromý klíč, a vy byste musel vzpomínat, komu všemu jste ten certifikát vlastně dal, abyste ho mohl zneplatnit.
Kdyby byla ta centrální DB, tak by stačil revokační certifikát nahrát na jedno místo.
10.12.2008 18:21 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
To už jste ale znova vymyslel certifikační autoritu, tedy to centrální místo, které se nelíbí Ladislavu Hagarovi.
11.12.2008 04:44 Ladislav Hagara | skóre: 76 | blog: Ride the Raven
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

:-)

Já jsem nepsal, že se mi nelíbí "centrální místo". Já jsem psal o výhodách decentralizace a o tom, že "centrální místo" v některých situacích vůbec nepotřebuji. Samozřejmě, pokud se bavíme o komunikaci se státní správou, je "centrální místo" nutností. Nebylo ale nutností uzákonit S/MIME s X.509. Mohlo být klidně uzákoněno OpenPGP s pavučinou důvěry degradovanou na X.509.

Navíc nechápu, proč vůbec existují kvalifikovaní poskytovatelé certifikačních služeb, proč nemohu dostat kvalifikovaný certifikát současně s občanským průkazem, proč musím důvěřovat nějaké firmě a sdělovat jí své osobní údaje.

11.12.2008 09:56 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Zákon je technologicky neutrální, X.509 určuje až prováděcí vyhláška – takže v případě potřeby by nebyl takový problém to změnit. Osobně si myslím, že volba X.509 byla správná, protože je to podle mého celosvětově nejvíce podporovaný standard pro infrastrukturu asymetrické kryptografie. Neznám tolik PGP, takže nevím, zda existují standardy pro žádost o certifikát, seznam dovolaných certifikátů, časová razítka – jedna věc je, že se to obecně nějak dělá, druhá věc je mít na to opravdu celosvětově uznávaný standard, o kterém se odborníci shodnou, že je bezpečný. Je mi jasné, že to vše s PGP udělat lze, ale samozřejmě je lepší, když se česká vyhláška odkáže na mezinárodně uznávané standardy, než aby ten standard musela teprve vytvářet.

Kvalifikovaný poskytovatel certifikačních služeb nebo státní CA je klasický problém levice versus pravice. Levice si myslí, že je nejlepší vybrat od občana co nejvíc peněz a pak to „stát nějak zařídí“, pravice je zase pro to, aby stát jen určoval pravidla, ale co může přenechal soukromému sektoru. Můj pohled na věc v tomto směru je pravicový a myslím si, že čím více služeb stát přenechá soukromému sektoru, tím lépe. Stát by samozřejmě mohl provozovat státní certifikační autoritu, ale s vysokou pravděpodobností hraničící s jistotou by to bylo dražší a méně kvalitní. Ostatně stačí se podívat na oblibu a efektivnost dalších státem vlastněných (či státem potvrzených monopolních) institucí jako jsou ČD, Česká pošta, ČEZ atd.
10.12.2008 17:50 Ladislav Hagara | skóre: 76 | blog: Ride the Raven
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

OpenPGP pavučinu důvěry lze politickým rozhodnutím degradovat na X.509, prostě se rozhodne, že všichni musí věřit konkrétnímu podpisu, klidně to může být podpis státem akreditované CA. OpenPGP tady bylo dávno před X.509, takže výměna klíčů a jejich zneplatnění je samozřejmě vyřešeno.  Existují servery veřejných klíčů. Tyto servery jsou navíc zrcadlené, revokační certifikát stačí zaslat na libovolný z nich.

10.12.2008 18:24 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?
Jistě, i s PGP lze mít centrální certifikační autoritu. Ale to už pak nebude decentralizované, jak požadujete. Pro státní správu je jedno, zda se budou používat formáty a postupy podle X.509 nebo podle PGP, ale důležitý je tam ten prvek centrální autority. Takže "výhodu decentralizace" prostě na státní správu nenapasujete, ať to bude cokoliv.
xkucf03 avatar 10.12.2008 20:36 xkucf03 | skóre: 45 | blog: xkucf03
Rozbalit Rozbalit vše Re: S/MIME či (Open)PGP?

No jo, ale co z toho? Osobně mám GPG rád, možná radši než S/MIME, ale moc nevím, jaký užitek by to tady přineslo.

Mám rád, když se lidé přou, znamená to, že vědí, co dělají, a že mají směr. Frantovo.cz, SQL-Výuka.cz, Nekuřák.net

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.