Если в Виндах нет твоего любимого GnuPG - это еще не значит, что нет крипто вообще.

http://ru.wikipedia.org/wiki/CryptoAPI
Любой программист может юзать без дополнительного софта.

А CryptoAPI по твоему не "из коробки"?
На нем многие серьезные проги и пашут. Так же его юзают почтовый софт и Осел.

Тут больше немой вопрос к разработчикам самих IM и плагов для них: "Че не используете?"
Хотя в плаге QIP Crypto предлагали заюзать CryptoAPI, чтобы не вынуждать качать gpg.exe, но идея в 2009г осталась...

Добавлено 22-11-2010 04:26:41

Отдельного GUI для CryptoAPI много на просторах Инета. Взять бы хотябы простой пример из MSDN.
Но зачем юзару вообще сам GUI для CryptoAPI или того же GnuPG, если прога для передачи данных с шифровкой не работает?

Вспомнил про древние баги...
Может еще баги OpenSSL копнем?

Тут больше подходит вариант: не заморачиваются с шифрованием вообще!
Ибо, при желании, CryptoAPI - не единственный вариант.

Это вообще-то разные вещи.
С SSL часть Инета шифруется, а GnuPG в основном для подписания пакетов в Лине.

Отредактировано Keepun (22-11-2010 13:52:39)

Для шифрования почты, IM, а также для подписания пакетов.
Но разные форматы, да. Под сравнением я подразумевал сравнение истории "провалов" у разработчиков.

Отредактировано sentaus (22-11-2010 15:45:28)

Глубина познаний просто поражает!

И у обоих сертификаты от верисигна?

А их-то кто заверит?! И, самое главное - на основании "достоверности"  каких данных о пользователе?

Только вот подписать X.509 серитфикат уже после этого никто не может. Просто невозможно подписать один и тот же сертификат разными CA.

Вы понимаете, что тут дело в не формате, а в процедуре? И откуда вы взяли, что подпись выдают только при предъявлении документов? Тот же Thawte для сертификатов частных лиц просто email проверял, а имя подтверждал(внимание!) с помощью сети доверия, идентичной PGP-шной. Только из-за ограничений X.509 приходилось дичайшие костыли  расставлять.

Добавлено 22-11-2010 23:01:35

PGP Global Directory, она всего лишь адреса почты проверяет.

Отредактировано sentaus (22-11-2010 23:07:01)

Это отличие openPGP от X.509, что как бы опровергает тезис об идентичности PGP-ключа и самоподписанного X.509 сертификата. И да, это плохо, это устраняет вообще возможность подтверждения данного сертификата каким-либо способом, отличным от прямого доверия.

Это пример одного CA, вы из этого делаете вывод, что все так работают? Кстати, какие гарантии надёжности они предоставляют?
И ещё. вы намеренно сравниваете ключи частных лиц с сертификатами доменов или просто по незнанию отличий? Вроде ж с почты начинали

Даже в рамках одного CA бывают разные сертификаты с разными процедурами проверки и разными гарантиями надёжности.

А ещё ряд CA понавыдавали сертификатов на имя "localhost" (Comodo , Go Daddy, GlobalSign, Starfield, Equifax, Digicert, Entrust, Cybertrust, Microsoft, and Verisign)
http://www.eff.org/files/DefconSSLiverse.pdf
Конечно, все верят, что они надёжно проверили все документы.

Добавлено 23-11-2010 12:26:00

А что ещё? Программы подписывать можно? А вот как вы думаете, возможен ли такой сценарий? Программа подписана сертификатом производителя X, заверенным Verisign или Thawte. После пары лет эксплуатации в программе вдруг обнаруживается троян. Подписи подлинные. Кто будет виноват?

Добавлено 23-11-2010 12:29:04
Кстати, по вашей же ссылке:

Как говорится, ржунимагу.

Отредактировано sentaus (23-11-2010 13:05:36)

Сейчас придёт Rosenfeld и скажет, сколько раз он собирал из исходников свои клиенты с поддержкой шифрования.

man "web of trust", или таким же CA, Thawte раньше ключи тоже заверял, сейчас - не знаю.

С самоподписанным это без шансов. А вот PGP-ключи как минимум самоподписанные, т.е. дополнительно к этому могут быть сертифицированы и CA, и другими пользователями.

А подробнее? Чему/кому мне нужно доверять, чтобы быть уверенным, что трояна нет?

Кстати, антивирусы никак не проверяют код программы эвристическими методами, пока сертификат валиден, это позволяет трояну оставаться незамеченным вплоть до срока истечения сертификата. Является ли это корректным поведением в рамках X.509?

Я ничего не хочу доказать. Я всего лишь указываю, что валидный X.509 сертификат далеко не всегда даёт 100% гарантий надёжности данных, которые нужно подтвердить пользователю. Скажем так, часть данных он подтверждает, а подтверждение многих других в большинстве случаев есть только в фантазиях пользователя и авторов программ, эти сертификаты использующих.

Или вот ещё дикий недостаток X.509: невозможность отмены делегирования доверия пользователем. Пусть я доверяю некоторому CA X, но не доверяю CA Y. CA X может выпустить сертификат для CA Y, которым тот сможет заверять другие сертификаты, и эти сертификаты у меня будут признаваться подлинными, и заблокировать это безобразие я никак не могу. А всё потому, что доверие в X.509 вообще не отделено от подлинности.

Отредактировано sentaus (23-11-2010 19:30:28)

На позапрошлой странице я не случайно спрашивал, кто помнит недавние провалы компаний JMicron и Realtek - я уже тогда понимал, что разговор в этом направлении дальше пойдёт. Скандальный червь Stuxnet содержал в себе руткит, подписанный легальным сертификатом компании Realtek, заверенным Verisign. С JMicron - аналогичная история, в другой версии их ключиком подписано оказалось. Легальные подписи позволяли модулям устанавливаться в систему без запросов. Вот я и спрашиваю, какая принципиальная ошибка в X.509 позволяет допустить такое безобразие? Какая информация здесь заверена при условии доверия Verisign-у, а достоверность какой есть на самом деле только в мечтах?

Хм. Мне ссылку на руководство PGP/GnuPG привести?
При добавлении сертификата на ключ сертификат подписывается самим ключом. Один сертификат обязательно создаётся при генерации. После этого этот сертификат также может быть подписан другими ключами - это и есть сертификация. Вы что, серьёзно этого не знаете?

Отредактировано sentaus (23-11-2010 20:14:43)