Здравствуйте, Doc, Вы писали:
Doc>Здравствуйте, Euro, Вы писали:
Doc>>>Прочитайте что написано у юзера при просмотре сертификата: Doc>>>* Ensures software came from software publisher Doc>>>* Protects software from alteration after publication E>>На заборе тоже написано. Легко можно изменить модуль и переподписать другим сертификатом, так что второе точно вранье.
Doc>Серьезно? Вы сможете подписать какую-нибудь утилиту подписью MS? Да так что бы система не заметила подвоха?
Написал же, _другим_ сертификатом. Т.е. реально изменить можно и сертификат от изменений не защищает. И система ругаться не станет если другой сертификат будет валидным.
Здравствуйте, Euro, Вы писали:
E>Написал же, _другим_ сертификатом. Т.е. реально изменить можно и сертификат от изменений не защищает. И система ругаться не станет если другой сертификат будет валидным.
Т.е. вы предлагаете преступнику на месте преступления оставить паспорт? Оригинально
Здравствуйте, Doc, Вы писали:
Doc>Здравствуйте, Euro, Вы писали:
E>>Написал же, _другим_ сертификатом. Т.е. реально изменить можно и сертификат от изменений не защищает. И система ругаться не станет если другой сертификат будет валидным.
Doc>Т.е. вы предлагаете преступнику на месте преступления оставить паспорт? Оригинально
Ничего я не предлагаю Хорошо если хацкер-самоубийца оставит свою подпись, это в номинацию на премию Дарвина однозначно. Сертификат можно вырезать, и вроде как его и не было. Можно сунуть свой trusted root и заменить сертификат на сгенеренный только что если все происходит на локальной машине. Для более продвинутых можно попробовать отбрутфорсить слабый сертификат, например ваш, и подписаться им. 128 бит уже вроде как ломают без особых проблем, было бы желание.
Поднадоела тема слегка, сори. Мое мнение что сертификаты в существующем виде приносят больше проблем чем решений. Но так уж решили большие дядьки и сиюминутно конечно приходится эту засаду решать покупкой сертификата и ввязываться в эту игру с дырявой системой подписей. Это скорее плохо чем хорошо, в этом мысль основная.
Добавлю: когда через год-два будешь обновлять, вообще никаких бумажек уже больше не потребуется, ибо ты теперь в базе. Просто вводишь логин-пассворд, башляешь и вуаля. Т.е. вся эта суета с бумажками одноразовая.
Здравствуйте, Doc, Вы писали:
Doc>По мотивам регистрации на OpenSLL
А допустим шароварщик работает как юр. лицо "OOO Рога и копыта", а распространяет он программы под именем "MegaSuperSoft Corp." (я так понимаю это типичный случай). Сертификат можно сделать на последний вариант имени?
Здравствуйте, joshua, Вы писали:
J>А допустим шароварщик работает как юр. лицо "OOO Рога и копыта", а распространяет он программы под именем "MegaSuperSoft Corp." (я так понимаю это типичный случай). Сертификат можно сделать на последний вариант имени?
Вопрос в необходимых бумажках для подтверждения TM/RTM.
Про TM выше говорилось, что для exUSSR — проблемно (у нас нет документов с указанием "doing bussines as ..."), для USA — без проблем.
Для RTM — думаю вообще нет проблем.
При заполнении анкеты на сертификат там есть выбор на какое имя регистрируется юр. лицо, марку или физ. лицо.
Здравствуйте, Euro, Вы писали:
E>Сертификат можно вырезать, и вроде как его и не было.
Все — значит уверенности, что данный софт идет от его publiser — нет.
E>Можно сунуть свой trusted root и заменить сертификат на сгенеренный только что если все происходит на локальной машине.
После загрузки EXE из интернет идет сначало проверка, потом запуск setup. Получается какой-то фокус — программа еще не запущена, но уже свой сертификат подсовывает
E>Для более продвинутых можно попробовать отбрутфорсить слабый сертификат, например ваш, и подписаться им. 128 бит уже вроде как ломают без особых проблем, было бы желание.
1) Получаем преступление. Причем поймать вас и перекрыть вам кислород будет заинтересован не только разаботчик, но и владелец root (т.к. вы и его компрометируете).
2) Откуда инфо про 128? Вроде меньше 512 не делают.
Кстати, в этом случае думаю (при хорошем юристе) можно отобрать весь или часть проекта (ну вы сами признали что он же "мой").
E> Это скорее плохо чем хорошо, в этом мысль основная.
А мне показалось что главная мысль диктуется "жабой, сидящей на $100 купюре".
Здравствуйте, Doc, Вы писали:
E>>Сертификат можно вырезать, и вроде как его и не было.
Doc>Все — значит уверенности, что данный софт идет от его publiser — нет.
А так же значит что вот это вранье: Doc>>>* Protects software from alteration after publication
E>>Можно сунуть свой trusted root и заменить сертификат на сгенеренный только что если все происходит на локальной машине.
Doc>После загрузки EXE из интернет идет сначало проверка, потом запуск setup. Получается какой-то фокус — программа еще не запущена, но уже свой сертификат подсовывает
Подписывать по идее требуется не только дистрибутивы, а так же ActiveX, DLL, EXE, SYS — все исполняемые модули, на которые система может ругаться. Вы разберитесь сначала чего купили то и как им пользоваться
E>>Для более продвинутых можно попробовать отбрутфорсить слабый сертификат, например ваш, и подписаться им. 128 бит уже вроде как ломают без особых проблем, было бы желание.
Doc>1) Получаем преступление. Причем поймать вас и перекрыть вам кислород будет заинтересован не только разаботчик, но и владелец root (т.к. вы и его компрометируете).
Еще раз упомяните меня в таком контексте и я больше в эту ветку ничего писать не буду!!
По теме — не поймаете вы того кто сертификат подделал. Это не хацкер который через интернет сайты ломает и следов нет никаких.
Doc>2) Откуда инфо про 128? Вроде меньше 512 не делают.
http://ssl.ru
Doc>Кстати, в этом случае думаю (при хорошем юристе) можно отобрать весь или часть проекта (ну вы сами признали что он же "мой").
Фантазер
E>> Это скорее плохо чем хорошо, в этом мысль основная.
Doc>А мне показалось что главная мысль диктуется "жабой, сидящей на $100 купюре".
Это ваши домыслы. Еще раз, денег не жалко, но надо знать за что конкретно они платятся, что дается взамен. Защиту покупаешь навесную — она нужна чтобы прикрыть код от хацкеров. Хостинг — чтобы сайт разместить. Сертификат — платишь большим дядькам чтобы корпоративщикам угодить и от лишних окошек избавиться. Больше он ни зачем не нужен. С чем конкретно вы здесь не согласны?
Здравствуйте, Euro, Вы писали:
E>Подписывать по идее требуется не только дистрибутивы, а так же ActiveX, DLL, EXE, SYS — все исполняемые модули, на которые система может ругаться. Вы разберитесь сначала чего купили то и как им пользоваться
Крайне кривая попытка уйти от ответа. Вопрос — как до запуска инсталятора вы собираетесь добавить свой самоподписанный сертификат?
Кстати, разберитесь и вы: сколько угодно подписывайте DLL, EXE, SYS, но если инсталятор не подписан — получите предупреждение.
Doc>>2) Откуда инфо про 128? Вроде меньше 512 не делают. E>http://ssl.ru
Разберитесь в начале Code-signing сертификаты 128-бит я там не увидел. Кстати, цена на сертификат Комода в 2 раза больше оригинальной. Кто там хотел отечественные точки продажи?
Тот же Комодо ИХ меньше 512 не делает. А сама MS вообще подписывает используя 2048.
Doc>>Кстати, в этом случае думаю (при хорошем юристе) можно отобрать весь или часть проекта (ну вы сами признали что он же "мой"). E>Фантазер
Смайлик видели? Хотя в каждой шутке есть доля...
E>Это ваши домыслы. Еще раз, денег не жалко, но надо знать за что конкретно они платятся, что дается взамен. Защиту покупаешь навесную — она нужна чтобы прикрыть код от хацкеров. Хостинг — чтобы сайт разместить. Сертификат —
... чтобы пользователь знал, откуда софт.
А что касается "поломать сертификат", так и защиту ломают, хосты падают ...
E>платишь большим дядькам чтобы корпоративщикам угодить и от лишних окошек избавиться. Больше он ни зачем не нужен. С чем конкретно вы здесь не согласны?
Уже было, но переспрошу.
У вас паспорт есть? Когда получали — пошлину платили?
По идее паспорт нужен тем же дядькам, что его и выдавали. Пойдете митинговать "далой паспорта"?
Здравствуй, Doc.
D> Для проверки подписал нашу фривару. Работает. D> Остальные пока не стал — скоро новые версии выйдут. Их и подпишем.
Посмотрел у себя в сертификатах ("Internet Options") — Comodo
отсутствует в списке Trusted Publishers. Или я ничего не понял и не
туда смотрю? Окошко перестало вылезать или вылезло первый раз и больше
не вылезало после того как вы нажали на Add to Trusted?
Здравствуйте, garant, Вы писали:
G>Посмотрел у себя в сертификатах ("Internet Options") — Comodo G>отсутствует в списке Trusted Publishers. Или я ничего не понял и не G>туда смотрю?
Поставщик: UTN-USERFirst-Object
OU = http://www.usertrust.com
O = The USERTRUST Network
L = Salt Lake City
S = UT
C = US
Здравствуйте, Doc, Вы писали:
Doc>... чтобы пользователь знал, откуда софт.
Да и так он знает откуда софт, если качал его с вашего сайта. Хочется еще дополнительно клыка кинуть оригинальным способом — так и признайтесь в этом, а то люди ведь могут подумать что без signing сертификата теперь не прожить в этом безумном мире.
E>>платишь большим дядькам чтобы корпоративщикам угодить и от лишних окошек избавиться. Больше он ни зачем не нужен. С чем конкретно вы здесь не согласны?
Doc>Уже было, но переспрошу. Doc>У вас паспорт есть? Когда получали — пошлину платили? Doc>По идее паспорт нужен тем же дядькам, что его и выдавали. Пойдете митинговать "далой паспорта"?
Да при чем тут паспорта вообще. Паспорт у вас уже есть в виде регистрационных документов на предприятие. А сертификаты это сто пятый по счету паспорт помимо остальных ста четырех. Все исполняемые модули и так подписаны в ресурсах, в разделе version info. Эту информацию можно легко подделать, но ведь и сертификат можно почти так же просто заменить на другой. По сути он гарантирует только одно — что конкретно от вашего имени подписывать свои модули другие не смогут. Скажите, кому это надо подписывать модули именно от вашего имени? Если заполучить SSL сертификат для защиты передачи данных, то можно незаметно вклиниться между клиентом и сервером, и поиметь дешифрованные данные. Signing сертификаты видимо сделали до кучи, "чтоб были", тупо перенеся технологию. Получилась бесполезная херь, зато вот люди деньги платят, да еще и спасибо говорят
Здравствуйте, Euro, Вы писали:
Doc>>... чтобы пользователь знал, откуда софт. E>Да и так он знает откуда софт, если качал его с вашего сайта.
А если он скачал его, например, с download.com или еще какого архива, который хостит файлы? А если он скачал давно, разве он обязан помнить, откуда какой файл скачал?
E>а то люди ведь могут подумать что без signing сертификата теперь не прожить в этом безумном мире.
Прожить, прожить... Можно и не подписывать. Никак не собирусь посчитать статистику успешлых инсталляций для подписанных и неподписанных дистрибутивов. Хотя, статистика эта будет не универсальная, слишком большое значение имеет, на какую аудиторию ориентирован софт.
Здравствуйте, Alex Mova, Вы писали:
Doc>>>... чтобы пользователь знал, откуда софт. E>>Да и так он знает откуда софт, если качал его с вашего сайта. AM>А если он скачал его, например, с download.com или еще какого архива, который хостит файлы? А если он скачал давно, разве он обязан помнить, откуда какой файл скачал?
Так в ресурсах все должно быть указано, на вкладке Version эксплорерных свойств файла инсталлятора. А для пущей защиты можно файл протектором оборачивать чтоб неповадно было троянов туда вставлять и ресурсы менять. Протектор то посложнее снять будет чем сертификат.
Re[49]: Подписывать ли инсталятор
От:
Аноним
Дата:
09.11.06 17:32
Оценка:
Ну, посмотрим ещё как open-source сообщество отреагирует на этот корпоративный бред майкрософта... а там будет видно...
Здравствуйте, Euro, Вы писали:
E>Да и так он знает откуда софт, если качал его с вашего сайта.
Про софт архивы слышали? А после переустановки ОС все легко вспомнить (да и надо ли это помнить)?
E>Хочется еще дополнительно клыка кинуть оригинальным способом — так и признайтесь в этом, а то люди ведь могут подумать что без signing сертификата теперь не прожить в этом безумном мире.
Ну во первых он не дополнительный. Он (клик) есть в любом случае.
E>Да при чем тут паспорта вообще.
Вижу аналогию с паспортом физ. лица. Достаточно близкую.
E>Паспорт у вас уже есть в виде регистрационных документов на предприятие. А сертификаты это сто пятый по счету паспорт помимо остальных ста четырех.
Хоите так — давайте. Еще у меня есть печать Ведь навязывают, стоит денег, а нужна ли?
Такая аналогия с сертификатом устраивает?
E>Все исполняемые модули и так подписаны в ресурсах, в разделе version info. Эту информацию можно легко подделать, но ведь и сертификат можно почти так же просто заменить на другой.
И? Уже кучу раз сказали, попробую последний: даже если вы украдете/подделаете мою печать, это не сделает вас моим сотредником. Аналогично с украденным паспортом.
E>По сути он гарантирует только одно — что конкретно от вашего имени подписывать свои модули другие не смогут. Скажите, кому это надо подписывать модули именно от вашего имени?
Не вижу сложности, например, разобрать innosetup напичкать софт червями и выложить на софт архиве. Главное что бы софт расходился как пирожки (т.е. ломать популярный).
Или другой вариант: вам не разу апдейты от MS по почте не приходили? А ведь есть те, кто запускает.
E>Если заполучить SSL сертификат для защиты передачи данных, то можно незаметно вклиниться между клиентом и сервером, и поиметь дешифрованные данные.
А можно пообщаться в живую и все сами сдадут. В общем — к чему эта фраза? Поломать можно все. Вопрос лишь в соотношении (время + затраты)/прибыль.
E>Signing сертификаты видимо сделали до кучи, "чтоб были", тупо перенеся технологию. Получилась бесполезная херь, зато вот люди деньги платят, да еще и спасибо говорят
Вы все же дайте ответ — паспорт и печать "видимо" то же придумали до кучи. И ведь навязывют
Здравствуйте, Doc, Вы писали:
Doc>Здравствуйте, Euro, Вы писали:
E>>Да и так он знает откуда софт, если качал его с вашего сайта.
Doc>Про софт архивы слышали? А после переустановки ОС все легко вспомнить (да и надо ли это помнить)?
E>>Хочется еще дополнительно клыка кинуть оригинальным способом — так и признайтесь в этом, а то люди ведь могут подумать что без signing сертификата теперь не прожить в этом безумном мире.
Doc>Ну во первых он не дополнительный. Он (клик) есть в любом случае.
Не клик, а клык, в смысле понтов
E>>Да при чем тут паспорта вообще. Doc>Вижу аналогию с паспортом физ. лица. Достаточно близкую.
Да радуйтесь своему новому паспорту и дальше, какие проблемы то Только другим не стоит то же самое навязывать.
Doc>Не вижу сложности, например, разобрать innosetup напичкать софт червями и выложить на софт архиве. Главное что бы софт расходился как пирожки (т.е. ломать популярный).
Угу, попробуете чего-нибудь в мой сетап защищенный EXECryptor сунуть..
E>>Если заполучить SSL сертификат для защиты передачи данных, то можно незаметно вклиниться между клиентом и сервером, и поиметь дешифрованные данные.
Doc>А можно пообщаться в живую и все сами сдадут. В общем — к чему эта фраза? Поломать можно все. Вопрос лишь в соотношении (время + затраты)/прибыль.
Да к тому, что там сертификаты на своем месте и реально работают в полную силу. Защищают соединения от взлома, причем очень хорошо. Тут вопросов по поводу их стоимости и процедуры приобретения вообще не возникает, все в кассу.
E>>Signing сертификаты видимо сделали до кучи, "чтоб были", тупо перенеся технологию. Получилась бесполезная херь, зато вот люди деньги платят, да еще и спасибо говорят
Doc>Вы все же дайте ответ — паспорт и печать "видимо" то же придумали до кучи. И ведь навязывют
Сертификат вас не заставляли покупать. Конечно есть окошки глупые и предрассудки у корпоративщиков, но и без подписей можно обойтись неплохо. Купил — теперь подписывай и не выпендривайся
Здравствуйте, Euro, Вы писали:
E>Не клик, а клык, в смысле понтов
... E>Да радуйтесь своему новому паспорту и дальше, какие проблемы то
... E>Угу, попробуете чего-нибудь в мой сетап защищенный EXECryptor сунуть..
... E>Сертификат вас не заставляли покупать. Конечно есть окошки глупые и предрассудки у корпоративщиков, но и без подписей можно обойтись неплохо. Купил — теперь подписывай и не выпендривайся
Настоятельно рекомендую прекратить общение в таком агрессивном и безапелляционном тоне.
Спор "ради спора" здесь тоже не приветствуется.
Модератор.
