Здравствуйте, rudzuk, Вы писали:
u>> сайт разработчика взломали и выложили туда версию с трояном, и соответственно обновили на странице хэш, u>> а теперь подумайте, в каком месте ваша логика с доверием даёт сбой?
R>Перечитай последний абзац: https://rsdn.org/forum/shareware/8070891.1
Здравствуйте, rudzuk, Вы писали:
a>> Осталось добавить что не только тиснули сертфикат с машины разраба, но и, вероятно, пытали разраба паяльником, чтобы он выдал им пароль для подписи. a>> x 10
R>Про малварь подписанную сертификатом Realtek слышал? И это не единичный случай.
да, да, будут хакеры палить сворованный сертификат чтобы подписать и выложить на сайте Васи Пупкина заражённый инсталлятор
Здравствуйте, CRT, Вы писали:
CRT> R>Не нужно сидеть на шареде и популярных cms.
CRT> Но пользователь-то не знает на чем ты сидишь. Это же для его безопасности делается а не для твоей.
Пользователь вообще ничего о разработчике не знает и не может быть в нем уверен. Он ему просто доверяет. Не гарантирует подпись отсутствия нежелательной активности со стороны подписанного софта.
Здравствуйте, uuuser, Вы писали:
u> R>Про малварь подписанную сертификатом Realtek слышал? И это не единичный случай.
u> да, да, будут хакеры палить сворованный сертификат чтобы подписать и выложить на сайте Васи Пупкина заражённый инсталлятор
Палить сертификат жирной конторы может и не будут, но Вася не жирная контора.
Здравствуйте, autopsist, Вы писали:
a> a>> Осталось добавить что не только тиснули сертфикат с машины разраба, но и, вероятно, пытали разраба паяльником, чтобы он выдал им пароль для подписи. a> a>> x 10
a> R>Про малварь подписанную сертификатом Realtek слышал? И это не единичный случай.
a> Ну все, кранты, у бабки отобрали кошелек — кошелек это зло! Не было бы кошелька не отобрали бы! И это не единичный случай. a> x 20 a> И на старуху бывает проруха.
Ну, то есть, пытать разраба паяльником не требуется, чтобы подписать чего угодно его сертификатом, верно? Уже хорошо.
a> Расскажи лучше про "панацею", которую ты используешь. Нет её? Ну и чего ныть тогда?
Я-то, как раз, говорю, что нет никакой панацеи. Сертификаты не защищают юзера. У юзера надежда одна — надежда на адекваность разработчика. Три раза это повторил.
Здравствуйте, rudzuk, Вы писали:
u>> R>Про малварь подписанную сертификатом Realtek слышал? И это не единичный случай. u>> да, да, будут хакеры палить сворованный сертификат чтобы подписать и выложить на сайте Васи Пупкина заражённый инсталлятор R>Палить сертификат жирной конторы может и не будут, но Вася не жирная контора.
, поэтому взлом web сервера самая вероятная ситуация, и тут то и помогает цифровая подпись, которой у заражённых инсталляторов не будет, и ваш md5 не поможет никак.
поймите, всю эту систему не дураки придумали, не считайте себя умнее других.
, поэтому взлом web сервера самая вероятная ситуация, и тут то и помогает цифровая подпись, которой у заражённых инсталляторов не будет, и ваш md5 не поможет никак.
Если нет доверия веб-серверу разработчика, то какие основания доверять его подписи? Или мы считаем, что разработчик настолько клоун, что не способен обеспечить безопасность ключевого элемента инфраструктуры продукта, и при этом он достаточно напуган, чтобы подписывать файлы хард.токеном? Мы о таких разработчиках?
u> поймите, всю эту систему не дураки придумали, не считайте себя умнее других.
т цифровая подпись, которой у заражённых инсталляторов не будет, и ваш md5 не поможет никак.
R>Если нет доверия веб-серверу разработчика, то какие основания доверять его подписи? Или мы считаем, что разработчик настолько клоун, что не способен обеспечить безопасность ключевого элемента инфраструктуры
Ещё момент. В EV сертификате указана существующая зарегистрированная компания и ее реальный адрес.
А сайтов может любой человек сделать десяток. И прятаться за contact form.
Здравствуйте, uuuser, Вы писали:
U>ну то есть MITM есть, но вас это не касается, и защитить юзера ssl сертификатом вы не считаете целесообразным... хорошо, что хоть гугл другого мнения.
первым делом гугл защишает себя. чтобы провайдер или юзерский проксик не вырезал его рекламу. наивно думать что корпорация Г всего-то защишает пользователей.
Здравствуйте, Matrix_Failure, Вы писали:
MF> R>Если нет доверия веб-серверу разработчика, то какие основания доверять его подписи? Или мы считаем, что разработчик настолько клоун, что не способен обеспечить безопасность ключевого элемента инфраструктуры
MF> Ещё момент. В EV сертификате указана существующая зарегистрированная компания и ее реальный адрес.
И что это дает юзеру? Некоторые и в whois домена не закрывают данные, вплоть до квартиры и номера телефона.
MF> А сайтов может любой человек сделать десяток. И прятаться за contact form.
В любом случае все строится на доверии. В ситуации с сертификатами юзер доверяет третьей стороне — удостоверяющему центру. Стоит такое доверие не очень дорого, всего полтора куска за левый EV.
Здравствуйте, rudzuk, Вы писали:
r> В любом случае все строится на доверии. В ситуации с сертификатами юзер доверяет третьей стороне — удостоверяющему центру. Стоит такое доверие не очень дорого, всего полтора куска за левый EV.
Здравствуйте, rudzuk, Вы писали:
R>Здравствуйте, autopsist, Вы писали:
a>> a>> Осталось добавить что не только тиснули сертфикат с машины разраба, но и, вероятно, пытали разраба паяльником, чтобы он выдал им пароль для подписи. a>> a>> x 10
a>> R>Про малварь подписанную сертификатом Realtek слышал? И это не единичный случай.
a>> Ну все, кранты, у бабки отобрали кошелек — кошелек это зло! Не было бы кошелька не отобрали бы! И это не единичный случай. a>> x 20 a>> И на старуху бывает проруха.
R>Ну, то есть, пытать разраба паяльником не требуется, чтобы подписать чего угодно его сертификатом, верно? Уже хорошо.
Не верно. Все еще надо узнать пароль. Если его нет, тогда да, пытать не придется.
a>> Расскажи лучше про "панацею", которую ты используешь. Нет её? Ну и чего ныть тогда?
R>Я-то, как раз, говорю, что нет никакой панацеи. Сертификаты не защищают юзера. У юзера надежда одна — надежда на адекваность разработчика. Три раза это повторил.
Всё пропало, ага. Ничто не отчего не защищает.
У нас почти на всех проектах используются CMS, екзешники подписаны и тп
Не одного взлома с 2009 года. Подпись никто кроме нас не использует. Что мы делаем не так? Расскажи нам, всепропальщик
Здравствуйте, Sharowarsheg, Вы писали:
S>Здравствуйте, autopsist, Вы писали:
A>>Расскажи лучше про "панацею", которую ты используешь. Нет её? Ну и чего ныть тогда?
S>Панацею от чего? От того, чтобы сайт хакнули? CMS не пользоваться, и всё будет хорошо.
Бред. Используем CMS, никаких проблем. У тебя, видимо, печальный опыт?
Если не получилось у тебя, не значит что у других не получится.
Здравствуйте, velkin, Вы писали:
V>Здравствуйте, uuuser, Вы писали:
U>>а что, подписи уже можно подделывать? или вы своим кастомерам md5 на бересте раздаёте чтобы они подлинность exe'шника проверяли перед запуском?
V>Я за доверенные источники с которых можно скачать программу, а не за хренов с горы гребущих деньги и шантажирующих независимых разработчиков всплывающими окнами встроенными в операционку. Уверяю, если бы это окно не всплывало, мало бы кто озаботился проверкой установщика. А как раньше то жили, ставили софт с лазерных дисков, а до этого с дискет, причём всё без сертификации. Что касается хеш-сумм, то идея проверки целостности архива, подчёркиваю целостности, вполне себе здравая. Пишу это сообщение с Debian 9 и именно так в мире GNU/Linux и поступают. Как раз приведённый случай с md5.
Подписи спасают от проблемы, когда взламывают веб-сервер и подменяют бинарники. Такое случалось и не раз. Чтобы подписать бинарник, требуется ключ, который не покидает компьютера разработчика (а в идеале защищённого крипто-токена). Взломать компьютер разработчика гораздо сложней, чем веб-сервер, на котором крутится сайт.
Твой пример с Debian кстати показателен. Ты проигнорировал файлы с расширением .sign, а ведь это подписанные GPG файлы, полный аналог подписей. Только в случае с Debian ты никак их не можешь проверить, т.к. не знаешь публичных ключей разработчиков. А в случае с Windows ты можешь их проверить, т.к. знаешь публичные ключи организаций, заверяющих эти подписи.
Здравствуйте, autopsist, Вы писали:
a> R>Ну, то есть, пытать разраба паяльником не требуется, чтобы подписать чего угодно его сертификатом, верно? Уже хорошо.
a> Не верно. Все еще надо узнать пароль. Если его нет, тогда да, пытать не придется.
Стилеры крадут не только файлы, они еще и функциональность кейлогеров имеют. Работают по площадям.
a> R>Я-то, как раз, говорю, что нет никакой панацеи. Сертификаты не защищают юзера. У юзера надежда одна — надежда на адекваность разработчика. Три раза это повторил.
a> Всё пропало, ага. Ничто не отчего не защищает. a> У нас почти на всех проектах используются CMS, екзешники подписаны и тп a> Не одного взлома с 2009 года. Подпись никто кроме нас не использует. Что мы делаем не так? Расскажи нам, всепропальщик
