Здравствуйте, uuuser, Вы писали:
U>лицензирование деятельности... эээ, ну если вы считаете что предпринимательством и оказанием услуг может заниматься любой и без каких либо гарантий и ответственности, то...
Конечно. Только благодаря тому, что можно заниматься предпринимательством и оказанием услуг без всяких гарантий и отвественности мы все тут. Это написано в любом лицензионном соглашении.
И, конечно, беспокойство о MITM колоссально преувеличено.
Здравствуйте, ArcticLine2, Вы писали:
AL>Каждый раз, как выкладываем обновление, какое-то время этот SmartScreen показывает варнинги пользователям, что этот файл может нанести вред вашему ПК. Понятное дело, что часть пользователей этого пугается и этот варнинг проходит через день-два, но вот хочется и эти день-два проблемы не иметь.
Не выкладывайте обновление, выкладывайте программу которая сама скачивает обновления, а сама не обновляется
Здравствуйте, uuuser, Вы писали:
u> u>> а как вы докажете юзеру что ваш сервер не взломан?
u> R>А как ты докажешь юзеру, что твой сертификат не утек?
u> отзыв сертификата, не?
Пока ты это обнаружишь, пока отзовешь, пока эта информация приедет к юзеру...
u> ну вообще никто не хранит сертификаты подписи кода на web серверах, и ситуация когда хакнули всё и вся, подписали и выложили под видом оригинала крайне маловероятная и быстро обнаруживаемая.
Сертификат могут тиснуть с твоей рабочей машины. Подписать им любую хрень и распространять в виде бандла с твоим софтом. И бандл будет подписан твоим сертификатом.
Я это к чему: юзер, в любом случае, ни чем не защищен. Ему остается только надеяться на то, что разработчик не совсем далпайоп и все делает правильно (может обеспечить защиту критически важных ресурсов, будь то вебсервер или билд-машина).
Здравствуйте, wantus, Вы писали:
w> R>Сертификат могут тиснуть с твоей рабочей машины. Подписать им любую хрень и распространять в виде бандла с твоим софтом. И бандл будет подписан твоим сертификатом.
w> EV certs тиснуть нельзя, потому что они сидят на HSM. Специльный provision для защиты далпоепов от самих себя.
Да, эксплуатация страхов — хорошее средство заработать немного денег.
т цифровая подпись, которой у заражённых инсталляторов не будет, и ваш md5 не поможет никак.
R>Если нет доверия веб-серверу разработчика, то какие основания доверять его подписи? Или мы считаем, что разработчик настолько клоун, что не способен обеспечить безопасность ключевого элемента инфраструктуры
Ещё момент. В EV сертификате указана существующая зарегистрированная компания и ее реальный адрес.
А сайтов может любой человек сделать десяток. И прятаться за contact form.
Здравствуйте, uuuser, Вы писали:
U>ну то есть MITM есть, но вас это не касается, и защитить юзера ssl сертификатом вы не считаете целесообразным... хорошо, что хоть гугл другого мнения.
первым делом гугл защишает себя. чтобы провайдер или юзерский проксик не вырезал его рекламу. наивно думать что корпорация Г всего-то защишает пользователей.
Народ, а есть какой-то способ обойти Windows SmartScreen?
Каждый раз, как выкладываем обновление, какое-то время этот SmartScreen показывает варнинги пользователям, что этот файл может нанести вред вашему ПК. Понятное дело, что часть пользователей этого пугается и этот варнинг проходит через день-два, но вот хочется и эти день-два проблемы не иметь.
Есть какой-то способ (например, на проверку перед релизом майкрософту отправить) или еще как добиться того, чтобы даже в первые дни варнинг У ПОЛЬЗОВАТЕЛЕЙ не всплывал?
Либо можно в первые несколько дней раздавать апдейт только всяким левым странам, откуда никто толком не покупает, а потом выкладывать для всех остальных.
Здравствуйте, ArcticLine2, Вы писали:
AL>Каждый раз, как выкладываем обновление, какое-то время этот SmartScreen показывает варнинги пользователям, что этот файл может нанести вред вашему ПК. Понятное дело, что часть пользователей этого пугается и этот варнинг проходит через день-два, но вот хочется и эти день-два проблемы не иметь.
Подпись помогает. Не обязательно EV, обычный сертификат тоже работает.
Чтобы быстро набрать рейтинг, мы в свое время купили EV на старте — он набрал репутацию мгновенно. Затем покупали обычный — к нему перешла репутация от EV, видимо по совпадению имени организации.
Здравствуйте, uuuser, Вы писали:
U>а что, подписи уже можно подделывать? или вы своим кастомерам md5 на бересте раздаёте чтобы они подлинность exe'шника проверяли перед запуском?
Я за доверенные источники с которых можно скачать программу, а не за хренов с горы гребущих деньги и шантажирующих независимых разработчиков всплывающими окнами встроенными в операционку. Уверяю, если бы это окно не всплывало, мало бы кто озаботился проверкой установщика. А как раньше то жили, ставили софт с лазерных дисков, а до этого с дискет, причём всё без сертификации. Что касается хеш-сумм, то идея проверки целостности архива, подчёркиваю целостности, вполне себе здравая. Пишу это сообщение с Debian 9 и именно так в мире GNU/Linux и поступают. Как раз приведённый случай с md5.
Или ладно, возьмём сертификаты. Где-то там в интернете есть центр сертификации. Но вопрос, откуда пользователь берёт пакет установки? С центра сертификации? Нет, он качает его с сайта разработчика, на худой конец с какого-нибудь магазина. И тогда возникает вопрос, а что собственно здесь сертифицировать? Если пользователь не доверяет этому источнику, то зачем оттуда качает?
Или руководство поручило установить Васе Пупкину софт, но Васян может запороть операционку и без всякого софта если захочет. Сертификат на приложение это даже не защита от дурака, это вообще ни о чём.
Да и в принципе никто не мешал сделать автоматическую систему сертификации, как с тем же подтверждением домена, когда надо расположить на своём сайте определённый файл и тогда поисковик признает тебя владельцем. Потом бы при запуске установщика операционка бы показывала не некого абстрактного владельца, а подтверждённый домен разработчика.
Но сертификация была сделана не для этого, а чтобы драть с людей бабки не работая. Тоже самое делает правительство выдавая лицензии на деятельность. Идея брать налоги не нова, зачем самим работать, когда есть те, кто будет работать за вас.
Здравствуйте, velkin, Вы писали:
V>Или ладно, возьмём сертификаты. Где-то там в интернете есть центр сертификации. Но вопрос, откуда пользователь берёт пакет установки? С центра сертификации? Нет, он качает его с сайта разработчика, на худой конец с какого-нибудь магазина. И тогда возникает вопрос, а что собственно здесь сертифицировать? Если пользователь не доверяет этому источнику, то зачем оттуда качает?
вы про MITM как я понимаю не в курсе?
V>Но сертификация была сделана не для этого, а чтобы драть с людей бабки не работая. Тоже самое делает правительство выдавая лицензии на деятельность. Идея брать налоги не нова, зачем самим работать, когда есть те, кто будет работать за вас.
ssl это гарантия того что показано и скачено именно то, что должно.
code signing это гарантия того что это именно тот файл и о того разработчика без всяких изменений.
лицензирование деятельности... эээ, ну если вы считаете что предпринимательством и оказанием услуг может заниматься любой и без каких либо гарантий и ответственности, то...
Здравствуйте, uuuser, Вы писали:
U>вы про MITM как я понимаю не в курсе?
Для этого есть https, а если и это как-то взломали... Стоп, а зачем обсуждать эту чушь, для начала ещё попробуй влезь в чужой канал. По мне так можно привести более реальный пример, взлом сайта и заражение программ на нём.
U>ssl это гарантия того что показано и скачено именно то, что должно. U>code signing это гарантия того что это именно тот файл и о того разработчика без всяких изменений.
Так и в GNU/Linux всё это есть, просто в коммерческих операционках за это нужно платить.
U>лицензирование деятельности... эээ, ну если вы считаете что предпринимательством и оказанием услуг может заниматься любой и без каких либо гарантий и ответственности, то...
Да, я считаю созданием программ может заниматься любой, причём без гарантий и ответственности. Если разработчик хочет зарабатывать на этом и оформить всё официально, то это его право.
Здравствуйте, Aquilaware, Вы писали:
A>Здравствуйте, ArcticLine2, Вы писали:
AL>>Каждый раз, как выкладываем обновление, какое-то время этот SmartScreen показывает варнинги пользователям, что этот файл может нанести вред вашему ПК. Понятное дело, что часть пользователей этого пугается и этот варнинг проходит через день-два, но вот хочется и эти день-два проблемы не иметь.
A>Подпись помогает. Не обязательно EV, обычный сертификат тоже работает.
Обычный сертификат есть. Но все равно первое время этот смартскрин показывается.
Здравствуйте, velkin, Вы писали:
U>>вы про MITM как я понимаю не в курсе? V>Для этого есть https,
для которого нужно купить ssl сертификат
V> а если и это как-то взломали... Стоп, а зачем обсуждать эту чушь, для начала ещё попробуй влезь в чужой канал. По мне так можно привести более реальный пример, взлом сайта и заражение программ на нём.
а для этого нужно купить code signing сертификат
V> Или лучше сказать это был ловкий развод на деньги как и вся система сертификации.
но ведь ваша религия вам не позволит?
U>>ssl это гарантия того что показано и скачено именно то, что должно. U>>code signing это гарантия того что это именно тот файл и о того разработчика без всяких изменений. V>Так и в GNU/Linux всё это есть, просто в коммерческих операционках за это нужно платить.
ну так на то они и коммерческие
вы попробуйте бесплатно влезть на какую-нибудь игровую приставку
V>Да, я считаю созданием программ может заниматься любой, причём без гарантий и ответственности.
так созданием программ может заниматься любой, и без гарантий и ответственности, бесплатный линух или винда с окном варнинга
V> Если разработчик хочет зарабатывать на этом и оформить всё официально, то это его право.
вы со своим самоваром, да ещё и возмущаетесь?
V>
Право, но не обязанность.
линух и полтора процента юзеров с таким же мировоззрением вас ждут!
Здравствуйте, Sharowarsheg, Вы писали:
U>>лицензирование деятельности... эээ, ну если вы считаете что предпринимательством и оказанием услуг может заниматься любой и без каких либо гарантий и ответственности, то... S>Конечно. Только благодаря тому, что можно заниматься предпринимательством и оказанием услуг без всяких гарантий и отвественности мы все тут. Это написано в любом лицензионном соглашении.
та он же про госрегулирование задвинул:
V> Тоже самое делает правительство выдавая лицензии на деятельность. Идея брать налоги не нова, зачем самим работать, когда есть те, кто будет работать за вас.
S>И, конечно, беспокойство о MITM колоссально преувеличено.
то есть мобильные провайдеры не встраивают рекламу в http траффик, а бесплатные wi-fi сети вообще безгрешны?
Здравствуйте, uuuser, Вы писали:
U>>>вы про MITM как я понимаю не в курсе? V>>Для этого есть https, U>для которого нужно купить ssl сертификат
Нет, не нужно, можно пользоваться бесплатными решениями. Да и в целом эта тема заглохла: EV-сертификаты мертвы, а сертификат попроще можно получить и так.
V>> а если и это как-то взломали... Стоп, а зачем обсуждать эту чушь, для начала ещё попробуй влезь в чужой канал. По мне так можно привести более реальный пример, взлом сайта и заражение программ на нём. U>а для этого нужно купить code signing сертификат
С чего бы или не терпится что-нибудь купить. Тогда лучше защитить свой сервер, а не заниматься не относящимися к делу покупками. Хотя если очень хочется себя убедить, что сертификат нужен, то лично я возражений не имею, не мне же его покупать.
V>>Право, но не обязанность. U>линух и полтора процента юзеров с таким же мировоззрением вас ждут!
Это для всех операционок, но если брать Windows как самую популярную десктопную операционку, то претензий по сертификатам для прикладного софта у меня к ней нет. Естественно пока нет, раз сертификация не обязательна хочешь делай, хочешь не делай. По большому счёту говоря о сертификатах для программ нужно прежде всего вспомнить об Apple. Но есть и просто закрытые платформы у Sony, Microsoft, Nintendo.
Или объясни тогда, как раньше весь мир жил без сертификации программ на той же Windows? Что, там тоже полтора процента что-ли было? Программы без сертификатов это прошлое винды, и скажу, что это отличное прошлое. Именно из-за винды я и говорю, что не должно быть никаких сертификатов. Это винда меня научила, что когда хочешь установить приложения, то просто запускаешь установку и всё.
Здравствуйте, ArcticLine2, Вы писали:
AL>Здравствуйте, Aquilaware, Вы писали:
A>>Здравствуйте, ArcticLine2, Вы писали:
AL>>>Каждый раз, как выкладываем обновление, какое-то время этот SmartScreen показывает варнинги пользователям, что этот файл может нанести вред вашему ПК. Понятное дело, что часть пользователей этого пугается и этот варнинг проходит через день-два, но вот хочется и эти день-два проблемы не иметь.
A>>Подпись помогает. Не обязательно EV, обычный сертификат тоже работает.
AL>Обычный сертификат есть. Но все равно первое время этот смартскрин показывается.
В своей подписи на этом форуме ссылку на скачивание ставишь, затем поддерживаешь тему, вливая про ненужность сертификатов и порабощение сторами и всё. Через недельку твоя поделка прокачана по полной и смарт скрина нет.
Здравствуйте, ArcticLine2, Вы писали:
AL>Привет.
AL>Народ, а есть какой-то способ обойти Windows SmartScreen?
AL>Каждый раз, как выкладываем обновление, какое-то время этот SmartScreen показывает варнинги пользователям, что этот файл может нанести вред вашему ПК. Понятное дело, что часть пользователей этого пугается и этот варнинг проходит через день-два, но вот хочется и эти день-два проблемы не иметь.
AL>Есть какой-то способ (например, на проверку перед релизом майкрософту отправить) или еще как добиться того, чтобы даже в первые дни варнинг У ПОЛЬЗОВАТЕЛЕЙ не всплывал?
Варианты:
1. Выполнить рекомендации майкрософта:
Distribute your apps through the Windows Store
Digitally sign your programs (Standard or EV code signing). У майкрософта в почете Symantec и DigiCert.
Don’t sign or distribute malicious code
Apply for a Windows Logo or Windows 8 Desktop App Certification
2. Проверить свой апп с помощью Windows App Certification Kit (WACK) из состава Windows SDK.
Соответственно свести варнинги к минимуму.
3. Раньше можно было засабмитить на sysdev.microsoft.com и репутация давалась авансом почти сразу.
Теперь этой страницы нет.
Здравствуйте, uuuser, Вы писали:
U>Здравствуйте, velkin, Вы писали:
V>>Или ладно, возьмём сертификаты. Где-то там в интернете есть центр сертификации. Но вопрос, откуда пользователь берёт пакет установки? С центра сертификации? Нет, он качает его с сайта разработчика, на худой конец с какого-нибудь магазина. И тогда возникает вопрос, а что собственно здесь сертифицировать? Если пользователь не доверяет этому источнику, то зачем оттуда качает?
U>вы про MITM как я понимаю не в курсе?
Тут скорее не про MITM, а расчёт на более вероятное событие, такое как взлом хостинга. У меня за 10 лет два раза хостинг ломали. Один раз турецкие хакеры удалили весь сайт, другой раз добавили скриптом в HTML какую то рекламу. Им ничто не мешало подменить exe файл на другой, например с вирусом или трояном.
Система с сертификатами и smart screen-ом уменьшила бы ущерб.
Здравствуйте, Matrix_Failure, Вы писали:
MF> U>вы про MITM как я понимаю не в курсе?
MF> Тут скорее не про MITM, а расчёт на более вероятное событие, такое как взлом хостинга. У меня за 10 лет два раза хостинг ломали. Один раз турецкие хакеры удалили весь сайт, другой раз добавили скриптом в HTML какую то рекламу. Им ничто не мешало подменить exe файл на другой, например с вирусом или трояном.
Здравствуйте, velkin, Вы писали:
U>>для которого нужно купить ssl сертификат V>Нет, не нужно, можно пользоваться бесплатными решениями. Да и в целом эта тема заглохла: EV-сертификаты мертвы, а сертификат попроще можно получить и так.
, $3.5 в год это не деньги
U>>а для этого нужно купить code signing сертификат V>С чего бы или не терпится что-нибудь купить. Тогда лучше защитить свой сервер,
а как вы докажете юзеру что ваш сервер не взломан?
V>Это для всех операционок, но если брать Windows как самую популярную десктопную операционку, то претензий по сертификатам для прикладного софта у меня к ней нет. Естественно пока нет, раз сертификация не обязательна хочешь делай, хочешь не делай.
V>Или лучше сказать это был ловкий развод на деньги как и вся система сертификации.
или есть?
V>Или объясни тогда, как раньше весь мир жил без сертификации программ на той же Windows?
а давайте вспомним как раньше весь мир жил без презервативов или ремней безопасности, или ещё чего
V>Программы без сертификатов это прошлое винды, и скажу, что это отличное прошлое. Именно из-за винды я и говорю, что не должно быть никаких сертификатов. Это винда меня научила, что когда хочешь установить приложения, то просто запускаешь установку и всё.
ну так делайте и продавайте софт только для тех версий винды где нет SmartScreen, это же элементарно
а в новых версиях SmartScreen есть, и выполняет очень важную функцию безопасности, предупреждает юзеров о последствиях установки хрен знает чего из "отличного прошлого"
Здравствуйте, uuuser, Вы писали:
U>>>лицензирование деятельности... эээ, ну если вы считаете что предпринимательством и оказанием услуг может заниматься любой и без каких либо гарантий и ответственности, то... S>>Конечно. Только благодаря тому, что можно заниматься предпринимательством и оказанием услуг без всяких гарантий и отвественности мы все тут. Это написано в любом лицензионном соглашении.
U>та он же про госрегулирование задвинул: U>
V> Тоже самое делает правительство выдавая лицензии на деятельность. Идея брать налоги не нова, зачем самим работать, когда есть те, кто будет работать за вас.
Ну да, а что здесь неправда?
S>>И, конечно, беспокойство о MITM колоссально преувеличено. U>то есть мобильные провайдеры не встраивают рекламу в http траффик, а бесплатные wi-fi сети вообще безгрешны?
Мобильные провайдеры встраивают рекламу в http траффик в полном соответствии с договором, который ты с ними заключил. А если нет, то в суд можно подать. В любом случае, это проблема между клиентом и его провайдером, и не касается всех сайтов мира. Скажем, если где-то в Уганде в мой сайт провайдер встроил рекламу, то пусть угандийские пользователи там у себя сами разберутся. Про бесплатные wifi-сети не в курсе, ни одной не видел. По крайней мере официальных, где есть кому претензии предъявить.
Здравствуйте, Sharowarsheg, Вы писали:
U>>та он же про госрегулирование задвинул: U>>
V> Тоже самое делает правительство выдавая лицензии на деятельность. Идея брать налоги не нова, зачем самим работать, когда есть те, кто будет работать за вас.
S>Ну да, а что здесь неправда?
то есть вы готовы лечить зубы в шарашке без лицензии на соответствующую деятельность?
S>>>И, конечно, беспокойство о MITM колоссально преувеличено. U>>то есть мобильные провайдеры не встраивают рекламу в http траффик, а бесплатные wi-fi сети вообще безгрешны? S>Мобильные провайдеры встраивают рекламу в http траффик в полном соответствии с договором, который ты с ними заключил. А если нет, то в суд можно подать. В любом случае, это проблема между клиентом и его провайдером, и не касается всех сайтов мира. Скажем, если где-то в Уганде в мой сайт провайдер встроил рекламу, то пусть угандийские пользователи там у себя сами разберутся. Про бесплатные wifi-сети не в курсе, ни одной не видел. По крайней мере официальных, где есть кому претензии предъявить.
ну то есть MITM есть, но вас это не касается, и защитить юзера ssl сертификатом вы не считаете целесообразным... хорошо, что хоть гугл другого мнения.
Здравствуйте, uuuser, Вы писали:
S>>Ну да, а что здесь неправда?
U>то есть вы готовы лечить зубы в шарашке без лицензии на соответствующую деятельность?
Почему нет? Была бы нормальная репутация у шарашки, можно и без лицензий обойтись.
U>ну то есть MITM есть, но вас это не касается, и защитить юзера ssl сертификатом вы не считаете целесообразным... хорошо, что хоть гугл другого мнения.
Я не считаю целесообразным лезть во взаимоотношения других людей или организаций, насчёт которых взаимоотношений люди добровольно заключили договор. Ну, или, как в Казахстане или сделали, или грозились, во взаимоотношения правительства со своими подданными. К сожалению, гуглу не зазорно лезть не в своё дело в мировых масштабах.
Здравствуйте, Sharowarsheg, Вы писали:
U>>ну то есть MITM есть, но вас это не касается, и защитить юзера ssl сертификатом вы не считаете целесообразным... хорошо, что хоть гугл другого мнения. S>Я не считаю целесообразным лезть во взаимоотношения других людей или организаций, насчёт которых взаимоотношений люди добровольно заключили договор. Ну, или, как в Казахстане или сделали, или грозились, во взаимоотношения правительства со своими подданными. К сожалению, гуглу не зазорно лезть не в своё дело в мировых масштабах.
странная логика, пользователь по определению не может быть уверенным по всех каналах связи которые использует, поэтому и существует ssl который гарантирует безопасное соединение между ним и вашим сервером, а так как мы тут про бизнес вроде рассуждаем, то ssl это как бы базовая вещь
Здравствуйте, uuuser, Вы писали:
U>поэтому и существует ssl который гарантирует безопасное соединение между ним и вашим сервером, а так как мы тут про бизнес вроде рассуждаем, то ssl это как бы базовая вещь
Безопасное соединение в общем случае никак не связано с бизнесом. В общем случае, может не быть и бизнеса вовсе, например, как у freeware или википедии.
Здравствуйте, uuuser, Вы писали:
u> U>>а для этого нужно купить code signing сертификат
u> V>С чего бы или не терпится что-нибудь купить. Тогда лучше защитить свой сервер,
u> а как вы докажете юзеру что ваш сервер не взломан?
А как ты докажешь юзеру, что твой сертификат не утек?
Здравствуйте, rudzuk, Вы писали:
u>> V>С чего бы или не терпится что-нибудь купить. Тогда лучше защитить свой сервер, u>> а как вы докажете юзеру что ваш сервер не взломан? R>А как ты докажешь юзеру, что твой сертификат не утек?
отзыв сертификата, не?
ну вообще никто не хранит сертификаты подписи кода на web серверах, и ситуация когда хакнули всё и вся, подписали и выложили под видом оригинала крайне маловероятная и быстро обнаруживаемая.
Здравствуйте, rudzuk, Вы писали:
R>Я это к чему: юзер, в любом случае, ни чем не защищен.
если не впадать в крайности, то можно сформулировать по другому: юзер гораздо менее защищён когда качает неподписанный софт с сайта без ssl
собственно поэтому мы имеем варнинги в браузерах и операционках
R>Сертификат могут тиснуть с твоей рабочей машины. Подписать им любую хрень и распространять в виде бандла с твоим софтом. И бандл будет подписан твоим сертификатом.
EV certs тиснуть нельзя, потому что они сидят на HSM. Специльный provision для защиты далпоепов от самих себя.
Здравствуйте, uuuser, Вы писали:
u> R>Я это к чему: юзер, в любом случае, ни чем не защищен.
u> если не впадать в крайности, то можно сформулировать по другому: юзер гораздо менее защищён когда качает неподписанный софт с сайта без ssl u> собственно поэтому мы имеем варнинги в браузерах и операционках
Если не впадать в крайности, то ssl и хеши на странице закачки — достаточная мера безопасности.
Здравствуйте, rudzuk, Вы писали:
u>> если не впадать в крайности, то можно сформулировать по другому: юзер гораздо менее защищён когда качает неподписанный софт с сайта без ssl u>> собственно поэтому мы имеем варнинги в браузерах и операционках
R>Если не впадать в крайности, то ssl и хеши на странице закачки — достаточная мера безопасности.
как вы себе представляете процесс верификации юзером скаченного файла?
и как хэш на странице скачивания защитит от взлома web сервера?
Здравствуйте, uuuser, Вы писали:
u> R>Если не впадать в крайности, то ssl и хеши на странице закачки — достаточная мера безопасности.
u> как вы себе представляете процесс верификации юзером скаченного файла?
Кого этот вопрос беспокоит, те прекрасно осведомлены, как сделать проверку. На странице можно дать небольшое хауту, типа такого.
u> и как хэш на странице скачивания защитит от взлома web сервера? u>
Что, опять? Либо юзер доверяет разработчику, либо нет.
Здравствуйте, rudzuk, Вы писали:
u>> и как хэш на странице скачивания защитит от взлома web сервера? u>>
R>Что, опять? Либо юзер доверяет разработчику, либо нет.
сайт разработчика взломали и выложили туда версию с трояном, и соответственно обновили на странице хэш,
а теперь подумайте, в каком месте ваша логика с доверием даёт сбой?
Здравствуйте, uuuser, Вы писали:
u> u>> и как хэш на странице скачивания защитит от взлома web сервера? u> u>>
u> R>Что, опять? Либо юзер доверяет разработчику, либо нет.
u> сайт разработчика взломали и выложили туда версию с трояном, и соответственно обновили на странице хэш, u> а теперь подумайте, в каком месте ваша логика с доверием даёт сбой?
Здравствуйте, rudzuk, Вы писали:
R>Здравствуйте, uuuser, Вы писали:
u>> u>> и как хэш на странице скачивания защитит от взлома web сервера? u>> u>>
u>> R>Что, опять? Либо юзер доверяет разработчику, либо нет.
u>> сайт разработчика взломали и выложили туда версию с трояном, и соответственно обновили на странице хэш, u>> а теперь подумайте, в каком месте ваша логика с доверием даёт сбой?
R>Перечитай последний абзац: https://rsdn.org/forum/shareware/8070891.1
Осталось добавить что не только тиснули сертфикат с машины разраба, но и, вероятно, пытали разраба паяльником, чтобы он выдал им пароль для подписи. x 10
a> Осталось добавить что не только тиснули сертфикат с машины разраба, но и, вероятно, пытали разраба паяльником, чтобы он выдал им пароль для подписи. a> x 10
Про малварь подписанную сертификатом Realtek слышал? И это не единичный случай.
В ходе анализа экземпляров малвари специалисты обнаружили различные версии дропперов, содержащих один и тот же набор функций. При этом в ряде случаев, например при атаках на Монголию, дроппер был подписан валидной цифровой подписью. По мнению экспертов Positive Technologies, она, скорее всего, была украдена, что также говорит о хорошей подготовке группировки.
a>> Осталось добавить что не только тиснули сертфикат с машины разраба, но и, вероятно, пытали разраба паяльником, чтобы он выдал им пароль для подписи. a>> x 10
R>Про малварь подписанную сертификатом Realtek слышал? И это не единичный случай.
Ну все, кранты, у бабки отобрали кошелек — кошелек это зло! Не было бы кошелька не отобрали бы! И это не единичный случай. x 20
И на старуху бывает проруха.
Расскажи лучше про "панацею", которую ты используешь. Нет её? Ну и чего ныть тогда?
Здравствуйте, rudzuk, Вы писали:
u>> сайт разработчика взломали и выложили туда версию с трояном, и соответственно обновили на странице хэш, u>> а теперь подумайте, в каком месте ваша логика с доверием даёт сбой?
R>Перечитай последний абзац: https://rsdn.org/forum/shareware/8070891.1
Здравствуйте, rudzuk, Вы писали:
a>> Осталось добавить что не только тиснули сертфикат с машины разраба, но и, вероятно, пытали разраба паяльником, чтобы он выдал им пароль для подписи. a>> x 10
R>Про малварь подписанную сертификатом Realtek слышал? И это не единичный случай.
да, да, будут хакеры палить сворованный сертификат чтобы подписать и выложить на сайте Васи Пупкина заражённый инсталлятор
Здравствуйте, CRT, Вы писали:
CRT> R>Не нужно сидеть на шареде и популярных cms.
CRT> Но пользователь-то не знает на чем ты сидишь. Это же для его безопасности делается а не для твоей.
Пользователь вообще ничего о разработчике не знает и не может быть в нем уверен. Он ему просто доверяет. Не гарантирует подпись отсутствия нежелательной активности со стороны подписанного софта.
Здравствуйте, uuuser, Вы писали:
u> R>Про малварь подписанную сертификатом Realtek слышал? И это не единичный случай.
u> да, да, будут хакеры палить сворованный сертификат чтобы подписать и выложить на сайте Васи Пупкина заражённый инсталлятор
Палить сертификат жирной конторы может и не будут, но Вася не жирная контора.
Здравствуйте, autopsist, Вы писали:
a> a>> Осталось добавить что не только тиснули сертфикат с машины разраба, но и, вероятно, пытали разраба паяльником, чтобы он выдал им пароль для подписи. a> a>> x 10
a> R>Про малварь подписанную сертификатом Realtek слышал? И это не единичный случай.
a> Ну все, кранты, у бабки отобрали кошелек — кошелек это зло! Не было бы кошелька не отобрали бы! И это не единичный случай. a> x 20 a> И на старуху бывает проруха.
Ну, то есть, пытать разраба паяльником не требуется, чтобы подписать чего угодно его сертификатом, верно? Уже хорошо.
a> Расскажи лучше про "панацею", которую ты используешь. Нет её? Ну и чего ныть тогда?
Я-то, как раз, говорю, что нет никакой панацеи. Сертификаты не защищают юзера. У юзера надежда одна — надежда на адекваность разработчика. Три раза это повторил.
Здравствуйте, rudzuk, Вы писали:
u>> R>Про малварь подписанную сертификатом Realtek слышал? И это не единичный случай. u>> да, да, будут хакеры палить сворованный сертификат чтобы подписать и выложить на сайте Васи Пупкина заражённый инсталлятор R>Палить сертификат жирной конторы может и не будут, но Вася не жирная контора.
, поэтому взлом web сервера самая вероятная ситуация, и тут то и помогает цифровая подпись, которой у заражённых инсталляторов не будет, и ваш md5 не поможет никак.
поймите, всю эту систему не дураки придумали, не считайте себя умнее других.
, поэтому взлом web сервера самая вероятная ситуация, и тут то и помогает цифровая подпись, которой у заражённых инсталляторов не будет, и ваш md5 не поможет никак.
Если нет доверия веб-серверу разработчика, то какие основания доверять его подписи? Или мы считаем, что разработчик настолько клоун, что не способен обеспечить безопасность ключевого элемента инфраструктуры продукта, и при этом он достаточно напуган, чтобы подписывать файлы хард.токеном? Мы о таких разработчиках?
u> поймите, всю эту систему не дураки придумали, не считайте себя умнее других.
Здравствуйте, Matrix_Failure, Вы писали:
MF> R>Если нет доверия веб-серверу разработчика, то какие основания доверять его подписи? Или мы считаем, что разработчик настолько клоун, что не способен обеспечить безопасность ключевого элемента инфраструктуры
MF> Ещё момент. В EV сертификате указана существующая зарегистрированная компания и ее реальный адрес.
И что это дает юзеру? Некоторые и в whois домена не закрывают данные, вплоть до квартиры и номера телефона.
MF> А сайтов может любой человек сделать десяток. И прятаться за contact form.
В любом случае все строится на доверии. В ситуации с сертификатами юзер доверяет третьей стороне — удостоверяющему центру. Стоит такое доверие не очень дорого, всего полтора куска за левый EV.
Здравствуйте, rudzuk, Вы писали:
r> В любом случае все строится на доверии. В ситуации с сертификатами юзер доверяет третьей стороне — удостоверяющему центру. Стоит такое доверие не очень дорого, всего полтора куска за левый EV.
Здравствуйте, rudzuk, Вы писали:
R>Здравствуйте, autopsist, Вы писали:
a>> a>> Осталось добавить что не только тиснули сертфикат с машины разраба, но и, вероятно, пытали разраба паяльником, чтобы он выдал им пароль для подписи. a>> a>> x 10
a>> R>Про малварь подписанную сертификатом Realtek слышал? И это не единичный случай.
a>> Ну все, кранты, у бабки отобрали кошелек — кошелек это зло! Не было бы кошелька не отобрали бы! И это не единичный случай. a>> x 20 a>> И на старуху бывает проруха.
R>Ну, то есть, пытать разраба паяльником не требуется, чтобы подписать чего угодно его сертификатом, верно? Уже хорошо.
Не верно. Все еще надо узнать пароль. Если его нет, тогда да, пытать не придется.
a>> Расскажи лучше про "панацею", которую ты используешь. Нет её? Ну и чего ныть тогда?
R>Я-то, как раз, говорю, что нет никакой панацеи. Сертификаты не защищают юзера. У юзера надежда одна — надежда на адекваность разработчика. Три раза это повторил.
Всё пропало, ага. Ничто не отчего не защищает.
У нас почти на всех проектах используются CMS, екзешники подписаны и тп
Не одного взлома с 2009 года. Подпись никто кроме нас не использует. Что мы делаем не так? Расскажи нам, всепропальщик
Здравствуйте, Sharowarsheg, Вы писали:
S>Здравствуйте, autopsist, Вы писали:
A>>Расскажи лучше про "панацею", которую ты используешь. Нет её? Ну и чего ныть тогда?
S>Панацею от чего? От того, чтобы сайт хакнули? CMS не пользоваться, и всё будет хорошо.
Бред. Используем CMS, никаких проблем. У тебя, видимо, печальный опыт?
Если не получилось у тебя, не значит что у других не получится.
Здравствуйте, velkin, Вы писали:
V>Здравствуйте, uuuser, Вы писали:
U>>а что, подписи уже можно подделывать? или вы своим кастомерам md5 на бересте раздаёте чтобы они подлинность exe'шника проверяли перед запуском?
V>Я за доверенные источники с которых можно скачать программу, а не за хренов с горы гребущих деньги и шантажирующих независимых разработчиков всплывающими окнами встроенными в операционку. Уверяю, если бы это окно не всплывало, мало бы кто озаботился проверкой установщика. А как раньше то жили, ставили софт с лазерных дисков, а до этого с дискет, причём всё без сертификации. Что касается хеш-сумм, то идея проверки целостности архива, подчёркиваю целостности, вполне себе здравая. Пишу это сообщение с Debian 9 и именно так в мире GNU/Linux и поступают. Как раз приведённый случай с md5.
Подписи спасают от проблемы, когда взламывают веб-сервер и подменяют бинарники. Такое случалось и не раз. Чтобы подписать бинарник, требуется ключ, который не покидает компьютера разработчика (а в идеале защищённого крипто-токена). Взломать компьютер разработчика гораздо сложней, чем веб-сервер, на котором крутится сайт.
Твой пример с Debian кстати показателен. Ты проигнорировал файлы с расширением .sign, а ведь это подписанные GPG файлы, полный аналог подписей. Только в случае с Debian ты никак их не можешь проверить, т.к. не знаешь публичных ключей разработчиков. А в случае с Windows ты можешь их проверить, т.к. знаешь публичные ключи организаций, заверяющих эти подписи.
Здравствуйте, autopsist, Вы писали:
a> R>Ну, то есть, пытать разраба паяльником не требуется, чтобы подписать чего угодно его сертификатом, верно? Уже хорошо.
a> Не верно. Все еще надо узнать пароль. Если его нет, тогда да, пытать не придется.
Стилеры крадут не только файлы, они еще и функциональность кейлогеров имеют. Работают по площадям.
a> R>Я-то, как раз, говорю, что нет никакой панацеи. Сертификаты не защищают юзера. У юзера надежда одна — надежда на адекваность разработчика. Три раза это повторил.
a> Всё пропало, ага. Ничто не отчего не защищает. a> У нас почти на всех проектах используются CMS, екзешники подписаны и тп a> Не одного взлома с 2009 года. Подпись никто кроме нас не использует. Что мы делаем не так? Расскажи нам, всепропальщик
