Re[15]: Сокращение срока действия сертификатов подписания кода - Shareware и бизнес

Здравствуйте, Евгений Музыченко, Вы писали:

ЕМ>Оказывается, CA/Browser Forum еще почти два месяца назад принял решение ограничить срок действия сертификатов подписания кода до 460 дней с марта 2026 г.

ЕМ>Неприятно. Но тем, кто тут с энтузиазмом выдумывает разные схематозы в этой области, неплохо бы понимать, что они тоже приложили к этому руку.

Это, всего навсего, признание порочности самой идеи сертификатов.

В идеальном сферическом мире, или в лаборатории на столе оно работает условно нормально, но в реальном мире... я по пальцам левой руки могу посчитать ПО, которое проверяет сертификат на отзыв/компрометацию.

ЕМ>Оказывается, CA/Browser Forum еще почти два месяца назад принял решение ограничить срок действия сертификатов подписания кода до 460 дней с марта 2026 г.

ЕМ>Неприятно. Но тем, кто тут с энтузиазмом выдумывает разные схематозы в этой области, неплохо бы понимать, что они тоже приложили к этому руку.

Это какие такие схематозы — https://www.globalsign.com/ru-ru, что ли? Так там рублями платишь.

Здравствуйте, Stanislaw K, Вы писали:

SK>признание порочности самой идеи сертификатов.

Я правильно понимаю, что, совершая сделку один на один с незнакомым человеком, Вы не спрашиваете документов, удостоверяющих его личность, происхождение/качество товара, не проверяете основные признаки подлинности полученных от него денежных купюр?

SK>по пальцам левой руки могу посчитать ПО, которое проверяет сертификат на отзыв/компрометацию.

Это можно в любой момент внедрить в любое ПО. И будет внедрено, как только польза от этого превысит затраты.

Здравствуйте, Victor Ivanidze, Вы писали:

VI>какие такие схематозы

"Ищу, кто подпишет своим сертификатом мой софт", "давайте скинемся на общий сертификат", "как бы один раз подписать инсталлятор, чтоб потом десять лет ставить им неподписанные обновления" и т.п.

Здравствуйте, Евгений Музыченко, Вы писали:

ЕМ> ... тем, кто тут с энтузиазмом выдумывает разные схематозы в этой области, неплохо бы понимать, что они тоже приложили к этому руку.

Это вряд ли. Это чисто коммерческая жадность, желание всех перевести на подписки и потом задрать цены. Mark my words, типа. А чо там такое эти сертификаты бордам и CE/FO абсолютно пофиг.

VI>>какие такие схематозы

ЕМ>"Ищу, кто подпишет своим сертификатом мой софт", "давайте скинемся на общий сертификат", "как бы один раз подписать инсталлятор, чтоб потом десять лет ставить им неподписанные обновления" и т.п.

Это шалости, а не схематозы.

Здравствуйте, wantus, Вы писали:

W>Это чисто коммерческая жадность, желание всех перевести на подписки и потом задрать цены.

Они могли еще десять лет назад ограничить срок до года и задрать цены. Но не сделали этого. Почему?

Здравствуйте, Евгений Музыченко, Вы писали:

ЕМ>Они могли еще десять лет назад ограничить срок до года и задрать цены. Но не сделали этого. Почему?

10 лет назад? Народ был не готов. Варить лягушек надо постепенно. Пару лет назад начали вводить подписки на серты, как опцию для богатых энтерпрайзов. В этом году digicert убрал опцию разовой покупки, оставил только подписки. Сейчас видимо дело дошло до насильной дойки бюджетных девелоперов — "всё равно теперь раз в год обновлять, давайте подписывайтесь". Банальные жадные сутенеры. Вот у кого схемы, а не у голозадых девелоперов

Здравствуйте, Евгений Музыченко, Вы писали:

SK>>признание порочности самой идеи сертификатов.

ЕМ>Я правильно понимаю, что, совершая сделку один на один с незнакомым человеком, Вы не спрашиваете документов, удостоверяющих его личность, происхождение/качество товара, не проверяете основные признаки подлинности полученных от него денежных купюр?

Зависит от сделки. в 99,5% случаев — нет, не спрашиваю.

SK>>по пальцам левой руки могу посчитать ПО, которое проверяет сертификат на отзыв/компрометацию.

ЕМ>Это можно в любой момент внедрить в любое ПО. И будет внедрено, как только польза от этого превысит затраты.

Это невозможно физически. И что даже ещё более важно (чем физические ограничения) — ЭТО НИКОМУ НЕ НУЖНО.

Здравствуйте, wantus, Вы писали:

W>В этом году digicert убрал опцию разовой покупки, оставил только подписки.

Что такое "разовая покупка"? Это "сделать софт, купить сертификат, подписать софт и полностью прекратить разработку любого софта"? Насколько распространена такая модель среди разработчиков?

Здравствуйте, Stanislaw K, Вы писали:

SK>Это невозможно физически.

А точнее?

Здравствуйте, Евгений Музыченко, Вы писали:

SK>>Это невозможно физически.

ЕМ>А точнее?

Система идеологически строго постулирует что проверка производится при каждом предъявлении сертификата, без исключений.

Это означает что при каждой проверке должен быть сделан запрос в CA, на предмет отзыва/компрометации. Никакое кэширование невозможно в принципе.

Здравствуйте, Stanislaw K, Вы писали:

SK>при каждой проверке должен быть сделан запрос в CA, на предмет отзыва/компрометации. Никакое кэширование невозможно в принципе.

Как из этого вытекает физическая невозможность?

Здравствуйте, Евгений Музыченко, Вы писали:

SK>>при каждой проверке должен быть сделан запрос в CA, на предмет отзыва/компрометации. Никакое кэширование невозможно в принципе.

ЕМ>Как из этого вытекает физическая невозможность?

Браузер пользователя "открывает страницу"
— запрос валидности сертификата хоста,
— запрос валидности сертификата cdn js,
— запрос валидности сертификата cdn хостинга картинок,
— запрос валидности сертификата cdn рекламной сети
— запрос валидности сертификата счетчика посещений.

(скрытое — каждый запрос, особенно к CDN генерирует несколько запросов валидности от frontend на предмет валидности сертификата backend, backend в свою очередь валидирует сертификаты DB & etc, etc, etc..)

* при переходе на следующую страницу цикл полностью повторяется, потому что за те 3,75 секунд что пользователь потратил на просмотр страницы любой из тех сертификатов мог быть скомпрометирован и отозван.

В разрезе шаровары — операционная система обязана проверить сертификат запускаемой программы/драйвера. Программа/драйвер обязана проверить сертификат вызываемой сторонней .DLL. При каждом вызове.

Не сложно посчитать сколько таких действий компьютер(смартфон) выполняет в минуту и умножить на количество устройств, для приблизительного представления о том, какая инфраструктура и каналы связи должны быть у AC.

Здравствуйте, Евгений Музыченко, Вы писали:

ЕМ>Здравствуйте, wantus, Вы писали:

W>>В этом году digicert убрал опцию разовой покупки, оставил только подписки.

ЕМ>Что такое "разовая покупка"? Это "сделать софт, купить сертификат, подписать софт и полностью прекратить разработку любого софта"? Насколько распространена такая модель среди разработчиков?

Oh, common, dude. Тут чего, форум лингвистов? Зачем к словам придираться, если смысл понятен по контексту.

Здравствуйте, Stanislaw K, Вы писали:

SK>за те 3,75 секунд что пользователь потратил на просмотр страницы любой из тех сертификатов мог быть скомпрометирован и отозван.

То есть, про "физически" Вы привычно болтнули ради вящего эффекта.

Здравствуйте, wantus, Вы писали:

W>Зачем к словам придираться, если смысл понятен по контексту.

Мне "по контексту" смысл непонятен. Мне понятно, что в любой мало-мальски систематической деятельности по разработке ПО, модель приобретения сертификатов, имеющих конечный срок действия, может быть исключительно подписной. Смысл в "разовой покупке" сертификата я могу усмотреть только в различных мутных комбинациях, которые имеют отношение в основном к продаже софта, но лишь косвенное — к его разработке и поддержке.

Здравствуйте, Евгений Музыченко, Вы писали:

SK>>за те 3,75 секунд что пользователь потратил на просмотр страницы любой из тех сертификатов мог быть скомпрометирован и отозван.

ЕМ>То есть, про "физически" Вы привычно болтнули ради вящего эффекта.

Вы, как обычно, когда нет аргументов, смешно пытаетесь торопливо оскорбить.

Здравствуйте, Stanislaw K, Вы писали:

SK>Вы, как обычно, когда нет аргументов, смешно пытаетесь торопливо оскорбить.

Вот делать мне больше нечего, кроме как кого-то оскорблять.

То, что Вам кажется "оскорблениями" — просто указание на то, что Ваши утверждения слишком явно противоречат или установленным фактам, или другим Вашим же утверждениям, сделанным в другое время или в другом месте. Нередко именно по причине той самой торопливости.

Когда говорят "невозможно физически", это означает, что не существует известного способа это сделать. Еще это употребляется по отношению к отдельно взятой личности или небольшой группе, когда способ имеется, но он настолько сложен/затратен, что под силу лишь большой организованной группе людей, которой доступны значительные ресурсы.

В данном случае вполне очевидно, что ничего подобного нет. Клиент волен проверять валидность сертификата с любой разумной частотой, поэтому напирать на магические величины вроде 3.75 с можно лишь с целью достижения дешевого эффекта. Равно как и из того, что не представляется разумным проверять сертификат при каждом вызове, делать уверенный вывод о том, будто его "невозможно проверять вообще" и "сертификат бесполезен".

Здравствуйте, Евгений Музыченко, Вы писали:

SK>>Вы, как обычно, когда нет аргументов, смешно пытаетесь торопливо оскорбить.

ЕМ>Вот делать мне больше нечего, кроме как кого-то оскорблять.

Вы, как обычно, придаете излишнее значение незначащим деталям. Вот в данном случае ключевое слово было — "смешно".

ЕМ>Когда говорят "невозможно физически", это означает, что не существует известного способа это сделать. Еще это употребляется по отношению к отдельно взятой личности или небольшой группе, когда способ имеется, но он настолько сложен/затратен, что под силу лишь большой организованной группе людей, которой доступны значительные ресурсы.

Именно так — Не существует способа это сделать, не то что "известного" но в практических рамках этой вселенной даже теоретического способа. фундаментальные законы физики не разрешают путешествий во времени.

Всё, всё что Вам кажется "способом" обойти это — есть не что иное как кривые костыли, ослабляющие безопасность (то есть прямо дискредитирующие сертификаты как таковые).

ЕМ>В данном случае вполне очевидно, что ничего подобного нет. Клиент волен проверять валидность сертификата с любой разумной частотой, поэтому напирать на магические величины вроде 3.75

А в данном случае Вы (ожидаемо) ухватились за взятое для иллюстрации рандомное "3.75", при другом значении которого по Вашему мнению что-то принципиально изменится.
Ничего не изменится, если подставить 0.05sec или 7day. система сертификатов изначально порочна в корне.

Здравствуйте, Stanislaw K, Вы писали:

SK>система сертификатов изначально порочна в корне.

Вы осознаете, что из этого утверждения автоматически вытекает "система любых способов удостоверения чего-либо изначально порочна в корне"? А также то, что Вы хотели бы жить в мире, где ничто не подлежит "стороннему" удостоверению, и единственным источником суждений о достоверности могут служить лишь собственные органы чувств?

Не спешите отвечать, подумайте хорошенько, иначе потом может стать неловко и стыдно.

Здравствуйте, Евгений Музыченко, Вы писали:

W>>Зачем к словам придираться, если смысл понятен по контексту.

ЕМ> Смысл в "разовой покупке" сертификата я могу усмотреть только в различных мутных комбинациях, которые имеют отношение в основном к продаже софта, но лишь косвенное — к его разработке и поддержке.

https://store.steampowered.com/about/
стим обновляется чуть ли не каждый день, но инсталлятор стима подписан 20 мая 2024, сертификатом который кторый был валиден до 10.10.2024

смысл разовой покупки в том, чтобы сделать подобный инсталлятор и забыть о ругательствах винды и браузеров при установке софта,
неподписанные exe вполне успешно запускаются в винде, а блокируют их лишь отдельные параноидальные антивирусы, и борьба с ними это меньшая боль

Здравствуйте, Bаня, Вы писали:

B>стим обновляется чуть ли не каждый день, но инсталлятор стима подписан 20 мая 2024, сертификатом который кторый был валиден до 10.10.2024

Сколько в мире таких стимов? Изменится ли ситуация, если их станет больше вдвое, вчетверо, в сто раз?

B>смысл разовой покупки в том, чтобы сделать подобный инсталлятор и забыть о ругательствах винды и браузеров при установке софта

Ровно до тех пор, пока винда поддерживает относительно либеральную политику. Напомню, что до некоторых пор примерно такая же политика поддерживалась в отношении модулей ядра, и многие разработчики под ядро тоже гордо говорили "сертификаты не нужны".

Потом то же самое говорили разработчики под Android. И где они все теперь?

B>неподписанные exe вполне успешно запускаются в винде, а блокируют их лишь отдельные параноидальные антивирусы, и борьба с ними это меньшая боль

Даже при отсутствии параноидальных антивирусов такие EXE блокируют сами пользователи. Я вот исхожу из простого принципа: если не подписана какая-нибудь фривара, то это вполне можно понять; если же не подписан платный софт, то его разработчик определенно неадекватен, и таким софтом я буду пользоваться только от безысходности.

Здравствуйте, Евгений Музыченко, Вы писали:

ЕМ>Сколько в мире таких стимов? Изменится ли ситуация, если их станет больше вдвое, вчетверо, в сто раз?

ну онлайн инсталляторов всё больше и больше, начиная с хрома...

ЕМ>Ровно до тех пор, пока винда поддерживает относительно либеральную политику.

либеральную это какую? любой древний софт скачивается и устанавливается без проблем потому что и сертификат подписи и сам exe набрал репутацию в том числе и стараниями пользователей,
а запретить установку или запуск подписанных exe сертификаты которых давно истекли это выстрелить себе в ногу, windows S кто нибудь помнит?

ЕМ>Напомню, что до некоторых пор примерно такая же политика поддерживалась в отношении модулей ядра, и многие разработчики под ядро тоже гордо говорили "сертификаты не нужны".

Потом то же самое говорили разработчики под Android. И где они все теперь?

рынок и условия безусловно периодически меняются, и те кто под эти условия подстраивается зарабатываю деньги, а те кто кричит "что принципиально не буду" сосут лапу

ЕМ>Даже при отсутствии параноидальных антивирусов такие EXE блокируют сами пользователи. Я вот исхожу из простого принципа: если не подписана какая-нибудь фривара, то это вполне можно понять; если же не подписан платный софт, то его разработчик определенно неадекватен, и таким софтом я буду пользоваться только от безысходности.

в каком таком выдуманном мире пользователь после установки софта лезет в папку программы и проверяет exe/dll на наличие подписи?

Здравствуйте, Bаня, Вы писали:

B>ну онлайн инсталляторов всё больше и больше, начиная с хрома...

Я про те, где неизменный инсталлятор, с неизменной старой подписью, тянет неподписанный софт.

B>либеральную это какую?

Позволяющую создавать процесс из неподписанного EXE и загружать в процесс неподписанную DLL. Пока это работает исключительно как костыль — система отслеживает, откуда взялись эти файлы, проверяет подпись процесса, который их притащил, и помечает в метаданных, как "доверенные". Это тот же механизм, который подавляет предупреждения при запуске софта из локальной сети, при подозрительных действиях скриптов на страницах сайтов и т.п. Все это работает ровно до того момента, как частота сообщений о зловредном софте, использующем эти каналы, превысит порог различимости, после чего очередное обновление винды превратит эту кухню в тыкву.

B>древний софт скачивается и устанавливается без проблем потому что и сертификат подписи и сам exe набрал репутацию в том числе и стараниями пользователей

Репутацию набрал сертификат, которым подписан инсталлятор. Отсутствие известного способа подделать подпись пока подтверждено математически. А чем подтверждено то, что инсталлятор с набравшим репутацию сертификатом не притащит зловредный код, кроме честного слова разработчика? Даже если разработчик остается честным и порядочным, в его инсталляторе или сервере, откуда он качает софт, могут быть уязвимости, которые могут использовать злоумышленники, как бандиты — полицейскую форму и удостоверения.

B>а запретить установку или запуск подписанных exe сертификаты которых давно истекли это выстрелить себе в ногу

Этого никто и не будет запрещать, если сертификаты не отозваны. Запрещено будет выполнение неподписанного кода — для этого, собственно, подписывание и предназначалось. Или это будет сопровождаться неподавляемым предупреждением, как сейчас предупреждения от UAC.

ЕМ>>Напомню, что до некоторых пор примерно такая же политика поддерживалась в отношении модулей ядра, и многие разработчики под ядро тоже гордо говорили "сертификаты не нужны".

Потом то же самое говорили разработчики под Android. И где они все теперь?

B>те кто под эти условия подстраивается зарабатываю деньги, а те кто кричит "что принципиально не буду" сосут лапу

Это те, кто ради экономии $200-300 в год изобретает механизмы с "разовой покупкой" сертификата, "зарабатывают деньги"?

Сколько они зарабатывают в год — $1000? $1500?

B>в каком таком выдуманном мире пользователь после установки софта лезет в папку программы и проверяет exe/dll на наличие подписи?

Не пользовательское это дело — подписи проверять. Их проверяет системный загрузчик в процессе подключения EXE/DLL к процессу. Сейчас эта проверка подперта костылем "доверия". Стоит одним легким движением убрать костыль, и ни один EXE/DLL, чья подпись не пройдет проверку, не загрузится — как минимум, без явного подтверждения пользователем.

Здравствуйте, Евгений Музыченко, Вы писали:

B>>либеральную это какую?
ЕМ>Позволяющую создавать процесс из неподписанного EXE и загружать в процесс неподписанную DLL. Пока это работает исключительно как костыль — система отслеживает, откуда взялись эти файлы, проверяет подпись процесса, который их притащил, и помечает в метаданных, как "доверенные". Это тот же механизм, который подавляет предупреждения при запуске софта из локальной сети, при подозрительных действиях скриптов на страницах сайтов и т.п. Все это работает ровно до того момента, как частота сообщений о зловредном софте, использующем эти каналы, превысит порог различимости, после чего очередное обновление винды превратит эту кухню в тыкву.

и сразу умрёт весь древний софт и игры которые до сих пор продлевали жизнь этой убогой связке x86+windows, кому после этого нужна будет винда с кипятильниками на кторых она работает?

B>>те кто под эти условия подстраивается зарабатываю деньги, а те кто кричит "что принципиально не буду" сосут лапу
ЕМ>Это те, кто ради экономии $200-300 в год изобретает механизмы с "разовой покупкой" сертификата, "зарабатывают деньги"?

Сколько они зарабатывают в год — $1000? $1500?

ну так речь шла о тех кто не по финансовым ограничениям не может купить себе сертификат, и для них это выход пройти один раз все круги бюрократического ада и хоть на год получить сертификат для выстраивания работающего бизнеса(подписанный инсталлер, подписанные exe, код в неподписанных dll)

B>>в каком таком выдуманном мире пользователь после установки софта лезет в папку программы и проверяет exe/dll на наличие подписи?

ЕМ>Не пользовательское это дело — подписи проверять. Их проверяет системный загрузчик в процессе подключения EXE/DLL к процессу. Сейчас эта проверка подперта костылем "доверия". Стоит одним легким движением убрать костыль, и ни один EXE/DLL, чья подпись не пройдет проверку, не загрузится — как минимум, без явного подтверждения пользователем.

ну когда это произойдёт, то и будем решать проблему, а сейчас в чём проблема жить и зарабатывать без валидного сертификата?

Здравствуйте, Bаня, Вы писали:

B>и сразу умрёт весь древний софт

Для древнего софта можно сделать исключение, как оно сейчас делается и для остального.

B>и игры которые до сих пор продлевали жизнь этой убогой связке x86+windows, кому после этого нужна будет винда с кипятильниками на кторых она работает?

Чтоб такое писать, надо быть законченным идеалистом.

B>пройти один раз все круги бюрократического ада и хоть на год получить сертификат

Нет там никакого ада. Скучно, хлопотно, но вполне предсказуемо, в отличие от "продвижения", где месяцы хлопот и затрат могут не дать вообще ничего. Впрочем, для тех, кому жизнь не мила без приключений и риска, год "продвижения" действительно приятнее пары недель бюрократических процедур.

B>для выстраивания работающего бизнеса(подписанный инсталлер, подписанные exe, код в неподписанных dll)

Это Вы про тех, кому буквально вчера внезапно пришла в голову идея зарабатывать на продаже софта, а еще позавчера они занимались чем-то совсем другим?

B>ну когда это произойдёт, то и будем решать проблему, а сейчас в чём проблема жить и зарабатывать без валидного сертификата?

Я уже говорил: проблема в том, что все эти схематозы лишь приближают ужесточение правил. Пока способы обхода ограничений остаются отдельными, которые каждый придумывает для себя сам, на худой конец — тихо находит в сети по столь же отдельным упоминаниям, регуляторы могут очень долго не обращать на все это внимания. Но, когда это начинает регулярно и предметно обсуждаться, становятся широко известны готовые схемы, появляются продукты для облегчения их реализации, это неизбежно привлекает внимание, и через некоторое время приводит к очередному обороту той самой гайки.

Здравствуйте, Евгений Музыченко, Вы писали:

SK>>система сертификатов изначально порочна в корне.

ЕМ>Вы осознаете, что из этого утверждения автоматически вытекает "система любых способов удостоверения чего-либо изначально порочна в корне"?

Вы опять схватились за второстепенное, упустив суть. /Удивительная способность/.

ЕМ>А также то, что Вы хотели бы жить в мире, где ничто не подлежит "стороннему" удостоверению, и единственным источником суждений о достоверности могут служить лишь собственные органы чувств?

Мы живем в таком мире, нравится вам это или нет.

ЕМ>Не спешите отвечать, подумайте хорошенько, иначе потом может стать неловко и стыдно.

Попробуйте следовать своему совету.

Здравствуйте, Stanislaw K, Вы писали:

SK>Мы живем в таком мире

В том и дело, что мы живем в мире, где неизбежно вынуждены полагаться на чье-то авторитетное мнение, поскольку сами не в состоянии отслеживать все происходящие изменения и формировать собственное взвешенное мнение по каждому из них. Это имеет место даже в небольших оседлых сообществах, где все друг друга знают, и ничего принципиально нового не происходит годами.

Если вдруг в этом мире исчезнет возможность использовать более-менее авторитетные мнения при формировании отношения доверия, Вам в нем очень не понравится.

Здравствуйте, Евгений Музыченко, Вы писали:

SK>>Мы живем в таком мире

ЕМ>В том и дело, что мы живем в мире, где неизбежно вынуждены полагаться на чье-то авторитетное мнение, поскольку сами не в состоянии отслеживать все происходящие изменения и формировать собственное взвешенное мнение по каждому из них. Это имеет место даже в небольших оседлых сообществах, где все друг друга знают, и ничего принципиально нового не происходит годами.

Немного не так. Большинство людей не полагается на чье-то мнение, а делегируют "третьим лицам" второстепенные дела. Как правило их, эти второстепенные дела, можно охарактеризовать как "они не имеют на меня (прямого) влияния" и/или "я не могу повлиять на них (прямо или косвенно)".
Когда, если, эти второстепенные дела повышают приоритет до значимых, человек принимает меры разобраться самостоятельно в пределах своих квалификаций и компетенций.

ЕМ>Если вдруг в этом мире исчезнет возможность использовать более-менее авторитетные мнения при формировании отношения доверия, Вам в нем очень не понравится.

Не вижу отличий от текущего состояния мира.

Здравствуйте, Stanislaw K, Вы писали:

SK>Большинство людей не полагается на чье-то мнение, а делегируют "третьим лицам" второстепенные дела.

И что же делают эти люди при выборе тех "третьих лиц" — выбирают их сугубо наугад, или как-то оценивают, насколько им можно доверить даже второстепенное дело?

SK>Не вижу отличий от текущего состояния мира.

Ну поезжайте из той точки мира, где Вы сейчас находитесь, к примеру, в Мексику. Вернетесь — повторите. Или нет.

Здравствуйте, Евгений Музыченко, Вы писали:

SK>>Не вижу отличий от текущего состояния мира.

ЕМ>Ну поезжайте из той точки мира, где Вы сейчас находитесь, к примеру, в Мексику. Вернетесь — повторите. Или нет.

Нет смысла ехать. Там всё тоже самое что и у нас, просто в немного другой форме (отличается малозначимыми деталями).

У Вас, по сути, по существу, нет возражений. Вы просто пытаетесь запутать себя (и других) мелочами, придавая им некое "значение", а когда это не удается (Ваша картина мира трещит по швам), просто добавляете новые, слой за слоем.

Вот так и с сертификатами — фундаментальный недостаток (делающий их непригодными для ИТ) был скрыт под слоями словоблудия, а когда это переставало помогать, подставлялся очередной "костыль" и наносились новые слои bullshit.

Здравствуйте, Евгений Музыченко, Вы писали:

B>>и сразу умрёт весь древний софт
ЕМ>Для древнего софта можно сделать исключение, как оно сейчас делается и для остального.

и как это технически на ваш взгляд можно реализовать?

B>>пройти один раз все круги бюрократического ада и хоть на год получить сертификат
ЕМ>Нет там никакого ада.

расскажите это Васе Пупкину из российского мухосранска который не ИП как ему сейчас купить сертификат, а то тут на форуме периодически спрашивают, а вы молчите.

B>>для выстраивания работающего бизнеса(подписанный инсталлер, подписанные exe, код в неподписанных dll)
ЕМ>Это Вы про тех, кому буквально вчера внезапно пришла в голову идея зарабатывать на продаже софта, а еще позавчера они занимались чем-то совсем другим?

я про тех кто раньше имел работающий бизнес а сейчас вынужден искать пути продолжения его работы.

B>>ну когда это произойдёт, то и будем решать проблему, а сейчас в чём проблема жить и зарабатывать без валидного сертификата?
ЕМ>Но, когда это начинает регулярно и предметно обсуждаться, становятся широко известны готовые схемы, появляются продукты для облегчения их реализации, это неизбежно привлекает внимание, и через некоторое время приводит к очередному обороту той самой гайки.

онлайн инсталляторы используют сами мелкомягкие, код в dll не ноу-хау,
поэтому ничего не будет, ограничение работы неподписанного кода это превращение винды в хромось.

Здравствуйте, Stanislaw K, Вы писали:

SK>так и с сертификатами — фундаментальный недостаток (делающий их непригодными для ИТ) был скрыт под слоями словоблудия

Я так и не понял, в чем именно заключается фундаментальный недостаток, и на каких основаниях Вы считаете его именно "фундаментальным", а не каким-нибудь мелким косяком.

Здравствуйте, Bаня, Вы писали:

ЕМ>>Для древнего софта можно сделать исключение, как оно сейчас делается и для остального.

B>и как это технически на ваш взгляд можно реализовать?

Так же, как и было реализовано до сих пор. В винде есть множество механизмов организации совместимости, за счет которых большое количество экземпляров кривого софта даже не догадывается о том, что они кривые. Нужные паттерны обнаруживаются по ряду известных признаков, работа кода корректируется на лету.

B>расскажите это Васе Пупкину из российского мухосранска который не ИП как ему сейчас купить сертификат

Обычные (OV) сертификаты, как известно, выдаются физлицам без проблем, проверка часто ограничивается пересылкой сканов документов, иногда на почту присылают письмо с кодом. Если в Мухосранске есть почта, у Васи не будет никаких проблем.

EV-сертификаты по определению выдаются на business entity, в число которых входит и ИП. Чтобы зарегистрировать ИП, Васе достаточно один раз сходить в налоговую. Если к Васе применимы понятия "заниматься бизнесом", "зарабатывать" и подобные, ему это не должно составить никакого труда. Если же он какой-нибудь маргинал, продающий софт в даркнете за крипту, его вообще не должен волновать вопрос подписывания кода.

B>я про тех кто раньше имел работающий бизнес а сейчас вынужден искать пути продолжения его работы.

За счет каких изменений, связанных с подписыванием кода, их бизнес раньше работал, а сейчас вдруг перестал? Я не вижу никаких препятствий к получению EV-сертификата на компанию или ИП. А физлицам их и десять лет назад не давали.

B>онлайн инсталляторы используют сами мелкомягкие

Это их вотчина, что хотят — то и воротят. Себе-то они этого явно не запретят.

B>поэтому ничего не будет, ограничение работы неподписанного кода это превращение винды в хромось.

Вы то ли забыли, то ли вообще не знали о том, что подобных заявлений о "невозможности" в прошлом было множество, и изрядное количество этого "невозможного" сейчас составляет нашу общую реальность.

Здравствуйте, Евгений Музыченко, Вы писали:

ЕМ>Так же, как и было реализовано до сих пор. В винде есть множество механизмов организации совместимости, за счет которых большое количество экземпляров кривого софта даже не догадывается о том, что они кривые. Нужные паттерны обнаруживаются по ряду известных признаков, работа кода корректируется на лету.

я так понимаю что под множество механизмов вы имеете в виду дипиай скалинг с которым вы активно боретесь на форуме win api

B>>расскажите это Васе Пупкину из российского мухосранска который не ИП как ему сейчас купить сертификат
ЕМ>Обычные (OV) сертификаты, как известно, выдаются физлицам без проблем,

главное ведь утвердительно написать как известно, а ответить как именно в соответствующей теме видимо не судьба

B>>я про тех кто раньше имел работающий бизнес а сейчас вынужден искать пути продолжения его работы.
ЕМ>За счет каких изменений, связанных с подписыванием кода, их бизнес раньше работал, а сейчас вдруг перестал?

нет подписанного онлайн инсталлятора, а для новых версий продукта нет цифровой подписи, а без неё сейчас распространять продукт сложнее, нужно очень много пользователей которые будут убеждать винду что этот файл безопасный, но с каждой новой версией всё заново, почему см. сначала предложения

B>>поэтому ничего не будет, ограничение работы неподписанного кода это превращение винды в хромось.
ЕМ>Вы то ли забыли, то ли вообще не знали о том, что подобных заявлений о "невозможности" в прошлом было множество, и изрядное количество этого "невозможного" сейчас составляет нашу общую реальность.

ну и что такого кроме добавления цифровой подписи изменилось за 30лет? exe'шники из 90х нормально запускаются на последней винде

Здравствуйте, Bаня, Вы писали:

B>я так понимаю что под множество механизмов вы имеете в виду дипиай скалинг

Это лишь один из самых простых и косметических.

Боюсь, Вы очень многого не знаете о винде.

B>главное ведь утвердительно написать как известно, а ответить как именно в соответствующей теме видимо не судьба

Это уже столько раз обсосано и здесь, и в других сообществах, что тем, кто не сумел найти описаний и инструкций, вряд ли что-то поможет.

ЕМ>>За счет каких изменений, связанных с подписыванием кода, их бизнес раньше работал, а сейчас вдруг перестал?

B>нет подписанного онлайн инсталлятора, а для новых версий продукта нет цифровой подписи, а без неё сейчас распространять продукт сложнее

Ничего не понял. Ситуация с получением сертификатов значимо не менялась уже больше десяти лет. Где Ваши "зарабатывающие бизнесмены" были все это время?

B>что такого кроме добавления цифровой подписи изменилось за 30лет? exe'шники из 90х нормально запускаются на последней винде

То и изменилось, что запускаются они через явное согласие пользователя (а в ряде случаев — и через столь же явную правку настроек). В этом изначально и был смысл любых цифровых подписей.

Вы, похоже, еще и про андроид-смартфоны особо не в курсе. Когда-то любой мог гордо сказать "в гробу я видел ваш андроид, вот щас прошью себе...", и тут же прошить. Потом появились подписанные загрузчики, и потребовалось получать ключ разблокировки у вендора. А теперь во многих аппаратах даже дампа не сделать без ключа от вендора. Microsoft в этом смысле еще чрезвычайно либерален.

Здравствуйте, Евгений Музыченко, Вы писали:

SK>>так и с сертификатами — фундаментальный недостаток (делающий их непригодными для ИТ) был скрыт под слоями словоблудия

ЕМ>Я так и не понял, в чем именно заключается фундаментальный недостаток,

Сертификат должен валидироваться (третьей стороной) при каждом предъявлении.

Невозможно закэшировать результат валидации.

Здравствуйте, Stanislaw K, Вы писали:

SK>Сертификат должен валидироваться (третьей стороной) при каждом предъявлении.

Во-первых, почему при каждом? Если сертификат валидируется при каждом предъявлении, его эффективность максимальна. Если не валидируется вообще, его эффективность нулевая. Если валидируется периодически, его эффективность отлична от нуля и меньше максимальной. На каком основании Вы упрямо утверждаете, что любое снижение частоты валидации со 100% до некоторого разумного значения образует "фундаментальный недостаток"?

Во-вторых, система контроля при помощи сертификатов очевидно имеет две стороны — выпускающую и проверяющую. Каким образом отсутствие проверок, или их недостаточная частота, на проверяющей стороне, при наличии возможности изменить ситуацию в любой момент, могут образовать "фундаментальный недостаток" всей системы?

SK>Невозможно закэшировать результат валидации.

Что значит "невозможно"? Это противоречит известным законам природы? Запрещено законами государства? Какое за это предусмотрено наказание, и как именно оно реализуется?

Вы твердо уверены в том, что правильно понимаете значение термина "фундаментальный"?

Например, если в электричках на какое-то время перестанут проверять билеты — будет ли это основанием объявить о "фундаментальном недостатке" самой системы продажи любых билетов?

Здравствуйте, Евгений Музыченко, Вы писали:

ЕМ>Обычные (OV) сертификаты, как известно, выдаются физлицам без проблем, проверка часто ограничивается пересылкой сканов документов, иногда на почту присылают письмо с кодом. Если в Мухосранске есть почта, у Васи не будет никаких проблем.

Насколько я знаю, с РФ сейчас работает только GlobalSign и он физикам сертификаты не выдает. Только ИП и юрикам.

Здравствуйте, Евгений Музыченко, Вы писали:

SK>>Сертификат должен валидироваться (третьей стороной) при каждом предъявлении.

ЕМ>Во-первых, почему при каждом?

Потому что иначе это профанация. Цирк шапито.

ЕМ>Если сертификат валидируется при каждом предъявлении, его эффективность максимальна. Если не валидируется вообще, его эффективность нулевая. Если валидируется периодически, его эффективность отлична от нуля и меньше максимальной.

Какую периодичность Вы считаете допустимой и почему называете её "разумной"?

ЕМ>Во-вторых, система контроля при помощи сертификатов очевидно имеет две стороны — выпускающую и проверяющую. Каким образом отсутствие проверок, или их недостаточная частота, на проверяющей стороне, при наличии возможности изменить ситуацию в любой момент,
могут образовать "фундаментальный недостаток" всей системы?

На основании невозможности "изменить ситуацию".

SK>>Невозможно закэшировать результат валидации.

ЕМ>Что значит "невозможно"?

Ответ сервера имеет актуальность 0 (TTL ноль, zero) секунд.

ЕМ>Вы твердо уверены в том, что правильно понимаете значение термина "фундаментальный"?

Конечно. Ибо, обязанность проверять сертификат — Основная Идея внедрения сертификатов, с самого первого ~~драфта~~ черновика стандарта. Если её убрать — всё остальное просто теряет смысл.

Кэширование — сучковатый костыль, который был условно приемлем в век модемной сеансовой связи. Но в эпоху интернета, со 100% онлайна 100% устройств, это все превратилось в обузу, чемодан без ручки.

Здравствуйте, icezone, Вы писали:

I>Насколько я знаю, с РФ сейчас работает только GlobalSign и он физикам сертификаты не выдает. Только ИП и юрикам.

И какие есть резоны тому, кто декларирует "выстраивание бизнеса" и "зарабатывание денег" упорно держаться за статус физика?

Система ж, по сути, именно так и задумана: если ты мелкий любитель, клепающий на досуге фривару, которую используют только те, кто тебя более-менее знает и доверяет, то тебя не должно волновать, что там ОС выдает при попытке запуска. Если же ты "бизнесмен", распространяющий софт среди людей, которые о тебе ничего не знают, то вполне логично создать какие-то источники доверия за пределами "N пользователей запустили и не пожаловались". Может, у каждого запустившего комп взорвался сразу после того, как система отправила статистику, и жаловаться стало некому.

Здравствуйте, Stanislaw K, Вы писали:

ЕМ>>Во-первых, почему при каждом?

SK>Потому что иначе это профанация.

Ну, я примерно этого и ожидал. "Плохо потому, что плохо", "верим потому, что верим". И картинка для эмоционального подкрепления. Что ж Вы после такого убожества обижаетесь на "оскорбления"?

"Вы – кретин. Это даже не оскорбление, а диагноз" (C). Хотите, чтоб Вас воспринимали всерьез — двигайтесь от эмоций к содержанию.

SK>Какую периодичность Вы считаете допустимой и почему называете её "разумной"?

"Разумными" и "допустимыми" все эти меры должен считать не я, а те структуры, что анализируют степени рисков. Надеюсь, Вы понимаете то, что в нашем мире все завязано на вероятность? Не может быть никакой "абсолютной безопасности", она всегда измеряется ненулевой степенью риска, и задача не в том, чтоб свести эту степень к нулю (что невозможно как раз физически), а в том, чтоб ее разумно минимизировать.

На практике критерии "разумности" обычно выводятся из рисков, которые существуют вовне (всякого рода аварии и катастрофы) и рисков, которые типичный индивид создает себе сам за счет собственной ограниченной образованности, невнимательности, небрежности и прочего. Нет смысла целенаправленно оберегать индивида от того, что может случиться с гораздо меньшей вероятностью, и навредить ему меньше, чем его собственные типичные косяки.

Если Вам интересно именно мое мнение, то сертификат безусловно должен проверяться при первой попытке исполнения кода, а затем — где-нибудь раз в сутки, или в неделю. До тех пор, пока список отозванных сертификатов не слишком велик, кэшировать можно сам список, а не результаты проверки.

SK>На основании невозможности "изменить ситуацию".

У Вас пока не получилось мало-мальски внятно обосновать эту "невозможность". Получилось только разными способами высказать "мне не нравится".

SK>Ответ сервера имеет актуальность 0 (TTL ноль, zero) секунд.

Из чего это следует, кроме Ваших личных, субъективных оценок? Или Вы вообще все это рассматриваете исключительно в плане работы лично на Вас, а работа на других пользователей Вас не интересует?

ЕМ>>Вы твердо уверены в том, что правильно понимаете значение термина "фундаментальный"?

SK>Конечно. Ибо, обязанность проверять сертификат — Основная Идея внедрения сертификатов, с самого первого ~~драфта~~ черновика стандарта. Если её убрать — всё остальное просто теряет смысл.

Еще раз повторю вопрос: исчезает ли всякий смысл в продаже билетов, если по каким-то причинам их проверка фактически прекратилась на неопределенный срок? То есть, должности контролеров не упразднены, штрафы за отсутствие билета в законе остаются, просто по факту проверки какое-то время не производятся.

Здравствуйте, Евгений Музыченко, Вы писали:

SK>>Какую периодичность Вы считаете допустимой и почему называете её "разумной"?

ЕМ>"Разумными" и "допустимыми" все эти меры должен считать не я, а те структуры, что анализируют степени рисков. Надеюсь, Вы понимаете то, что в нашем мире все завязано на вероятность? Не может быть никакой "абсолютной безопасности", она всегда измеряется ненулевой степенью риска, и задача не в том, чтоб свести эту степень к нулю (что невозможно как раз физически), а в том, чтоб ее разумно минимизировать.

У нас есть масса примеров утекания сертификатов и подтвержденных случаев использования их в преступных целях.

Мы тут про шаровару, то есть подпись программ. Знаете через сколько, после того как стало известно о утечеке, microsoft вносит в отозванные, и через сколько оно попало на компьютеры пользователям? от 2 недель до 2 месяцев.

Продолжайте полностью полагаться на "те структуры".

Здравствуйте, Stanislaw K, Вы писали:

SK>У нас есть масса примеров утекания сертификатов и подтвержденных случаев использования их в преступных целях.

Какие именно сертификаты, неправомерное использование которых подтверждено, не включены в CRL, и продолжают использоваться для подписывания кода?

SK>Знаете через сколько, после того как стало известно о утечеке, microsoft вносит в отозванные, и через сколько оно попало на компьютеры пользователям? от 2 недель до 2 месяцев.

Да хоть до двух лет. Если это есть, и хоть как-то работает, информация в конце концов дойдет до пользователя сама. Если этого нет, она может дойти только через целенаправленные действия самого пользователя.

SK>Продолжайте полностью полагаться на "те структуры".

Во-первых, откуда взялось "полностью"? Во-вторых, что Вы имеете предложить в качестве альтернативы?

Здравствуйте, Евгений Музыченко, Вы писали:

ЕМ>Если же ты "бизнесмен",

то с каждым годом ты всё больше и больше занимаешься не бизнесом, как таковым.

Я понимаю тех, кого это расстраивает. В 2004 мне никакая подпись была не нужна. Потом надо было открывать ИП, осваивать валютный контроль, открывать счета в зарубежных банках, и этот поезд не собирается останавливаться.

И ты на это повлиять не можешь никак. Кто-то другой принимает решения. "Теперь ты будешь доказывать, что ты не верблюд, не каждые три года, а каждый год", "теперь ты будешь платить ещё один процент с превышения 300000", "теперь ты будешь разбираться с НДС", и конца этому нет.

Не нравится — не ешь. Ну ок. Продолжаем работать

Здравствуйте, Unhandled_Exception, Вы писали:

U_E>с каждым годом ты всё больше и больше занимаешься не бизнесом, как таковым.

К сожалению, это происходит везде и всегда. Неизбежное следствие развития цивилизации.

U_E>В 2004 мне никакая подпись была не нужна. Потом надо было открывать ИП, осваивать валютный контроль, открывать счета в зарубежных банках, и этот поезд не собирается останавливаться.

Ну Вы можете предложить альтернативу? Я вот не могу.

U_E>"Теперь ты будешь доказывать, что ты не верблюд, не каждые три года, а каждый год", "теперь ты будешь платить ещё один процент с превышения 300000", "теперь ты будешь разбираться с НДС", и конца этому нет.

Надеюсь, Вы понимаете, что смысл первого пункта качественно отличается от двух последующих?

Здравствуйте, Unhandled_Exception, Вы писали:

U_E>И ты на это повлиять не можешь никак. Кто-то другой принимает решения. "Теперь ты будешь доказывать, что ты не верблюд, не каждые три года, а каждый год", "теперь ты будешь платить ещё один процент с превышения 300000", "теперь ты будешь разбираться с НДС", и конца этому нет.

Поэтому периодически и происходят мировые войны. Люди настолько теряют связь с берегами, что становится нужен хард-ресет, и он происходит естественным образом когда вакуум аутентичности заполняется очередными на скорую руку придуманными иллюзиями. В какой-то момент этот совокупный объем иллюзий достигает поплавка, и происходит всеобщий слив в ноль.

Здравствуйте, Евгений Музыченко, Вы писали:

ЕМ>Надеюсь, Вы понимаете, что смысл первого пункта качественно отличается от двух последующих?

В том смысле, что я явился в очередной раз не субъектом, а объектом, разницы для меня нет.

Здравствуйте, Unhandled_Exception, Вы писали:

ЕМ>>Надеюсь, Вы понимаете, что смысл первого пункта качественно отличается от двух последующих?

U_E>В том смысле, что я явился в очередной раз не субъектом, а объектом

Нет, не в том. Первое — это про доверие между гражданскими лицами (как правило, горизонтальные, одноранговые отношения), а второе и третье — про отношения граждан с государством и фискальные процедуры.

Здравствуйте, Евгений Музыченко, Вы писали:

ЕМ>Здравствуйте, icezone, Вы писали:

I>>Насколько я знаю, с РФ сейчас работает только GlobalSign и он физикам сертификаты не выдает. Только ИП и юрикам.

ЕМ>И какие есть резоны тому, кто декларирует "выстраивание бизнеса" и "зарабатывание денег" упорно держаться за статус физика?

стоп, кто тут утверждал что для физика нет проблем получать сертификат?

Здравствуйте, icezone, Вы писали:

I>кто тут утверждал что для физика нет проблем получать сертификат?

Я говорил про обычные (OV) сертификаты, которые выдает множество разных компаний. На российские внутренние документы, с оплатой в рублях, действительно остался только GlobalSign, но при наличии загранпаспорта и возможности оплаты за границей, насколько я помню, вопрос решаемый.

Здравствуйте, Евгений Музыченко, Вы писали:

SK>>У нас есть масса примеров утекания сертификатов и подтвержденных случаев использования их в преступных целях.

ЕМ>Какие именно сертификаты, неправомерное использование которых подтверждено, не включены в CRL, и продолжают использоваться для подписывания кода?

Глубокомысленные люди, которые требуют "пруфы", напоминают мне героя новеллы "Срезал" Шукшина.

SK>>Продолжайте полностью полагаться на "те структуры".

ЕМ>Во-первых, откуда взялось "полностью"? Во-вторых, что Вы имеете предложить в качестве альтернативы?

В качестве альтернативы я предлагаю "не пудрить мозги", НЕ использовать сертификаты. Потому что явное отсутствие "безопасности" лучше иллюзии её "наличия" создающей ложное ощущение защищенности.

Здравствуйте, Stanislaw K, Вы писали:

SK>Глубокомысленные люди, которые требуют "пруфы", напоминают мне героя новеллы "Срезал" Шукшина.

Да, в ситуации "примеров масса", на просьбу привести хотя бы несколько, лучший выход — посетовать на "глубокомысленность".

SK>В качестве альтернативы я предлагаю "не пудрить мозги", НЕ использовать сертификаты. Потому что явное отсутствие "безопасности" лучше иллюзии её "наличия" создающей ложное ощущение защищенности.

Вы осознаете, что смелое и радикальное предложение "не использовать сертификаты" под эгидой "не пудрить мозги" автоматически влечет за собой и предложение "не использовать" паспорта, водительские удостоверения, дипломы об образовании, нотариальные доверенности, гигиенические сертификаты, лицензии на осуществление врачебной деятельности, удостоверения сотрудников спецслужб, а также SIM-карты, банковские карты и все прочие средства удостоверения чего-либо?

Я сильно подозреваю, что Вы особо не пытались моделировать современный мир, в котором полностью отсутствуют сертификаты подписания кода. Судя по всему, Вы наивно полагаете, что, убрав подписание кода из мира 2020-х, мы получим аналог мира конца 1990-х — начала 2000-х, со всеми ништяками тогдашних свобод, но без тех современных сложностей, что вызваны распространением подписей кода.

Это весьма похоже на ностальгические воспоминания о беззаботном детстве, со столь же наивными мечтами снова оказаться в том же состоянии, но не потеряв все полезные приобретения, сделанные во взрослой жизни.

Я всегда покупал сертификаты на 3 года. OV так как их проще получить.
И ждал пока наберется репутация smart screen у ОВ сертификата.
Последний раз репутация набралась месяца за 4 использования.

Обычно набираю ее на слабо покупающих странах. Для хорошо покупающих стран раздаю дистрибутив подписанный старым сертификатом, а для плохо покупающих новым для прокачки нового сертификата.
После прокачки репутации нового серта Смарт Скрин больше не ругается на подписанные новые версии и пару лет можно нормально жить.

С этими новыми ограничениями на 460 дней меня беспокоит как набирать репутацию для новых сертификатов.

Знаю, что есть способ отправить свой файл в Майкрософт. Но отправка фидбэка в Майкрософт у меня как-то не надежно работает. Не всякий раз это помогало.

От:	Евгений Музыченко	https://software.muzychenko.net/ru
Дата:	09.12.25 11:36
Оценка:

	От:	Stanislaw K
	Дата:	09.12.25 12:43
	Оценка:	12 (1) +1

	От:	Victor Ivanidze
	Дата:	09.12.25 13:32
	Оценка:

От:	Евгений Музыченко	https://software.muzychenko.net/ru
Дата:	09.12.25 14:53
Оценка:	-1

От:	Евгений Музыченко	https://software.muzychenko.net/ru
Дата:	09.12.25 14:55
Оценка:

	От:	Unhandled_Exception
	Дата:	12.12.25 21:16
	Оценка:

	От:	Aquilaware
	Дата:	13.12.25 09:16
	Оценка:	6 (1) -1

От:	Matrix_Failure	http://matrixfailure.wordpress.com/
Дата:	16.12.25 08:43
Оценка:

	От:	wantus
	Дата:	10.12.25 10:55
	Оценка:

	От:	Bаня
	Дата:	10.12.25 15:04
	Оценка:	+1

	От:	Bаня
	Дата:	10.12.25 17:42
	Оценка:

	От:	Bаня
	Дата:	10.12.25 22:42
	Оценка: