forum.opennet.ru - "Библиотека Sodium Compat поможет реализовать верификацию обн..." (23)

"Библиотека Sodium Compat поможет реализовать верификацию обн..."

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Библиотека Sodium Compat поможет реализовать верификацию обн..."	+/–
Сообщение от opennews (??), 17-Янв-17, 12:14
Доступно (https://github.com/paragonie/sodium_compat/releases) несколько первых выпусков криптографической библиотеки Sodium Compat (https://github.com/paragonie/sodium_compat), примечательной тем, что она реализована целиком на языке PHP и не требует для своей работы внешних зависимостей. Sodium Compat совместим с libsodium (https://download.libsodium.org/doc/) и может применяться в качестве замены расширения pecl/libsodium (https://pecl.php.net/package/libsodium). Ключевым достоинством Sodium Compat является поддержка работы с устаревшими версиями PHP, что является актуальной проблемой, так как полноценные средства для работы с цифровыми подписями и открытыми ключами появились только в относительно новых выпусках PHP. Например, Sodium Compat может работать с PHP 5.2.4, в то время как для использования pecl/libsodium требуется ветка PHP 5.4 и дополнительная внешняя зависимость. Полноценные встроенные средства для работы с RSA-ключами появились только в PHP 5.6.0. Подобное ограничение мешает внедрению (https://core.trac.wordpress.org/ticket/25052) в WordPress средств для верификации устанавливаемых дополнений и обновлений по цифровой подписи. Без повышения минимально поддерживаемой версии интерпретатора PHP проверку по цифровой подписи реализовать не получается из-за отсутствия необходимых криптографических функций, а поднять минимальную версию PHP мешают обязательства перед пользователями. В настоящее время проверка целостности обновления сводится (http://seclists.org/oss-sec/2016/q4/478) только к сверке хэша MD5 без верификации источника. Для обеспечения оперативной доставки обновлений начиная с WordPress 3.7 добавлена поддержка автоматической установки обновлений с устранением критических уязвимостей, но данная возможность может сыграть злую шутку в текущей ситуации, когда обновления не проверяются по цифровой подписи. Без полноценной системы верификации (https://paragonie.com/blog/2016/10/guide-automatic-security-...) компрометация api.wordpress.org и распространение вредоносного обновления через официальные источники может привести к массовому поражению пользовательских систем с WordPress, которые по некоторым оценкам (https://wptavern.com/wordpress-passes-27-market-share-banks-...) составляют до 27% всех сайтов в глобальной сети. При этом проблема не умозрительна, например, в ноябре 2016 года была выявлена (https://www.wordfence.com/blog/2016/11/hacking-27-web-via-wo.../) уязвимость, позволяющая атакующему выполнить свой код на стороне api.wordpress.org. Без проверки по цифровым подписям для успешной атаки на конфигурации WordPress со включенной функцией автоматической установки обновлений достаточно взломать сервер доставки обновлений. В случае применения цифровых подписей получение контроля над сервером распространения обновлений не приведёт к должному результату, так как для проведения атаки понадобиться получить закрытый ключ, при помощи которого осуществляется подпись обновлений. Sodium Compat позволит выйти из возникшего тупика и реализовать проверку дополнений по цифровым подписям без повышения требований к программному окружению. Для WordPress уже предложен (https://core.trac.wordpress.org/ticket/39309) прототип системы верификации по цифровым подписям на базе Sodium Compat. Отсутствие системы верификации не специфично для WordPress и также наблюдается в других CMS на PHP, включая Drupal и Joomla. URL: Ghttps://ma.ttias.be/wordpress-get-secure-cryptographic-updates/ Новость: http://www.opennet.ru/opennews/art.shtml?num=45868
Ответить \| Правка \| Cообщить модератору

Оглавление

md5 от содержимого файлов трудно было сделать уже много лет как Не издевайтесь , Аноним (-), 12:14 , 17-Янв-17, (1) –1

Речь про цифровые подписи, созданные секретным закрытым ключом, которые можно пр, Аноним (-), 12:28 , 17-Янв-17, (4)

подогнать MD5 вообще не проблема, Аноним (-), 13:08 , 17-Янв-17, (9)

Подгони 43aa4fe5fa9dc5c4d6664d07d159ce0f, Аноним (-), 14:42 , 17-Янв-17, (14)

Подогнал Выходи давай уже , Аноним (-), 16:25 , 17-Янв-17, (15) +1

Простите, что-что Реализация криптографических алгоритмов на PHP Серьёзно , freehck (ok), 12:21 , 17-Янв-17, (2) –4

Именно так https github com paragonie sodium_compat tree master src Core скоро, Аноним (-), 12:24 , 17-Янв-17, (3) +1

Да я собственно не про скорость работы Почему не сделали обвязочки над уже гото, freehck (ok), 12:32 , 17-Янв-17, (5)

Патамушта разрабы водрпресса не хотят удлиннять список зависимостей В настоящий, Аноним (-), 12:46 , 17-Янв-17, (7) +9
это же php, какие биндинги, переписать весь мир на php , Аноним (8), 12:46 , 17-Янв-17, (8) +1
тут дело такое, если у вашего хостинга дырявые библиотеки, а WP крутится на на, Аноним (-), 13:13 , 17-Янв-17, (12)
Вот собственно и ответ такая есть, но не подходит, fi (ok), 14:05 , 17-Янв-17, (13) +1

Скоро и на Java, и на VBA , Аноним (-), 12:38 , 17-Янв-17, (6) –1

Уже man BouncyCastleman JCE, h31 (ok), 13:09 , 17-Янв-17, (10)
Что плохого если код подписан Неважно код какого языка будет подписан , Ydro (?), 13:11 , 17-Янв-17, (11)

Речь про реализацию криптографических библиотек на неподходяцих для этого языках, Аноним (-), 22:51 , 17-Янв-17, (18) –1

няша, на java целая анонимная, децентрализованная, отказоустойчивая сеть со скво, Аноним (-), 08:26 , 20-Янв-17, (22)

А почему gpg нельзя вызвать для проверки подписи , Аноним (-), 19:40 , 17-Янв-17, (16) +1

Потому что его может не быть, Crazy Alex (ok), 21:06 , 17-Янв-17, (17)

Пусть поставят , Аноним (-), 23:49 , 17-Янв-17, (19)

Для разворачивателей сайтов на вордпрессе это слишком сложно , Аноним (-), 13:32 , 18-Янв-17, (21) +1

Мда И это вместо того, чтобы пнуть юное дарование, рулящее сайтом, в сторону , Аноним (-), 13:32 , 18-Янв-17, (20)

Вот и я думаю а почему бы им ни написать библиотеку BAT-файлов, чтобы я мог веб, Онаним (?), 08:47 , 26-Янв-17, (23)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Аноним (-), 17-Янв-17, 12:14 –1 +/–

md5 от содержимого файлов трудно было сделать уже много лет как? Не издевайтесь!

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #4

2. Сообщение от freehck (ok), 17-Янв-17, 12:21 –4 +/–

> криптографической библиотеки ...(которая)... реализована целиком на языке PHP и не требует для своей работы внешних зависимостей
Простите, что-что? Реализация криптографических алгоритмов на PHP? Серьёзно?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3, #6

3. Сообщение от Аноним (-), 17-Янв-17, 12:24 +1 +/–

Именно так https://github.com/paragonie/sodium_compat/tree/master/src/Core скорость работы для решаемых библиотекой целей в не принципиальна.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #5

4. Сообщение от Аноним (-), 17-Янв-17, 12:28 +/–

> md5 от содержимого файлов трудно было сделать уже много лет как? Не
> издевайтесь!
Речь про цифровые подписи, созданные секретным закрытым ключом, которые можно проверить общедоступным открытым ключом. Контрольные суммы нельзя использовать как элемент верификации источника, особенно MD5 с его коллизиями. Ничего не мешает создать контрольную подпись во время атаки или подменить во время MITM, а цифровую подпись без наличия ключа не подделаешь и взлом становится бесполезен.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #9

5. Сообщение от freehck (ok), 17-Янв-17, 12:32 +/–

> скорость работы для решаемых библиотекой целей в не принципиальна.
Да я собственно не про скорость работы. Почему не сделали обвязочки над уже готовыми сишными библиотеками? Зачем принципиально так "без внешних зависимостей"? Это же долго, сложно, и некачественно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #7, #8, #12, #13

6. Сообщение от Аноним (-), 17-Янв-17, 12:38 –1 +/–

>Реализация криптографических алгоритмов на PHP?
Скоро и на Java, и на VBA! :)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #10, #11, #22

7. Сообщение от Аноним (-), 17-Янв-17, 12:46 +9 +/–

Патамушта разрабы водрпресса не хотят удлиннять список зависимостей. В настоящий момент вордпресс можно развернуть практически на любом веб-хостинге, где есть ТОЛЬКО php и mysql. Видать, не осилили реализовать криптографическую библиотеку на sql -- пришлось писать на php...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

8. Сообщение от Аноним (8), 17-Янв-17, 12:46 +1 +/–

это же php, какие биндинги, переписать весь мир на php!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

9. Сообщение от Аноним (-), 17-Янв-17, 13:08 +/–

подогнать MD5 вообще не проблема

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #14

10. Сообщение от h31 (ok), 17-Янв-17, 13:09 +/–

> Скоро и на Java
Уже.
man BouncyCastle
man JCE

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

11. Сообщение от Ydro (?), 17-Янв-17, 13:11 +/–

Что плохого если код подписан? Неважно код какого языка будет подписан.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #18

12. Сообщение от Аноним (-), 17-Янв-17, 13:13 +/–

>> скорость работы для решаемых библиотекой целей в не принципиальна.
> Да я собственно не про скорость работы. Почему не сделали обвязочки над
> уже готовыми сишными библиотеками? Зачем принципиально так "без внешних зависимостей"?
> Это же долго, сложно, и некачественно.
тут дело такое, если у вашего "хостинга" дырявые библиотеки, а WP крутится на на огромном заоопарке хостингов, то вы не сможете их заменить. так-же на некоторых хостингах они могут быть просто недоступны, или доступны "не те" или "не те версии" и т.д., в такой ситуации гораздо проще реализовать на php, особенно с учётом того, что большинство требований предъявляемых реализации в системных библиотеках теряют смысл. ( не нужно думать о защите памяти, равном времени выполнения и т.п. вещах )

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

13. Сообщение от fi (ok), 17-Янв-17, 14:05 +1 +/–

>Почему не сделали обвязочки над уже готовыми сишными библиотеками?
Вот собственно и ответ:
> для использования pecl/libsodium требуется ветка PHP 5.4 и дополнительная внешняя зависимость
такая есть, но не подходит

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

14. Сообщение от Аноним (-), 17-Янв-17, 14:42 +/–

> подогнать MD5 вообще не проблема
Подгони 43aa4fe5fa9dc5c4d6664d07d159ce0f

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #15

15. Сообщение от Аноним (-), 17-Янв-17, 16:25 +1 +/–

Подогнал. Выходи давай уже.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

16. Сообщение от Аноним (-), 17-Янв-17, 19:40 +1 +/–

А почему gpg нельзя вызвать для проверки подписи?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #17

17. Сообщение от Crazy Alex (ok), 17-Янв-17, 21:06 +/–

Потому что его может не быть

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #19

18. Сообщение от Аноним (-), 17-Янв-17, 22:51 –1 +/–

Речь про реализацию криптографических библиотек на неподходяцих для этого языках. А так да, любой код можно подписать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

19. Сообщение от Аноним (-), 17-Янв-17, 23:49 +/–

Пусть поставят.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #21

20. Сообщение от Аноним (-), 18-Янв-17, 13:32 +/–

> достоинством Sodium Compat является поддержка работы с устаревшими версиями PHP, что является актуальной проблемой
Мда... И это вместо того, чтобы пнуть юное дарование, рулящее сайтом, в сторону обновления.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #23

21. Сообщение от Аноним (-), 18-Янв-17, 13:32 +1 +/–

Для разворачивателей сайтов на вордпрессе это слишком сложно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

22. Сообщение от Аноним (-), 20-Янв-17, 08:26 +/–

няша, на java целая анонимная, децентрализованная, отказоустойчивая сеть со сквозным шифрованием написана.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

23. Сообщение от Онаним (?), 26-Янв-17, 08:47 +/–

Вот и я думаю: а почему бы им ни написать библиотеку BAT-файлов, чтобы я мог вебсервер с HTTP 2 под DOS на своём стареньком 486-м поднять...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от Аноним (-), 17-Янв-17, 12:14	–1 +/–
md5 от содержимого файлов трудно было сделать уже много лет как? Не издевайтесь!
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #4

2. Сообщение от freehck (ok), 17-Янв-17, 12:21	–4 +/–
> криптографической библиотеки ...(которая)... реализована целиком на языке PHP и не требует для своей работы внешних зависимостей Простите, что-что? Реализация криптографических алгоритмов на PHP? Серьёзно?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #3, #6

3. Сообщение от Аноним (-), 17-Янв-17, 12:24	+1 +/–
Именно так https://github.com/paragonie/sodium_compat/tree/master/src/Core скорость работы для решаемых библиотекой целей в не принципиальна.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2 Ответы: #5

4. Сообщение от Аноним (-), 17-Янв-17, 12:28	+/–
> md5 от содержимого файлов трудно было сделать уже много лет как? Не > издевайтесь! Речь про цифровые подписи, созданные секретным закрытым ключом, которые можно проверить общедоступным открытым ключом. Контрольные суммы нельзя использовать как элемент верификации источника, особенно MD5 с его коллизиями. Ничего не мешает создать контрольную подпись во время атаки или подменить во время MITM, а цифровую подпись без наличия ключа не подделаешь и взлом становится бесполезен.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #9

5. Сообщение от freehck (ok), 17-Янв-17, 12:32	+/–
> скорость работы для решаемых библиотекой целей в не принципиальна. Да я собственно не про скорость работы. Почему не сделали обвязочки над уже готовыми сишными библиотеками? Зачем принципиально так "без внешних зависимостей"? Это же долго, сложно, и некачественно.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3 Ответы: #7, #8, #12, #13

6. Сообщение от Аноним (-), 17-Янв-17, 12:38	–1 +/–
>Реализация криптографических алгоритмов на PHP? Скоро и на Java, и на VBA! :)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2 Ответы: #10, #11, #22

7. Сообщение от Аноним (-), 17-Янв-17, 12:46	+9 +/–
Патамушта разрабы водрпресса не хотят удлиннять список зависимостей. В настоящий момент вордпресс можно развернуть практически на любом веб-хостинге, где есть ТОЛЬКО php и mysql. Видать, не осилили реализовать криптографическую библиотеку на sql -- пришлось писать на php...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5

8. Сообщение от Аноним (8), 17-Янв-17, 12:46	+1 +/–
это же php, какие биндинги, переписать весь мир на php!
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5

9. Сообщение от Аноним (-), 17-Янв-17, 13:08	+/–
подогнать MD5 вообще не проблема
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4 Ответы: #14

10. Сообщение от h31 (ok), 17-Янв-17, 13:09	+/–
> Скоро и на Java Уже. man BouncyCastle man JCE
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6

11. Сообщение от Ydro (?), 17-Янв-17, 13:11	+/–
Что плохого если код подписан? Неважно код какого языка будет подписан.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6 Ответы: #18

12. Сообщение от Аноним (-), 17-Янв-17, 13:13	+/–
>> скорость работы для решаемых библиотекой целей в не принципиальна. > Да я собственно не про скорость работы. Почему не сделали обвязочки над > уже готовыми сишными библиотеками? Зачем принципиально так "без внешних зависимостей"? > Это же долго, сложно, и некачественно. тут дело такое, если у вашего "хостинга" дырявые библиотеки, а WP крутится на на огромном заоопарке хостингов, то вы не сможете их заменить. так-же на некоторых хостингах они могут быть просто недоступны, или доступны "не те" или "не те версии" и т.д., в такой ситуации гораздо проще реализовать на php, особенно с учётом того, что большинство требований предъявляемых реализации в системных библиотеках теряют смысл. ( не нужно думать о защите памяти, равном времени выполнения и т.п. вещах )
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5

13. Сообщение от fi (ok), 17-Янв-17, 14:05	+1 +/–
>Почему не сделали обвязочки над уже готовыми сишными библиотеками? Вот собственно и ответ: > для использования pecl/libsodium требуется ветка PHP 5.4 и дополнительная внешняя зависимость такая есть, но не подходит
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5

14. Сообщение от Аноним (-), 17-Янв-17, 14:42	+/–
> подогнать MD5 вообще не проблема Подгони 43aa4fe5fa9dc5c4d6664d07d159ce0f
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #9 Ответы: #15

15. Сообщение от Аноним (-), 17-Янв-17, 16:25	+1 +/–
Подогнал. Выходи давай уже.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #14

16. Сообщение от Аноним (-), 17-Янв-17, 19:40	+1 +/–
А почему gpg нельзя вызвать для проверки подписи?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #17

17. Сообщение от Crazy Alex (ok), 17-Янв-17, 21:06	+/–
Потому что его может не быть
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #16 Ответы: #19

18. Сообщение от Аноним (-), 17-Янв-17, 22:51	–1 +/–
Речь про реализацию криптографических библиотек на неподходяцих для этого языках. А так да, любой код можно подписать.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #11

19. Сообщение от Аноним (-), 17-Янв-17, 23:49	+/–
Пусть поставят.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17 Ответы: #21

20. Сообщение от Аноним (-), 18-Янв-17, 13:32	+/–
> достоинством Sodium Compat является поддержка работы с устаревшими версиями PHP, что является актуальной проблемой Мда... И это вместо того, чтобы пнуть юное дарование, рулящее сайтом, в сторону обновления.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #23

21. Сообщение от Аноним (-), 18-Янв-17, 13:32	+1 +/–
Для разворачивателей сайтов на вордпрессе это слишком сложно.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19

22. Сообщение от Аноним (-), 20-Янв-17, 08:26	+/–
няша, на java целая анонимная, децентрализованная, отказоустойчивая сеть со сквозным шифрованием написана.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6

23. Сообщение от Онаним (?), 26-Янв-17, 08:47	+/–
Вот и я думаю: а почему бы им ни написать библиотеку BAT-файлов, чтобы я мог вебсервер с HTTP 2 под DOS на своём стареньком 486-м поднять...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #20