| 1.3, Витюшка (?), 14:44, 08/10/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +4 +/– | |
Сложна...и непонятно, а чем это отличается от ключа, который я генерирую в GitHub?
Вот тебе и привязка к OpenID, подписывай что хочешь. GitHub и так умеет показывать что коммиты верифицированы.
Так в чём отличие? Только я ещё могут менять эти ключи и pgp, а не привязывать один сертификат навечно к аккаунту.
| | |
| |
| 2.14, Аноним (-), 18:15, 08/10/2023 [^] [^^] [^^^] [ответить]
| +3 +/– | |
> Сложна...и непонятно,
Да ладно?
> OpenPubKey написана на языке Go и распространяется под лицензией Apache 2.0.
По-моему тут все просто и понятно - очередная корпоративная бнопня.
> (Google, GitHub, Microsoft и т.п.).
Вот, можно себе хозяве^W благодетелей выбирать.
> а чем это отличается от ключа, который я генерирую в GitHub?
"Благодетелей" несколько, можно даже юрьев день не ждать!
| | |
|
| |
| 2.5, Атон (?), 15:27, 08/10/2023 [^] [^^] [^^^] [ответить]
| –2 +/– | |
Протокол OpenID не содержит механизмов предотвращения фишинговых атак
Пользователь может поменять OpenID-провайдера, освободив таким образом свой идентификатор у предыдущего провайдера. Новый пользователь может занять этот идентификатор и использовать его на тех же сайтах, что и предыдущий пользователь.
| | |
| 2.9, Аноним (9), 16:01, 08/10/2023 [^] [^^] [^^^] [ответить]
| –3 +/– | |
Тем, что можно использовать вход по OpenID как доказательство того, что подпись поставил ты, а не кто-то левый. Это намного проще, чем получать заверенный сертификат через удостоверяющий центр. Размещать открытые ключи на своём сайте или в БД открытых ключей так себе вариант.
| | |
| |
| 3.28, Аноним (28), 13:26, 09/10/2023 [^] [^^] [^^^] [ответить]
| +/– |
Так в ответе нет сравнения с gpg
Открытый ключ gpg так же буклекуется в сети
и доступен для верификации собственника ключа
и подписей
| | |
|
| 2.17, OpenEcho (?), 01:22, 09/10/2023 [^] [^^] [^^^] [ответить]
| +/– | |
>Можно для глупых: чем это отличается от OpenGPG?
Этим:
> Иными словами, OpenPubkey позволяет привязать криптографические ключи к конкретным пользователям, используя провайдеры OpenID Connect (IdP) вместо удостоверяющих центров.
Может это OpenPGP, в котором каждый может обьявить себя кем хочешь и добавить себя на публичных серверах?
Нет там механизма идентификации в OpenPGP. (Здесь сейчас найдутся фанатики которые будут говорить о web-o-trust) состоящий из нескольких гиков на планете, которым все без оговорочно должны верить, но в реальности, практически все, даже очеь крупные проекты не имеют kросс подписей хотя бы от тех X, Y, Z с веботраста)
| | |
| |
| 3.29, Аноним (28), 13:29, 09/10/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> в котором каждый может обьявить себя кем хочешь
И что?
Вот я сделал архив, сборку и тп, и подписал своим ключом gpg
Открытый ключ опубликован в сети. Проверяй не хочу..
Так в чем разница то?
| | |
| |
| 4.63, OpenEcho (?), 12:03, 10/10/2023 [^] [^^] [^^^] [ответить]
| +/– |
>> в котором каждый может обьявить себя кем хочешь
> И что?
> Вот я сделал архив, сборку и тп, и подписал своим ключом gpg
> Открытый ключ опубликован в сети. Проверяй не хочу..
> Так в чем разница то?
:)
А где гарантии того что это твой ключ?
Что криминалу мешает создать такой же ключ с таким же емайлом как у тебя (который даже не проверяется) и опубликовав его как "свежую/новую" версию, потом внедрив бэкдор в твой архив и подписать?
Может ты еще фингерпринт ключа на своем сайте для проверки оставляешь?
Ну так говорят, не ломаемых сайтов - нет
| | |
|
| 3.30, Аноним (28), 13:30, 09/10/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> которым все без оговорочно должны верить
Ха.. А почему я должен верить какому то ID,
который так же выдается кому попало?
| | |
| |
| 4.41, arisu (ok), 19:03, 09/10/2023 [^] [^^] [^^^] [ответить]
| +/– |
 > Ха.. А почему я должен верить какому то ID,
> который так же выдается кому попало?
ну это ж не какие-то там красноглазики, это Серьёзные Организации придумали! красноглазики — они разве ж могут чего сделать нормального, а?
| | |
| |
| 5.51, Аноним (28), 00:35, 10/10/2023 [^] [^^] [^^^] [ответить]
| +/– |
что в этом колхозе серьезного?
нужно лично явиться для верификации с паспортом?
а паспорт проверят на подлинность?
а, как тут лепят ыксперды, что можно везде ключи подменить,
так как эти авторитеты обеспечат защиту от подмены? )))
| | |
| |
| 6.66, OpenEcho (?), 12:15, 10/10/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> а паспорт проверят на подлинность?
Ну когда выдают паспорт легально, в ментовке там, или секретариатах, то обычно да, проверяют
> нужно лично явиться для верификации с паспортом?
Если мобила берется по контракту, то да :)
> что в этом колхозе серьезного?
В том что почти везде навязана проверка по 2ФА - через телефон->паспорт->ID
| | |
|
|
| 4.65, OpenEcho (?), 12:08, 10/10/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> Ха.. А почему я должен верить какому то ID, который так же выдается кому попало?
Вот именно!
Разница только в том что АйД выдаются на "уважаемых", хорошо всем известных платформах, где как известно очень хотят проверить who you are, спросив для исключительно твоей безопасности номерок телефона(который как известно выдается по документам (для простых смертных)) и включив 2FA
| | |
|
|
|
| 1.6, Аноним (6), 15:28, 08/10/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +6 +/– | |
> криптографический протокол для заверения цифровой подписью произвольных объектов
произвольных объектов?
самолёты/поезда? цветущие сады в игровом мире Minecraft? абстрактные объекты познания в математике? объекты моральных ценностей?
точно ли произвольные? 🤔🤔🤔
| | |
| |
| 2.25, OpenEcho (?), 11:00, 09/10/2023 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> самолёты/поезда?
У первых есть - колсайн, у вторых тоже к номеркам привязанно
> цветущие сады в игровом мире Minecraft?
Вы не слышали про NFT?
> абстрактные объекты познания в математике?
Лицензии на открытия и изобретения - уникальны
> объекты моральных ценностей?
Они у каждого - свои, и в качестве подписи изпользуются инструменты начиная от кулаков и заканчивая ядерными дубинами
> точно ли произвольные? 🤔🤔🤔
Все о чем можно подумать, - можно изложить на "бумаге" и залицензировать, а уж то, что можно потрогать - тем более, уже практически все идентифицированно
| | |
|
| 1.7, YetAnotherOnanym (ok), 15:34, 08/10/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
 > привязка созданных подписей к существующим провайдерам OpenID Connect
Не просто невесть кто, а невесть кто, которого записал у себя другой невесть кто, ни разу оного в глаза не видевший.
| | |
| |
| 2.8, Аноним (8), 15:43, 08/10/2023 [^] [^^] [^^^] [ответить]
| +/– |
И в чем отличие от OpenGPG?
Какие-то васяны понаподписывали друг другу на key signing parties и поэтому мы должны им доверять?
| | |
| |
| 3.10, Атон (?), 16:41, 08/10/2023 [^] [^^] [^^^] [ответить]
| –1 +/– |
> И в чем отличие от OpenGPG?
> Какие-то васяны понаподписывали друг другу на key signing parties и поэтому мы должны им доверять?
в этом плане отличий нет.
но добавляется легкий простой способ проверки подписей рамдомных васянов. а это уже большой шаг, по сравнению с OpenGPG.
| | |
| |
| |
| 5.36, Атон (?), 15:38, 09/10/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> Чем непрост способ проверки подписи gpg?
предварительным обменом ключами.
55525
| | |
| |
| |
| 7.38, Атон (?), 17:03, 09/10/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
> С кем??? ))))
> Вы точно понимаете что такое верификация??
ну расскажи.
| | |
| |
| |
| 9.44, Атон (?), 19:56, 09/10/2023 [^] [^^] [^^^] [ответить] | +/– | сам просветись забыли рассказать _КАК_ это сделать легким простым безопасным сп... текст свёрнут, показать | | |
| |
| |
| 11.52, Аноним (9), 07:23, 10/10/2023 [^] [^^] [^^^] [ответить] | +1 +/– | Демагогия без конкретики Покажи конкретно _безопасный_, простой и подходящий дл... текст свёрнут, показать | | |
| 11.56, Атон (?), 11:33, 10/10/2023 [^] [^^] [^^^] [ответить] | +/– | судя по тому что, ты трижды не понял вопроса и начал хамить - проблемы с обучаем... текст свёрнут, показать | | |
|
|
|
|
|
|
|
|
|
| 2.18, OpenEcho (?), 01:31, 09/10/2023 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Не просто невесть кто, а невесть кто, которого записал у себя другой невесть кто, ни разу оного в глаза не видевший.
Ну, не совсем невесть кто...
OpenID есть на всех популярных цифровых загонах, где уже без добавления телефона не обойтись, который в свою очередь выдадут под паспортные данные, т.е. однозначно идентифицировав индивидумов.
Цепочка замкнулась... для простых смертных, а те кто знают как получить мобилу не засветившись, или поднять свой ОпенАйД все равно будут мразить, пока поголовно везде нельзя будет достать мобилу без документов, но круг для поиска будет уже значительно меньше
| | |
| |
| 3.22, фнон (?), 09:31, 09/10/2023 [^] [^^] [^^^] [ответить]
| +/– |
В некотороых случаях "однозначно идентифицировав индивидумов" это хорошо, а не плохо.
Например у меня специальная почта для работы с банками.
Она подписана реальным фио и привязана к реальному телефону.
Не вижу проблемы делать OpenID для соответствующей связки.
p.s. а для всего остального есть другая почта)
| | |
| |
| 4.24, OpenEcho (?), 10:46, 09/10/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> В некотороых случаях "однозначно идентифицировав индивидумов" это хорошо, а не плохо.
Абсолютно согласен
> Она подписана реальным фио и привязана к реальному телефону.
Найти в андерграунде реальное фио, ну как два пальца. Тоже самое с телефоном, их просто масса зараженных, или можно просто за наличку купить временный и на кассе никто даже не спросит про документы (правда камеры засекут, ну так ведь криминалы могут и бабушку послать).
Поэтому, что PGP, что это изделие, - это полумеры. Второе чуть лучше первого, но все равно - "защита" от честных людей.
| | |
| |
| 5.27, Аноним (8), 12:41, 09/10/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
Типа нельзя прийти на сходку ПГПшников с поддельным удостоверением личности?
Сомневаюсь что они там тщательно проверяют, ну там на зуб пробуют или ульрафиолетом светят
И получить подпись чувака, который знает чувака, который рядом с Линусом в туалете в соседней кабинке сидел!
| | |
| |
| 6.33, Аноним (28), 13:38, 09/10/2023 [^] [^^] [^^^] [ответить]
| +/– |
доверенный круг, он потому и доверенный
что все члены его доверяют друг другу.
А ты сам себе веришь? Всегда поступаешь по совести?
| | |
| |
| 7.61, OpenEcho (?), 11:54, 10/10/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> доверенный круг, он потому и доверенный что все члены его доверяют друг другу.
Один мой знакомый говорил:
- Слушай, не доверяй никому, даже себе не доверяй!
- Ну тут ты вообще погнал...
- Не веришь? Вот Я вчера хотел пернуть и обосрался... даже собсвенной жопе доверять нельзя
| | |
|
| 6.60, OpenEcho (?), 11:51, 10/10/2023 [^] [^^] [^^^] [ответить]
| +/– |
> И получить подпись чувака, который знает чувака, который рядом с Линусом в
> туалете в соседней кабинке сидел!
Вот именно !
вебо-траст по большому счету существует только в теории
| | |
|
|
|
| 3.32, Аноним (28), 13:36, 09/10/2023 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> выдадут под паспортные данные,
Который приехал нелегально работать на стройке в МСК )
На него еще 100500 симок офрмлено, поэтому он очень доверенное
лицо в кругу, который он создал корысти ради )))
| | |
|
|
| 1.16, arisu (ok), 23:34, 08/10/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
отличная идея! теперь пользователи не станут протестовать против того, что всё постоянно звонит домой: ведь это Для Их Же Безопасности!
вообще, есть простое правило, которое позволяет определить, хотят ли обмануть: если кто-то в современном мире делает что-то для «большей безопасности пользователей» — значит, как-то обманывает. или планирует обмануть. если вдобавок это какие-то корпорации или foundations — то исключений из правила нет.
| | |
| |
| 2.19, Аноним (9), 08:27, 09/10/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
Ну не знаю. Мне привязка к OpenID показалось тем гениально простым решением, которое на поверхности но не очевидно, и потом возникает ощущение, как же раньше до этого никто не додумался. В большинстве не критичных ситуаций более чем достаточно подтверждения, что подпись поставил тот, кто владеет таким-то email и проектом на GitHub.
| | |
| |
| 3.23, OpenEcho (?), 10:37, 09/10/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> кто владеет таким-то email
Например полученным на майлинаторе
> и проектом на GitHub.
Где все еще можно создать левый эккаунт
| | |
| |
| 4.54, Аноним (9), 07:37, 10/10/2023 [^] [^^] [^^^] [ответить]
| +/– |
Ну и будет привязан ключ к левому email и левому аккаунту на GitHub, и будет подтверждение, что подписал именно владелец этих левых аккаунтов. С тем же успехом владелец нормального аккаунта может привязать ключ к себе и подтвердить, что подписал он.
| | |
| |
| 5.67, OpenEcho (?), 12:18, 10/10/2023 [^] [^^] [^^^] [ответить]
| +/– |
> Ну и будет привязан ключ к левому email и левому аккаунту на
> GitHub, и будет подтверждение, что подписал именно владелец этих левых аккаунтов.
> С тем же успехом владелец нормального аккаунта может привязать ключ к
> себе и подтвердить, что подписал он.
И кто из вас двоих - подлинный ? Кому верить? Обоим?
| | |
|
|
| 3.34, Аноним (28), 13:42, 09/10/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> как же раньше до этого никто не додумался
Не додумался до чего?
Что зтак восторгает?
| | |
| 3.40, arisu (ok), 19:01, 09/10/2023 [^] [^^] [^^^] [ответить]
| +/– |
> более чем достаточно подтверждения, что подпись поставил тот, кто владеет
> таким-то email и проектом на GitHub.
1. подписываем коммиты пгп-ключом.
2. подписываем остальное тем же ключом.
3. ой, получилось плохо: всё работает, а зонд втыкать некуда.
| | |
| |
| 4.45, Аноним (9), 23:06, 09/10/2023 [^] [^^] [^^^] [ответить]
| +/– |
А при проверке как будете доказывать, что загруженный открытый ключ принадлежит создателю, а не подменён? Проблема не в том как подписать, а в том, чтобы посторонний мог получить подтверждение, что открытому ключу можно доверять.
| | |
| |
| 5.49, Аноним (28), 00:30, 10/10/2023 [^] [^^] [^^^] [ответить]
| +/– |
Создатель информирует на своем ресурсе,
что его ключ такой то
ИЛИ размещает на своем ресурсе открытый ключ
ЛИБО и то и это
Напомню, если в курсе, что ключи могут подписываться
доверенными лицами,
типа поручительства достоверности. называются цепочки ключей
| | |
| 5.57, arisu (ok), 11:42, 10/10/2023 [^] [^^] [^^^] [ответить]
| +/– |
> А при проверке как будете доказывать, что загруженный открытый ключ принадлежит создателю,
> а не подменён?
а как ты собираешься OpenID проверять?
намекаю: если это репозиторий некоего N, и там все коммиты подписаны одним и тем же ключом — то это, внезапно, ключ вот этого N. больше ничего проверять не надо. удивительным образом всё работает без дурацких танцев с OpenID, и совсем без стукалки кому-то домой, когда проверить захочется.
| | |
|
|
|
|
| 1.26, InuYasha (??), 11:56, 09/10/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– | |
Смузихлёберы взялись за крипто и идентификацию. Пора надевать каску. Только сперва её купть.
> и Docker
> Эталонная реализация OpenPubKey написана на языке Go
> (Google, GitHub, Microsoft и т.п.).
Можно, конечно, поднять свой OpenID, но только гарантий, что его не отфутболят, нет.
| | |
| |
| 2.35, Аноним (28), 13:44, 09/10/2023 [^] [^^] [^^^] [ответить]
| –1 +/– |
этим взялись заниматься еще со времен gpg
когда стали публиковать открытые ключи на серверах ))
в чем прорыв данной реализации?
| | |
| |
| 3.46, Аноним (9), 23:08, 09/10/2023 [^] [^^] [^^^] [ответить]
| +/– |
Открытый ключ на серверах может быть подменён, и не факт, что это именно тот открытый ключ, что разместил автор. OpenPubKey решает задачу привязки открытого ключа к автору.
| | |
| |
| 4.50, Аноним (28), 00:32, 10/10/2023 [^] [^^] [^^^] [ответить]
| +/– |
есть круг доверия - это раз.
есть цепочки подписей. - два
три - это как там подменяется?
т.е. все кругом подменяется? )))
так линуксы на подписях сидят ))))
| | |
| |
| 5.53, Аноним (9), 07:30, 10/10/2023 [^] [^^] [^^^] [ответить]
| +/– |
Цепочка подписей и круг доверия - это для крупных сообществ, где люди контактируют друг с другом. Для обычных смертных подобное трансформируется в привязку к удостоверяющим центрам. И там и там всё упирается в необходимость подтвердить, что ты - это ты, и твой ключ - твой. Как распространять подтверждённый ключ не важно, главное - начальное подтверждение. И в этом проблема. Привязка подтверждения к сервисам типа Gmail и GitHub существенно упрощает этот этап.
| | |
| |
| 6.58, arisu (ok), 11:46, 10/10/2023 [^] [^^] [^^^] [ответить]
| +/– |
> Привязка подтверждения к сервисам типа Gmail и
> GitHub существенно упрощает этот этап.
да, ты прав: она существенно упрощает этап подмены ключа. потому что ты ним больше не владеешь, ним владеет гугель. ой.
впрочем, летние дети в принципе не понимают принципов владения, ничего удивительного.
| | |
| |
| 7.62, Аноним (9), 12:00, 10/10/2023 [^] [^^] [^^^] [ответить]
| +/– |
Есть ли разница в том, "владеет" твоим ключом Google, удостоверяющий центр или условный Линус Торвальдс? В всех случаях ты делегируешь доверие третьему лицу. В OpenPubKey решается это просто, заверяешь ключ одновременно и в Google и в Microsoft. Только не нужно приплетать теории заговора, что Google и Microsoft пожертвуют своей репутацией, сговорятся и подменят ключ Василия Пупкина.
| | |
| |
| 8.64, arisu (ok), 12:07, 10/10/2023 [^] [^^] [^^^] [ответить] | +/– | то есть, ты в принципе не понимаешь, что такое владение и как это работает q e ... текст свёрнут, показать | | |
|
|
|
|
|
|
|
|
