Добро пожаловать в форум, Guest  >>   Войти | Регистрация | Поиск | Правила | В избранное | Подписаться
Все форумы / Программирование Новый топик    Ответить
Топик располагается на нескольких страницах: [1] 2   вперед  Ctrl      все
 Идентификация разработчика ПО как элемент инфо-безопасности  [new]
mayton
Member

Откуда: loopback
Сообщений: 42918
Несколько лет назад слушал интервью с Касперским. Не тем который крис. А тем который Евгений.
Создатель антивируса и своей лаборатории с бизнесом. Вобщем он считает что будущая инфо-безопасность
будет основана не на антивирусах. А на тотальном цифровом подписывании любого бинаря. Идея такая
что ничего запустить нельзя пока не пройдет цепочка проверок от доверительных паблишеров.

Ну... примерно так как как сейчас браузер работает с SSL.

Кстати никто не знает почему toster.ru нелетает с Мозиллой? Тоже какой-то трабл на уровне крипто-протоколов.
Модератор: Тема интересная. Вынес в отдельный топик.


Сообщение было отредактировано: 21 окт 19, 19:34
21 окт 19, 15:59    [21999169]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
Dima T
Member

Откуда:
Сообщений: 14096
mayton
Несколько лет назад слушал интервью с Касперским. Не тем который крис. А тем который Евгений.
Создатель антивируса и своей лаборатории с бизнесом. Вобщем он считает что будущая инфо-безопасность
будет основана не на антивирусах. А на тотальном цифровом подписывании любого бинаря. Идея такая
что ничего запустить нельзя пока не пройдет цепочка проверок от доверительных паблишеров.

Дорого это для разработчика, это сразу выкинет за борт одиноких разработчиков. Да и админам будут проблемы, каждый батник подписывать придется.
mayton
Кстати никто не знает почему toster.ru нелетает с Мозиллой? Тоже какой-то трабл на уровне крипто-протоколов.

У меня открывается. Может плагин какой неправильный у тебя стоит.
21 окт 19, 16:17    [21999193]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
mayton
Member

Откуда: loopback
Сообщений: 42918
Dima T
mayton
Несколько лет назад слушал интервью с Касперским. Не тем который крис. А тем который Евгений.
Создатель антивируса и своей лаборатории с бизнесом. Вобщем он считает что будущая инфо-безопасность
будет основана не на антивирусах. А на тотальном цифровом подписывании любого бинаря. Идея такая
что ничего запустить нельзя пока не пройдет цепочка проверок от доверительных паблишеров.

Дорого это для разработчика, это сразу выкинет за борт одиноких разработчиков. Да и админам будут проблемы, каждый батник подписывать придется.

Это уже работает для Андроидов. Правда там еще нет развитой системы сообществ. Которые выступали-бы гарантом
безопасности.

И это работает для продуктов Microsoft которая само-подписывает все свои бинарники уже давно. Еще в 2000х Виндов.

Одинокие разработчики как раз и есть та самая опасная группа издателей которые делают трояны и приложения-вымогатели.
И даже не одинокие а скорее желающие остаться анонимными. К ним нужно самое пристальное внимание.
21 окт 19, 16:36    [21999205]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
mayton
Member

Откуда: loopback
Сообщений: 42918
Dima T
mayton
Кстати никто не знает почему toster.ru нелетает с Мозиллой? Тоже какой-то трабл на уровне крипто-протоколов.

У меня открывается. Может плагин какой неправильный у тебя стоит.

Да дома посмотрю.
21 окт 19, 16:37    [21999206]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
Aklin
Member

Откуда: Прямо сейчас меня здесь нет
Сообщений: 59122
mayton
Это уже работает для Андроидов.
Для всех ли?
Потому как много рассказов, что можно установить любое левое приложение "без подписей", взятое "с потолка".

С другой стороны, как только ВСЕ будет подписано, будет дикое разделение, например что ПО в одной стране будет "можно", а в другой нельзя. Причем сначала с ПО, а потом и с железом та же ситуация будет. Американские телефоны будут работать только в америке, никак разлочка уже не спасет.
21 окт 19, 17:21    [21999262]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
mayton
Member

Откуда: loopback
Сообщений: 42918
Aklin
mayton
Это уже работает для Андроидов.
Для всех ли?
Потому как много рассказов, что можно установить любое левое приложение "без подписей", взятое "с потолка".

С другой стороны, как только ВСЕ будет подписано, будет дикое разделение, например что ПО в одной стране будет "можно", а в другой нельзя. Причем сначала с ПО, а потом и с железом та же ситуация будет. Американские телефоны будут работать только в америке, никак разлочка уже не спасет.

Давайте почитаем эти рассказы. Если вы рутаете свой андроид. Вбиваете левые корневые сертификаты - и скачиваете
игру с торрента и потом оказывается что ваш андроид завирусован - кто будет виноват?

Я говорю об обычном легальном использовании Айосов и Андроидов которые не предполагают что вы будете их
носить на радио-рынок.
21 окт 19, 17:31    [21999271]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
mayton
Member

Откуда: loopback
Сообщений: 42918
Aklin
С другой стороны, как только ВСЕ будет подписано, будет дикое разделение, например что ПО в одной стране будет "можно", а в другой нельзя. Причем сначала с ПО, а потом и с железом та же ситуация будет. Американские телефоны будут работать только в америке, никак разлочка уже не спасет.

Мир к этому двигается.

Сообщение было отредактировано: 21 окт 19, 19:35
21 окт 19, 17:33    [21999273]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
Aklin
Member

Откуда: Прямо сейчас меня здесь нет
Сообщений: 59122
mayton
Aklin

Давайте почитаем эти рассказы. Если вы рутаете свой андроид. Вбиваете левые корневые сертификаты - и скачиваете
игру с торрента и потом оказывается что ваш андроид завирусован - кто будет виноват?

То есть андроид по своему функционалу в плане "поставить любое стороннее приложение, а не только через айтьюнс" - ничем не отличается от иос?

Сообщение было отредактировано: 21 окт 19, 19:35
21 окт 19, 18:45    [21999310]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
mayton
Member

Откуда: loopback
Сообщений: 42918
Мне не удавалось поставить палёный софт. Да я и не сильно старался.
Я - обычный пользователь телефона. Мне от него надо чтоб он звонил
и телеграм телеграмил.
21 окт 19, 18:50    [21999315]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
Dima T
Member

Откуда:
Сообщений: 14096
mayton
Это уже работает для Андроидов. Правда там еще нет развитой системы сообществ. Которые выступали-бы гарантом
безопасности.

Андроид - это ОС для рядового юзера. Я в ней не силен, но как понимаю там только ширпотребные проги, т.к. нет смысла заливать в плэймаркет например ERP-клиента конкретного предприятия. Как минимум это дыра в безопасности плюс риск что гугл забанит вашу прогу для внутреннего пользования.
mayton
И это работает для продуктов Microsoft которая само-подписывает все свои бинарники уже давно. Еще в 2000х Виндов.

Получить подпись, которую виндовс признает - удовольствие недешевое. Причем обычному частнику ее вообще невозможно получить в РФ, надо юр.лицо, хотя бы ИП.

mayton
Одинокие разработчики как раз и есть та самая опасная группа издателей которые делают трояны и приложения-вымогатели.
И даже не одинокие а скорее желающие остаться анонимными. К ним нужно самое пристальное внимание.

Давно прошли времена "злых гениев", нынче работают команды профессионалов. Если введется тотальное подписывание, то процедура получения подписи упростится, но как следствие упростится получение липовой подписи, или не липовой, просто какому-нибудь алкашу помогут подпись получить.
21 окт 19, 19:51    [21999344]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
mayton
Member

Откуда: loopback
Сообщений: 42918
Вот к примеру я скачал пакет AWS command line interface (AWSCLI64PY3.msi) с сайта амазона.
В свойствах файла - кликаем и видим "Digital Signatures" -> Name of signer : Amazon.com. Inc.
Клацаем сертификат. Видим срок действия валиден.

Далее для примера идём на любой ресурс без https, и видим что файл качается без этой сигнатуры.

Тоесть браузер не просто качает файло - но испольуя свойства NTFS, сохраняет сведенья откуда
оно было скачано.

Еще кейс - кликаем c:\Windows\explorer.exe и видим подписи Microsoft Windows, sha256, Timestamp e.t.c.
Эти сигнатуры были поставлены еще при установке ПО. И подменить бинарь теперь сложнее. Подпись
будет сломана. По крайней мере проверка покажет.

Пере-подписать бинарь может владелец секретной части ключика - корпорация MS.
21 окт 19, 19:52    [21999349]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
mayton
Member

Откуда: loopback
Сообщений: 42918
Dima T
Получить подпись, которую виндовс признает - удовольствие недешевое. Причем обычному частнику ее вообще невозможно получить в РФ, надо юр.лицо, хотя бы ИП.

Это уже вопрос не-технический а правовой. Я так понимаю что корневые "Trusted Root Certification Authorities"
должны договориться с гос-органами других стран о делегировании возможности подписывания дальше.

А браузер - поставляется с этими корневыми сертификатами этих организаций. Кстати - хороший вопрос кто они такие
и как мы можем им доверять. Установив новый браузер мы автоматом доверились. Или купив у Microsoft лицуху
на Windows Home, автоматом приняли что MS главный арбитр внутри ОС и получили файлы проштампованные производителем.

Главное - что механика ЭЦП действует и на сегодняшний день альтернативы ей почти нет.
21 окт 19, 20:00    [21999354]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
Dima T
Member

Откуда:
Сообщений: 14096
mayton
Пере-подписать бинарь может владелец секретной части ключика - корпорация MS.

Это вершина айсберга. Можно не менять EXE, а в запущенный процесс внедрить DLL (возможно с подписью ООО "Рога и копыта"). Если не путаю, когда-то одна из разновидностей вирусни подменяла виндовые DLL, подпись которых не проверяется в отличии от EXE.
21 окт 19, 20:02    [21999356]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
ViPRos
Member

Откуда:
Сообщений: 9631
mayton
Главное - что механика ЭЦП действует и на сегодняшний день альтернативы ей почти нет.

Стараются, но всегда какой то болт с резьбой находится на эти гнилые задницы
21 окт 19, 20:05    [21999357]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
mayton
Member

Откуда: loopback
Сообщений: 42918
Dima T
Давно прошли времена "злых гениев", нынче работают команды профессионалов. Если введется тотальное подписывание, то процедура получения подписи упростится, но как следствие упростится получение липовой подписи, или не липовой, просто какому-нибудь алкашу помогут подпись получить.

Есть механика отзыва подписи когда она скопрометирована. В этом случае по идее вся цепочка внизу должна быть разрушена.
Как быть с компрометацией корневых я не знаю.

Был еще такой интересный продукт. PGP. Его написал и пошарил на весь мир в сорцах один еврейчик (в хорошем смысле
этого слова) по фамилии Циммерман. Но суть в том что он предложил горизональную модель безопасности основанную
не на регулирующем органе а на круговом доверии. В 2000х я как-то ставил себе UI-ную часть этого приложения.
Основная (ядерная) ее часть была просто консолькой. Наподобие OpenSSL. Поставил. Поигрался и снёс т.к. сообщество
вокруг меня ей не пользовалось. И подписывать свои емейлы не было смысла.

Сейчас статус PGP я не знаю. Такой-же длины ключи (до 4096 бит) юзаются в опен-сорце и вы можете получить
все удовольствия мира "военной" криптографии без PGP.

Еще одно наблюдение. США и инфо-ресурсы хостинга исходников детектируют что вы используете такие технологии.
По крайней мере в Git где-то было соглашение о том что вы обязуетесь подобное не паблишить. Тоесть сильные
мира сего не позволят недоразвитым странам иметь доступ к сильнй криптографии.

Еще наблюдение. В индии был крупный инцедент с телефонами Blackberry. Они позволяли активировать крипто-голосовой
трафик чем сильно разозлили государственный аппарат. И сами телефоны были изъяты из употребления. А всем
шудрам и хиджрам которые их юзали вломили неиллюзорных пилюль.
21 окт 19, 20:11    [21999360]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
Dima T
Member

Откуда:
Сообщений: 14096
mayton
Dima T
Получить подпись, которую виндовс признает - удовольствие недешевое. Причем обычному частнику ее вообще невозможно получить в РФ, надо юр.лицо, хотя бы ИП.

Это уже вопрос не-технический а правовой. Я так понимаю что корневые "Trusted Root Certification Authorities"
должны договориться с гос-органами других стран о делегировании возможности подписывания дальше.

А браузер - поставляется с этими корневыми сертификатами этих организаций. Кстати - хороший вопрос кто они такие
и как мы можем им доверять. Установив новый браузер мы автоматом доверились. Или купив у Microsoft лицуху
на Windows Home, автоматом приняли что MS главный арбитр внутри ОС и получили файлы проштампованные производителем.

Главное - что механика ЭЦП действует и на сегодняшний день альтернативы ей почти нет.

Например РФ с трудом переходит на ЭЦП физ.лиц, вот показательный случай. Так что нелегально получить ЭЦП от государства не проблема.
Еще есть банковский сектор, где ЭЦП "наше всё" для интернет-банкинга, и там за 20 лет не нашли идеального решения. Отмыл алкаша, назначил директором ООО, он открыл счет и гоняй через него деньги. Борятся конечно, но никак не поборят.

Я к тому что если ЭЦП станет обязательной, то просто появится черный рынок ЭЦП, где будут ее покупать те кто не может или не хочет ее легально получить.
21 окт 19, 20:13    [21999361]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
mayton
Member

Откуда: loopback
Сообщений: 42918
Dima T
mayton
Пере-подписать бинарь может владелец секретной части ключика - корпорация MS.

Это вершина айсберга. Можно не менять EXE, а в запущенный процесс внедрить DLL (возможно с подписью ООО "Рога и копыта"). Если не путаю, когда-то одна из разновидностей вирусни подменяла виндовые DLL, подпись которых не проверяется в отличии от EXE.

Смотри. В инфо-безопасности есть какие-то инварианты.

Это как в секретной игре Алисы Боба и Кларка. Есть договорённость что ни у кого из них на комьютерах
нет вируса или сниффера.

Грубо говоря начальные условия - чистые. Иначе вся теория рухнет.

В твоем примере с хаком Виндовс и с удалением или подменой корневых сертификатов и тотальным пере-подписыванием
я ничего не смогу сказать.

Я просто подниму руки и скажу что таких начальных условий нет. И не рассматриваем.
21 окт 19, 20:18    [21999364]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
mayton
Member

Откуда: loopback
Сообщений: 42918
Dima T
Так что нелегально получить ЭЦП от государства не проблема.
Еще есть банковский сектор, где ЭЦП "наше всё" для интернет-банкинга, и там за 20 лет не нашли идеального решения. Отмыл алкаша, назначил директором ООО, он открыл счет и гоняй через него деньги. Борятся конечно, но никак не поборят.

Я к тому что если ЭЦП станет обязательной, то просто появится черный рынок ЭЦП, где будут ее покупать те кто не может или не хочет ее легально получить.


Да. Кража секретного ключа и компрометация - тоже рассматриваются.
Но в этом случае вопрос - Кто подписал сертификат РФ ?
21 окт 19, 20:20    [21999365]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
mayton
Member

Откуда: loopback
Сообщений: 42918
Вобщем эта вершина "айсберга" должна быть частью современной ОС. И нужно постараться написать ядро
так чтоб корневые сертификаты нельзя был просто так снести или подменить.

Уже сейчас многие ОС отказываются от концепции супер-пользователя (root). На что заменят - я не знаю
но возможно будет какой-то мощный юзер но с оговоренными возможностиями.
21 окт 19, 20:27    [21999368]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
Dima T
Member

Откуда:
Сообщений: 14096
mayton
Dima T
Так что нелегально получить ЭЦП от государства не проблема.
Еще есть банковский сектор, где ЭЦП "наше всё" для интернет-банкинга, и там за 20 лет не нашли идеального решения. Отмыл алкаша, назначил директором ООО, он открыл счет и гоняй через него деньги. Борятся конечно, но никак не поборят.

Я к тому что если ЭЦП станет обязательной, то просто появится черный рынок ЭЦП, где будут ее покупать те кто не может или не хочет ее легально получить.


Да. Кража секретного ключа и компрометация - тоже рассматриваются.
Но в этом случае вопрос - Кто подписал сертификат РФ ?

Это не кража, а банальная покупка. И РФ тут для примера, как-будто в США/Европе (молчу про Азию/Африку) нет алкашей/бомжей, готовых продать свою ЭЦП. Как только появится спрос - появится предложение. Я к тому что хреновый предсказатель товарищ Касперский.
21 окт 19, 20:31    [21999369]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
mayton
Member

Откуда: loopback
Сообщений: 42918
Какие альтернативы?
21 окт 19, 20:40    [21999372]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
Dima T
Member

Откуда:
Сообщений: 14096
mayton
Какие альтернативы?

Я думаю для начала хотя бы исключить возможность запуска неподписанного кода на уровне ядра ОС (драйвера, службы и т.д. и т.п.)

И насчет подписей в андроиде - эти подписи еще к банковским счетам привязаны, т.к. деньги от покупателя разработчик через гугл получает, т.е. это больше чем подпись, для ее замены недостаточно сгенерить новые ключи.
22 окт 19, 06:22    [21999450]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
Bimon Subio
Member

Откуда: а какая разница?
Сообщений: 268
mayton
Какие альтернативы?


Gentoo, GUIX, reproducible builds, только open source?
22 окт 19, 07:22    [21999457]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
Basil A. Sidorov
Member

Откуда:
Сообщений: 9486
Наличие ЭП никак не решает проблему доверия - масса полностью легального ПО занимается вещами, которые лично я, как пользователь компьютера, никак не могу одобрить.
Открытые исходные тексты сильно упрощают решение проблем, но, опять-таки, никак не решают проблему доверия.

P.S.
Термин "ЭЦП" уже устарел - используется просто ЭП
22 окт 19, 08:49    [21999466]     Ответить | Цитировать Сообщить модератору
 Re: Идентификация разработчика ПО как элемент инфо-безопасности  [new]
mayton
Member

Откуда: loopback
Сообщений: 42918
Давайте отдельным топиком рассмотрим PGP, и модель горизонтальной сети доверия.

Мне кажется есть определённый интерес в будущем в противовес гос-органам и центрам сертификации
иметь доверительную сетку.
22 окт 19, 10:12    [21999538]     Ответить | Цитировать Сообщить модератору
Топик располагается на нескольких страницах: [1] 2   вперед  Ctrl      все
Все форумы / Программирование Ответить