LE и GlobalSign всё, куда двигаться за сертификатом, остаётся только Минцифры, но...

Вот от того, что я произношу вслух «надо бы запастись бензином», и на следующий день озон начинает предлагать купить канистры - вот этого прям зубы сводит. Какое там mitm, какие там сертификаты, когда у тебя в кармане чужие уши лежат.

Насчет ушей как-то спорно все же. То есть они конечно лежат, но сильно сомневаюсь, чтобы 24/7 включены и передавли инфу, а распознавать все на самой мобиле мощностей не хватит, да и в том и другом случае будут высаживать аккумулятор. Во время разговора ведь аккумулятор садится намного быстрее и это видно.

Возможно чисто психологический феномен. Ведь ты не просто так сказал, что надо запастить бензином, а потому что кое-что с ним происходит. Вот и рекламщики отреагировали на тренд. Точно также могут по косвенным признакам реагировать и на другие обстоятельства. Другой феномен, что мы пропускаем мимо внимания много чего, но начинаем фокусироваться на том, что нас заинтересовало, поэтому может возникнуть впечатление, что если что-то заинтересовало и об этом сказал вслух, то стали совать рекламу.

Но соглашусь, что подозрительно и истории все же странные были даже среди знакомых.

я произношу вслух … и на следующий день … начинает предлагать …

Не могли бы вы громко вслух рядом с телефоном произнести «надо бы минцифре реализовать ACME для своих сертификатов»? Вдруг сработает.

Почему всё? Вроде не всё.

запастить бензином

там вроде ограничения на отпуск вводят, локальные, видимо народ кинулся скупать и канистры, и бензин.

точно ведь, я в новостях читал про дефицит топлива, локальный в отдельных регионах.

А вот если появится возможность ограничить зону действия корневого сертификата или сертификата CA, это бы сняло много проблем.

В принципе это сделать возможно, даже без помощи государства. Создаёшь свой сертификат, ставишь себе в систему, потом этим сертификатом подписываешь сертификат России, и там где-то в X.509 атрибутах указываешь список доменов, для которых это всё валидно. Надо, конечно, проверять это всё, вряд ли многие так делают и не факт, что в браузерах оно отработает без багов. Но в теории это сделать можно, причём максимально приватно и безопасно (доверять ты будешь только локально сгенерированному сертификату).

веб — говноворох говнотехнологий, обосрался на уровне идеи и не может быть исправлен никаким образом. После чего создать нормальную платформу распределённых коммуникаций с учётом имеющегося опыта.

Но спустя много лет и тонны денег получится никому не нужный и неудобный на практике стандарт, разработанный комитетом.

у гражданина от государства не может быть тайн, сюда же сорм-1,2, законы Яровой, курс на ликвидацию всякой анонимности, штрафы за поиск неугодной информации, форшмак из банковской тайны и на этом фоне, что вот честно-честно государство не захочет краем глаза, конечно же только против педофилов и для поимки и предотвращения теpaктов, подсмотреть внутрь трафика?

Да пусть государство смотрит! Главное, чтобы негосударство не смотрело. Неужели при посадке в самолёт эти граждане не дают краешком глаза посмотреть что там внутри ноутбука, телефона, сумки, карманов… Чем же так отличается их трафик?

Даже трафик с платёжной системой, например?

да, после того как результаты всех посещений врача, медицинские анализы и заключения стали присылать в личный кабинет госуслуг, где их может читать любой желающий, стоит ли пытаться что-то скрывать?

раньше для этого требовалось хотя бы в больницу съездить, а теперь всё по API можно сделать.

все под колпаком.

Может быть. Гарантий никаких. Но что остаётся делать: заливать проблему неудачного дизайна морем денег и инженерных ресурсов? Этот подход ведёт вникуда.

А вот это в первую очередь должно быть доступно государству. Мне тут не так давно АльфаСтрахование аннулировали ОСАГО, потому что по старому адресу электронной почты писали а я не ответил во время. Адрес я почти десять лет использовал при заключении первого договора с ними, а потом в личном кабинете на сайте поменял. Страховщик говорит я посылал, а я говорю не получал. К кому бежать искать управы? Думаете, стоит верить страховщику на слово?

А зачем тебе сертификат? Опиши задачу.

Готовы дебетовую карту и пинкод к ней под ковриком оставлять?

Если ФСБ захочет узнать как вы распоряжаетесь своими деньгами, оно просто спросит у вашего банка. Проблема с ключём от всех дверей не в том, что он будет у тайной полиции. С такого ключа много кто захочет сделать слепок. И есть риск обнаружить нелегальные копии на чёрном рынке. После чего каждый уважающий себя вор будет иметь такой.

P.S. Мы всякую гипотетическую ерунду обсуждаем, а в реальности мошенники из «службы безопасности вашего банка» покрали столько денег, а нерадивые админы способствовали сливу такого количества данных, что и подумать страшно.

Если ФСБ захочет узнать как вы распоряжаетесь своими деньгами, оно просто спросит у вашего банка. Проблема с ключём от всех дверей не в том, что он будет у тайной полиции. С такого ключа много кто захочет сделать слепок. И есть риск обнаружить нелегальные копии на чёрном рынке. После чего каждый уважающий себя вор будет иметь такой.

Ну так и я о том же. Видеть любой трафик будет не абстрактное государство, а вполне конкретные люди. У них будут ключи от любой двери и, естественно, этими ключами кто-то из них начнёт рано или поздно торговать.

Это им в ВУЗе и так с первого курса расскажут, без всяких санкций. Скажут что должен стоять сертификат от минцифры на персональных устройства или отчислят. 🤣

Так они уже там лежат. Никогда не приходилось операции по карте оспаривать?

Видеть любой трафик будет не абстрактное государство, а вполне конкретные люди.

Так ведь уже! Думаете cloudflare не видит трафик? А это не государство, а вполне конкретные люди.

у нас во всех сервисах должен быть TLS, от клика, до приложения в кубе, где можно пихаем self-signed, где нельзя, сейчас по разному, остались и GS, и LE как его альтернатива предложена, но это было до последних обновлений, сейчас ждём новых вводных

Весь трафик? Скажем трафик сбербанка видят?

Но что остаётся делать: заливать проблему неудачного дизайна морем денег и инженерных ресурсов?

Так всё равно придётся вливать море денег и инженерных ресурсов на реализацию «правильной альтернативы» веба.

А тут ещё и дяди из-за океана подтверждают. Одни плюсы!

Конечно! Правда только наше.

Наше что?

Конечно придётся. Как и с любой инженерией вообще. Разработка ДВС тоже потребовала много сил и средств, когда паровые двигатели уже сто лет как работали. Однако инновация требует конечного количества денег и времени, после чего начинает приносить пользу, а перерасход средств из-за неправильной технологии не закончится никогда.

и там где-то в X.509 атрибутах указываешь список доменов, для которых это всё валидно

Атрибут в студию. Вся проблема как раз в том, что, насколько помню, такого атрибута нет.

А, понятно. Ну, если клиенту в России понадобится доступ - придётся поднимать точку входа, подписанную для стрингобраузера. Для остальных всегда можно иметь точку входа вне.

Так всё равно придётся вливать море денег и инженерных ресурсов на реализацию «правильной альтернативы» веба.

И кто сделает свой собственный доверительно-удостоверяющий сетевой протокол с самобытным интернет-обозревателем по-твоему? В «Яндексе» и во «В контакте» умеют только повторять готовые западные проекты.

Не могли бы вы громко вслух рядом с телефоном произнести «надо бы минцифре реализовать ACME для своих сертификатов»? Вдруг сработает.

Попробую.

Но надо воспроизвести тогда весь ритуал - сначала 85ти-летняя мама должна сказать в присутствии своего и моего телефонов «надо бы минцифре реализовать ACME для своих сертификатов», потом я должен жене рассказать «прикинь, что мама придумала: «надо бы минцифре реализовать ACME для своих сертификатов»» в присутствии её и моего телефона. И завтра можно будет проверять новости.

Отстань от человека. ГОСТ/Кузнечик и AES разные люди читают. Другое дело, что есть мнение, что AES без известного приватного ключа не прочитать, а у Кузнечика конспирологи предполагают наличие второго приватного ключа, который у кого надо.

умеют только повторять готовые западные проекты.

Этого вполне достаточно. Plan9 сорок лет назад уже содержал в себе всё нужное для построения более лучшего веба.

А кто видят?

Другое дело, что есть мнение, что AES без известного приватного ключа не прочитать, а у Кузнечика конспирологи предполагают наличие второго приватного ключа, который у кого надо.

есть мнение, что от AES второй ключик у другого кого надо… Историю с Crypto AG не помните?

Помню. И там второго ключика не было, была багофича и неправильный выпуск сертификатов.

Другое дело, что есть мнение, что AES без известного приватного ключа не прочитать, а у Кузнечика конспирологи предполагают наличие второго приватного ключа, который у кого надо.

Насколько обосновано такое мнение?

Ну наверное только сам сбербанк?

то давно могли бы выпустить OpenSource браузер без телеметрий, с поддержкой ГОСТ-шифрования и с сертификатами от Минцифры.

Chromium-Gost не то?

Ну конечно, это же совсем другое! Есть мнение, что в DES, что в AES были некоторые особенности, которые позволяли относительно быстро на доступном кому надо оборудовании подбирать любой ключ.

Ещё наше правительство. Мониторинг того, что творится в их локальной сети также осуществляется сторонними компаниями. Для этого их специально нанимает сбер. Так что уж кто надо тоже наблюдает за трафиком в сети сбера.

Использовалось бы даже не только россиянами.

Максимум индусами и прочими китайцами, да и то под вопросом. Этот браузер везде бы запретили, как и сертификаты были бы внесены в список недоверенных.

на доступном кому надо

Кому не надо тоже. До сих пор можно подменить БС и настроить на ней шифрование так, что значка снятого шифрования не будет, а расшифровывать голос можно будет чем попало (40 бит ключи). RTFM!!!

Ну, я алгоритм не копал, но вот по отзывам реализация AES понятно, что делает, а реализация Кузнечика - не понятно.

Ну, я алгоритм не копал, но вот по отзывам реализация AES понятно, что делает, а реализация Кузнечика - не понятно.

это прям как Рабинович Битлз по телефону напевал! Или вот, совсем недавняя история Вот вам и российский мессенджер (комментарий) тоже отзывы, которые потом внезапно пропали. Вы можете показать доказательство криптографической стойкости AES? Или реализация AES кому надо понятна, и без доказательств?! А как насчёт независимых реализаций AES, их кто-нибудь сравнивал?

Да пусть государство смотрит!

Во-во, вот поэтому сертификатам от Минцифры и такое заведомое недоверие, даже несмотря на отсутствие пока скандалов.

Главное, чтобы негосударство не смотрело.

Главное, чтобы никто не смотрел.

Неужели при посадке в самолёт эти граждане не дают краешком глаза посмотреть что там внутри ноутбука, телефона, сумки, карманов… Чем же так отличается их трафик?

Не дают, скрывают по мере возможности от влажных носов.

В РФ много говорят (сейчас правда поменьше) про многополярный мир и всякое подобное. Как раз и можно было в вопросах приватности коммуникации граждан и прочих свобод оказаться альтернативой и Западу и Востоку (Китаю). На деле получается для обычных людей, что теже яйца только в профиль и спецолимпиада по соревнованию, где посильнее зажим. Из свежего: вот у них пошло поветрие придумывать, чтобы операционные системы проверяли возраст для «защиты детей», а фактически чтобы «интернет по паспорту». И чтобы вы думали, вот уже у нас Максут Шадаев изучает международный опыт и от лица Минцифры говорит о разработке аналогичных внедрений. Наверное, выборы пройдут и осчастливят.

поэтому сертификатам от Минцифры и такое заведомое недоверие,

Не понял логику. Чем сертификаты от Минцифры отличаются от любых вообще сертификатов?

В РФ много говорят (сейчас правда поменьше) про многополярный мир

Многополярность заключается в появлении многих полюсов, каждый из которых хочет наложить лапу на «свои» данные. Всё очень логично и разумно устроено.

Не понял логику. Чем сертификаты от Минцифры отличаются от любых вообще сертификатов?

Получается, что потенциальными рисками для граждан.

Многополярность заключается в появлении многих полюсов, каждый из которых хочет наложить лапу на «свои» данные.

Так и я о чем, о том, что мир предлагается делить на зоны влияния паханов, а ведь могла быть альтернатива в свободе от них.

Получается, что потенциальными рисками для граждан.

Абсолютно одинаковые же. Если ты доверяешь СА (а куда ты денешься с подводной лодки?), остаётся только зажмуриться и надеяться, что пронесёт.

мир предлагается делить на зоны влияния паханов

Всё возвращается к норме. Чем вы не довольны?

могла быть альтернатива в свободе от них.

А это уже глупые фантазии. Такого не будет никогда, либо существа, для которых такое сможет быть осуществлено, уже не будут людьми. Нафиг-нафиг.

Во-во, вот поэтому сертификатам от Минцифры и такое заведомое недоверие, даже несмотря на отсутствие пока скандалов. Главное, чтобы никто не смотрел.

т. е. в огороде бузина, а в Киеве дядька. Нет проблем если государство посмотрит, но откуда-то возникает недоверие. А, это как у предыдущего оратора, тут не верю, а там верю потому что там надёжно! То-то Хэтцнер странное лицо делал в скандале с jabber.ru… главное чтоб никто не смотрел!

Не дают, скрывают по мере возможности от влажных носов.

И как успехи? Спокойно летают?

Как раз и можно было в вопросах приватности коммуникации граждан и прочих свобод оказаться альтернативой и Западу и Востоку (Китаю).

Сноуден подумал, подумал, и выбрал альтернативу.

Альтернатива не в том что в одом месте контролируют коммуникации, а в другом нет, а в том кто, зачем и на сколько открыто это делает.

Получается, что потенциальными рисками для граждан.

Сомнительно.

Name Constraints