LINUX.ORG.RU
ФорумTalks

Key Signing Party — кто-нибудь хочет поучаствовать?

 , ,


0

2

Для тех, кто не знает, что это: The Keysigning Party HOWTO. В двух словах — мероприятие, на котором люди обмениваются своими публичными ключами PGP, с верификацией личности каждого участника. Так строится т. н. сеть доверия (на самом деле, граф доверия).

Я вот давно уже хочу поучаствовать в такой штуке, чтобы хоть как-то закрепиться в этом самом графе. Отсюда два вопроса:

  • Хочет ли кто-нибудь ещё?
  • Есть ли здесь хотя бы один участник достаточно большой компоненты связности, согласный тоже прийти и всех подписать?

Выдохнул.

P. S.: давно — это ещё с Fedora 19 Release Party, но тогда как-то всё заглохло (key signing party). Или не заглохло, просто я об этом не знаю ( alpha?)

★★★★★

Последнее исправление: intelfx (всего исправлений: 3)
Ответ на: комментарий от Harald

Насколько понимаю, таков устоявшийся стандарт. Безопасность, как-никак.

intelfx ★★★★★
() автор топика

Раз пошла такая пьянка, объясните мне пожалуйста такую простую вещь: если уж я подписываю чей-то ключ, то в чём собственно говоря разница между уровнями доверия?

Т.е. если подписываю, то значит и проверял. Если не проверял, то и не подписываю. А эти «I will not answer», «I have not checket at all», «I have done casual checking» и «I have done very careful checking» я в этом ключе не понимаю.

Тоже самое и к ownertrust: «Ultimate», «Full», «Marginal», «Never», «Undefined». («Зелёнениким» оно будет светиться только на «ultimate». Всё остальное — вай-вай!)

В общем, где-то у меня тут пробел. Слишком оно уж всё мудрёное. Если уж я шифрую что-то кому-то, то тот у кого есть ключ его и сможет прочесть. Какая разница кто кому и как доверяет?

beastie ★★★★★
()
Последнее исправление: beastie (всего исправлений: 2)

Хочет ли кто-нибудь ещё?

Я бы пришел, но не ради подписи, а просто for lulz. Что-то в этом есть. Потому что...

на самом деле, граф доверия

и лично мне не нужно. Т.к. хоть и доверия, но тоже граф. Так же не считаю нужным использовать серверы ключей. Можно просто добавить себе на гитхаб свой публичный ключ одним коммитом в отдельный репозиторий, ключ сроком на год. А fingerprint опубликовать в подписи к письмам в почтовике, или на твиттере. Или вообще раздать лично каждому товарищу на флешке. Ведь таких товарищей единицы. Когда срок истечет, то раздать заново лично.

Deleted
()
Ответ на: комментарий от beastie

Это не про шифрование, а про подпись исходящих сообщений (в широком смысле).

Допустим, человек A подписал сообщение своим ключом, а человек D его читает и хочет удостовериться, что сообщение действительно написано A, а не каким-то хреном с горы. Тогда, если

  • B доверяет A (== «B подписал ключ A своим»)
  • C доверяет B
  • D доверяет C

...то, согласно транзитивности, D может считать, что сообщение написано и вправду A. Это было «зачем нужны сети доверия». Собственно, PGP позволяет выполнять все эти проверки криптографически. D скачивает все ключи (A, B и C) себе на компьютер и проверяет все подписи.

Насчёт уровней. Видимо, не всегда при подписи удаётся провести проверку личности «по всем правилам» (или тебе рожа не нравится :)). В таком случае ставится не Full-доверие, а, например, Marginal. И если сообщение, которое ты хочешь верифицировать, для тебя очень важное, то ты проверяешь, есть ли от тебя до отправителя путь по графу, который содержит только Full-подписи.

intelfx ★★★★★
() автор топика
Последнее исправление: intelfx (всего исправлений: 1)
Ответ на: комментарий от beastie

Какая разница кто кому и как доверяет?

В том то и дело, что это не просто встреча анонимов с паспортом и правами.

Deleted
()
Ответ на: комментарий от Deleted

Ну... сайт могут похачить, и почту могут похачить. А этот процесс устойчив к любым воздействиям (кроме таких, да).

intelfx ★★★★★
() автор топика
Последнее исправление: intelfx (всего исправлений: 1)
Ответ на: комментарий от Deleted

Ладно, проверку источника понять ещё могу. Тогда другой технический вопрос:

Известно, что сервера ключей append-only. Что туда раз попало, навсегда там и останется.

Как обстоит тогда дело с измениниями «уровней доверия»?

Например, я подписал ключ. Прошло какое-то время и у меня закрались сомнения, тот ли это, кто стоит за ключом. (Предположим, что он свой ключ посеял и отозвать его уже не может.)

Как теперь убрать / изменить подпись?

beastie ★★★★★
()
Ответ на: комментарий от beastie

Да и в принципе — интерфейс не должен позволять слишком легко и бездумно совершать действия, которые влияют на всю сеть доверия. Так что оно и не должно было пойти в массы.

intelfx ★★★★★
() автор топика
Последнее исправление: intelfx (всего исправлений: 1)
Ответ на: комментарий от intelfx

Да я как бы пытаюсь думать немного ширше. Секретарше такое на шею не повесишь. (А задача такая у меня стоит. ;)

В том же GUI я сам себе уже говолу сломал. Много неочевидных операций. (Скачай / подпиши / отгрузи)

Та же Enigma почему-то те пару ключей, которые я подписал, обратно на сервер не заслала. (C GPGmail (mac) ещё не пробовал.)

beastie ★★★★★
()
Ответ на: комментарий от beastie

Предположим, что он свой ключ посеял и отозвать его уже не может.

В качестве дополнительной меры на этой пати можно поинтересоваться, надежно ли товарищ хранит свой отзывающий сертификат? ) Он должен храниться отдельно от ключа и в другом агрегатном состоянии (например, распечатан на бумажке, как советует google для кодов от gmail), так же как полис каско отдельно от машины.

Deleted
()
Ответ на: комментарий от intelfx

Oh, yes.

Если мне надо что-то кому-то шифровано предать, мне не нужен web-of-trust. Я могу воспользоваться и шифроблокнотом.

Web-of-trust _может_ быть нужен, только если этим пользуются 99% населения интернетов. Иначе в нём тоже нет смысла.

Тот 1 несчастный процент может и так кому надо, что надо передать, т.к. знают всех и так поимённо.

beastie ★★★★★
()
Ответ на: комментарий от beastie

Ты не понял суть. Шифрование тут вообще ни при чём; это подписывание.

Подписывание решает следующую проблему: «Мне по ненадёжному каналу пришло сообщение от X. Я хочу удостовериться, что это X.»

Такая проблема будет существовать до тех пор, пока существуют ненадёжные каналы. Даже в обществе из двух человек.

intelfx ★★★★★
() автор топика
Ответ на: комментарий от beastie

WOT — это решение проблемы подписывания, которое не требует сверки каждого ключа с каждым (N-1 вместо N^2/2).

intelfx ★★★★★
() автор топика
Последнее исправление: intelfx (всего исправлений: 1)
Ответ на: комментарий от intelfx

Да и, если честно... ну есть у меня ключ. (И не первый.) Но кому слать сообщения, если de-facto «никто кроме меня» про это и не слышал?

У кого ключ был, давно посеяли. Все другие и не припомнят, как же этой шайтан-машиной пользоваться.

Вот и выходит, что шиврование вроде и есть, но его и нет.

И именно по этому, шифрование для «элиты» к чертям не сдалось. И именно по этому, нужно шифрование для масс, для всех. Просто и удобно.

beastie ★★★★★
()
Ответ на: комментарий от beastie

Значит, людям просто похрен на приватность и безопасность переписки. Проблема пока что не стоит остро (вообще никак не стоит).

Дело не в технике. Освоить gpg проще, чем тот же Git.

intelfx ★★★★★
() автор топика
Последнее исправление: intelfx (всего исправлений: 1)
Ответ на: комментарий от intelfx

Ну и будешь ты точно знать, что Вася Пупкин (и никто иной) прислал тебе «как дела?». А дальше что, если этим никто не пользуется?

beastie ★★★★★
()
Ответ на: комментарий от beastie

Во-первых, кому надо, тот пользуется. Во-вторых, проблема курицы и яйца.

intelfx ★★★★★
() автор топика
Ответ на: комментарий от beastie

В общем, я не совсем понимаю, что ты хочешь сказать. Подписывание решает реальную проблему. Ну а то, что оно нужно только гикам, да и то не всем — что поделать, всё с этого начинается. Зато в сети доверия участвуют только сознательные люди.

intelfx ★★★★★
() автор топика
Ответ на: комментарий от intelfx

Бурчу от том, что мого быть не два землекопа и две трети, не полтора гика, а по человечески.

И сеть состоящая из одной ноды — это не сеть.

beastie ★★★★★
()
Ответ на: комментарий от beastie

Вот чисто для хохмы: авторитетно заявляю, что я это я и вот мой ключ: http://pgp.mit.edu/pks/lookup?op=vindex&search=0x31C8B85F5A7C3054

Этот ключ опубликован в самых разных местах (в частности на моей страничке) под моим собственным именем, а так же включён в сигнатуру во всех моих мылах, которые всегда этим ключом и подписанны.

Посмотрим, кто кроме Pinkbyte ещё под этим подпишется. Хотя бы sig1 или sig2.

beastie ★★★★★
()
Ответ на: комментарий от beastie

Так дела не делаются. Где гарантия, что (например) мне не подсовывают в данный момент фейковый ЛОР, совпадающий с оригиналом во всём, кроме этого сообщения? KSP решает эту проблему.

intelfx ★★★★★
() автор топика
Ответ на: комментарий от beastie

На этапе проверки подлинности паранойя нужна.

intelfx ★★★★★
() автор топика

Я б сходил...

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

https://hkps.pool.sks-keyservers.net/pks/lookup?op=vindex&search=0x714C5C...


-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.12 (GNU/Linux)

iQEcBAEBAgAGBQJTq9K1AAoJEHFMXB1+UCJh+wkH/0va9D0clkfUgy+i04f0UaVh
Wa+MBxvjWekVtFYqjfEdWJMsNUXc3xQ7L7K9vWfgWggEYZMMU2zrDsU7pqZ/e0zH
TWOakoxe8DTVle9BP5MPl6uOSOn9/L0el3HWe2QSIFSMoNsg2KdaMfTbIRBN5BEQ
NX/YiFO+Gh3qg4WJR0+n5RtRiQ+DUvTxOWMoLoHJq+v2RJSCHSH2+JvgDgNaTqv4
w3psxvjIqgX8bL31GXCKW8bbUexzOuOj9DHZqooVqxEMt0Hxqx5WHACxeZqcYWkU
J9N1LNK3VCuMmjbcAqBw0i68SO5NtugDyjmPVTmfivKlnOurwpYN3+xwe9rHHuM=
=Hqe4
-----END PGP SIGNATURE-----
ZhuKoV
()
Ответ на: Я б сходил... от ZhuKoV

Отлично. Из трёх человек — конечно, тоже KSP, но... %)

intelfx ★★★★★
() автор топика
Последнее исправление: intelfx (всего исправлений: 2)
Ответ на: комментарий от sid350

Web of Trust. Через них может проходить цепочка (путь по графу) до того человека, подпись которого вам вдруг нужно будет проверить.

intelfx ★★★★★
() автор топика
Ответ на: комментарий от Harald

Можно просто съездить на FOSDEM и попросить подпись хоть у Торвальдса. Но речь-то о локальном масштабе.

intelfx ★★★★★
() автор топика
Ответ на: комментарий от intelfx

Мне кажется, что ksp может быть успешна, если приурочить её к какому-то ещё мероприятию. Скоро будет встреча Openstack Russia, посвященная четырехлетию Openstack. Можно связаться с организаторами и поучаствовать

alpha ★★★★★
()
Ответ на: комментарий от intelfx

Не, там вполне открытое сообщество и мы из Russian Fedora тоже поучаствуем. И это будет неформальная встреча, скорее праздник, чем конференция.

Мероприятие будет в районе 18 июля, есть время подготовиться.

alpha ★★★★★
()
Ответ на: комментарий от ZhuKoV

Отлично. Что же, как сказала alpha, стоит попытаться прицепиться к openstack'овому мероприятию.

Гипотетически сможешь поучаствовать? Они с местом ещё не определились, но дата известна — 18 июля 2014.

intelfx ★★★★★
() автор топика
Ответ на: комментарий от intelfx

http://www.oscloud.ru/ Тут значится дата 19 июля...

Если все же 18-го, то не факт, что смогу прийти. Если 19-го, то буду 99%. На всякий случай зарегистрировался на мероприятие.

ZhuKoV
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.