-

Sun, 21 Jul 2019 23:19:13 +0200

kostikov@zotum.net

Анамнез и диагноз гарный. Лечение погано.
Спасибо @darkone за ссылку.

🇬🇧 The PGP Problem

Cryptography engineers have been tearing their hair out over PGP’s deficiencies for (literally) decades. When other kinds of engineers get wind of this, they’re shocked. PGP is bad? ...

🇷🇺 Проблема PGP

Криптоинженеры уже несколько десятилетий кричат о недостатках PGP. Когда это слышат обычные разработчики, то бывают крайне удивлены. Как, PGP никуда не годится?...

#russian #lang_ru #cryptography #PGP #security #privacy

cryptography security russian lang_ru privacy PGP

show all 32 comments

Sun, 21 Jul 2019 23:44:49 +0200

Alexander

alexander@deko.cloud

На практике вопрос стоит проще. Ломают или нет.

Рекомендация использовать Вотсап порадовала :)

Mon, 22 Jul 2019 08:27:38 +0200

jsv

jsv@tiksi.net

Я ожидал хоть какой-то драмы от обсуждения этой статьи в рассылке gpg, но нет. Все согласны с автором почти во всём, кроме пары мелких деталей, и общее настроение царит "доктор сказал в морг – значит в морг". Сейчас вот обсуждают, как правильно шифровать архивы 7zip'ом, чтобы случайно не получить PKWARE вместо AES-256. :)

Mon, 22 Jul 2019 10:34:01 +0200 последнее редактирование: Wed, 24 Jul 2019 20:59:13 +0200

Max Kostikov

kostikov@zotum.net

@jsv
Совершенно верно.
Никакой драмы нет и все эти проблемы (большинство из каковых настоящими проблемами, конечно, не являются), хорошо известны. Автор забыл ещё упомянуть про certificate spamming ну да и чёрт с ним.
Ну или бред с "не шифруйте почту" потому что почта это плохо.
Вопрос в том, а какие альтернативы? Signal-like и проч.? ORLY?!
Положим, новая криптография выглядит хорошо и надёжно. Но где протоколы, которые можно использовать в качестве альтернативы OpenPGP?

Mon, 22 Jul 2019 12:54:16 +0200

lostinlight

lightone@iliketoast.net

Рекомендации в конце статьи отражают тренд англоязычной "секюрити профешнлз" среды, где все рекомендуют примерно одно и то же. Если бы автор оригинальной статьи был немцем или французом, рекомендации бы были другими.

Жаль, что так и не случился федеративный хабр. Было бы интересно читать всех комментаторов здесь.

Mon, 22 Jul 2019 13:29:14 +0200

jsv

jsv@tiksi.net

( контекст: https://twitter.com/matthew_d_green/status/1149492390484254720 )

Mon, 22 Jul 2019 19:47:22 +0200

Max Kostikov

kostikov@zotum.net

@lostinlight

Жаль, что так и не случился федеративный хабр. Было бы интересно читать всех комментаторов здесь.

Были поползновения?

Mon, 22 Jul 2019 19:53:31 +0200

Max Kostikov

kostikov@zotum.net

Рекомендации в конце статьи

Инструменты можно рассматривать какие-то. Вопрос, во-первых, а лучше ли они и, во-вторых, и для меня это важнее, а есть ли альтернатива протоколу OpenPGP и нужна ли она в принципе с учётом его универсальной применимости.

Mon, 22 Jul 2019 20:25:00 +0200

Дима Ржевский

dmitry77@hubzilla.ru

интересно, считал gpg лучшим проверенным инструментом

Mon, 22 Jul 2019 20:35:52 +0200

lostinlight

lightone@iliketoast.net

@Max Kostikov создание непосредственного аналога - нет. Хабр известен только в русскоговорящем сообществе, а в федеративных сетях оных разработчиков можно пересчитать по пальцам (на данный момент). Больше всего русскоговорящих контрибьютит в кодовую базу Pleroma.

А так, агрегаторы новостей / ссылок аля HN - есть: Prismo, Lemmy, Littr.go, MoonTree...

Но основная ценность Хабра как раз в централизации ресурсов и аудитории. Чтобы добиться хоть какого-то успеха Феде нужны полноценные, удобные группы / сообщества / форумы (паблики, каналы...). Сейчас это всё либо неудобно, либо коряво работает кросплатформенно (или вообще не работает), либо есть искуственные органичения (кол-во знаков в микросетях и проч.).

И опять же, зачем среднестатистическому автору с популярной площадки идти сюда? Вот тут как раз случай, где я бы рассмотрела варианты поощрений авторов, в виртуальной валюте (аля Голос) или ещё каким-то интересным образом. Даже если бы выхлоп для автора был почти никаким, на первых порах это могло бы привлечь аудиторию из "первопроходцев".

Но увы, сейчас на повестке дня борьба со спамом и харрасментом, а не вот это всё...

Mon, 22 Jul 2019 20:40:27 +0200

Max Kostikov

kostikov@zotum.net

@lostinlight

варианты поощрений авторов

В Hubzilla, кстати, есть приложение "Репутация канала", которое работает примерно так же, как и система репутации на Habr.

Mon, 22 Jul 2019 20:43:33 +0200

Max Kostikov

kostikov@zotum.net

@Дима Ржевский

считал gpg лучшим проверенным инструментом

Автор тут прав - это, действительно, громоздкий, кривой и регулярно дырявый комбайн.

Mon, 22 Jul 2019 20:43:56 +0200

lostinlight

lightone@iliketoast.net

@Max Kostikov Это хорошо. Плохо то, что каждый раз обновляя статистику активных пользователей федеративных сетей, с грустью замечаю, что цифры Хабзиллы (и Френдики) остаются довольно скромными.

Mon, 22 Jul 2019 21:11:31 +0200

Max Kostikov

kostikov@zotum.net

@lostinlight Да вообще роста активной аудитории нет, что уж там. Любопытно, статистика эта какую долю охватывает реально от действующей сети?

Mon, 22 Jul 2019 22:19:05 +0200

lostinlight

lightone@iliketoast.net

@Max Kostikov Предполагаю, процентов 80-85 охватывает. И всё же рост есть. Количество серверов Pleroma превысило и хабзиллу, и френдику, и диаспору - много мелких серверов (что хорошо). WriteFreely просто взлетел, учитывая срок существования проекта. Mastodon, PeerTube и Pixelfed стабильно растут.

Mon, 22 Jul 2019 22:26:35 +0200

Max Kostikov

kostikov@zotum.net

@lostinlight Количество серверов это не аудитория. Это вообще ни о чём.
Аудитория это те, кто активно использует сеть, т.е. monthly audience. Вот она, насколько я вижу, не растёт.

Mon, 22 Jul 2019 22:47:52 +0200

Alexander

alexander@deko.cloud

варианты поощрений авторов, в виртуальной валюте

Вроде как, в сети Minds так и есть. И даже в перспективе с конверсией в крипту. Говорят, пока работает хорошо этот механизм, хотя сама сеть сырая.

По PGP - вот именно, что плюс в универсальности, которую можно куда угодно прикрутить. Сигнал или Тутанота сегодня есть, а завтра их не станет.

Mon, 22 Jul 2019 23:01:28 +0200

Дима Ржевский

dmitry77@hubzilla.ru

кстати только что писал
https://hubzilla.ru/channel/dmitry77/&mid=b64.aHR0cHM6Ly9odWJ6aWxsYS5ydS9pdGVtLzYyNWNiYTkzLWI1NmUtNDg2Yi04NmRjLWU4YWIyNDc0NzI4Yg

Теперь надежда локальные на комюнити. Или "кегельбан", как красочно описывает Мур

Mon, 22 Jul 2019 23:11:49 +0200

Max Kostikov

kostikov@zotum.net

По PGP - вот именно, что плюс в универсальности, которую можно куда угодно прикрутить

Это так. Но это создаёт и проблемы, как справедливо замечено.
То есть, как я писал, вопрос альтернативы.

Mon, 22 Jul 2019 23:12:27 +0200

Alexander

alexander@deko.cloud

Ну, большинство пользуется тем, что когда-то было в меньшинстве :)

Федеративные сети, откровенно говоря, не предлагают ничего нового пока что. Что там под капотом - мало кому интересно, а Фейсбук вот уже есть, готовый и манящий. Тут либо остаётся дождаться, пока он окончательно испортится, либо придумывать что-то новенькое.

Mon, 22 Jul 2019 23:34:39 +0200

Дима Ржевский

dmitry77@hubzilla.ru

@Alexander
Как это не предлагают? и кстати вопрос - кому ?
Пользователям предлагают (пока ещё сырую) одну социальную сеть. Не надо регистрироваться в десятках других. и вообще в сайтах не надо регистрироваться.
О приватностью многие думают.
Владельцам сайтов - расширение аудиториии.
Программистам - возможность создать свою социальную сеть. Не обязательно работать в фейсбуке или в VK. Просто взял и собрал из "кубиков" свою соцсеть.

Mon, 22 Jul 2019 23:46:43 +0200

Alexander

alexander@deko.cloud

@Дима Ржевский для простого пользователя это всё так себе аргументы. Просто социальные сети и так есть, функционал и наполнение там гораздо лучше - тут конкурировать сложно. Это не ново.

Приватность - тоже дело такое. Обычный человек считает, что скрывать ему нечего (ну почти), а потом он думает, что узел федеративной сети, который держит непонятно кто, вряд ли выглядит приватнее того же Фейсбука. Разве что рекламы нет :) А кто думает об утечках данных и профилировании - это пока что немногочисленные гики. Даже на том же Хабре они, скорее, в меньшинстве, судя по комментам.

Если крупные коммерческие сети окончательно испаскудятся - то да, некоммерческие могут стать глотком свежего воздуха. Но пока там не настолько всё плохо, чтобы на одном этом можно было выехать.

Tue, 23 Jul 2019 04:18:40 +0200 последнее редактирование: Tue, 23 Jul 2019 04:19:08 +0200

Дима Ржевский

dmitry77@hubzilla.ru

Конкурентом Федиверса является не социальные сети а огромное количество сайтов без федиверса. Вот пользователи (или владельцы) этих сайтов - подключаться (подключат сайт) к федиверсу. Федиверс гораздо более гибок. чем крупные соцсети. Крупные соцсети - стараются быть как можно универсальнее.
И хочу сказать что коммереские сайты могут быть в федиверс без проблем.

Tue, 23 Jul 2019 06:38:17 +0200

Alexander

alexander@deko.cloud

И что в итоге получится-то? :)

Для большинства ресурсов это будет что-то типа возрождения RSS, т.е. можно будет на поток новых материалов подписаться и читать его у себя ленте. Только, если на то пошло, RSS поудобнее. Комментарии, наверное. Опять таки, всё это уже есть.

Свои минусы тоже есть - спам тот же. Аналогичной федеративной системой (конструктивно) является электронная почта - как только федеративные сети выйдут на какую-то массовость, нужно ждать тех же проблем. Начнут появляться одноразовые (или просто фиктивные) ноды для рассылки спама, полезет фишинг и тому подобное.

Tue, 23 Jul 2019 07:51:41 +0200 последнее редактирование: Tue, 23 Jul 2019 07:58:59 +0200

Дима Ржевский

dmitry77@hubzilla.ru

А так мне преставляется да, упрощённо "RSS ридер с возможностью коментирования" + профили. Обычный RSS только на чтение. В хабзиле встроеный rss ридер, но иногда очень хочется не rss сообщения а полноценные, с обсуждением. в хабзиле встроенный календарь - он вставляет записи в ленту.

В социальных сетях детектиовать спам намного легче чем в почте.
Ну и почта - довольно старый стандарт.

А до массовости email нужно дорости ещё :)

Tue, 23 Jul 2019 08:30:29 +0200

Alexander

alexander@deko.cloud

В социальных сетях детектиовать спам намного легче чем в почте.

В открытых-то? Не уверен :)

Крупные коммерческие сети борются с ним посредством централизации и верификации личности. Открытые сети предполагают отказ от всего этого в первую очередь.

Tue, 23 Jul 2019 08:49:29 +0200

Max Kostikov

kostikov@zotum.net

@Alexander

Аналогичной федеративной системой (конструктивно) является электронная почта - как только федеративные сети выйдут на какую-то массовость, нужно ждать тех же проблем.

Правильно. Уже.

Tue, 23 Jul 2019 14:00:21 +0200

lostinlight

lightone@iliketoast.net

@Max Kostikov В условиях добровольных и никак не проверяемых цифр, количество пользователей - как активных так и в целом - тоже мало о чём говорит. Один шутник, например, слал отрицательные значения (-1100), которые складывались с остальными и, очевидно, уменьшали статистику. А буквально пару дней назад Pixelfed слал статистику, что у него активных юзеров больше, чем зарегистрированных :) Баг поправили. Но спуфить количество юзеров - элементарно. Или - чуть креативнее - ботов нагнать.

Количество серверов даёт представление о популярности и развитии платформы (если количество нод растёт - значит, софт хороший).

Tue, 23 Jul 2019 21:28:56 +0200 последнее редактирование: Wed, 24 Jul 2019 15:27:43 +0200

Max Kostikov

kostikov@zotum.net

@lostinlight
Да, согласен. Интересно бы подумать над методикой оценки и проверки данных.
Можно сделать каталог пользователей в хэшированном виде для невозможности им воспользоваться для любых иных целей, кроме верификации. Кстати, этот каталог же можно использовать для глобального антиспама.
Сходу схема примерно такая. Имена пользователей хэшируются и с определённой периодичностью транслируются в каталог. По каждому из них можно, как минимум, транслировать дату последней активности и, к примеру, репутацию.
По хэшу можно легко проверить зарегистрирован ли данный пользователь, когда был виден последний раз и, если доступно, его репутацию. На основании последней, при желании, можно строить полноценный антиспам.
Поскольку данные будут собираться со всей сети, то статистику можно будет видеть даже по тем узлам, которые её официально не публикуют на основании данных с других узлов, которые получают их публикации. Собственно, несколько крупных узлов способны со временем выдать вполне достоверную статистику, не говоря уже если этот подход будет реализован хотя бы на половине видных в "The Federation" узлов.
При этом хэш не позволяет по нему вычислить сам адрес пользователя.
Есть пример реализации такого подхода для целей борьбы со спамом в электронной почте.
https://msbl.org/hashbls.html

Wed, 24 Jul 2019 16:01:38 +0200

lostinlight

lightone@iliketoast.net

@Max Kostikov Я думаю, подобное предложение будет встречено неоднозначно. Сейчас если сервер сигнализирует своё нежелание участвовать в статистике, другие серверы должны уважать это решение. Ваше предложение предполагает игнорировать желание подобных серверов. Также, сейчас в большинстве сетей нет категории "репутация" пользователя - если она будет складываться на количестве серверов, заблокировавших этого пользователя, то вам сразу скажут, что централизованные блеклисты потенциально можно абьюзить для блокировки неугодных лиц.

Более того, уже пошла проблема откровенного ддоса аккаунтов (серверов), поможет ли подобное антиспам решение с ней бороться? Всё равно всё в итоге сводится к блокировке целого сервера администратором.

Wed, 24 Jul 2019 16:08:22 +0200

lostinlight

lightone@iliketoast.net

@Alexander

Тут либо остаётся дождаться, пока он окончательно испортится, либо придумывать что-то новенькое.

Если у вас будут появляться идеи на тему "новенького", которыми не жалко поделиться - пожалуйста, делитесь. Честно признаюсь, поддерживаю список фич, которые мне нравятся в каждой федеративной сети, и периодически пытаюсь фантазировать на тему новых возможностей, которые мне бы хотелось видеть в сети будущего. Но одна голова хорошо, а много голов - лучше. Сама идея криптовалют меня пока не сильно будоражит. Не поддерживаемая никакими реальными активами, это в сущности пирамида. На ней можно заработать - чем предприимчивые люди и занимаются, но в долгосрочной перспективе это даже менее стабильно, чем бумажки под названием "деньги". Интересно подумать на тему, какие ещё вознаграждения и мотиваторы, кроме криптовалют, могут быть в децентрализованных сетях.

Wed, 24 Jul 2019 19:18:39 +0200

Max Kostikov

kostikov@zotum.net

@lostinlight

Я думаю, подобное предложение будет встречено неоднозначно

Да уж наверняка. Но что-то такое делать всё равно придётся потому что начинается эпоха спама в Fediverse.

то вам сразу скажут, что централизованные блеклисты потенциально можно абьюзить для блокировки неугодных лиц

Причём, скорее всего, это скажут те же люди, которые заблокировали Gab...

Всё равно всё в итоге сводится к блокировке целого сервера администратором

Как финальная мера да.
Но тут не надо изобретать велосипед. Методики оценки и борьбы со спамом достаточно хорошо обкатаны на электронной почте. Причём в Fediverse это будет намного проще потому что изначально есть методы верификации источника и контента чего в SMTP не было (да и теперь нет, а реализуется через SPF, DKIM/ARC и политику DMARC). Отдельно тут обсуждать, думаю, это смысла нет, но я прекрасно представляю что и как тут можно сделать, чтобы это эффективно работало.

Wed, 24 Jul 2019 20:29:31 +0200 последнее редактирование: Wed, 24 Jul 2019 22:25:21 +0200

Max Kostikov

kostikov@zotum.net

@lostinlight

Сейчас если сервер сигнализирует своё нежелание участвовать в статистике, другие серверы должны уважать это решение

Забыл добавить. Предлагается собирать обезличенную (ok - обфусцированную) статистику по пользователям. Впрочем, ничто не мешает делать то же и по узлам. В любом случае, я вообще не вижу тут этической проблемы. Если мы делаем social то так или иначе это противоречит privacy и вряд ли что-то может, к примеру, мне, при наличии желания, помешать собирать такие данные.