The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Представлен OpenPubKey, протокол криптографической верификации объектов

08.10.2023 13:32

Linux Foundation, BastionZero и Docker представили новый открытый проект OpenPubKey, развивающий одноимённый криптографический протокол для заверения цифровой подписью произвольных объектов. Технология разработана как совместный проект компаний BastionZero и Docker с целью упрощения заверения цифровыми подписями образов контейнеров Docker для исключения их подмены и для подтверждения сборки заявленным создателем. Проект будет развиваться на нейтральной площадке под покровительством организации Linux Foundation, что исключит зависимость от отдельных коммерческих компаний и упростит совместную работу с привлечением сторонних участников. Эталонная реализация OpenPubKey написана на языке Go и распространяется под лицензией Apache 2.0.

Возможности OpenPubKey не ограничиваются только образами контейнеров и технология может применяться для подтверждения источника получения любого ресурса, предотвращения подмены зависимостей и повышения безопасности каналов распространения наборов данных. Например, технология применима для заверения сборок программ, отдельных сообщений и коммитов. Создателям подписи достаточно наличия учётной записи в сервисе, поддерживающем OpenID, а потребителям предоставляется возможность проверки прикреплённых подписей и подтверждения их связи с заявленным идентификатором OpenID.

По своему назначению OpenPubKey напоминает созданную в Google и ранее переданную в Linux Foundation систему Sigstore, но отличается от неё существенным упрощением внедрения, использования и сопровождения за счёт избавления от централизованных серверных компонентов, отвечающих за ведение публичного лога, подтверждающего подлинность изменений (transparency log), и обеспечение работы удостоверяющих центров (Certificate Authority).

Вместо развёртывания собственных удостоверяющих центров в OpenPubKey применяется аутентификация с использованием технологии OpenID и привязка созданных подписей к существующим провайдерам OpenID Connect. Иными словами, OpenPubkey позволяет привязать криптографические ключи к конкретным пользователям, используя провайдеры OpenID Connect (IdP) вместо удостоверяющих центров. Технология полностью совместима с существующими провайдерами OpenID, такими как GitHub, Azure/Microsoft, Okta, OneLogin, Keycloak и Google, и не требует внесения изменений на их стороне (используется предоставляемый провайдером типовой ID Token, что позволяет реализовать OpenPubKey только через изменения на стороне клиента OpenID Connect).

Выданный провайдером OpenID токен трансформируется в сертификат, который криптографически привязывает идентификатор в OpenID Connect к открытому ключу пользователя. Далее пользователь использует привязанный ключ для подписи любых данных и эти подписи могут в дальнейшем быть проверены на связь с его идентификатором в OpenID Connect. При этом в OpenPubKey применяются эфемерные ключи, время жизни которых ограничено - ключи генерируются во время входа при помощи OpenID и удаляются в время завершения сеанса с провайдером OpenID.

Примерный алгоритм создания подписи с использованием OpenPubKey:

  • Вход с использованием провайдера OpenID (Google, GitHub, Microsoft и т.п.).
  • Запрос идентификационного токена у провайдера OpenID.
  • Возврат токена, подписанного ключом провайдера и включающего поле "nonce" с произвольными данными, переданными при запросе (в "nonce" передаётся SHA3-хэш от открытого ключа).
  • Использование на стороне пользователя полученного токена как сертификата, включающего данные о ключе.
  • Прикрепление токена к подписи, по аналогии с сертификатом.

Верификация сводится к двум проверкам: подписан ли прикреплённый токен провайдером OpenID; и соответствует ли цифровая подпись к ресурсу заявленному открытому ключу, отмеченному в токене. Данные проверки позволяют удостовериться, что ресурс подписан с использованием упомянутого в токене идентификатора пользователя и это подтверждено подписью провайдера OpenID. Например, создающий подпись может получить подписанный OpenID-провайдером Google токен с информацией, что он верифицирован как bob@gmail.com и использует открытый ключ 0x54A5…FF. Далее при обработке сообщения, подписанного ключом 0x54A5…FF, получатель может использовать подписанный OpenID-провайдером токен для верификации того, что у пользователя bob@gmail.com действительно открытый ключ 0x54A5…FF и сообщение подписал он.

Упрощение архитектуры реализовано за счёт определённых компромиссов, которые в каких-то ситуациях допустимы, а в каких-то нет (например, зависимость от внешних провайдеров OpenID и отсутствие лога изменений с иерархическим хешированием). Для снижения зависимости от провайдеров OpenID, компрометация или действия персонала которых могут дискредитировать систему (например, взломавшие провайдера могут выдать фиктивный ключ третьему лицу) предлагается использовать дополнительное, но не обязательное, звено MFA-Cosigner (Multi-Factor Authentication Cosigner) для многофакторной аутентификации (токен может быть подписан не только основным провайдером, но и ещё одним сервисом аутентификации, подтверждающим пользователя). ‍

Из слабых сторон OpenPubKey также отмечается наличие у посторонних сведений, которые можно использовать для отслеживания активности в течение длительного времени и независимо от переименований (повторное применение идентифицирующего токена вместо нового сертификата). Прямая привязка к ключам OpenID Connect при верификации исключает серверную часть, но значительно усложняет реализацию на стороне клиента и оставляет больше пространства для манёвра при совершении атак (attack surface) на клиента, например, из-за того, что на клиента ложится задача ротации ключей. Кроме того, отсутствие лога изменений не позволяет клиенту отслеживать возможные утечки ключей.

  1. Главная ссылка к новости (https://www.linuxfoundation.or...)
  2. OpenNews: Объявлено о готовности системы криптографической верификации кода Sigstore
  3. OpenNews: В NPM планируют использовать Sigstore для подтверждения подлинности пакетов
  4. OpenNews: Red Hat и Google представили Sigstore, сервис для криптографической верификации кода
  5. OpenNews: Леннарт Поттеринг предложил новую архитектуру верифицированной загрузки Linux
  6. OpenNews: Huawei развивает протокол NEW IP, нацеленный на использование в сетях будущего
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/59888-openpubkey
Ключевые слова: openpubkey, sigstore, openid
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (59) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.3, Витюшка (?), 14:44, 08/10/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +4 +/
    Сложна...и непонятно, а чем это отличается от ключа, который я генерирую в GitHub?

    Вот тебе и привязка к OpenID, подписывай что хочешь. GitHub и так умеет показывать что коммиты верифицированы.

    Так в чём отличие? Только я ещё могут менять эти ключи и pgp, а не привязывать один сертификат навечно к аккаунту.

     
     
  • 2.14, Аноним (-), 18:15, 08/10/2023 [^] [^^] [^^^] [ответить]  
  • +3 +/
    > Сложна...и непонятно,

    Да ладно?

    > OpenPubKey написана на языке Go и распространяется под лицензией Apache 2.0.

    По-моему тут все просто и понятно - очередная корпоративная бнопня.

    > (Google, GitHub, Microsoft и т.п.).

    Вот, можно себе хозяве^W благодетелей выбирать.

    > а чем это отличается от ключа, который я генерирую в GitHub?

    "Благодетелей" несколько, можно даже юрьев день не ждать!

     

  • 1.4, Аноним (4), 15:04, 08/10/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +4 +/
    Можно для глупых: чем это отличается от OpenGPG?
     
     
  • 2.5, Атон (?), 15:27, 08/10/2023 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Протокол OpenID не содержит механизмов предотвращения фишинговых атак

    Пользователь может поменять OpenID-провайдера, освободив таким образом свой идентификатор у предыдущего провайдера. Новый пользователь может занять этот идентификатор и использовать его на тех же сайтах, что и предыдущий пользователь.

     
  • 2.9, Аноним (9), 16:01, 08/10/2023 [^] [^^] [^^^] [ответить]  
  • –3 +/
    Тем, что можно использовать вход по OpenID как доказательство того, что подпись поставил ты, а не кто-то левый. Это намного проще, чем получать заверенный сертификат через удостоверяющий центр. Размещать открытые ключи на своём сайте или в БД открытых ключей так себе вариант.

     
     
  • 3.28, Аноним (28), 13:26, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Так в ответе нет сравнения с gpg
    Открытый ключ gpg так же буклекуется в сети
    и доступен для верификации собственника ключа
    и подписей
     
  • 2.17, OpenEcho (?), 01:22, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    >Можно для глупых: чем это отличается от OpenGPG?

    Этим:

    > Иными словами, OpenPubkey позволяет привязать криптографические ключи к конкретным пользователям, используя провайдеры OpenID Connect (IdP) вместо удостоверяющих центров.

    Может это OpenPGP, в котором каждый может обьявить себя кем хочешь и добавить себя на публичных серверах?

    Нет там механизма идентификации в OpenPGP. (Здесь сейчас найдутся фанатики которые будут говорить о web-o-trust) состоящий из нескольких гиков на планете, которым все без оговорочно должны верить, но в реальности, практически все, даже очеь крупные проекты не имеют kросс подписей хотя бы от тех X, Y, Z с веботраста)

     
     
  • 3.29, Аноним (28), 13:29, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > в котором каждый может обьявить себя кем хочешь

    И что?
    Вот я сделал архив, сборку и тп, и подписал своим ключом gpg
    Открытый ключ опубликован в сети. Проверяй не хочу..
    Так в чем разница то?

     
     
  • 4.63, OpenEcho (?), 12:03, 10/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    >> в котором каждый может обьявить себя кем хочешь
    > И что?
    > Вот я сделал архив, сборку и тп, и подписал своим ключом gpg
    > Открытый ключ опубликован в сети. Проверяй не хочу..
    > Так в чем разница то?

    :)

    А где гарантии того что это твой ключ?

    Что криминалу мешает создать такой же ключ с таким же емайлом как у тебя (который даже не проверяется) и опубликовав его как "свежую/новую" версию, потом внедрив бэкдор в твой архив и подписать?

    Может ты еще фингерпринт ключа на своем сайте для проверки оставляешь?
    Ну так говорят, не ломаемых сайтов - нет

     
  • 3.30, Аноним (28), 13:30, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > которым все без оговорочно должны верить

    Ха.. А почему я должен верить какому то ID,
    который так же выдается кому попало?

     
     
  • 4.41, arisu (ok), 19:03, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Ха.. А почему я должен верить какому то ID,
    > который так же выдается кому попало?

    ну это ж не какие-то там красноглазики, это Серьёзные Организации придумали! красноглазики — они разве ж могут чего сделать нормального, а?

     
     
  • 5.51, Аноним (28), 00:35, 10/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    что в этом колхозе серьезного?
    нужно лично явиться для верификации с паспортом?
    а паспорт проверят на подлинность?
    а, как тут лепят ыксперды, что можно везде ключи подменить,
    так как эти авторитеты обеспечат защиту от подмены? )))
     
     
  • 6.66, OpenEcho (?), 12:15, 10/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > а паспорт проверят на подлинность?

    Ну когда выдают паспорт легально, в ментовке там, или секретариатах, то обычно да, проверяют

    > нужно лично явиться для верификации с паспортом?

    Если мобила берется по контракту, то да :)

    > что в этом колхозе серьезного?

    В том что почти везде навязана проверка по 2ФА - через телефон->паспорт->ID


     
  • 4.65, OpenEcho (?), 12:08, 10/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Ха.. А почему я должен верить какому то ID, который так же выдается кому попало?

    Вот именно!

    Разница только в том что АйД выдаются на "уважаемых", хорошо всем известных платформах, где как известно очень хотят проверить who you are, спросив для исключительно твоей безопасности номерок телефона(который как известно выдается по документам (для простых смертных)) и включив 2FA

     

  • 1.6, Аноним (6), 15:28, 08/10/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +6 +/
    > криптографический протокол для заверения цифровой подписью произвольных объектов

    произвольных объектов?

    самолёты/поезда? цветущие сады в игровом мире Minecraft? абстрактные объекты познания в математике? объекты моральных ценностей?

    точно ли произвольные? 🤔🤔🤔

     
     
  • 2.25, OpenEcho (?), 11:00, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > самолёты/поезда?

    У первых есть - колсайн, у вторых тоже к номеркам привязанно

    > цветущие сады в игровом мире Minecraft?

    Вы не слышали про NFT?

    > абстрактные объекты познания в математике?

    Лицензии на открытия и изобретения - уникальны


    > объекты моральных ценностей?

    Они у каждого - свои, и в качестве подписи изпользуются инструменты начиная от кулаков и заканчивая ядерными дубинами

    > точно ли произвольные? 🤔🤔🤔

    Все о чем можно подумать, - можно изложить на "бумаге" и залицензировать, а уж то, что можно потрогать - тем более, уже практически все идентифицированно


     

  • 1.7, YetAnotherOnanym (ok), 15:34, 08/10/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    > привязка созданных подписей к существующим провайдерам OpenID Connect

    Не просто невесть кто, а невесть кто, которого записал у себя другой невесть кто, ни разу оного в глаза не видевший.

     
     
  • 2.8, Аноним (8), 15:43, 08/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    И в чем отличие от OpenGPG?
    Какие-то васяны понаподписывали друг другу на key signing parties и поэтому мы должны им доверять?
     
     
  • 3.10, Атон (?), 16:41, 08/10/2023 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > И в чем отличие от OpenGPG?
    > Какие-то васяны понаподписывали друг другу на key signing parties и поэтому мы должны им доверять?

    в этом плане отличий нет.

    но добавляется легкий простой способ проверки подписей рамдомных васянов.  а это уже большой шаг, по сравнению с OpenGPG.

     
     
  • 4.31, Аноним (28), 13:33, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Чем непрост способ проверки подписи gpg?
     
     
  • 5.36, Атон (?), 15:38, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Чем непрост способ проверки подписи gpg?

    предварительным обменом ключами.

    55525

     
     
  • 6.37, Аноним (28), 15:49, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    С кем??? ))))
    Вы точно понимаете что такое верификация??
     
     
  • 7.38, Атон (?), 17:03, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > С кем??? ))))
    > Вы точно понимаете что такое верификация??

    ну расскажи.

     
     
  • 8.39, Аноним (28), 19:00, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Рассказываю 1 Скачиваешь подписанный пакет 2 Скачиваешь открытый ключ 3 Пров... текст свёрнут, показать
     
     
  • 9.43, Атон (?), 19:51, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    чей откуда как ты можешь доверять этому ключу ... текст свёрнут, показать
     
     
  • 10.47, Аноним (28), 00:25, 10/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Хочу доверяю, а хочу нет Собственно, все построенно по этому принципу Как и в са... текст свёрнут, показать
     
  • 8.42, Аноним (28), 19:08, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Вот тебе докучи ман https hackware ru p 8215 просветляйся ... текст свёрнут, показать
     
     
  • 9.44, Атон (?), 19:56, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    сам просветись забыли рассказать _КАК_ это сделать легким простым безопасным сп... текст свёрнут, показать
     
     
  • 10.48, Аноним (28), 00:27, 10/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Не забыли Просто ты не обучаем Инфы полно ЧТО_ДА_КАК но ты ж из Северной Кореи... текст свёрнут, показать
     
     
  • 11.52, Аноним (9), 07:23, 10/10/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Демагогия без конкретики Покажи конкретно _безопасный_, простой и подходящий дл... текст свёрнут, показать
     
  • 11.56, Атон (?), 11:33, 10/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    судя по тому что, ты трижды не понял вопроса и начал хамить - проблемы с обучаем... текст свёрнут, показать
     
  • 2.18, OpenEcho (?), 01:31, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Не просто невесть кто, а невесть кто, которого записал у себя другой невесть кто, ни разу оного в глаза не видевший.

    Ну, не совсем невесть кто...

    OpenID есть на всех популярных цифровых загонах, где уже без добавления телефона не обойтись, который в свою очередь выдадут под паспортные данные, т.е. однозначно идентифицировав индивидумов.

    Цепочка замкнулась... для простых смертных, а те кто знают как получить мобилу не засветившись, или поднять свой ОпенАйД все равно будут мразить, пока поголовно везде нельзя будет достать мобилу без документов, но круг для поиска будет уже значительно меньше

     
     
  • 3.22, фнон (?), 09:31, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    В некотороых случаях "однозначно идентифицировав индивидумов" это хорошо, а не плохо.
    Например у меня специальная почта для работы с банками.
    Она подписана реальным фио и привязана к реальному телефону.
    Не вижу проблемы делать OpenID для соответствующей связки.

    p.s. а для всего остального есть другая почта)

     
     
  • 4.24, OpenEcho (?), 10:46, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > В некотороых случаях "однозначно идентифицировав индивидумов" это хорошо, а не плохо.

    Абсолютно согласен

    > Она подписана реальным фио и привязана к реальному телефону.

    Найти в андерграунде реальное фио, ну как два пальца. Тоже самое с телефоном, их просто масса зараженных, или можно просто за наличку купить временный и на кассе никто даже не спросит про документы (правда камеры засекут, ну так ведь криминалы могут и бабушку послать).

    Поэтому, что PGP, что это изделие, - это полумеры. Второе чуть лучше первого, но все равно - "защита" от честных людей.

     
     
  • 5.27, Аноним (8), 12:41, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Типа нельзя прийти на сходку ПГПшников с поддельным удостоверением личности?
    Сомневаюсь что они там тщательно проверяют, ну там на зуб пробуют или ульрафиолетом светят

    И получить подпись чувака, который знает чувака, который рядом с Линусом в туалете в соседней кабинке сидел!

     
     
  • 6.33, Аноним (28), 13:38, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    доверенный круг, он потому и доверенный
    что все члены его доверяют друг другу.
    А ты сам себе веришь? Всегда поступаешь по совести?
     
     
  • 7.61, OpenEcho (?), 11:54, 10/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > доверенный круг, он потому и доверенный что все члены его доверяют друг другу.

    Один мой знакомый говорил:

    - Слушай, не доверяй никому, даже себе не доверяй!
    - Ну тут ты вообще погнал...
    - Не веришь? Вот Я вчера хотел пернуть и обосрался... даже собсвенной жопе доверять нельзя


     
  • 6.60, OpenEcho (?), 11:51, 10/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > И получить подпись чувака, который знает чувака, который рядом с Линусом в
    > туалете в соседней кабинке сидел!

    Вот именно !

    вебо-траст по большому счету существует только в теории


     
  • 3.32, Аноним (28), 13:36, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > выдадут под паспортные данные,

    Который приехал нелегально работать на стройке в МСК )
    На него еще 100500 симок офрмлено, поэтому он очень доверенное
    лицо в кругу, который он создал корысти ради )))

     

  • 1.15, Аноним (15), 20:06, 08/10/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    очередной переусложненный корпоративный шит
     
  • 1.16, arisu (ok), 23:34, 08/10/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    отличная идея! теперь пользователи не станут протестовать против того, что всё постоянно звонит домой: ведь это Для Их Же Безопасности!

    вообще, есть простое правило, которое позволяет определить, хотят ли обмануть: если кто-то в современном мире делает что-то для «большей безопасности пользователей» — значит, как-то обманывает. или планирует обмануть. если вдобавок это какие-то корпорации или foundations — то исключений из правила нет.

     
     
  • 2.19, Аноним (9), 08:27, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ну не знаю. Мне привязка к OpenID показалось тем гениально простым решением, которое на поверхности но не очевидно, и потом возникает ощущение, как же раньше до этого никто не додумался. В большинстве не критичных ситуаций более чем достаточно подтверждения, что подпись поставил тот, кто владеет таким-то email и проектом на GitHub.
     
     
  • 3.23, OpenEcho (?), 10:37, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > кто владеет таким-то email

    Например полученным на майлинаторе

    > и проектом на GitHub.

    Где все еще можно создать левый эккаунт

     
     
  • 4.54, Аноним (9), 07:37, 10/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Ну и будет привязан ключ к левому email и левому аккаунту на GitHub, и будет подтверждение, что подписал именно владелец этих левых аккаунтов. С тем же успехом владелец нормального аккаунта может привязать ключ к себе и подтвердить, что подписал он.
     
     
  • 5.67, OpenEcho (?), 12:18, 10/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Ну и будет привязан ключ к левому email и левому аккаунту на
    > GitHub, и будет подтверждение, что подписал именно владелец этих левых аккаунтов.
    > С тем же успехом владелец нормального аккаунта может привязать ключ к
    > себе и подтвердить, что подписал он.

    И кто из вас двоих - подлинный ? Кому верить? Обоим?

     
  • 3.34, Аноним (28), 13:42, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > как же раньше до этого никто не додумался

    Не додумался до чего?
    Что зтак восторгает?

     
  • 3.40, arisu (ok), 19:01, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > более чем достаточно подтверждения, что подпись поставил тот, кто владеет
    > таким-то email и проектом на GitHub.

    1. подписываем коммиты пгп-ключом.
    2. подписываем остальное тем же ключом.
    3. ой, получилось плохо: всё работает, а зонд втыкать некуда.

     
     
  • 4.45, Аноним (9), 23:06, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    А при проверке как будете доказывать, что загруженный открытый ключ принадлежит создателю, а не подменён? Проблема не в том как подписать, а в том, чтобы посторонний мог получить подтверждение, что открытому ключу можно доверять.
     
     
  • 5.49, Аноним (28), 00:30, 10/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Создатель информирует на своем ресурсе,
    что его ключ такой то
    ИЛИ размещает на своем ресурсе открытый ключ
    ЛИБО и то и это
    Напомню, если в курсе, что ключи могут подписываться
    доверенными лицами,
    типа поручительства достоверности. называются цепочки ключей
     
  • 5.57, arisu (ok), 11:42, 10/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > А при проверке как будете доказывать, что загруженный открытый ключ принадлежит создателю,
    > а не подменён?

    а как ты собираешься OpenID проверять?

    намекаю: если это репозиторий некоего N, и там все коммиты подписаны одним и тем же ключом — то это, внезапно, ключ вот этого N. больше ничего проверять не надо. удивительным образом всё работает без дурацких танцев с OpenID, и совсем без стукалки кому-то домой, когда проверить захочется.

     

  • 1.26, InuYasha (??), 11:56, 09/10/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Смузихлёберы взялись за крипто и идентификацию. Пора надевать каску. Только сперва её купть.

    > и Docker
    > Эталонная реализация OpenPubKey написана на языке Go
    > (Google, GitHub, Microsoft и т.п.).

    Можно, конечно, поднять свой OpenID, но только гарантий, что его не отфутболят, нет.

     
     
  • 2.35, Аноним (28), 13:44, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • –1 +/
    этим взялись заниматься еще со времен gpg
    когда стали публиковать открытые ключи на серверах ))
    в чем прорыв данной реализации?
     
     
  • 3.46, Аноним (9), 23:08, 09/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Открытый ключ на серверах может быть подменён, и не факт, что это именно тот открытый ключ, что разместил автор.  OpenPubKey решает задачу привязки открытого ключа к автору.
     
     
  • 4.50, Аноним (28), 00:32, 10/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    есть круг доверия - это раз.
    есть цепочки подписей. - два
    три - это как там подменяется?
    т.е. все кругом подменяется? )))
    так линуксы на подписях сидят ))))
     
     
  • 5.53, Аноним (9), 07:30, 10/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Цепочка подписей и круг доверия - это для крупных сообществ, где люди контактируют друг с другом. Для обычных смертных подобное трансформируется в привязку к удостоверяющим центрам. И там и там всё упирается в необходимость подтвердить, что ты - это ты, и твой ключ - твой. Как распространять подтверждённый ключ не важно, главное -  начальное подтверждение. И в этом проблема. Привязка подтверждения к сервисам типа Gmail и GitHub существенно упрощает этот этап.
     
     
  • 6.58, arisu (ok), 11:46, 10/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Привязка подтверждения к сервисам типа Gmail и
    > GitHub существенно упрощает этот этап.

    да, ты прав: она существенно упрощает этап подмены ключа. потому что ты ним больше не владеешь, ним владеет гугель. ой.

    впрочем, летние дети в принципе не понимают принципов владения, ничего удивительного.

     
     
  • 7.62, Аноним (9), 12:00, 10/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Есть ли разница в том, "владеет" твоим ключом Google, удостоверяющий центр или условный Линус Торвальдс? В всех случаях ты делегируешь доверие третьему лицу. В OpenPubKey решается это просто, заверяешь ключ одновременно и в Google и в Microsoft. Только не нужно приплетать теории заговора, что Google и Microsoft пожертвуют своей репутацией, сговорятся и  подменят ключ Василия Пупкина.
     
     
  • 8.64, arisu (ok), 12:07, 10/10/2023 [^] [^^] [^^^] [ответить]  
  • +/
    то есть, ты в принципе не понимаешь, что такое владение и как это работает q e ... текст свёрнут, показать
     

  • 1.55, mos87 (ok), 10:34, 10/10/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >поле "nonce"

    Неожиданно.

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру