Про PKI

[arkanoid]

Не знаю, для кого я это пишу. Мне кажется, что те, кто знает основы функционирования инфраструктуры публичных ключей и так в курсе, а остальным это неинтересно и непонятно. Однако, vitus-wagner меня спровоцировал на этот пост своим утверждением, что концепции PKI не укладываются у людей в голове и сурово осуждал использование самоподписанных сертификатов, как

Comments

[pustota1]

А откуда дровишки про Etisalat?

[arkanoid]

Да ты чо, известный скандал, гуглится по Etisalat spyware :-) Лично я у Шнаера увидел.

[pustota1]

Один и тот же скандал может быть известен разным людям под разным углом :-).
Я ведь не даром на BBC ссылки давал.

[arkanoid]

Когда я это писал, я в основном читал обсуждения в mozilla.dev.security.policy . А есть какие-то еще важные нюансы, которые я мог упустить?

[legolegs]

Когда в университете нам рассказывали про идею этих сертификатов (а я уже до того был знаком с PGP) я никак не мог понять: то ли я то-то не понимаю, то-ли система дурацкая. Теперь вроде забрезжил свет понимания, спасибо.

[_slw]

Кстати, говорят, в некоторых смартфонах от доверия конкретных приложений или даже доступа к wifi публичным рутам так просто и не откажешься.
не пропарсил.

[arkanoid]

Если сертификат WiFi сети подписан от публичного CA, очень сложно объяснить, что не надо такую сеть считать доверенной и искать в ней свой radius чтобы выложить там свои пароли.

[_slw]

у wifi сети бывает сертификат?!

[arkanoid]

Ну да, еще скажи, что никогда не видел!

[mcmurphy]

Очень познавательно. В очередной раз убедился - если непонятно, зачем это наворочено, значит внутри скрыта какая-то хрень.

[msh]

Ну так уже всем стало очевидно, что построенная для веба инфраструктура сертификатов - это fail. Поэтому на нее плюнули и ввели поверх нее новую - EV ;-)

[arkanoid]

Которая тоже fail и отличается только размером песочницы, потому что первая стала слишком большой.

[msh]

Она чуть менее fail - например, там есть разделение зон доверия - CA дает сертификаты только внутри определенных юрисдикций

[arkanoid]

Ну все в основном упирается в типичные костыли: правила построже, субординированные CA и wildcards отменены. На системное решение не тянет, скорее похоже на попытку "сделать, как было 15 лет назад".