Follow

Рубрика
Выпуск 2.
@abslimit: "Твое отношение к существующей системе PKI в Интернете и как рассматриваешь альтернативы ей?"

В первую очередь, говоря о PKI речь ведут о TLS и HTTPS, в этом контексте и будем рассуждать. В том виде, в котором это реализовано сейчас - это откровенный костыль. Мы сначала налепим DNS на TCP/IP, а только потом поймём, что это нихрена не защищено от подмены и перехвата, повесим сбоку кое-как криптографию и прокатаемся на этом велосипеде вот уже 30 лет. Даже на вики определение CA звучит как "сторона, чья честность неоспорима...". Ну это же бред. Даже если предположить, что в центрах сертификации работают святые, не подверженные никакому давлению со стороны бандитов из правительства и бандитов обыкновенных (а это совершенно точно не так), остаётся ещё человеческий фактор. CA могут хакнуть, могут обмануть при осуществлении проверки. Такое уже было, причём не раз. В общем, вопрос доверия, а в наше время все почему-то постоянно просят доверять третьей стороне без каких-либо гарантий.

Вопрос действительно очень сложный. Не притрагиваться к PKI в текущих условиях означает остаться без шифрования собственных ресурсов. Митмят сейчас все, кому не лень, начиная от государств и заканчивая хакерами. Естественно, что в ответ на митмы активно навязывается повсеместное шифрование, и это правильно. Селф-сигнед сертификаты не дают достаточного уровня безопасности, ибо сложно проверить, действительно ли сертификат сгенерирован легитимной стороной или всё тем же васяном посередине. Текущая система PKI это зло, но зло в имеющихся условиях неизбежное, и заметно меньшее чем доступные альтернативные варианты.

Централизация это всегда плохо. Говоря о PKI, нельзя сказать, что там всё жёстко централизовано, всё-таки CA не один, но тем не менее, выбор совсем небольшой. По факту, стоит выбор между бесплатным Let's Encrypt и платными CA, которые не предполагают сохранения анонимности пользователя. По крайней мере, я таких не видел. Большая часть CA расположена в США, что накладывает еще ограничения на выбор.

Отдельно ещё раз проедусь по летсэнкрипту. Доступность шифрования - это, безусловно, хорошо, но в то же время летсэнкрипт открыл возможность получать заветный зелёный замочек для всяких там accountmanagement.google.totally-not-a-phishing.com. Но это опять же, зло меньшее, чем безальтернативное: "покажи аусвайс, заплати с кредитки или останься с голой жопой перед майорами, лейтенантами и даже сраными сержантами, не говоря уже о хакерах из 9Б класса". А попадающиеся на фишинг - сами себе злобные буратины.

О реальных альтернативах PKI можно будет поговорить, когда система традиционных доменных имён с ICANN во главе промарширует нахуй. Сейчас ближе всего к приемлемому варианту находятся хидден-сервисы тора. Изначально криптографически подтверждена идентичность сервера, а шифрование обеспечивается by design протокола. Альтернативы будут, когда сеть будет более децентрализованной. А пока что мы движемся в прямо противоположном направлении.

Sign in to participate in the conversation
Qoto Mastodon

QOTO: Question Others to Teach Ourselves. A STEM-oriented instance.

No hate, No censorship. Be kind, be respectful

We federate with all servers: we don't block any servers.