пёппппппяп SATtva!
пё пппя пппппппп п©япппппп — я пппяп п©пяппя пп япяяп. п п©япяпппп пяяяпппппп
пп©япя п©яппяппяппяпппЁп япяяпппппя пппп ппяяяппппппппя п©пяппя. пппп п япп, яяп
ппяя, ппяпяяп ппяпппяяя я пппя п п©япяпппп, п©япяяпяпп, п п©яппппппяп ппяя пп
япяппяп я п©п пЁпяп©пяяп пп ппппп пппяппя. пппяпя я ппппп ппЁп пп япяппяп
keyserver.noreply.org, subkeys.pgp.net япяпп япяппя яппяп.
пп пппЁпп пя пя пяяяпяя яппяяпппппяпппяя ппяя п пппп п©япяпппп я япяппяппп?
ппппп, ппп ппппяяя, ппппяпп пяпп пя пяяяпяяппяяя яппяя яппяяпппппяпя:
1) п©п ппп©япяя п©ппяппппяппя — яппппяя, ппп©япппя, пппп©ппп п п©япяпппп
2) ппппяп яппп©пяпп п©пп©яяппп п©пяппяя япяяпппппяп ппп ппяяяппппппппя п©пяппя. ппп ппппп
пппппп п©япппяпяя, пп пяппппп пп ппяя.
Vadim_Z
пё пппя пппппппп п©япппппп — я пппяп п©пяппя пп япяяп. п п©япяпппп пяяяпппппп
пп©япя п©яппяппяппяпппЁп япяяпппппя пппп ппяяяппппппппя п©пяппя. пппп п япп, яяп
ппяя, ппяпяяп ппяпппяяя я пппя п п©япяпппп, п©япяяпяпп, п п©яппппппяп ппяя пп
япяппяп я п©п пЁпяп©пяяп пп ппппп пппяппя. пппяпя я ппппп ппЁп пп япяппяп
keyserver.noreply.org, subkeys.pgp.net япяпп япяппя яппяп.
пп пппЁпп пя пя пяяяпяя яппяяпппппяпппяя ппяя п пппп п©япяпппп я япяппяппп?
ппппп, ппп ппппяяя, ппппяпп пяпп пя пяяяпяяппяяя яппяя яппяяпппппяпя:
1) п©п ппп©япяя п©ппяппппяппя — яппппяя, ппп©япппя, пппп©ппп п п©япяпппп
2) ппппяп яппп©пяпп п©пп©яяппп п©пяппяя япяяпппппяп ппп ппяяяппппппппя п©пяппя. ппп ппппп
пппппп п©япппяпяя, пп пяппппп пп ппяя.
Vadim_Z
Уважаемый SATtva!
У меня возникла проблема – я забыл пароль на форум. В профайле выставлена опция принудительного шифрования кода восстановления пароля. Беда в том, что ключ, который находится у меня в профайле, просрочен, а продленный ключ на сервера я по глупости не залил вовремя. Сейчас я залил его на сервера keyserver.noreply.org, subkeys.pgp.net через сервис сайта.
Не могли бы Вы вручную синхронизировать ключ в моем профайле с серверами?
Также, мне кажется, нелишне было бы осуществлять такую синхронизацию:
Vadim_Z
P.S. Извините за неправильную кодировку в первом сообщении.
Синхронизацию произвёл.
C учётом этого[link1] не понятно, почему индикация подписи в вышеприведённом комментарии не указывает на то, что ключ числится отозванным (разве не было такого функционала на сайте?).
s/отозванным/просроченным/
Спасибо!
Гость (28/05/2010 22:19), проверка ключа на актуальность не проводится и не проводилась (тем более, что Вы рассчитываете увидеть, если ключ был продлён?).
Понятно. Я перепутал эту ситуацию с отзывом ключа – в этом случае индикация в шапке будет. В принципе можно было бы писать, что ЭЦП верная, но ключ просрочен. Впрочем, наверное, это не так важно.
Не буду создавать отдельный топ на тему ключей в профилях, спрошу здесь: почему[link2] пользователь ressa[link3] не такой, как все? Почему сайт не видит его ключ? Он не загрузил его в профиль через интерфейс сайта? Ссылка «Получить открытый ключ [с сервера ключей]» работает, т.е. сервер ключей pgpru.com видит его ключ на серверах. Ассоциация, значит, есть. Почему тогда в профиле отпечатка и сертификата ключа нет? Как такое могло получиться?
P.S. На этой[link4] странице его KeyID тоже пустой.
Интересно, ключ ничем особым не выделяется.
Наверное, вот почему: там можно указать KeyID в настройках, после чего нажать на кнопку импортирования ключа с сервера ключей. Если импортирование не было успешным, или его никто не пытался делать, то KeyID в настройках, полагаю, так и останется, а цветового отпечатка ключа не возникнет (профиль будет считаться бесключевым, поскольку пользователь не подтвердил владение этим ключом). Или, если пользователь загрузил в профиль свой публичный ключ непосредственно, минуя сервер ключей, но после этого не подтвердил владение ключом подписью, может возникнуть та же ситуация: в информативном поле KeyID указан (сайт распознал, что пользователь настаивает на владении таким-то ключом), а по факту этот ключ с учётной записью не проассоциирован (и это правильно).
Если пользователь загрузил в профиль ключ, у которого отсутствует E-capability, но при этом выбрал в настройках опции шифровать личные сообщения и письма с восстановлением пароля, то что произойдёт? Эти сообщения/письма не будут отправляться из-за ошибки или они будут уходить открытым текстом?
Capabilities ключа проверяются при импорте. Если шифровальный подключ отсутствует, то при активации опции будет выдано предупреждение, что ключ непригоден для шифрования, и пользователь рискует потерять доступ к сайту. Fail open в любой криптосистеме — это жуткая дыра.
А если у ключа только C-capability (чисто сертификационный ключ), то можно ли им принудительно что-то подписать? Если нет, то его в профиль сайта, получается, даже не загрузить, т.к. нет механизмов подтверждения владения ключом.
Зачем загружать на сайт сертифицирующий ключ без подключей подписи?
Чисто технического интереса ради (а что будет, если... ?).
Такие сценарии не тестировались, но, так или иначе, я не вижу проблемы с точки зрения сайта. В любом случае требуется подтверждающая подпись от пользователя; если он не может её предоставить — его проблемы, если может — сайт её сверит.
Ну, я имел в виду, что при правильном дизайне должны быть чёткие ответы на вопросы "что, если?", потому что иначе систему можно вывести в запроектный режим и атаковать её безопасность или работоспособность, обойти защиту от дурака,
нечайнозапороть себе/другим профиль и т.д. Впрочем, в данном случае, пожалуй, всё тривиально (сайт просто не даст импортировать такой ключ, и всё на том).Хотя... можно рассмотреть более тонкий сценарий: загружаем ключ, где главный только сертифицирующий, а для подписи и шифрования используются подключи. Потом подключи отзываем. Через 2 недели сайт синхронизируется с публичными серверами ключей, после чего де факто подключи помечаются как неработоспособные. Единственный вариант решения проблемы "в профиле только сертифицирующий ключ" без вмешательства администратора — создать новые подключи и снова ждать 2 недели, когда сайт снова ссинхонизируется с серверами. До этого момента все операции с ключом в профиле оказываются замороженными. Так?
Да и, опять же, не вижу с этим никаких проблем. Просто не понимаю, что Вы предлагаете взамен. Сайт перед синхронизацией должен проверять работоспособность нового ключа и прерывать её, если пользователь выстрелил себе в ногу? Это не дело сайта; возможно, пользователь именно этого и хотел. Худшее из возможного — система, пытающаяся быть умнее пользователя.
В данных вопросах я пока ничего не предлагаю и не критикую, это просто размышления
вписьвслух. Я не знаю, как должно быть, какие есть подводные камни у уже реализованного функционала и т.д. Аналогичные сайты (с поддержкой PGP) мне неизвестны, про стандарты на эту тему я тоже не слышал, поэтому остаётся только анализировать PGP-функционал на коленке.