OT: Princip fungovania autorit

[Michal Kubecek]

On Sat, Oct 19, 2002 at 03:23:50PM +0200, Peter Hanusiak wrote:
> On Sat, Oct 19, 2002 at 02:59:48PM +0200, Michal Kubecek wrote:
> > Ano. P?esn? tak se to p?edpokládá. Na druhou stranu, v ka?dém (prakticky)
> > prohlí?e?i máte u? z distribuce hromadu nainstalovaných autorit
> > r?zné úrovn? pochybnosti a je na vás, jestli je tam v?echny necháte
> > (v?t?ina to tak d?lá), v?echny sma?ete (leckdo to tak d?lá) nebo
> > si vyberete d?v?ryhodnou ?ást.
> Ano presne na toto som prisiel aj ja svojim laickym rozumom, ze je to 
> jedina cesta ako zabezpecit, ze to utocnik nerozbije. Teda mat priamo od

Rozum bych nepodceňoval, právě ten vám může pomoci rozlišit správné
informace od bludů, kterých se o této oblasti v médiích šíří plno.

> vyrobcu browseru donane kluce autorit (samozrejme moznosti o nejakom
> bezpecnom presune klucov, disketov, telefonom atd. vynechame).

Ale i tato varianta má často smysl. Například pokud pro někoho děláte
HTTPS rozhraní pro přístup k datům, je vhodné pustit tam jen ty, kteří
mají klíč vydaný přímo vámi a nespoléhat na nějaké autority.

> Viete mi dat linku kde je tento fakt explicitne povedany? Pretoze vsade
> aj na krypte.cz to akosi autory preskocia, akoby to bola ta najmenej
> zaujimava vec. Pricom ja si myslim, ze to je prave najkritickejsia cast
> celej komunikacie.

Asi předpokládají, že je to každému jasné. Bohužel není, jednoho bývalého
kolegu jsem se snažil dva roky přesvědčit, že pokud se vzdáleně přihlašuje
pomocí SSH z různých lokalit, měl by s sebou nosit fingerprinty veřejných
klíčů serveru, aby si je mohl ověřit. Marně.

> Ako je to ale potom s platnostou takych klucov? Je predsa jasne, ze ked
> niekto pouziva browser stary aspon rok ma uz dost nebezpecne kluce,
> pretoze bezohladu na to, ze tam je 2048 bitov v RSA (DSA, cokolvek
> asymetricke) to za ten rok, nejaky dobrak na nejakom superpocitaci
> rozbije a patricne zneuzije? Vydavaju sa nove kluce a tieto sa potom
> aktualizuju v browsery?

Klíč (resp. certifikát) si můžete aktualizovat kdykoli sám, informace
o době platnosti je jeho součástí. Certifikáty autorit jsou obvykle
vydávány na pět let (ale teď jsem zrovna v Mozille objevil jeden
s platností 25 let(!)). Dá se předpokládat, že browser si budete
upgradovat častěji.

Toho, že ten klíč za dobu platnosti někdo rozlouskne, bych se (zvlášť
u 2048-bitových klíčů) nebál zdaleka tolik, jako že mezi tou hromadou
autorit, které mi vybral distributor prohlížeče, bude nějaká nedůvěryhodná,
která vystaví serverový certifikát někomu, kdo na to nemá nárok.

Nesmíte také zapomínat na to, že má-li celý systém stoprocentně fungovat,
měl byste si také periodicky stahovat CRL a aplikovat je, což IMHO
nedělá skoro nikdo.

> Sorry, ze sa pytam mozna banality, ale ako som spomenul, tieto veci sa
> skoro nikde nepublikuju (ja som nic nenasiel) a potom ked sa bavim s
> manazmentom neviem sa opriet o ziaden zdroj. A ciste matematicke
> zdovodnenie mojich faktov to tym ludom nejak nestaci (slusne povedane
> nerozumeju tomu).

To nemusí být vždy na závadu. Manažer totiž často není ochoten připustit,
že něčemu nerozumí, protože se domnívá, že by tím utrpěla jeho autorita.
Potom stačí mluvit dostatečně odborně a sebejistě a on moudře přikyvuje
a říká "to je jasný". :-) Ale samozřejmě záleží, na koho narazíte, mohlo
by se stát, že tomu bude manažer rozumět lépe než vy.

                                                           Michal Kubeček