Сквозная безопасность
Безопасность интернета стоит на двух столпах: на защищённости клиент-серверных соединений (читай TLS) и сквозном шифровании личных сообщений (PGP и современных мессенджеров). Эти два подхода часто кажутся независимыми друг от друга в целом, а дополняющими лишь в узком спектре специализированных приложений. И это проблема. Ведь даже если мы исключаем устаревшие шифровальные алгоритмы (ciphersuites — прим.), требуем сертификат от Certificate Transparency (открытый стандарт Google — прим.), сокращаем количество доверенных корневых центров сертификации, и даже используем пост-квантовую криптографию — произвольные соединения не становятся сильно защищённее. TLS может гарантировать приватное сообщение только с компьютером с магическим числом (идентификатором) в памяти. Учитывая, что этот компьютер сообщается с любым другим случайным компьютером во всей сети и, вероятно, содержит более 100 строк кода, основанных на безумных устаревших представлениях, этот идентификатор уже может быть слит и другим компьютерам, с которыми вы можете сообщаться прямо сейчас.
Весьма кстати была бы сквозная безопасность всего Интернета. Не только для личных сообщений, а для любого сайта. Так же, как репозиторий Git отслеживает каждую строку текста, принадлежащую конкретному автору, каждый фрагмент информации должен быть частью иерархической структуры, в которой каждый элемент подписан и/или зашифрован ответственным лицом.
Когда я читаю газетную статью, я хочу не расплывчатое обещание безопасного управления сертификатом TLS от сисадмина. Я хочу криптографическую подпись от автора, редактора и издателя, означающую, что данный контент подписан всеми перечисленными сторонами. Таким образом, даже если сервер окажется скомпрометирован, злоумышленнику не удастся подделать работы конкретных авторов.
Когда я захожу на сайт страховой компании, я хочу, чтобы все мои данные были защищены сквозным шифрованием и подписаны моими врачами и другими людьми, прямо вовлеченными в процесс, а не только соединение, защищённое неизвестно когда скомпрометированным TLS сертификатом.
Когда я обращаюсь в банк, не только транзакции, но и любые инструкции для сотрудников банка должны быть подписаны мной лично, а сообщения от сотрудников — должны быть подписаны ими...
Читайте далее на Вitnovosti
https://bitnovosti.com/2017/09/30/end-to-end-security/#биткойн #биткоин #bitcoin #криптовалюта #блокчейн #шифрование #безопасность #OlegAndreev #криптофилософия
