Re: Plus: lug-bg: ELEKTRONEN PODPIS - SHTO E TO

[vlk@xxxxxxxxxxxxxxxxx (Vesselin Kolev)]

Skoro shte izleze edno rykovodstvo na bylgarki ezik za PGP/GNUPG
i se nadiavam togava da ima i poveche iasnota po vyprosa...

Shte otgovoria za posleden pyt v tozi forum za kakvoto i da e i posle
shte si pomislia 5 min. dali e nalozhitelno da byda chlen ne tozi spisyk,
sled kato tuk shte govorim negramotno.

Otgovariam vednaga na Valentin Tzankov, koito ima chesta da mi pishe
lichno. Ne e vazhno kolko godini si programist. Ne se sardi, no se chudia
koia e tazi firma, koiato te e naela da i pishesh prilozhenia za Bank To
Bank transaction. Shte ti kazha kak stoiat neshtata v strana kato
Shveicaria. V neia ima 3 golemi firmi, koito se zanimavat s napravata na
softuer za bakovi celi. Povecheto softuer se pishe za rabota pod
UNIX operacionni sistemi. Programistite tam sa skypoplateni i imat
mnogo razshireni poznania po matematika i fizika. Niakoi ot tiah ne
sa i profesionalni programisti, a tova im e samo kato plod na 
prodylzhilo dylgi godini hobby. Kogato tam se pishe softuer toi se
pravi iz osnovi. T.e. ne se polzvat gotovi reshenia na treti firmi.
Bankite si porychvat softuer i sled kato 1 ot tezi 3 firmi go napravi,
softuera se dava na konsultanti-programisti da go razgledat. Tova
prodylzhava s meseci i se praviat testove, dosta zhestoki pri tova.
Povecheto golemi banki tam imat sobstveni konsultatni-
programisti. Banki s 300 godishna istoria ne viarvat na marki i
termini. Te iskat da vidiat vsichko i da go pipnat i da sa sigurni.
Ne mozhesh tam da otidesh i da kazhesh "Abe daite da vi prodam
tuk edno prilozhenia za elektronno bankirane"... Priema se kato
znak na doverie, firmata, koiato shte izpylni porychkata za
softuera da dyrzhi avoarite si v bankata na klienta... Tezi neshta
trudno mogat da se prochetat i vidiat v web.. vsichko tova go
znam ot kolega, koito raboti tam, no ne koto programist, a kato
analizator.

I zashto, ako smeia skromno da zapitam, ne ti haresva prilozhenia
v RSA "Seed Algorihm"??? Kazhi mi neshto poveche za roliata
na tova poniatie... iskam obektiven otgovor, a ne potok ot termini
i marki... Kazhi mi pone dva po-dobri algoritmi na MIT i s kakvo
sa po-dobri... Vsashnost ti znaesh li kakva e roliata na sluchainite
chisla v tezi algoritmi!? 

"There may be a time in the future when all RSA support has
 been removed from all PGP products"

Tova za Free Versiata ne vazhi! Imashe sporove otnosno zakonnostta
na RSA za izpolzvaneto i! Problema e, che v mnogo strani RSA e
zabranen za polzvane ot zakoni i podzakonovi aktove, zatova i 
GNUPG naprimer ne kodira s RSA, a samo go polzva za elektronen
podpis. Problema s RSA e, che e uzhasiavashto nadezhden i vsichki
gi e strah ot nego.. No PGP FreeWare si poddyrzha RSA i koito iska
mozhe da go polzva svobodno. Ima versia pod LINUX. Ima takuv
hityr trik: Pravish si dvoikata s RSA pod pgp i posle ia exportvash
kym gnupg i togava gnupg mozhe da kodira i dekodira s RSA.

Imashe dazhe izkazvania na edin bivsh shef na CIA, che ako iskat
Shtatite da slozhat ryka na informacionnia potok v sveta triabva da 
nameriat kak da zabraniat RSA!

Tova sys SSL i PGP iskreno me razsmia:)) Iazyk, che si 10 godini
programist! SSL i PGP napraktika se pripokrivat... (ako ne znaesh).
Shemata pri SSL e syshtata, no pochiva na izpolzvaneto na root
certificati i po-malki dylzhini na kliuchovete... i razbira se obsluzhva
komersialni interesi na dostavchicite na doveritelni uslugi, a syshto
taka e vyzmozhno nai-syobrazeno s pretenciite na mnogo strani
za ogranichavane na crptografiata reshenie. Godishno tezi
dostavchici na uslugi pribirat miliardi dolari ot neshta, koito ne struvat
i 20 milona dolara. Ima ciala mafia za celta, koiato e podchinila na
shemata si za zabogativane hardwareni firmi, konsultantski kyshti i t.n.
stiga se i do iznudvane na pravitelstva dazhe... 

Pitash i kyde se ipolzval PGP osven v e-mail i news grupi:))) Smeshni
vaprosi... :)) Ima edna compania NAI (http://www.nai.com). Milionite
kopia na PGP Personal Desctop, PGP Corporate Server i t.n.. govoriat
dostatychno kyde i kakvo... Ima mnogo interesna razrabotka za
IPSec, osnovan na neveroiatna zdravina... PGP VPN. Tova e nai-
zdravia VPN ot gledna tochka na kodirane. Kato programist sigurno shte
ti e interesnio... kakvo ima vytre.. ima i PGP SDK dazhe. Tova reshenie
e ot dosta otdavna i se chudia kak si go propusnal... napravo e stranno
kato se zamisli chovek. No NAI vliazoha v konflikt s mafiata za
udostoveritelni uslugi i se nalozhi da prodadat PGP sekciata si i sega
PGP Desktop se prodava v ramkite na McAfee personalen firewall ili
kakvoto e tam.

Abe vsyshnost kvo sym se zael da pisha tuk i da obiasniavam neshta
na hora, koito sa vinagi pravi za sebe si kato moga da otida sega na
bira primerno...

Ako iskash polzva PGP, ako iskash cheti i uchi... pishi si programi i badi
zhiv i zdrav. Az spiram da se zanimavam s teb i temata PGP... 

On Friday 08 Nov 2002 18:34, Valentin Tzankov wrote:
> Javno,
>
> > Tuk tova se pravi ot mnogo malko firmi/universitety i sled kato se
> > napishe se testva pone 2-3 godini ot
>
> Boom2 ! q vizh po-gore kakvo si napisal ... kyde e greshkata ?
>
> Ne razbirash, da se testva nesto 2-3g oznachava che ne podleji na test.
> Zastoto az ne sym se sblyskval s project po-goljam ot 1g, i s phasa za
> testvane poveche za 4 mesetza,
> zatova sme prinudeni da polzvame open source code, kojto ima dobro review i
> kojto analysti-te odobrjat,  a matematikata s/u kojato njamam nisto protiv
> e vyv tozi code a ne v tova koeto
> na edin programmist mu se nalaga da izpolva. Srestu PGP njamam nisto protiv
> az lichno,
> i bih go izpolzval ako mi se naloji, edinstvenoto koeto ne mi haresva e
> Seed Algorihm za random
> number kojto sa ipolzvali, stranno e zastoto MIT imat dosta po-dobri
> algorithmi. Drugo koeto ne
> mi haresva e "There may be a time in the future when all RSA support has
> been removed from all PGP products" tova e ot agreement na PGP 5 koeto ne e
> problem zastoto moje da se izpolzva
> Diffie-Hellman - DSA combinatzia, no vse pak delo li ima ?.
> Systo taka bih se radval ako njakoj mi objasni kak moje da se izpolzva PGP
> sys njakoja  SSL
> implementatzia primerno OpenSSL(v sluchaite kogato se iziskva authoriti,
> osnovno iziskvane za electronen podpis), spored men tova e nevyzmojno, i
> osven za criptirane na E-Mail
> i Discusioni Groupi za kakvo drugo moje da se izpolzva, i kak moje da se
> indentificira njakoj vyobste,
> kato njama institutzija kojato da se zanimava s teb.
> Primerno kato otidesh v edna banka, "specimen stamp" vlkjuchva nomer na
> lichna karta, EGN, tvoja podpis, tvoja snimka. Kato otidesh da teglish pari
> ti gi proverjavat. S nomera na pasporta i EGN dyrjavata garantira che tova
> si tozi za kojto se predstavjash, e v PGP njama "dyrjava" togava koj ste
> garantira che tova si ti, ti samia?, e togava az sym Philip Zimmerman ili
> George Danchev. Mojeli da se izpolzva PGP za Certificat, mislja che ne.
>
> George Danchev wrote:
> > On 07 11 2002 18:38, Valentin Tzankov wrote:
> > > Ne moga da razbera zasto se otdelja,
> > > tolkova vreme na a matematikata kojato
> > > ste se nalaga tolkova rjadko da se polzva.
> >
> > sheguvash se nali ? to4no zastoto ne obrystash vnimanie na matematikata
> > (v tozi slu4aj) ili koe kak i zasto se pravi, se polu4ava taka 4e
> > izkazvash tvyrdeniq koito sa nevyzmozhni da sa slu4at v ramkite na
> > nashata galaxy. oste ne si ubeden zasto public i secret key sa
> > complemantary pair ..... i koi algoritmi gi izpolzvat, za razlika ot
> > drugi algoritmi s edin edinsven key ...
> >
> > > Edno ot osnovnite pravila na Cryptographiata e:
> > > che ne podleji na testvane.
> >
> > Boom ! are be, ti za cryptography li govorish ili ? ... ne samo 4e se
> > nalaga da se testvat, no se iska i source-a i se audit-ira vsi4ko ot-do,
> > kato pyrvo se zapo4va ot teoriti4niq ili matemati4eskiq model dokolko e
> > nadezhden, drug e vyprosa dokolko e prost ili slozhen ..... ina4e nqma
> > kak da si siguren 4e soft-a ti e siguren ...
> >
> > > Drugo pravilo e che sredno kvalifitziran programmist pavi pone edna
> > > greska na 8.7 reda source code.
> > > E  izvoda ot tozi silogism e: naj-goljamata greshka e da zapretnesh
> > > rakavi da havanesh
> > > da pishesh algoritmi sledvajki matematikata na kojato se osnovavat.
> >
> > az mnogo mrazq da polzvam code ot programisti koito sami neznaqt ili
> > nerazbirat za kakvo i kak pishat. Pyrvo se 4ete, misli se, i posle se
> > pishe -- ina4e se polu4avat bozi ili kvoto dojde ...
> >
> > > Tuk tova se pravi ot mnogo malko firmi/universitety i sled kato se
> > > napishe se testva pone 2-3 godini ot
> >
> > Boom2 ! q vizh po-gore kakvo si napisal ... kyde e greshkata ?
> >
> > > universiteti i corporativni laboratorii predi da se prieme za sigorno.
> > > Primerno ECA (Elliptic Curve Algorithms) tepyrva zapochvat da se
> > > izpolzvat vypreki
> > > che standartite im ( ANSI X9.62, ANSI X9.63 i IEEE P1363) sa nalichni
> > > ot godini.
> >
> > a i nqma nuzhda ot spomenavane ot golemi names i t.n. izpadash v case-a
> > na IO, pri koito i te samite neznaqt kakvo polzvat, kamo li da obqsnqwat
> > na klientite si ...
> >
> > > Osven tova sigornosta e krajno otnositelna i e functizia na vremeto i
> > > na zakona na Moore.
> > > Mnogo po-vajno e spored men da se nablegne na pravilnoto izpolzvane na
> > > SSL(v momenta
> > > povecheto SSL implementatzii se orientirat kym TLS RFC2246, za
> > > syjalenie, kojto e blizyk s SSL3.0)
> > >
> > > Hubavoto na SSL che Netscape koito pritejavat patenta, pozvoljavat
> > > "Royalty-Free" implementatzii,
> > > stiga tezi implementatzii da ne pretendirat za sobstven patent i tova
> > > go pravi svoboden.
> > >
> > > SSL sam po sebesi se systoi ot tri protocola
> > >
> > > Record Protocol
> > > SSL Handshake
> > > Session Key exchnage kojto moje da e vseki edin ot slednite techniki
> > > --Diffie-Hellman
> > > --RSA encryption
> > > --fortezza Key Exchange Algorithm (tova mislja che e algorithm na kojto
> > > se bazirat RSA Tokens, za
> > > koito spomenah predi).
> > >
> > > Ot svoja strana Record Protocol ima slednite tipove syobstenija
> > >  --- change_cipher_spec
> > >  --- alert
> > >  --- handsake
> > >   --- application_data
> > > SSL Handshake se systoi pyk ot slednite tipove syobstenija
> > > --- hello request
> > > --- client_hello
> > > --- server_hello
> > > --- certificate
> > > --- server_key_exchange
> > > --- certificate_request
> > > --- server_hello_done
> > > --- certificate_verify
> > > --- client_key_ecchange
> > > --- finished
> >
> > 10x za SSL spec-a, mozhe i da go imam predvid ;-)
> >
> > > Az sym pisal three application server-a koito izpolzvat SSL i ne mi se
> > > e nalojilo,
> > > nito vednyj da se zanimavam na nisko nivo, i s mathematikata kojato se
> > > diskutira v
> > > tazi grupa, njamam si ideja ot PGP no ot progrmaite na Philip Zimmerman
> > > koito prochetoh vchera si napravih izvoda che i tam ne se nalaga,
> > > choveka si e napisal vsichko.
> >
> > tova 4e nqmash ideq ot PGP si proli4a ot tova 4e ne si razbral za
> > komplementarnostta pri asimetri4nite algoritmi (vizh matemati4eskiq
> > model, kojto beshe razqsnen i togava ste si povqrvash ;-), vypreki PGP ne
> > e edinstvenoto mqsto na realizaciq na takiva, no ti ne si zapoznat i s
> > drugi navqrno ... Za tova IO ne priznava PGP stoto e otvoren ot vsqkyde i
> > kato math i kato code, i nastoqvat generirat novi keys (eventualno e
> > ADK), vmesto samo da podpishat na klientite tezi koito si gi imat ot 100
> > godini, no taka dyrzhavata nqma da mozhe da podslushava komunicaciqta
> > mezhdu person/company A i B (drug e vyprosa dokolko tova e moralno ili
> > amoralno, no tova e tech stranata na vyprosa)... Sestash se 4e tova e
> > zatvorena sistema, nali ?
> >
> > kakvi app servers si pisal ? A i ne mislq 4e paste-vaneto na random java
> > code ste respektirash nqkoj. Ezika e prekaleno napredni4av za da se
> > podigravash po tozi na4in s nego ...
> >
> > P.S. vizh na bgit.net kakvi gluposti e pisal bedniq sluzhitel ot IO i se
> > postaraj da ne izpadash v negovoto polzhenie ;-)
> > --
> > Greets, fr33zb1
> > [catching up with Sid (the boy next door who destroyed toys :-)]
> > [reg your bg translation or grab one from http://www.bgit.net/?id=37892]
> >
> > =========================================================================
> >=== A mail-list of Linux Users Group - Bulgaria (bulgarian linuxers).
> > http://www.linux-bulgaria.org - Hosted by Internet Group Ltd. - Stara
> > Zagora To unsubscribe:
> > http://www.linux-bulgaria.org/public/mail_list.html
> > =========================================================================
> >===
>
> ===========================================================================
>= A mail-list of Linux Users Group - Bulgaria (bulgarian linuxers).
> http://www.linux-bulgaria.org - Hosted by Internet Group Ltd. - Stara
> Zagora To unsubscribe: http://www.linux-bulgaria.org/public/mail_list.html
> ===========================================================================
>=

============================================================================
A mail-list of Linux Users Group - Bulgaria (bulgarian linuxers).
http://www.linux-bulgaria.org - Hosted by Internet Group Ltd. - Stara Zagora
To unsubscribe: http://www.linux-bulgaria.org/public/mail_list.html
============================================================================