Re: lug-bg: SSL - SHTO E TO

[alex@xxxxxx (Alexander Atanasov)]

        Hello,

On Sat, 9 Nov 2002, Valentin Tzankov wrote:

> Vesselin,
> Prijatna bira no
> PGP bilo alternativa  SSL znachi !
> tova e malko ne realno zasto li?
> ami zastoto
> 1. SSL e razraboten za da pozvoljva secure communications m/u mrejovi
> clienti i serveri

        SSL e razraboten kato transport koito polzva daden chipher za da
prenasia "messages"/pakets/byte streams, kakto iskash go narechi -
prenasia danni kato se griji da sa criptirat, kato ima handshake kudeto se
utochniava kak tochno shte stava tova mejdu dvete tochki ot vryzkata.

> 2. PGP e orientirano okolo "messages", kato  kriptirane i trasmissia sa
> dve otdelni stypki

        PGP e algoritym, kakvito sa RSA,DES,IDEA,RC4,RC5,Blowfish ...
S vseki edin ot tezi mojesh da si prashtash kriptirani messages, stiga
da si se razbral s poluchatelia kak shte gi chete. Dali poluchatelia
e e-mail client ili e TCP client/server niama znachenie.
T.e. da se sravniavat SSL i PGP e kato da se sryvniavat iabalki i
portokali. Ednoto e protokol , drugoto alogiritym.
Kydeto protokola obshto vzeto ima za zadacha da opredeli
chipher(algoritum) sled koeto da go polzva.
V chiphers koito podyrja SSL niama PGP nai-veroiatno zaradi licensi.
No ako si kupish licens (gubi mi se kakvo tochno stana s licensa na PGP,
AFAIK avtora go beshe prodal na niakoi, ne pomnia podrobnosti), mojesh
da si go slojish v SSL libs i da si go polzvash kato chipher, s malko
extensions v handshake moje bi.

> 3. dokato SSL e napraveno za communicatzia kydeto kriptirane i
> transmisia se sluchvat simultanno.

        Ne se sluchvat simultanno! Sluchvat se edno sled drugo tochno
kakto pri prashtaneto na mail. Sluchvat se simultanno za tozi koito 
polzva ssl libs i don't care kakvo tochno praviat te - application
programmers koito "chukat" po klaviaturata bez da misliat mnogo, a na
securityto se nabliaga  dosta i riska da napraviat prostotiia e po goliam,
za tova sa napraveni libs da ne burkat kudeto ne triabva, ako grumne
gui-to mainata mu, shte slezem i vlezem no ako stane neshto s transakciata
mamichko ...

> 4. SSL e vgraden v osnovnite browseri IE, AOL, Netscape, Mozilla
> 5. PGP ne se podyrja, a vseki pyt kojto polzvash HTTPS polzvash kato po
> dolen sloi SSL i dori ne useshtash kak stava
> 6. SSL izpolzva PKC i moje da authentira vsjaka strana ot komunikatzijata
> 7. SSL e confidentzialna zastoto se bazira na session key i symmetric
> cipher,
> i poradi fenomena one-way function nikoj ne moje da te poslusva dori US
> Goverment

        Tova e validno v edin edinstven sluchai - Kogato dadeno authority
private e izdalo server key i client key i te po _siguren_ nachin sa si gi
prenesli i sa si nastroili neshtata da gi polzvat. Ako ima razmiana na
keys adios, za tezi sluchai search for ssldump (ala tcpdump). 
ref.: http://wp.netscape.com/eng/ssl3/draft302.txt

> 8. PGP systo ne podleji na podslushvane.
> 9. certificat moje da moje da se dobavi v browser dori uspjah da namerja
> team opitvash se da razraboti X.509 za PGP, "da nastroish Appache da
> raboti s PGP key" ???

        Yep. Ot koeto sledva che e vyrmojno da se polzva, i se razrabotva
v momenta.

> Vsichko ste raboti samo v sluchaite, v koito,
> clienta ima veche njakakyv dogovor s institutzijata i tja im e pratila
> tehnia public key sys dogovor che tozi kljuch gi prestavja uridicheski,
> ako go njama tozi dogovor kljucha njama juridicheska stojnost pone taka
> e v US i Germany, no v internet sveta mnogo chesto clienta njama nikakva
> prdvaritelna dogovorenost sys sobstvenika web site naprimer i togava PGP
> njama nikakva juridicheska stojnost, kakyv e smisala ot podpis togava,
> kato njama legal value, ste izvikash moje bi Philip Zimmerman da ti
> svidetelstva???.  

        Kakto i SSL kogato clients niamat keys. A si govoriat
sys server koito ima cert ot verisign i e mnogo secure za tova. hehe
Edin sluchai kogato raboti ima samo - vij po gore.
Ako govorim tech. dali moje ili ne moje e edno, ako se govori da se
reshi konkretnia porblem koito ti imash bilo to koe shte e legal i koe
shte ti svyrshi rabota e drugo. Purvo edva li ima tuk advokat, osobenno
koito da e naiasno s intl. laws po vyprosa , kato se ima predvid ot koga
ima takiva neshta v BG. Vtoro ako shte se dyvche tvoia konkreten problem,
moje da pitash i kude da izpratish check-a za otgovorite vmesto
predlojenia koi kakuv da stanel. Opredeleno ne ti haresaha principnite
otgovori koito poluchi - kak rabotiat neshtata, tova che ne reshavat
problema ti e drugo.

> 
> Tova e koeto vi pitah sa gornite
> 8. tochki nemoga da izpolzvam PGP za SSL
> tazi discussia e svyrshila za men
> 
> Izvoda mi e
> 
> Ot roveneto v Internet moga da kaja che PGP e dobro jivotno, no mu
> trjabva oste zob,
> az si razmenih e-mali sys PM Giovani na OpenCA te se opitvat da napishat
> x509 za PGP, ne na merih drugi, spored men tova e vjarnata posoka za
> PGP, zastoto ako PGP ne vleze v browser-ite ste posledva sydbata na edno
> drugo jivotno na ime CORBA, koeto veche
> umira ot glad vyprki krasotata si.

        Niakoi moje li da me prosvetli kakvo stana s licensa na PGP , za
da se otgovori na vyprosa zashto ne e v browsers? 

> A za kachestvata mi kato programmist, imash pravo na mnenie, predlagam
> ti da stanesh evaluator. M/u drugoto predpolagam che polzvash moj code
> bez dori da znaesh za tova.

        Ne, proverih grep -r "Valentin Tzankov" . ... no nishto.
Google: 
<javablahbla>
Details :  8+ years exp.,last 3 in the US.Primary skills:Java,J2EE,GUI
Development,Swing,SQL,Corba,Sybase. 
</javablahbla> 

ref: http://www.ils.unc.edu/blaze/java/javahist.html
        September 29, 1994
HotJava prototype is first demonstrated to Sun executives.

Sega sme 2002, 8 years exp. s Java (koeto vkliuchva J2EE i Swing, koito 
go ima ot po skoro, niakoga imashe samo AWT). Corba syshto e
sravnitelno novo neshto, sled Java. SQL i Sybase sa po stari neshta za
tiah OK. Tova me podseti za edna obiava v BG vestnik ot firma X prez
98-99g "tursiat se java programisti s 10 godini staj s java" - sega se
okaza che moje i da e imalo takiva :)

        A kolkoto do polzvaneto na code ne se znae ti si znaesh samo,
i e glupavo da se pita NDA-ta, edno drugo.
Ako sluchaino polzvam se nadiavam onova za printera da e bilo napisano na
byrzo na ryka, a ne copy&paste ot real code.

>  Otnostno SSL, tovamoga da napisha tolkova mnogo s harakterni podrobnosti,
> za vseki browser i versii or SSL1,SSL2,SSL3 i TLS , v momneta  vsichki
> firmi obache se nasochvat kym TLS koeto e variant na SSL3, moje da se
> kaje che e razlichno systo SSL3, i napisanoto v tazi grupa ne e napylno
> vjarno i njama koj znae kakva polza, ako njakoj ima obache konkreten
> problem moje da pita.

        Da, konkreten problem:  kak da polzvam PGP kato chipher v SSL :)

I za final:
Chetoh v thread-a se govoreshe za kliucho dyrjateli koito generirat neshto
si alabala, no nikude ne se spomena SecureID ili sym propusnal, ostanah s 
vpechatelnieto che se govoreshe samo za kliuchodyrjateli?
A ako ne sym, vyprosnoto SecureID raboti dolu gore taka:
Ima card/keychain blahblah i password - auth stava v kombinacia i ot dvete
(eventualno samo s card). Card-a generira auth-token vseki 60 sec kato
server-a authentikira tia tokens spored vremeto i ima primerno 3-5 minuti 
interval v koito generirania token e validen, t.e. nomera e che
server-a znae spored vremeto kakvo se generira. I v kombinacia s password
nikak ne e zle.


-- 
have fun,
alex

============================================================================
A mail-list of Linux Users Group - Bulgaria (bulgarian linuxers).
http://www.linux-bulgaria.org - Hosted by Internet Group Ltd. - Stara Zagora
To unsubscribe: http://www.linux-bulgaria.org/public/mail_list.html
============================================================================