lug-bg: OpenSource based CA -

[Vesselin Kolev <vlk@xxxxxxxxxxxxxxxxx>]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Преди да пусна това поисках все пак разрешение от Йовко Ламбрев.
Мисля, че ще е интересно за доста хора и ще има отзиви, които да ни
насочат в последните етапи на разработката.

Решихме да направим CA базирана на решения с отворен код. При
това тя да служи не само за връх на X.509 PKI, а да е част от PKI и
за OpenPGP. Може би това изглежда ултра лесно за повечето хора, 
но техническата реализация на подобно начинание си е истинско
предизвикателство за който и да е.

Сертификатите от веригата на въпросната CA вече се намират на

http://ca.openintegra.com/certs. 

Решихме да избегнем грешките на други
подобни начинания и предоставяме сертификатите както в бинарен
вид (DER), подходящи за импортиране в Internet Explorer:

http://ca.openintegra.com/certs/Bin-IE

така и във формат Base64, който се възприема почти от всички 
браузъри използвани под UNIX:

http://ca.openintegra.com/certs/Base64

Към всеки сертификат има OpenPGP подпис (формат Base64).

=======================================================

Всъщност исках да попитам за опазването на частните/лични данни.
Щом се наемаме да гарантираме за самоличността на някого, ние
трябва да правим това въз основа на някакви документи. Дотук добре,
защото всеки има лична карта и паспорт. Проблемът е как ние да
съхраняваме личната информация така, че да удовлетворим следните
две условия:

- - данните да са надостъпни за външни лица;
- - данните да са достъпни по всяко време от страна на правоохранителните
органии.

Ако ние съхраняваме лични данни се излагаме на опасност. Тя произтича
от това, че съхранявайки тези данни ние можем да станем обект на шантаж
или натиск с ясната цел да предоставим някому тези данни. Това трябва да
бъде казано честно и почтено.

Аз (без да имам претенции на първооткривател) измислих следната схема
за съхранение на лична информация. Всеки потребител (клиент) ще получи
един иникален 168 битов код (число). Това число е продукт на HASH чрез
SHA1. Като вход на функцията се подава символен низ, който съдържа
(разделени с пауза) следните поднизове разделени с празен низ с дължина
1:

ЕГН Номер_на_лична_карта Дата_на_издаването_на_личната_карта

Датата на издаването е в следния формат:

МЕСЕЦ-ДЕН-ГОДИНА

Тази информация не се записва никъде, а се подава като символен низ на
sha1sum и се получава уникалния номер. Ето за пример:

7766554433 1234567890 10-20-2003

Това лесно може да се реализира в конзола така:

$ echo "7766554433 1234567890 10-20-2003" | sha1sum
0bba8660427f73f6bd5015e6bf972b38b1fc4465  -

Полученото число 0bba8660427f73f6bd5015e6bf972b38b1fc4465 е
именно уникалния номер на клиента.

За проверка на идентичността на лицето е нужно този номер да
бъде потвърден (получен) след като е налице съответната лична
информация.

Сага внимание! Този номер може да бъде получен само от този, който
знае и трите данни за лицето. Това могат да бъдат само правоохранителните
органи (в частност МВР, Следствието, Съда и Прокуратурата). 

Накрая малко по цялостен поглед върху цялата налична в сертификата
лична информация:

- - държава в която лицето живее; - C
- - провинция (област, окръг); - ST
- - град (село); -L
- - трите или двете имена на лицето (по избор) - CN
- - уникалния номер (стои в коментарното поле)

Тъй като тези неща са подписани с CA частния ключ, ние можем да
гарантираме, че са вярни. Но както се вижда тук няма подаване в открит
вид на ЕГН, номер на лична карта или други данни, които може да се 
класифицират като лични.

Всичко, което ме притеснява до този момент е реакцията на силовите
министерства на този начин за съхранение на информация, но не мисля
да правим компромиси. Лични данни просто няма да пазим и толкова.

Мислим как това да стане с OpenPGP сертификатите. Ще имаме решение до
няколко дни. Целият проблем там е, че все още не можем да прибавяме
коментар към подписа ни, а и подписа е detached на практика. Един възможен
начин е key split, но алгоритъма (Shamir (1979) and Blackley (1979)) е патент 
и не може току така да се ползва, макар, че е наличен в PGP Desktop и
PGP FreeWare.. но за съжеление за Windows.

===============================================================

Някой да има забележки?

  Поздрави
    Весо
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.7 (GNU/Linux)

iD8DBQE/lB0Q+48lZPXaa+MRAvPIAKCRZZIaqgx/ryGIFBLIidXDRXnmhQCeL+8W
oryWPkXyn1WzLXlREINauzM=
=R48k
-----END PGP SIGNATURE-----

============================================================================
A mail-list of Linux Users Group - Bulgaria (bulgarian linuxers).
http://www.linux-bulgaria.org - Hosted by Internet Group Ltd. - Stara Zagora
To unsubscribe: http://www.linux-bulgaria.org/public/mail_list.html
============================================================================