Быль о том, как на великой Руси государе блокируют сайты

[JMH]

вздымщик Цыпа в сообщении #753674 писал(а):

Дело в том, что основная масса сайтов не настолько сильно нужна их владельцам, чтоб они пошли их регистрировать в белые списки. Но именно на этих не сильно нужных сайтах и поиске по ним и делаются основные деньги интернет-рекламы

Это спорное утверждение. У меня нет оснований говорить, что Вы не правы, но и нет оснований принимать Ваши слова на веру. Все непосредственно знакомые мне держатели сайтов, среди которых есть и небольшие компании и частные лица, относятся к ним (сайтам) трепетно. Случись завтра катаклизм по сценарию белого списка, все они наперегонки понесутся на регистрацию.

вздымщик Цыпа в сообщении #753674 писал(а):

Сандал со Сноуденоном никому не интересен. Он не рассказал ничего нового.

Он интересен, как осязаемое подтверждение тому, что все подозревали и так. В частности, закрытие двух email-провайдеров за отказ поделиться с государством личными данными клиентов.

[вздымщик Цыпа]

JMH в сообщении #753676 писал(а):

У меня нет оснований говорить, что Вы не правы, но и нет оснований принимать Ваши слова на веру. Все непосредственно знакомые мне держатели сайтов, среди которых есть и небольшие компании и частные лица, относятся к ним (сайтам) трепетно. Случись завтра катаклизм по сценарию белого списка,

Ну это сродни разговорам типа «никто из моих родственников и знакомых не голосовал за Путина». Доля сайтов, которые важны своим владельцам может быть оценена по результатам первых месяцев внедрения списков черных.

JMH в сообщении #753676 писал(а):

Он интересен, как осязаемое подтверждение тому, что все подозревали и так.

То, что в тоталитарных государствах вроде Соединенных Штатов или стран ЕС спецслужбы в своих действиях ограничены только техническими возможностями, и так понятно без каких-либо осязаемых подтверждений.

[Denis Russkih]

вздымщик Цыпа в сообщении #753688 писал(а):

То, что в тоталитарных государствах вроде Соединенных Штатов или стран ЕС спецслужбы в своих действиях ограничены только техническими возможностями, и так понятно без каких-либо осязаемых подтверждений.

"И так понятно" к делу не подошьёшь.

[вздымщик Цыпа]

Denis Russkih в сообщении #753698 писал(а):

"И так понятно" к делу не подошьёшь.

И не надо пришивать. Мы же не собираемся никого судить. Просто надо понимать, что соображения «да кому я нужен, чтоб за мной следить» и «таких как я сотни миллионов, на всех соглядататаев не напасешься» остались в прошлом. А «спецслужбы подчиняются законам» — это вообще всегда было несмешным анекдотом.

[Denis Russkih]

вздымщик Цыпа в сообщении #753701 писал(а):

И не надо пришивать. Мы же не собираемся никого судить.

Говорите за себя, пожалуйста.

[epros]

JMH в сообщении #753602 писал(а):

Отобрать у меня внутреннюю свободу можно только одним способом - физически воздействуя на меня или моих близких. Однако я легко могу сделать себя несвободным, начав бороться за фиктивные символы свободы, которые не что иное, как расхожие стереотипы.

До физического воздействия недалеко. На самом деле, оно может в любой неожиданный для Вас момент случиться. И тогда будет поздно рассуждать о том, почему Вы не подумали об этой возможности раньше…

То, о чём я говорю, это не «фиктивные символы свободы». Это Вы меня перепутали с теми, кто призывает выходить с плакатами на улицу. Я Вам говорю о простых и достаточно безопасных мерах, которыми каждый может в какой-то мере защитить свою личную жизнь. Это не зависит от того, насколько Вы лояльны к власти или к АНБ, или к кому-то ещё, а также от того, насколько Вы не выделяетесь из «среднего уровня».

Неважно даже, буду я это говорить или нет. Вот увидите, что через несколько лет эти умники, которые предлагают законы о чёрных списках и т.п., поймут всю бесполезность этого, потому что все поголовно будут пользоваться сетями типа freenet или I2P вместо открытого интернета. И запретить это можно будет разве что только разгромив всю отрасль информационных технологий и связи. Не тот век, чтобы каждый ксерокс в КГБ регистрировать. В США тоже пару десятков лет назад государство судорожно боролось за контроль над криптографией. А сейчас все поняли, насколько это бесполезно.

JMH в сообщении #753602 писал(а):

Если появятся факторы, которые я не смогу игнорировать, тогда я начну действовать.

Тогда будет уже поздно действовать. Кто не потрудился действовать заранее, получит по полной за своё бездействие в прошлом.

Munin в сообщении #753646 писал(а):

Полиция - это и есть тот механизм, который свободное общество выработало, чтобы самостоятельно отрегулировать дрять внутри себя (и не только дрянь, но и вещи покруче - например, силовой отъём ценностей).

Вы очень романтично трактуете понятие «свободного общества» — как синоним полицейского государства.

Munin в сообщении #753646 писал(а):

epros в сообщении #753586 писал(а):

Что писать в чёрные списки? Динамически сгенерированный URL — смысла нет.

Всё, в конечном счёте, сводится к физическим адресам физических лиц. И в отличие от других внутриинтернетных игроков, государство с этой информацией играть может.

Здесь Вы не поняли. Чёрные списки нужны только тогда, когда соответствующие «физические адреса физических лиц» находятся за пределами юрисдикции соответствующего государства. Когда rutracker.org находился в домене ru и Государству Российскому не понравилось то, чем он занимается, его просто закрыли, без всяких чёрных списков. А теперь, чтобы воспрепятствовать его деятельности придётся вносить его в чёрные списки. И мне интересно, скоро ли это произойдёт.

[JMH]

epros в сообщении #753744 писал(а):

В США тоже пару десятков лет назад государство судорожно боролось за контроль над криптографией. А сейчас все поняли, насколько это бесполезно.

Меня гложут сомнения по этому вопросу. У меня есть подозрения (не обоснованные, правда, ничем, кроме логики и некоторого знакомства с американской действительностью), что современные популярные системы (gmail, yahoo, hotmail и т.п.) предоставляют государству все средства для чтения контента, криптованного стандартными средствами, предоставляемыми самой системой. Те же, кто пользуется собственными шифрами, немедленно попадают под негласный надзор.

epros в сообщении #753744 писал(а):

Чёрные списки нужны только тогда, когда соответствующие «физические адреса физических лиц» находятся за пределами юрисдикции соответствующего государства.

Мне довелось общаться с выходцами из континентального Китая. Общение оставило впечатление, что Китай уже некоторое время пользуется белыми списками вместо чёрных...

[epros]

JMH в сообщении #753966 писал(а):

epros в сообщении #753744 писал(а):

В США тоже пару десятков лет назад государство судорожно боролось за контроль над криптографией. А сейчас все поняли, насколько это бесполезно.

Меня гложут сомнения по этому вопросу. У меня есть подозрения (не обоснованные, правда, ничем, кроме логики и некоторого знакомства с американской действительностью), что современные популярные системы (gmail, yahoo, hotmail и т.п.) предоставляют государству все средства для чтения контента, криптованного стандартными средствами, предоставляемыми самой системой. Те же, кто пользуется собственными шифрами, немедленно попадают под негласный надзор.

После викиликсов и Сноудена у меня нет никаких сомнений (если они даже и были когда-то), что АНБ имеет прямые каналы в базы всех гуглов, хотмейлов, фейсбуков и прочих майкрософтов (вспоминаем кто купил скайп и думаем зачем). Вам даже не нужно доверять этим службами генерацию своих секретных ключей, чтобы вся Ваша информация просматривать и анализировалась роботами.

Что касается тех, кто пользуется «собственными шифрами», то Ваша точка зрения на этот предмет довольно наивна. Сейчас таких уже сотни миллионов и это отнюдь не террористы или какие-нибудь маргиналы, нет никакого смысла брать их всех на карандаш. Скорее уж на карандаш взяты все остальные — кто не заботится о защите информации о своей личной жизни и выкладывает её всю в фейсбуках.

А сами криптоалгоритмы давно уже стали общественным достоянием, их надёжность проверена тысячами математических исследований, которые опубликованы в открытой прессе. И реализованы они в open-source софте, который каждый может свободно скачать и поставить, и надежность которого, опять же, гарантируется общедоступностью исходных кодов.

JMH в сообщении #753966 писал(а):

Общение оставило впечатление, что Китай уже некоторое время пользуется белыми списками вместо чёрных...

По-моему, нет большой разницы — обширные оперативно обновляемые чёрные списки или белые списки. Суть — одна.

[JMH]

epros в сообщении #754083 писал(а):

Сейчас таких уже сотни миллионов и это отнюдь не террористы или какие-нибудь маргиналы, нет никакого смысла брать их всех на карандаш.

Простите великодушно, но не поверю. Во-первых, во всей Америке всего 300 миллионов населения, во-вторых, можно ожидать, что среди тенически и научно продвинутых людей больше тех, кто пользуется криптосистемами. У меня очень немного знакомых, не являющихся студентами, бизнесменами, электронщиками или программистами - просто так сложилось; так вот, ни один из моих знакомых не пользуется шифрованием. Знаю об этом потому, что неоднократно обсуждал эту тему со многоми из них. Даже личные финансовые документы люди хранят незакриптованными на Google Drive и iCloud. Поэтому рискну предположить, что следить за теми, кто криптует, всё-таки гораздо легче.
Боюсь, может сложиться впечатление, что я за полицейское государство и всеобщий надзор; честное слово, это не так. Я желаю всяческих успехов тем, кто борется против Большого Брата и, когда придёт время голосовать (маловероятно, но всё же), я обязательно поучаствую на их стороне. Но тратить время и силы только для того, чтобы заработать неприятностей на собственную ...шею, извините - не стану.

[Munin]

Denis Russkih в сообщении #753703 писал(а):

Говорите за себя, пожалуйста.

Denis Russkih, чтобы собираться кого-то судить, надо сначала взобраться на вершину государства. Иначе это всего лишь самоуспокоительные сказочки. И когда такие вещи говорит (и повторяет!) взрослый человек, за него становится неудобно.

epros в сообщении #753744 писал(а):

Вы очень романтично трактуете понятие «свободного общества» — как синоним полицейского государства. :-)

Вы очень вольно трактуете чужие слова. Если любое государство с полицией называть полицейским государством, то 100 % государств на планете Земля - полицейские.

epros в сообщении #753744 писал(а):

Чёрные списки нужны только тогда, когда соответствующие «физические адреса физических лиц» находятся за пределами юрисдикции соответствующего государства.

Достаточно настучать другому государству, в чьей юрисдикции находятся эти «физические адреса физических лиц». Дальше всё сводится к политике: а будет ли выгодно этому другому государству нажать со своей стороны.

И в конце концов, надеюсь, вы не думаете, что Каймановы острова остаются свободными и независимыми потому, что США боятся начинать войну с ними?

epros в сообщении #754083 писал(а):

Что касается тех, кто пользуется «собственными шифрами», то Ваша точка зрения на этот предмет довольно наивна. Сейчас таких уже сотни миллионов и это отнюдь не террористы или какие-нибудь маргиналы, нет никакого смысла брать их всех на карандаш. Скорее уж на карандаш взяты все остальные — кто не заботится о защите информации о своей личной жизни и выкладывает её всю в фейсбуках.

Аргумент ещё более наивен, чем то, что он представляет как наивное. Всех остальных - в разы, если не на порядки, больше. Так что, их всех брать на карандаш ещё бессмысленнее.

Впрочем, "брать на карандаш" сейчас можно и автоматически. Анти-спам-технологии прекрасно справляются с выявлением всяких подозрительных сигнатур в переписке и в поведении. Так что, "взять на карандаш" можно вообще всех (и никакое государство от такой возможности добровольно не откажется).

epros в сообщении #754083 писал(а):

А сами криптоалгоритмы давно уже стали общественным достоянием, их надёжность проверена тысячами математических исследований, которые опубликованы в открытой прессе. И реализованы они в open-source софте

И взламывают их столь же регулярно, как и публикуют. Здесь тоже не надо быть наивным мечтателем.

[Denis Russkih]

(Munin)

Munin в сообщении #754465 писал(а):

Denis Russkih, чтобы собираться кого-то судить, надо сначала взобраться на вершину государства. Иначе это всего лишь самоуспокоительные сказочки. И когда такие вещи говорит (и повторяет!) взрослый человек, за него становится неудобно.

Вы что-то имеете против самоуспокоительных сказочек? :) Так говорите, как будто это что-то плохое.

[epros]

Munin в сообщении #754465 писал(а):

Если любое государство с полицией называть полицейским государством, то 100 % государств на планете Земля - полицейские.

Угу, именно поэтому все эти 100% государств и не подпадают под употреблённое выше понятие свободного сообщества.

Munin в сообщении #754465 писал(а):

Достаточно настучать другому государству, в чьей юрисдикции находятся эти «физические адреса физических лиц». Дальше всё сводится к политике: а будет ли выгодно этому другому государству нажать со своей стороны.

Все эти рассуждения ни в коей мере не опровергают того факта, что чёрные списки нужны только тогда, когда добраться до соответствующих «физических адресов физических лиц» нет физической возможности.

Munin в сообщении #754465 писал(а):

Всех остальных - в разы, если не на порядки, больше. Так что, их всех брать на карандаш ещё бессмысленнее.

Тем не менее, именно они-то и взяты на карандаш. потому что:

Munin в сообщении #754465 писал(а):

Впрочем, "брать на карандаш" сейчас можно и автоматически.

А вот стоимость взятия на карандаш всех тех, кто шифруется, слишком велика.

JMH, может я слегка преувеличил с сотнями миллионов, но всё же пользующихся криптографией сейчас уже весьма много. Это ведь нынче не проблема. Вот я в своём почтовом клиенте на андроиде в настройках вижу пункт «криптография» — достаточно нажать одну кнопку и из Play market установится пакет AGP, который позволит прозрачно и не обременительно для пользователя слать и получать зашифрованные и подписанные сообщения. И многие этим пользуются.

Munin в сообщении #754465 писал(а):

И взламывают их столь же регулярно, как и публикуют.

Что именно Вы имеете в виду под «взломом» криптоалгоритмов?

[temp03]

MD5 в отличие от MD4 взломать не так просто. Потому что изменение всего одного бита в исходном послании ведёт к лавинообразному изменению всего хэша, т.н. "эффект лавины". Таким образом отсутствует возможность использовать брут-форс и методы перебора. Там другие методы, но стоит хэш "посолить" (salt) и они перестают работать.

В общем, общепризнанно MD5 считается абсолютно надёжным и невзламываемым. Есть работы 2006, 2008 гг. по построению дублей хэша для различных последовательностей, но восстановить исходный шифр по MD5-хэшу является нетривиальной задачей.

Что же касается RSA, DSA-ключей, то здесь при наличие контроля канала (т.е. при перехвате 100%-кодированных сообщений с двух сторон в двух направлениях) исследователями из (не помню какого, кажется американского) университета была продемонстрирована возможность взлома 768-битных ключей за время порядка 40 минут. Нууу... учитывая квалификацию исследователей, отличную от квалификации 99.99% пользователей интернета, а также что в большинстве своём на самом деле используются 1024-бит и выше ключи, то их тоже можно признать практически абсолютно надёжным. Разложение на множители 1024-битного простого числа на порядки по времени отличается от 768-бит числа, т.е. в несколько миллионов, а может и миллиардов раз.
Да и висеть с двух сторон на канале в течение 40 минут мало у кого получится! Разве что у спецслужб.... Т.е. это должны висеть два сниффера с двух сторон и вне зависимости от роутов собирать весь трафик, туда-обратно. Т.е. быть достаточно близкими к источникам. Повесить где-то в Африке их не удастся.

Т.е. нужны принципиально другие подходы для доступа к такой информации, недоступные современным исследователям.

[epros]

temp03, Вы сейчас изложили столько сомнительных или просто неверных вещей, что я даже не знаю что комментировать…

temp03 в сообщении #754879 писал(а):

MD5 в отличие от MD4 взломать не так просто. … Таким образом отсутствует возможность использовать брут-форс и методы перебора.

Стандартные хэш алгоритмы типа MD5, SHA-1 или SHA-256 не предназначены и не защищают от брут-форс подбора хэшированного пароля. Для этого предназначены KDF алгоритмы типа PBKDF2 или Scrypt.

temp03 в сообщении #754879 писал(а):

но стоит хэш "посолить" (salt) и они перестают работать.

Salt, опять же, не предназначен для защиты от брут-форс. Он защищает от подбора пароля методом поиска по предварительно рассчитанному и записанному большому массиву данных (rainbow table).

temp03 в сообщении #754879 писал(а):

но восстановить исходный шифр по MD5-хэшу является нетривиальной задачей.

См. выше: Если хэшированные данные предполагают не ОЧЕНЬ большое количество вариантов (например, это пароль разумной сложности), то подбор их методом брут-форс — тривиальная задача.

temp03 в сообщении #754879 писал(а):

Что же касается RSA, DSA-ключей, то здесь при наличие контроля канала (т.е. при перехвате 100%-кодированных сообщений с двух сторон в двух направлениях) исследователями из (не помню какого, кажется американского) университета была продемонстрирована возможность взлома 768-битных ключей за время порядка 40 минут.

Можете привести источник? Заявление кажется очень странным. Я уж не говорю о том, что взлом RSA сводится к нахождению полиномиально сложного решения задачи факторизации, кое, насколько мне известно, пока не найдено. И не говорю о том, что для 768-ми битных ключей даже метод брут-форс при нынешних вычислительных ресурсах бесперспективен. Но какое отношение к взлому, скажем, электронной подписи может иметь «контроль канала с обеих сторон»?

temp03 в сообщении #754879 писал(а):

Нууу... учитывая квалификацию исследователей, отличную от квалификации 99.99% пользователей интернета, а также что в большинстве своём на самом деле используются 1024-бит и выше ключи, то их тоже можно признать практически абсолютно надёжным.

Я вообще не понял, что Вы здесь хотели сказать. Разумеется квалификация тех, кто будет ломать Ваши шифры, на много порядков ВЫШЕ чем у рядовых пользователей. Именно поэтому любое не очень надёжное звено в Вашей защите практически на 100% гарантирует, что она будет взломана. Без труда.

[temp03]

epros в сообщении #754907 писал(а):

См. выше: Если хэшированные данные предполагают не ОЧЕНЬ большое количество вариантов (например, это пароль разумной сложности), то подбор их методом брут-форс — тривиальная задача.

двойной, тройной MD5 слова "тАпор" преобразованного в юникод, где поменяны местами 23-й и 32-й разряды. Подбирайте брут-форсом или радужными табличками! В том-то и беда что хэшируемые данные представляют собой чёрный ящик

epros в сообщении #754907 писал(а):

взлом RSA сводится к нахождению полиномиально сложного решения задачи факторизации, кое, насколько мне известно, пока не найдено.

почему не найдено? 256-битное число любой Maple факторизует! 768-битное конечно загнётся... Но спецы на спецтехнике смогли

epros в сообщении #754907 писал(а):

Но какое отношение к взлому, скажем, электронной подписи может иметь «контроль канала с обеих сторон»?

RSA это не электронная подпись, RSA - это пара ключей, которые устанавливают канал. Электронная подпись - то ssl