Насчет банков утверждение довольно спорное.
На мой взгляд, не нужно нагнетать обстановку, а просто правильно проверять сертификаты и обеспечить пространство доверия. Согласен ,что со стороны МКС требуется сделать некоторые шаги. Однако, есть и другие варианты реализации доверенного списка самоподписанных и совсем не обязательно их распространять под дулом автоматчика. Суть проста – загрузили из доверенного источника сертификат с помощью которого проверяете список и проверяете им потом все списки, не перекачивая каждый раз. Разве это сложно? Тогда и подмену списка, о которой вы пишите произвести будет нельзя.
Перекачивать каждый раз корневой УЦ самоподписанный по сети никто не заставляет. Можно и создать свой список доверенных УЦ и ориентироваться на него. Про построение цепочки от ГУЦ к корневому тут уже также говорили.

PKI не сразу строился. А сломать можно все что угодно при желании.

Почитал несколько последних постов.
Если здесь обсуждается вопрос доверия к скаченным данным то решение для этой проблемы было найдено лет N-дцать назад: публикация хэшей файлов на доверенном сайте.

Ниши СКЗИ самые СКЗИстые СКЗИ в мире.
Мы (а точнее 8 КГБ СССР) создали свой криптоалгоритм, создали свой специальный ДСЧ (в отличии от используемого на западе уязвимого ДСЧ.
Определили содержание сертификатов, и включаем туда столько информации, сколько вряд ли включается где-то за рубежом.
Может быть, необходимо уже переходить к обеспечению доверия к этой среде?
Важно просто научится наконец доверять PKI РФ среде, и постепенно бороться с угрозами. Сразу побороть все угрозы один разом не получится.
Под «правильно проверять» подразумевал одну простую вещь - не строить всю цепочку проверки на доказательствах, которые подгружаются откуда-то динамически, где мы не можем гарантировать целостность , достоверность информации. Сами доказательства важно получать из определенных доверенных источников. Доверенные источники и способы получения определяются от вероятного размера ущерба и вероятности угрозы. Не правильно в этом смысле везде использовать один и тот же метод передачи.


Транспортная система в лице так называемых специализированных операторов связи уже существует. Сергей, вам также должно быть известно, что стандарт – это документ высокого уровня. И не только от него зависит правильность реализации, а в большей степени от тех, кто будет претворять его положения в жизнь. Как уже писал выше, двигаться нужно постепенно.

Думаю, наверняка на это смогут ответить только авторы. Как вариант, например, можно сравнить имеющийся у себя (полученным из какого-то доверенного источника, который для нас является таковым) с вложенным и понять можно ли доверять такому списку или нет.


Надеюсь в свете последних тенденций, массовое использование не за горами.
Время и особенности реализации есть некая национальная особенность, в которой многое отражается, как в зеркале.

Отредактировано пользователем 29 мая 2014 г. 10:20:20(UTC)  | Причина: Не указана

Приветствую, коллеги!

Позвольте встрять. Я правильно понимаю, что тут идёт речь о корневых сертификатах аккредитованных УЦ? Если да, то не могу понять сути спора. Какие ложные сертификаты вместо истинных корневых?! У нас односторонняя кросс-сертификация. И цепочка сертификатов заканчивается не самоподписанным корневым сертификатом аккредитованного УЦ, а корневым ГУЦа. Поэтому если Вы этот корневой ГУЦа будете распространять довереннмы образом, то смело размещайте по адресу http://q.cryptopro.ru все самоподписанные сертификаты!

Извиняюсь, но может кто-нибудь объяснить, почему "цепочка сертификатов заканчивается не самоподписанным корневым сертификатом аккредитованного УЦ, а корневым ГУЦа"? Сертификат УЦ то самоподписанный, и им подписываются сертификаты пользователей УЦ. Как цепочка может заканчиваться не на нем?