цифровая подпись пакета

[ghost]

при сборке нужно подписывать пакет, при скачивания проверять ее валидность

[EvilBeaver]

И хттпс в инфраструктуру

[EvilBeaver]

Возникает вопрос - кто владелец приватного ключа? Хаб oscript? Автор пакета? А как заставить его купить сертификат подписи?

[dmpas]

Обычно оно как: издатель пакета создаёт на своей машине пару ключей приватный-публичный. Публичный регистрирует в хабе, приватным подписывает пакет перед отправкой в хаб.
Никто никому не платит, устанавливается доверительная пара хаб-издатель. Но нет доверительной пары издатель-весьмир.

[asosnoviy]

А какую проблему призвана решать подпись пакета?

[dmpas]

А какую проблему призвана решать подпись пакета?

@asosnoviy там в телеграмчике военку обсуждали. Типа абы чо ставить не хотят.

[EvilBeaver]

Ну вот насчет военки это как бы такое себе требование "подписывать". Кем подписывать, можно ли доверять и т.п... Для участия SB в тендере, наверное прокатит, но самый первичный секурити-аудит по-любому задаст вопросы насчет всего этого:

• "Кто гарантировал, что злой бобер не продался буржуям и не зарегал в хабе товарища Бонда из ЦРУ МИ6"?
• Кто гарантировал, что hub.oscript.io не находится в руках врага и не распространяет зловреды?

[nixel2007]

там еще речь про свой хаб была

[EvilBeaver]

там еще речь про свой хаб была

Вот это зело правильно и верно. Но требует допиливания opm

[asosnoviy]

Из всего помню что то на тему "Как я узнаю, что скачалось именно то, что я пушил". До изобретения цифровых подписей использовались контрольные суммы. Ну а раз спич про секьюрность, то вброшу еще. Модель угроз есть?

[EvilBeaver]

Есть.

• 1С-ник Вася не любит Путина и по заданию ЦРУ вбрасывает в opm push бэкдорные пакеты.
• Сообщество 1С-ников не проверяет все-все пакеты и ему в целом похер
• Вася делает PR в популярный гитсинк с зависимостью от бэкдора
• Профит

[asosnoviy]

• ...
• Вася делает PR в популярный гитсинк с зависимостью от бэкдора.
• Мейтейнер выпускает релиз, подписывает.
• Жертва скачивает, проверяет подпись.
• Профит никуда не делся.

[ghost]

@EvilBeaver все еще хуже - добавление библиотеки для подписи. Вопрос какой.

Во вторых что считать цифровой подписью PGP, GPG, X509, Gost512

В третьих кто собирал из исходников и кто подписал, а как опроверял ? Есть ли у вас сертификат ФСТЭК на софт. Кстати net.core имеет такой сертификат. Вопрос кто ему его выдал.

Вообщем веселье продолжается. Пока юридическая.

Но и техническая также. Например HTTPS://hub.oscript.io или даже HTTPS://oscript.io/downloads