"Maciek Pasternacki" <j...@h...org.pl> wrote in message
news:874reyr4pj.fsf@lizard.localdomain...

> > I co z nim robi ? A tak na prawde klucz publiczny wysyla sie w postaci
> > standardowego zadania certyfikatu w postaci podpisanej kluczem
prywatnym.
> > Mozna jeszcze szyfrowac kluczem publicznym serwera certyfikatow.
>
> Zachowa dla siebie. A bankowi przedstawi swój klucz publiczny
> (podpisany swoim kluczem prywatnym) jako Twój.

A może dlatego banki nie powinne certyfikowac kluczy klientów ?
Chociaż i tak caly atak kuleje.
Potencjalny intruz od samego początku musiałby kontrolować i to w czasie
rzeczywistym korespondencje elektroniczną klienta z centrum certyfikacji.
Nie jest to łatwe, a nawet jesli sie uda, to atak padnie w momencie
osobistej wizyty klienta w celu kontroli tozsamości. Trzeba by wybudować
lipny oddział banku lub lipny punk rejestracji CA.
Według mnie PKI i certyfikacja kluczy ma kilka słabych punktów (wynikają one
z tak a nie inaczej przyjetych komromisów pomiedzy wygoda a bezpieczenstwem,
mozna inaczej, ja bym preferował generowanie zadania off line) ale nie jest
tak prosto oszukac jak sugerujesz.
Niebezpieczenstwo lezy zupelnie gdzie indziej.


zas dalej .... wybacz od tego jest grupa pl.comp.os.advocacy by podyskutowac
sobie w kregu ekspertów (przepraszam za wyrazenie) nad wyzszoscia Linuxa nad
Windowsami i odwrotnie.
Ja po prostu twierdze, że jesli system operacyjny nie rozwiązał sprawę
sprzętowego wspomagania kryptografii, tylko odpuszcza sprawe aplikacjom, to
po prostu jest mało ambitny. Dobrze robi programistom. Czy klientom
też...nie wiem.

> Wybacz, ale o ile rozumiem, sugerujesz
> oddanie kontroli nad podpisami cyfrowymi jednej firmie prywatnej. Nie
> bałbyś się?

SUNowi bym się bal.
AOLowi ? sprzedałbym szybciej komputer.
MS - tu bym się zastanawiał. Przynajmniej pozwala klucze trzymac na kartach
i nie narzuca własnej kryptografii. Zreszta żaden system nie narzuca.


> > zauwaz ile firm na tym zarobi (od TP S.A poczawszy)!
>
> Na tym -- czyli czym i w jaki sposób?

O to chodzi, że jak sam zauważyłesz SSL jako zabezpieczenie (szczególnie
jesli każdy może zmienić wygląd swojej przegladarki) to iluzja. Obrazek
kłodki, napis https i wiara, że to działa.
Jesli zakładamy , że użytkownik potrafi sie podpisać, to również może
szyfrować dane. SAME DANE i bezpieczniej niż robi to SSL. Tak do banku jak
do klienta.
A tak to obrazki i cała reszta idzie szyfrowany, złotówki leca, bo zegar
tyka. Chociaż może i to nie jest taka istotna sprawa...

Vizvary