пятница, 5 сентября 2008 г.

Extended Validation SSL спасет гиганта мысли?

А пока наше неспешное государство с отсутствующей индустрией IT телилось, не торопясь разродиться адекватным законодательством такое количество времени (ну, оно и понятно - раз индустрии нет, за каким чертом дергаться?), весь мир опять утопал вперед.

Забавно до дрожи, но, похоже, ситуация будет как с электроникой в СССР - "Насколько мы отстали от Запада? Навсегда".

Пока эстонские и казахстанские айтишники неспешно курят свои планы по завоеванию мира, мир пытается адекватно справиться с проблемой PKI.

Напомню вкратце. Основная проблема PKI x.509 - это доверие. Отсутствие тщательно проработанной спецификации по проверке идентичности субьектов, для которых подписывается сертификат, привела - в условиях массового практического применения технологии - к куче проблем и инцидентов, которые, по большей части, тщательно скрываются (совершенно незачем выносить сор из избы, правда?)*.

Тот факт, что удостоверяющие CA верхнеего уровня назначили себя сами и сами себе доверяют, пока оставим в покое. Этот закрытый клуб, который, похоже, находится почти целиком в одних руках и сильно напоминает масонскую ложу с полным доступом ко всевозможным источникам открытой и закрытой информации, имеет по состоянию на сегодняшний день чрезвычайно высокий уровень вхождения.

Вернемся к нашим баранам.

Новый стандарт регулирует прежде всего вопросы всеобъемлющей проверки субъектов, претендующих на получение сертификата. С практической точки зрения, это глубокий скрининг данных, с обязательным предоставлением кучи документов и полной обязательной их проверкой. Если присмотреться к стандарту повнимательней, то советские ОВИРские анкеты на получение разрешения для загранпоездки - "Девичья фамилия матери, когда в первый раз сел на горшок, фамилия дантиста, девичья фамилия бабушки дантиста....." - кажется детским лепетом. Некоторые пункты являются подлинным шедевром демократии- "Юридическое лицо не должно состоять в правительственных запретительных списках (например, под торговым эмбарго)", "Юридическое лицо должно иметь подтвержденный действующий домен с продолжительной регистрацией, доступный для проверки в режиме 24x7". Периодичность переподтверждения большинства пунктов - 1 год, то есть придется тратить время, силы и средства на регулярные и частые перепроверки и аудиты. Кое-кто будет неплохо зарабатывать на этом - как идея выдавать новые документы гражданам некоей страны на средства этих самых граждан.

Иначе говоря, для вступление в клуб клубов Web of trust вам придется подчиниться этому стандарту.

Кое-что это, безусловно, напоминает. Новорожденное антитеррористическое законодательство США, например.

"Покажите содержимое вашего желудка и сдайте анализы для получения документа". "Докажите, что вы не Террорист Номер Один". Я утрирую, но между строк стандарта находится масса интересных вещей.

Поскольку стандарт сформулирован - как и любой стандарт - достаточно обтекаемо, под его пункты можно много чего подвести, по желанию. Думаю, не стоит сомневаться, что это будет сделано. В подобных вопросах возможность практически равносильна выполнению.

Да, все эти атрибуты - регистрационные номера юридических лиц итп. - будут включены в сертификаты. То есть, фактически это означает, что, получив сертификат, вы предъявляете всему миру достаточно информации, зацепившись за которую можно в буквальном смысле слова выяснить, что вы ели на завтрак.

Очень своеобразный подход к концепции доверия. С одной стороны, он буквально соответствует заявлению "Без знания нет доверия, без доверия нет дела" и, в теории, все хорошо.

С другой стороны, чрезмерная открытость означает два следствия:

Первое. Правительство/правительства желают знать все и совать свой нос в возможно большее количество карманов, кошельков, досье итп. "А то не будем вам верить!"

Второе. Кто сказал, что эти данные будут всеми без исключения использоваться в благих целях?

Персональные и иные данные являются самой высокой ценностью и желанной добычей. Давайте преподнесем их на блюдечке всем желающим, "Нам скрывать нечего", "Мы маленькие честные люди и нам нечего бояться".

Честно говоря, выхода из этого очевидного противоречия - между необходимостью тщательно хранить в секрете критичную и персональную информацию и необходимостью предоставить возможность знать как основе доверия - не видно.

Извечный вопрос - Кто устережет сторожей? На основании чего им нужно верить? Концепция доверия в принципе противоречит концепции знания. И особенно напрягает то, что стоит за этими концепциями.

Как говориться, "блажен, кто верует".

Еще один момент. Массовое раскрытие персональных и конфиденциальных данных посредством EV-SSL означает также разрастание рынка услуг по защите, поскольку атаковать-то определенно станет проще. Разумеется, защита будет платной. Разумеется, услуги по защите будут достаточно часто предоставляться самими нотариатами-CA. Разумеется, как всякий вид подлицензионной деятельности, это будет облагаться пошлинами и повышенными налогами. Хорошо бюджету - хорошо правительству.

В сухом остатке все это означает только одно. Интернет начинает расслаиваться на агнцев и козлищ. К последним автоматически причиаляются те, кто не может предъявить EV-SSL. С другой стороны, морлоки вовсе не бедствовали, если вспомнить классиков. Очередной виток гонки безопасности означает лишь новые сверхдоходы для клуба CA, потому что они явно не относятся к богадельням. Паспорта надо выдавать за счет самих подон... .... , простите, ребятишек.
_________________________
* Мне лично стал известен только один достаточно громкий инцидент, когда в употреблении непонятным образом появился промежуточный доверенный сертификат якобы Microsift, подписанный VeriSign.