|
m********5
发帖数: 17667 | 2 【 以下文字转载自 Military 讨论区 】
发信人: mitbbs2715 (好吃不懒做), 信区: Military
标 题: NSA避免再爆丑闻，停止了加密软件Truecrypt的开发
发信站: BBS 未名空间站 (Thu May 29 11:36:19 2014, 美东)
审计估计过不了，于是干脆停了
大家安了吧，在NSA面前没有秘密
http://it.slashdot.org/story/14/05/28/2126249/truecrypt-website
Several readers sent word that the website for TrueCrypt, the popular disk
encryption system, says that development has ended, and Windows users should
switch to BitLocker. A notice on the site reads, "WARNING: Using TrueCrypt
is not secure as it may contain ... 阅读全帖 |
|
s****g
发帖数: 274 | 3 我要是不指定算法，哪一个是缺省的加密算法？ 3DES, CAST5 or AES?
gpg --output x.pgp --encrypt --recipient [email protected] x.txt |
|
n****1
发帖数: 1136 | 4 干嘛自己写，直接用gpg/openpgp/openssl都可以对单个文件加密，而且都很容易跨平
台，连android上都有。
truecrypt牛逼在于block-level encryption，这个在windows上面很难实现。 |
|
a*o
发帖数: 19981 | 5 假装很安全，其实都是瞎掰，security的东西有80是over done to become a hassle，
19%是nonsense，真正有用的就1%。 |
|
|
d******a
发帖数: 32122 | 7 我从微软网站直接下计算SHA1的软件，有微软签名
不可能有问题
key |
|
j********2
发帖数: 4438 | 8 比如说你去下载一个盗版软件，盗版网站上有一条sha，你用微软的sha软件算过了，能
对上，就表明盗版网站这个是真的吗？
其实sha和md5一样，多数是用来验证数据完整性的，和数据来源验证没啥关系 |
|
s********i
发帖数: 17328 | 9 这些安全工作的的好处就是，如果造假，你得全部造假，只要有一个环节是真的，就能
发现你拿到的是假货。这些东西的工作原理是一样的，我有一个private key，加个密
或者算个hash，给你一个public key，你去解密或者检验hash，这些public的东西，要
保证起来源正确，就要有一系列的东西来证明你的信息来源。（这就是前一段中国的某
机构乱发根证书的害处。）比如，browser上的那个小锁是要花钱买的。 |
|
a9
发帖数: 21638 | 10 这个PGP最大的缺点就是怎么证明这个私钥是原始发行商的。
还是代码签名证书可靠。 |
|
s********i
发帖数: 17328 | 11 一回事儿。一般下载信息都来自网站。网站本身是可以验证真伪的。 |
|
|
s********i
发帖数: 17328 | 13 Browser就是干这个的
★ 发自iPhone App: ChineseWeb 13 |
|
a9
发帖数: 21638 | 14 Browser不管这个的好不好。
比如你要下载一个软件，你输入网址的时候错了一个字母，上面有这个软件，也有一个
PGP公钥，你导进去然后装了这个软件。结果是个绑了木马的，这个PGP没办法吧？ |
|
s********i
发帖数: 17328 | 15 你好好看看你的browser，网站真伪是基本功能
★ 发自iPhone App: ChineseWeb 13 |
|
p****o
发帖数: 296 | 16 就是证明"你是你"的问题, 转到https提高的只是复杂度, 挡一部分middle attack, 钓
鱼怎么都钓到到. 要不怎么说最老牌的劫持,人cnnic都不屑去搞CA. |
|
s********i
发帖数: 17328 | 17 一般来讲小心一点点没问题啦。我觉得中国最大的问题是盗版横行，没有安全意识，把
证书发给流氓，我是流氓我怕谁。 |
|
|
|
d********g
发帖数: 10550 | 20 PGP本来推荐是靠人肉背书，不定期搞party然后真人面对面sign。背书的人越多这个
key的可信度越高
不过因为麻烦，除了狂热爱好者，平时大家也就随便用用。聊胜于无吧 |
|
d********g
发帖数: 10550 | 21 你信任的公钥没有问题。就算这个是木马网站下的，只要是你信任公钥对应的私钥签名
的，而且这个私钥没有泄露，你只要能验证就是没问题的。绑了木马只能重新签名或者
不签，如果私钥没有泄露，你用公钥一验证就知道真假了
物联网所有通信都不安全，公私钥本来就是给不安全通信设计的 |
|
d********g
发帖数: 10550 | 22 你说这个是怎么确定信任公钥的问题。PGP一向是让人肉搞的。但是人肉也会有问题，
万一是个化妆的间谍呢？ |
|
s********i
发帖数: 17328 | 23 不是这个意思。如果公要来自认证网站就不存在化妆间谍的问题了。
★ 发自iPhone App: ChineseWeb 13 |
|
a9
发帖数: 21638 | 24 很多ca机构只验证域名持有者的，你这个跟没有有啥区别？
你以为这些开源软件舍得去买绿条证书吗？ |
|
a9
发帖数: 21638 | 25 关键是公钥没法信任。证书签名至少还需要信任ca背书，只有密钥对这个有跟没有没啥
太大
区别
一个 |
|
s********i
发帖数: 17328 | 26 So?你不去验证我凭啥相信你？我建一个网站上写我是好人，你就把密码给我了？
★ 发自iPhone App: ChineseWeb 13 |
|
s********i
发帖数: 17328 | 27 随便说两句系统安全意识。安全意识是啥？最基本的就是知道你自己对你的系统干了啥
，对家用电脑来说基本上就是软件安装使用和上网。软件安装和使用是啥意思，就是你
要用张三写的A软件做某事，你怎么保证这一点？上网是啥，就是你用browser到B网站
寻找信息，你怎么保证这一点？
你首先要保证你的OS系统是有保证的，比如，你的Windows得是微软认证的，你下载的
ISO也好，买机器自带的系统也好，去微软商店买的DVD也好，要保证没有被搞过的。这
样的系统都会自带很多常用的证书和根证书。
接下来你要安装软件，一运行安装程序，如果自带可验证的证书，那么OS就会提示你，
这个软件来自张三，你要装么？你下一步要决定你是否信任张三，再决定要不要装他的
软件。如果OS提示说，不知道这是谁的软件，那么你的risk就很高了。
再说上网，现代浏览器和网站安全验证是最基本的功能，用户必须知道去的网站是不是
我要去的网站，OS和浏览的证书根证书保证了这一点。比如，你下载个windows ISO需
要检验sha，你得去微软网站去找sha的值，而不说随便google一个就完了。 |
|
z*********e
发帖数: 10149 | 28 我前几天看到有个网站免费给签名
找找看能找到不 |
|
|
|
m******t
发帖数: 2416 | 31
server.
it
I respectfully disagree with all of you. 8-)
An encrypted (e.g. gpg) password still offers
some protection even when the server is
physically hacked.
Also from a legal standpoint, encrypting passwords
is considered part of the "due diligence" effort
in protecting customer data. I believe both SOX and
PCI compliances require it (which my client is
currently painfully going through). |
|
|
a*****i
发帖数: 4391 | 33 You need to get the appropiate public key for gpg.
I don't know how though. :) I also hate it.
. |
|
|
|
s*****g
发帖数: 1055 | 36 Not to discourage you, but familiar with Linux commands is the first step of
10K long journey towards a professional Linux system administrator.
List of stuff you need to know inside and out (by no way this is the
complete list): System installation (Cobbler/PXE kickstart, software
building/Jenkins, packaging, kernel tuning), Performance tuning/
troubleshooting (IO, memory, File system, storage), Security (Authentication
/Kerberos/PAM, Iptables, GPG/public cryptography) Management tools (puppet,... 阅读全帖 |
|
s*****g
发帖数: 1055 | 37 Not to discourage you, but familiar with Linux commands is the first step of
10K long journey towards a professional Linux system administrator.
List of stuff you need to know inside and out (by no way this is the
complete list): System installation (Cobbler/PXE kickstart, software
building/Jenkins, packaging, kernel tuning), Performance tuning/
troubleshooting (IO, memory, File system, storage), Security (Authentication
/Kerberos/PAM, Iptables, GPG/public cryptography) Management tools (puppet,... 阅读全帖 |
|
n*****t
发帖数: 22014 | 38 http://owncloud.org/install/
记得就是一路 next
Install ownCloud using the Web Installer
The Web Installer is the easiest way for novice users to install ownCloud on
their web space. It checks the dependencies, download the newest ownCloud
from the official server, unpacks it with the right permissions and the
right user account. Finally, you will be redirected to the ownCloud
installer.
Right-click here and save the file to your computer
Upload setup-owncloud.php to your web space
Point your web brows... 阅读全帖 |
|
S*A
发帖数: 7142 | 39 我一直觉得很搞笑。DSB 你都不是第一次装 FC 了，每次装都出问题，
不知道是不是你特别点背，然后都是必然一阵臭骂。然后我很好奇为
神魔你还用 FC 呢，直接换个 distro 不就完了吗，至少我们可以听
听其他的骂法。
我用 FC20 装了FC20 6-7 台机器了，包括3 台 Mac.都没有出现你说
的问题。直接用 LiveCD 是都顺利启动的。唯一一个可能接近你的情
况就是，有个 rpmfusion 的包搞得 fedup 不是很爽，好像是 kmod-nvidia。
然后去掉也顺利 fedup 了，升级完再装回来就是了。有个报 GPG
key missing 的错要升级 fedora-release 再 fedup。
我就是有个很有趣的观察，从统计的角度来书，似乎麻烦总是找你，
而且不具备代表性。难道是人品问题，哈哈。 |
|
S*A
发帖数: 7142 | 40 我一直觉得很搞笑。DSB 你都不是第一次装 FC 了，每次装都出问题，
不知道是不是你特别点背，然后都是必然一阵臭骂。然后我很好奇为
神魔你还用 FC 呢，直接换个 distro 不就完了吗，至少我们可以听
听其他的骂法。
我用 FC20 装了FC20 6-7 台机器了，包括3 台 Mac.都没有出现你说
的问题。直接用 LiveCD 是都顺利启动的。唯一一个可能接近你的情
况就是，有个 rpmfusion 的包搞得 fedup 不是很爽，好像是 kmod-nvidia。
然后去掉也顺利 fedup 了，升级完再装回来就是了。有个报 GPG
key missing 的错要升级 fedora-release 再 fedup。
我就是有个很有趣的观察，从统计的角度来书，似乎麻烦总是找你，
而且不具备代表性。难道是人品问题，哈哈。 |
|
m********5
发帖数: 17667 | 41 【 以下文字转载自 Military 讨论区 】
发信人: mitbbs2715 (好吃不懒做), 信区: Military
标 题: NSA避免再爆丑闻，停止了加密软件Truecrypt的开发
发信站: BBS 未名空间站 (Thu May 29 11:36:19 2014, 美东)
审计估计过不了，于是干脆停了
大家安了吧，在NSA面前没有秘密
http://it.slashdot.org/story/14/05/28/2126249/truecrypt-website
Several readers sent word that the website for TrueCrypt, the popular disk
encryption system, says that development has ended, and Windows users should
switch to BitLocker. A notice on the site reads, "WARNING: Using TrueCrypt
is not secure as it may contain ... 阅读全帖 |
|
|
|
|
|
i*******r
发帖数: 377 | 46 能破解和能很快破解是两回事
另外有些算法目前没有已知的脆弱性
FBI的cluster算起来很麻烦的
我就赌他们没精力解密我的内容.哈哈
很简单,你去LKML上看看,n多人用GPG sign,FBI的力量也有穷尽的时候 |
|
