Re: פתיחת ההצבעה לפ רס המקור

[Shachar Shemesh]

Ori Idan wrote:

godaddy.com 

ממה שאני ראיתי, המחיר שלהם הוא יותר קרוב ל-30$ לשנה, 27 אם אתה קונה 
לשנתיים. כמו כן, זוהי תעודה שלא חותמת על זהות הבעלים, רק על שם המתחם. 
כלומר זוהי תעודה שלא מספקת יותר הגנה מאשר התעודה שיש שם כרגע. אם אתה 
מוצא מקום אחר שם שהם מוכרים יותר בזול, אנא תן קישור.


שחר
___
Discussions mailing list
Discussions@hamakor.org.il
http://hamakor.org.il/cgi-bin/mailman/listinfo/discussions

Re: פתיחת ההצ בעה לפרס המקור

[Ori Idan]

godaddy.com


2008/7/11 Shachar Shemesh <[EMAIL PROTECTED]>:

>  Ori Idan wrote:
>
> אגב אפשר לקבל היום תעודות כאלו בסכום של כ 15$ בשנה כאשר תהליך האימות לוקח
> שעות בלבד.
>
>  קישור, בבקשה?
>
> שחר
>



-- 
ספרים וסיפורים שכתבתי: http://www.thestories.org
___
Discussions mailing list
Discussions@hamakor.org.il
http://hamakor.org.il/cgi-bin/mailman/listinfo/discussions

Re: פתיחת ההצבעה לפ רס המקור

[Shachar Shemesh]

Ori Idan wrote:
אגב אפשר לקבל היום תעודות כאלו בסכום של כ 15$ בשנה כאשר תהליך האימות 
לוקח שעות בלבד.



קישור, בבקשה?

שחר
___
Discussions mailing list
Discussions@hamakor.org.il
http://hamakor.org.il/cgi-bin/mailman/listinfo/discussions

Re: פתיחת ההצ בעה לפרס המקור

[Amit Aronovitch]

1. לגבי ההצבעה הנוכחית, נראה לי שהעמוד הלא מוצפן פותר את הבעיה.
(לגבי האוכלוסיה ה"פרנואידית (-:" , אני מניח שאם מישהו בכ"ז מוטרד
מסוגית זיהוי האתר, הוא מן הסתם גם השתתף באחת מ"מסיבות ה-gpg" ויוכל
לבקש משחר לחתום על התעודה הקיימת).

2. בכ"ז, אני חושב שמכיוון שלא מדובר בסכום גדול, שווה לרכוש תעודה,
שתאפשר לנו להעלות תוכן ssl עתידי ללא שגיאות דפדפן (אפשר לתת לאנשים
שהות להביע התנגדות - אם כי אולי זה קצת קטנוני כשמדובר בסכומים כאלה).
לאחר שנתיים, אם נראה שלא נעשה בזה שימוש, נוכל להמנע מחידוש הרשיון.

עא

2008/7/11 Shachar Shemesh <[EMAIL PROTECTED]>:
> Aviram Jenik wrote:
>
> On Friday 11 July 2008 Shachar Shemesh wrote:
>
>
> לדעתי אתה מסתכל על העצים ומספספס את היער.
> התשובה הנכונה יותר היא: "זה אומר שאתה מקבל הודעת שגיאה מהדפדפן".
>
>
>
> אז מה רע בפתרון מס' 1?
>
> ממילא מבחינה טכנית האזנה לתעבורה בין הדפדפן לאתר המקור היא לא טריביאלית, ויש
> דרכי התקפה אפקטיביות יותר. במקרה של הצבעה, לא ברור מה האזנה כזאת בכלל נותנת
> למתקיף.
> מה שהשימוש ב- SSL אמור לעשות זה להרגיע את המשתמש ואילו הודעת שגיאה עושה את
> ההיפך.
>
>
>
> ועל כן, אני שואל את הקהל המלומד פה - מה לדעתכם כדאי לנו לעשות?
>
>
> שתי אפשרויות:
> 1. לוותר על SSL שלא ברור מה הוא נותן בהצבעה
> 2. להוציא תעודת SSL (בזול, בחינם, whatever כל עוד הוא יאפשר גלישה שקטה
> בפיירפוקס ואקספלורר).
>
>
> בחינם אומר שרק מיעוט הדפדפנים לא יקבל שגיאה. זה משאיר "בזול". אם זה לא נותן
> כלום, אז למה ללכת על זה?
>
> אני מצביע בעד אפשרות 2, כיוון שבעתיד יתכן ויהיו שימושים נוספים ל- SSL בעוד
> שהעלות היא בין "אפס" לבין "סכום אפסי"
>
>
> אני אשמח לשמוע על "אפס". אני מכיר את go-daddy בעלות של כ-60 דולר לשנתיים.
>
> שחר
___
Discussions mailing list
Discussions@hamakor.org.il
http://hamakor.org.il/cgi-bin/mailman/listinfo/discussions

Re: פתיחת ההצ בעה לפרס המקור

[Ori Idan]

ונמשיך בקו שהתחלתי בו בבוקר.
ההצבעה הזו היא ממש עניין רציני, אם נצליח להעלות מועמד מסויים (שלא אגלה את
שמו) נצליח להרוס לא רק את עמותת המקור אלא גם את כל קהילת התוכנה החופשית...

טוב ועכשיו נחזור לרצינות.
אין כל סיבה לעשות את ההצבעה מאובטחת.
לכן אני שמח ששחר נתן גם קישור לא מאובטח.
לגבי העתיד, לא יודע, כאשר אצטרך להכניס את כרטיס האשראי שלי לשרת המקור אז
כנראה אחשוב אחרת.
אגב אפשר לקבל היום תעודות כאלו בסכום של כ 15$ בשנה כאשר תהליך האימות לוקח
שעות בלבד.


2008/7/11 Shachar Shemesh <[EMAIL PROTECTED]>:

>  Aviram Jenik wrote:
>
>
> לדעתי אתה מסתכל על העצים ומספספס את היער.
> התשובה הנכונה יותר היא: "זה אומר שאתה מקבל הודעת שגיאה מהדפדפן".
>
>
>
>  אני חושב שמצאתי את הפתרון המושלם. כל מי שהודעת השגיאה מפחידה אותו מוזמן
> להצביע בכתובת http://hamakor.org.il/elections.php. כנ"ל לגבי הפרנואידים
> באמת - כך הם יכולים להצביע ללא חשש שמא התעודה שהם מצביעים איתה לא נכונה.
>
> שחר
>
> ___
> Discussions mailing list
> Discussions@hamakor.org.il
> http://hamakor.org.il/cgi-bin/mailman/listinfo/discussions
>



-- 
ספרים וסיפורים שכתבתי: http://www.thestories.org
___
Discussions mailing list
Discussions@hamakor.org.il
http://hamakor.org.il/cgi-bin/mailman/listinfo/discussions

Re: פתיחת ההצבעה לפ רס המקור

[Shachar Shemesh]

Aviram Jenik wrote:


לדעתי אתה מסתכל על העצים ומספספס את היער.
התשובה הנכונה יותר היא: "זה אומר שאתה מקבל הודעת שגיאה מהדפדפן". 

  
אני חושב שמצאתי את הפתרון המושלם. כל מי שהודעת השגיאה מפחידה אותו מוזמן 
להצביע בכתובת http://hamakor.org.il/elections.php. כנ"ל לגבי הפרנואידים 
באמת - כך הם יכולים להצביע ללא חשש שמא התעודה שהם מצביעים איתה לא נכונה.


שחר
___
Discussions mailing list
Discussions@hamakor.org.il
http://hamakor.org.il/cgi-bin/mailman/listinfo/discussions

Re: פתיחת ההצבעה לפ רס המקור

[Shachar Shemesh]

עומר, אתה מתעלם ממערכת ההצבעה עצמה. כל הניתוח שלך מניח שמערכת ההגנה 
היחידה היא ההצפנה של התקשורת.


Omer Zak wrote:

לדעתי הסיכונים הם:
1. אתה מצביע בדומיין לא נכון וההצבעה שלך הולכת לאיבוד.
2. מישהו אחר מצביע במקומך.
3. מישהו אחר מגלה לטובת מי הצבעת בניגוד לרצונך.

במקרה 1 אתה יכול לבדוק אחר כך אם ההצבעה שלך נרשמה, אם מארגני הבחירות
יפרסמו את רשימת המצביעים. (בגלל phishing, אי אפשר לסמוך על בדיקה באתר.)
  
את רשימת המצביעים - לא. את רשימת המפתחות שהצביעו, ולמה כל מפתח הצביע - 
כן. אם מישהו הפנה אותך לאתר אחר, אתה יכול לגלות את זה לאחר מעשה. השאלה 
היותר גדולה היא מה אתה יכול לעשות בנידון. אפשר היה להקשיח את המערכת כך 
שנוכל לדעת שהבעיה שאתה טוען שיש באמת קיימת, וגם מי הצביע במקומך ומתי. 
כרגע המערכת שומרת את זמן ההצבעה האחרון ואת כתובת ה-IP שממנה ההצבעה 
הגיעה. אם תצליח לשכנע אותנו שבאמת המפתח שאתה טוען ששלך אכן שלך, יש דרך 
למצוא מי גנב לך את הקול.

בשביל מקרה 2 צריך את מירב האבטחה.
  

שוב, אפשר לדעת את זה בדיעבד, וגם לטפל בזה, גם אם התקשורת לא מוצפנת.

בשביל מקרה 3, צריך SSL וגם לוודא שלא יידעו מה היו התוצאות הזמניות ברגעים
שלפני ואחרי הצבעתך.
  
לא צריך SSL. מלבד המייל הראשוני שאיתו אנחנו מפיצים את המפתחות (שהוא נשלח 
בצורה גלויה ממילא, ולו בגלל שאין לנו מפתחות PGP של כל החברים), כל מה 
שמקשר אותך להצבעה שלך הוא המפתח שלך (שאותו, אני מניח, אתה לא מפרסם) 
וכתובת ה-IP שלך (שקשה לקשר אותה חזרה למשתמש).


שחר
___
Discussions mailing list
Discussions@hamakor.org.il
http://hamakor.org.il/cgi-bin/mailman/listinfo/discussions

Re: פתיחת ההצבעה לפ רס המקור

[Shachar Shemesh]

Aviram Jenik wrote:

On Friday 11 July 2008 Shachar Shemesh wrote:
  
לדעתי אתה מסתכל על העצים ומספספס את היער.
התשובה הנכונה יותר היא: "זה אומר שאתה מקבל הודעת שגיאה מהדפדפן". 

  

אז מה רע בפתרון מס' 1?
ממילא מבחינה טכנית האזנה לתעבורה בין הדפדפן לאתר המקור היא לא טריביאלית, ויש 
דרכי התקפה אפקטיביות יותר. במקרה של הצבעה, לא ברור מה האזנה כזאת בכלל נותנת 
למתקיף. 
מה שהשימוש ב- SSL אמור לעשות זה להרגיע את המשתמש ואילו הודעת שגיאה עושה את 
ההיפך.


  

ועל כן, אני שואל את הקהל המלומד פה - מה לדעתכם כדאי לנו לעשות?



שתי אפשרויות:
1. לוותר על SSL שלא ברור מה הוא נותן בהצבעה
2. להוציא תעודת SSL (בזול, בחינם, whatever כל עוד הוא יאפשר גלישה שקטה 
בפיירפוקס ואקספלורר).
  
בחינם אומר שרק מיעוט הדפדפנים לא יקבל שגיאה. זה משאיר "בזול". אם זה לא 
נותן כלום, אז למה ללכת על זה?
אני מצביע בעד אפשרות 2, כיוון שבעתיד יתכן ויהיו שימושים נוספים ל- SSL בעוד 
שהעלות היא בין "אפס" לבין "סכום אפסי"
  

אני אשמח לשמוע על "אפס". אני מכיר את go-daddy בעלות של כ-60 דולר לשנתיים.

שחר
___
Discussions mailing list
Discussions@hamakor.org.il
http://hamakor.org.il/cgi-bin/mailman/listinfo/discussions

Re: פתיחת ההצבעה לפרס המקור

[Omer Zak]

אני נגרר לדיון המעניין הזה של ניתוח סיכונים.

זה סיפור קטן מדי בשביל שהכרישים הגדולים יתעניינו בזיוף הבחירות האלה, אבל
אם המערכת תעבוד היטב, יכול להיות שישתמשו בה גם לבחירות שבהן מוטל יותר על
הכף ולכן שווה להשקיע במחשבה על אבטחתה (מה עוד שזה גם תרגיל אינטלקטואלי
מעניין).

לדעתי הסיכונים הם:
1. אתה מצביע בדומיין לא נכון וההצבעה שלך הולכת לאיבוד.
2. מישהו אחר מצביע במקומך.
3. מישהו אחר מגלה לטובת מי הצבעת בניגוד לרצונך.

במקרה 1 אתה יכול לבדוק אחר כך אם ההצבעה שלך נרשמה, אם מארגני הבחירות
יפרסמו את רשימת המצביעים. (בגלל phishing, אי אפשר לסמוך על בדיקה באתר.)
בשביל מקרה 2 צריך את מירב האבטחה.
בשביל מקרה 3, צריך SSL וגם לוודא שלא יידעו מה היו התוצאות הזמניות ברגעים
שלפני ואחרי הצבעתך.

אישור (certificate) שעולה כסף יכול לדעתי לתרום רק לצמצום סיכון מס' 1
יחסית לאישור שהינו self-signed.  מכיוון שיש דרך אחרת לצמצם את סיכון מס'
1, לדעתי ההחלטה לא לקנות אישור היא סבירה.

--- עומר



On Fri, 2008-07-11 at 05:20 -0400, Aviram Jenik wrote:
> On Friday 11 July 2008 Shachar Shemesh wrote:
> > Amit Aronovitch wrote:
 <> > שמתי לב שאתר ההצבעה הוא self-signed.
 <> > זה קצת בעייתי - מצד אחד לאלה מאיתנו שנבהלים מהודעות אזהרה של הדפדפן,
 <> > ומצד שני ל"פרנואידים" יותר שרוצים לודא שה-certificate הזה באמת הוצא ע"י
 <> > המקור.
> > >
> >
 <> לפני שאני מנתח אותם, בואו נשאל את עצמינו מה אומר שהתעודה לא חתומה ע"י
 <> מישהו מוכר? התשובה היא - אתם לא בטוחים שהגעתם לאתר "המקור", ולא לאתר אחר
 <> שגנב לנו את ה-DNS. 
> 
 <לדעתי אתה מסתכל על העצים ומספספס את היער.
 <התשובה הנכונה יותר היא: "זה אומר שאתה מקבל הודעת שגיאה מהדפדפן". 
> 
 <ממילא מבחינה טכנית האזנה לתעבורה בין הדפדפן לאתר המקור היא לא טריביאלית, ויש 
 <דרכי התקפה אפקטיביות יותר. במקרה של הצבעה, לא ברור מה האזנה כזאת בכלל נותנת 
 <למתקיף. 
 <מה שהשימוש ב- SSL אמור לעשות זה להרגיע את המשתמש ואילו הודעת שגיאה עושה את 
 <ההיפך.
> 
 <> ועל כן, אני שואל את הקהל המלומד פה - מה לדעתכם כדאי לנו לעשות?
> 
 <שתי אפשרויות:
 <1. לוותר על SSL שלא ברור מה הוא נותן בהצבעה
 <2. להוציא תעודת SSL (בזול, בחינם, whatever כל עוד הוא יאפשר גלישה שקטה 
 <בפיירפוקס ואקספלורר).
> 
 <אני מצביע בעד אפשרות 2, כיוון שבעתיד יתכן ויהיו שימושים נוספים ל- SSL בעוד 
 <שהעלות היא בין "אפס" לבין "סכום אפסי"
> >
 <> שחר
> 
 <- אבירם

___
Discussions mailing list
Discussions@hamakor.org.il
http://hamakor.org.il/cgi-bin/mailman/listinfo/discussions

Re: פתיחת ההצבעה לפרס המקור

[Aviram Jenik]

On Friday 11 July 2008 Shachar Shemesh wrote:
> Amit Aronovitch wrote:
> > שמתי לב שאתר ההצבעה הוא self-signed.
> > זה קצת בעייתי - מצד אחד לאלה מאיתנו שנבהלים מהודעות אזהרה של הדפדפן,
> > ומצד שני ל"פרנואידים" יותר שרוצים לודא שה-certificate הזה באמת הוצא ע"י
> > המקור.
> >
>
> לפני שאני מנתח אותם, בואו נשאל את עצמינו מה אומר שהתעודה לא חתומה ע"י
> מישהו מוכר? התשובה היא - אתם לא בטוחים שהגעתם לאתר "המקור", ולא לאתר אחר
> שגנב לנו את ה-DNS. 

לדעתי אתה מסתכל על העצים ומספספס את היער.
התשובה הנכונה יותר היא: "זה אומר שאתה מקבל הודעת שגיאה מהדפדפן". 

ממילא מבחינה טכנית האזנה לתעבורה בין הדפדפן לאתר המקור היא לא טריביאלית, ויש 
דרכי התקפה אפקטיביות יותר. במקרה של הצבעה, לא ברור מה האזנה כזאת בכלל נותנת 
למתקיף. 
מה שהשימוש ב- SSL אמור לעשות זה להרגיע את המשתמש ואילו הודעת שגיאה עושה את 
ההיפך.

> ועל כן, אני שואל את הקהל המלומד פה - מה לדעתכם כדאי לנו לעשות?

שתי אפשרויות:
1. לוותר על SSL שלא ברור מה הוא נותן בהצבעה
2. להוציא תעודת SSL (בזול, בחינם, whatever כל עוד הוא יאפשר גלישה שקטה 
בפיירפוקס ואקספלורר).

אני מצביע בעד אפשרות 2, כיוון שבעתיד יתכן ויהיו שימושים נוספים ל- SSL בעוד 
שהעלות היא בין "אפס" לבין "סכום אפסי"
>
> שחר

- אבירם
___
Discussions mailing list
Discussions@hamakor.org.il
http://hamakor.org.il/cgi-bin/mailman/listinfo/discussions

Re: פתיחת ההצבעה לפ רס המקור

[Shachar Shemesh]

Amit Aronovitch wrote:

שמתי לב שאתר ההצבעה הוא self-signed.
זה קצת בעייתי - מצד אחד לאלה מאיתנו שנבהלים מהודעות אזהרה של הדפדפן,
ומצד שני ל"פרנואידים" יותר שרוצים לודא שה-certificate הזה באמת הוצא ע"י המקור.

כדאי לשים דף הוראות שמסביר איך לייבא את ה certificate (ואולי גם לחתום
עליו במפתח פומבי של מישהו).
לחילופין, אולי כדאי להוציא certificate לאתר העמותה ע"י CA מוכר...

  

מצד שני, אלו האלטרנטיבות:
1 להשתמש בחיבור לא מוצפן בכלל.
2 לשלם קצת כסף לרשם מוסמך ולחתום על שם המתחם בלבד
3 לשלם הרבה כסף לרשם מוסמך ולחתום על שם המתחם ועל הארגון
4 להוציא תעודה בחינם מ-cacert.org

לפני שאני מנתח אותם, בואו נשאל את עצמינו מה אומר שהתעודה לא חתומה ע"י 
מישהו מוכר? התשובה היא - אתם לא בטוחים שהגעתם לאתר "המקור", ולא לאתר אחר 
שגנב לנו את ה-DNS. בואו ננתח את האלטרנטיבות על פי הסדר:


1 - חיבור לא מוצפן פירושו שלא זו בלבד שאתם עדיין לא בטוחים שהגעתם למקום 
הנכון, אלא שאתם עכשיו גם מצביעים עם מפתח הצבעה שנשלח בצורה לא מוצפנת. 
הפתרון הזה הוא פתרון נחות לפתרון הנוכחי בכל מדד.


2 - אתם *עדיין* לא יודעים שאף אחד לא גנב את שם המתחם, מכיוון שמי שהיה 
גונב את שם המתחם היה גם מצליח להוציא את התעודה. במילים אחרות, הפתרון הזה 
לא יותר בטוח מהפתרון הנוכחי. הייתרון היחידי של הפתרון הזה הוא שאין אזהרה 
מפחידה מצד הדפדפן. לא שווה את הכסף, לדעתי.


3 - רק לצורך סיבור האוזן, "הרבה" זה כמה מאות דולרים. תהליך הווידוא לוקח 
כמה ימים (אולי אפילו שבועות). למשתמש הסופי אין שום דרך להבדיל בין הפתרון 
הזה לבין פתרון מס' 2. לא שווה את הכסף וכאב הראש לדעתי.


4 - הפתרון הזה לא יותר או פחות בטוח מאשר פתרון מס' 2. אמצעי הזיהוי הוא 
בדיוק אותו הדבר, ובהנחה ש-cacert עושים את העבודה שלהם, אפשר לסמוך עליהם 
באותה המידה. לאור העובדה שהם נותנים את התעודות בחינם, אולי זה משהו ששווה 
לעשות. הבעיה הגדולה עם הפתרון הזה היא שרוב הדפדפנים לא סומכים על תעודה 
השורש של cacert, מה שמביא אותנו חזרה לבעיה הראשונית - יש הודעה מפחידה 
מצד הדפדפן. במילים אחרות, זהו פתרון יותר זול מאשר פתרון מס' 2, אבל הוא 
לא מכיל את הייתרון היחידי שפתרון מס' 2 הציע.


ועל כן, אני שואל את הקהל המלומד פה - מה לדעתכם כדאי לנו לעשות?

שחר
___
Discussions mailing list
Discussions@hamakor.org.il
http://hamakor.org.il/cgi-bin/mailman/listinfo/discussions

Re: פתיחת ההצ בעה לפרס המקור

[Amit Aronovitch]

שמתי לב שאתר ההצבעה הוא self-signed.
זה קצת בעייתי - מצד אחד לאלה מאיתנו שנבהלים מהודעות אזהרה של הדפדפן,
ומצד שני ל"פרנואידים" יותר שרוצים לודא שה-certificate הזה באמת הוצא ע"י המקור.

כדאי לשים דף הוראות שמסביר איך לייבא את ה certificate (ואולי גם לחתום
עליו במפתח פומבי של מישהו).
לחילופין, אולי כדאי להוציא certificate לאתר העמותה ע"י CA מוכר...

בינתיים - למי שמשתמש ב- Firefox 3 ולא אוהב להכניס Exceptions, יבוא
הרשיונות נמצא ב-
 Edit/Preferences/Advances/View Certificates/Import
(קודם צריך לשמור אותו בקובץ...)
___
Discussions mailing list
Discussions@hamakor.org.il
http://hamakor.org.il/cgi-bin/mailman/listinfo/discussions