-
Что касается Juick, то мы совсем не против шифрования, если это не носит обязательно-принудительный характер. На Juick шифрования S2S нет исключительно потому, что никто этим не занимался: все равно все посты в открытом виде на сайте лежат, так зачем что-то шифровать?!
По моему скромному мнению, вся эта затея с шифрованием ради шифрования — идиотизм и популизм. А что думаете вы? Нужно ли отключать 5% серверов ради красивых громких слов, мол "у нас тут 100% зашифровано"?
Replies (99)
-
@DeeZ, Чтобы его включить, его сначала нужно написать. Кто этим будет заниматься? github.com
-
@ugnich, а куда его выводить-то? :) У меня-то, например, на сервере загружен mod_manifesto и он, конечно, рассылает подобные сообщения пользователям (ниже процитировано). Но ведь всем пофиг же ж. Поэтому, зная инертность пользователей — и придумали манифест. И вводят шифрование.
----
Здравствуйте!
Вы получили данное автоматическое сообщение в качестве извещения о некоторых предстоящих изменениях на нашем сервисе (%SERVERNAME%).
Некоторые Ваши контакты, находятся на XMPP-серверах, которые не поддерживают шифрование.
Наш сервис (mva.name), как участник инициативы по улучшению безопасности сети XMPP и защиты пользователей от "прослушки" будет участвовать в серии тестов (для того, чтобы выяснить насколько сильно некоторые наши предстоящие изменения воздействуют на пользователей.
Как следствие, Вы можете на некоторое время потерять возможность общаться с данными контактами.
Дни, в которые будет проводиться описанное выше тестирование: 4 Января, 22 Февраля, 22 Марта и 19 Апреля.
В данные дни наш сервис будет требовать чтобы любое клиентское или серверное соединение было зашифрованным.
Если к этому времени данные сервисы не включат шифрование, Вы не сможете общаться с людьми, использующими сервисы:
gmail.com
juick.com
bot.talk.google.com
it-the-drote.tk
altlinux.org
nclug.ru
jabber.tomsk.ru
zetoke.net
konkere.ru
В частности (Ваши контакты на этих сервисах):
<...>
—
Что Вы можете сделать в данной ситуации? Вы можете попросить Ваших знакомых (перечисленных выше) проинформировать администраторов их сервисов о той "дыре" в безопасности, которую имеют их сервисы.
Как вариант, Ваши контакты могут захотеть сменить сервис на более безопасный, если они узнают о данной бреши в их безопасности.
Лист публичных серверов может быть найден на xmpp.net
Для получения большей информации об инициативе, в которой мы участвуем, пожалуйста, прочитайте объявление по следующей ссылке: stpeter.im
Если у Вас возникли какие-то вопросы или проблемы, Вы можете связаться с нами через Jabber/XMPP по адресу mva@mva.name
С наилучшими пожеланиями,
команда mva.name -
@datacompboy, Ничем. Я не против шифрования. Я против насильственных принудительных отключений.
-
@ugnich, и для этого предлагаешь насильственно-принудительное отключение этих хостов?
-
@ugnich, Т.е. фактически, если мой сервер внезапно, то ты предлагаешь завести отдельный жид для жуйка?
-
@ugnich, 95% мировых серверов. Не тех, что в России. Вот в чём дело. Ну, на самом деле, не только в России.
Тут, как ты верно отметил, дело в популизме и криптофанатизме (да, я, например, криптофанатик и горжусь этим).
Опять же, ты справедливо отметил, что, да, всё это ради того, чтобы сказать "у нас всё зашифровано, не бойтесь NSA/кровавой гэбни/whatever".
// они, правда, упускают момент, что кровавая гэбня может просто тупо запретить шифрованый трафик или вообще IM-технологию :) -
@ugnich, «Если начиная с сегодняшнего дня ваш Jabber сервер больше не видит Juick, значит администратор вашего сервера повелся на лозунги отключать и запрещать всех, кто не использует шифрование. Соболезную и рекомендую сменить сервер.» => в жуйке отключаются поддержавшие инициативу сервера
-
@ugnich, слава богу, что жуйк эта хрень обошла. в последнее время вообще дофига параноиков развелось. будто кому-то есть дело до их личных переписок.
а если информация действительно приватная и важная, то и для обмена такой информацией нужно использовать надежные защищенные каналы... а не какую-нибудь социальную сеть или сервис микроблогов/33 · Reply -
@OstapkoBender, Я ничего не предлагаю. Но если ваш админ идиот и вам нужен доступ к Juick по XMPP, то придется переезжать.
-
@mva, это подобные вещи. не равные, но подобные. причем коэффициент подобия со стороны первого ко второму близок к одному
-
@ugnich, так-то оно так. Но футбольный и религиозный — приносят вред окружающим и разжижают мозг владельца. А вот крипто — знаючи, в каком мире мы живём, и что в любой момент тебя могут "продать" или использовать — помогает от этого защищаться.
Я, например, вот, абсолютно не хочу чтоб меня таргетили рекламой. не хочу, чтобы на меня собирали досье, чтобы знали, с кем я встречаюсь и куда хожу (хотел ещё написать "и чьи сиськи в Juick комментирую", но уже давненько не припомню тут сиськопостов). -
@mva, это будет офигенный вброс же. Вопрос в том, кто после холивара вымрет, а кто останется.
Жабросообщество и так маленькое, ещё и по крипте делиться — вообще зло. -
@Ta2i4,
в последнее время вообще дофига параноиков развелось
С разморозкой, няша. Параноики кончились, всё оказалось правдой.
будто кому-то есть дело до их личных переписок
Вот когда понадобятся, тогда достанут из архивов и привет :} См. также LOVEINT. -
@ugnich, лол, зачем понимать в TLS, если оно есть готовое в Java? Я ж не собираюсь писать реализацию с нуля. Там по сути одна строчка :
SSLSocket sslsocket = (SSLSocket) sslsocketfactory.createSocket(
socket,
socket.getInetAddress().getHostAddress(),
socket.getPort(),
true);
еще штуки три строки надо чтоб хранилище сертификатов и опции проверки указать. -
@vt, Я думаю у Угнича внутреннее противление сертификатам. Вон он сколько времени https делал. А тут ты.
-
@SannySanoff, отлично звучит "https делал",
как будто сам реализовывал, сам подписывал.
вроде, на деле ведь все в хостинг упиралось -
@Renha, тут вопрос не в тестировании, а в том, сколько пользователей потеряет ресурс. Ежели больше половины — то Угнич зачешется, да. Ежели нет — то пофиг.
-
@OstapkoBender, Но ведь ресурс для гиков. Все и уйдут, кхе :}
-
@Tenno-Seremel, лолшто, жуйк для гиков? Может и ЕР для народа?
-
@OstapkoBender, YGNCH так сказал, ты ему не доверяешь??? :}
-
@OstapkoBender, Да ни сколько, на самом деле. В России все оказались такими независимыми и осторожными, что у всех крупных игроков сейчас есть поддержка, но нет требования шифрования. И есть планы в течение года таки начать его требовать.
Но все это шифрование хотя бы уже поддерживают несколько лет, а Жуик — до сих пор нет. -
@Santiago26, Этот тред заставил меня задуматься, оказывается у меня есть, что скрывать. Пока у меня шифрование s2s опционально, но включить его принудительно не помешало бы. А тут вот такое...
-
@k0st1x, А я не в курсе, просвети. Про хостинг. В сертификат — знаю. Про хостинг — нет.
-
@vt, В серверной части stream:features никак не обрабатывается — незачем.
Не забудьте про раздельные процессы для исходящих и входящих соединений. Не забудьте про две версии стандарта XMPP. Не забудьте про непредсказумые и загадочные глюки некоторых серверов. Не забудьте про множество стандартов на шифрование.
Если получится уложится в сотню строк и три дня — это будет чудо. 5 строк за один вечер — это просто смешно. -
@SannySanoff, Оставьте этот снисходительно-пренебрежительный тон для общения со своими родителями, которые не научили вас простому уважению к себе и окружающим.
-
@zinid, Если бы этот разговор состоялся лет 5 назад, можно бы было поговорить об объединении jabber.ru и juick. :) Думаю, тогда ещё могло что-то получится.
В любом случае, спасибо за предложение, но разносить на две машины или переносить весь сервис на чужой сервер мне не хочется. -
@ugnich, "Ни один человек, который не смог пройти через дверь, не ничего не написал в жалобной книге за этой дверью" :)
-
@datacompboy, Хотел придраться к «не ничего», но фраза то корректная получилась и так :)
-
@ugnich, Я все прекрасно знаю про глюки серверов и версии XMPP, так что с исходниками? Зачем заявлять "допишите", но исходники не давать? :) Давай попробуем, я же не говорю что нужно прям сразу это втыкать в жуйк в этот же вечер. Просто писать с нуля s2s я не готов, а в готовый s2s добавить ssl — вполне.
-
@vt, Я могу дать несколько файлов, которые работают с этой библиотекой, но запустить у себя и протестировать вы всё равно не сможете. Даже если я дам вообще весь код, все равно не запустите.
Juick никогда не разрабатывался с учетом того, что он будет запускаться где-либо ещё, кроме своего родного сервера. Это не Wordpress, который каждый запускает на личном сервере.
Поэтому, если вы хотите протестировать свой код, то в любом случае придется писать свою обвязку к этому коду. Использовать готовое из Juick не получится.
Если я могу ещё чем-то помочь, пожалуйста, дайте знать. -
@ugnich, я напомню, что в этой библиотеке уже есть мой код, значит я ее как-то запускал ;) Мне нужна только реализация s2s, я запущу ее без остального жуйка. Я таки в итоге хочу получить по-прежнему независимую от остального жуйка xmpp-библиотеку, код жуйка мне и не нужен.