From: "Dmitry V. Levin" <ldv@altlinux.org> To: ALT Devel discussion list <devel@lists.altlinux.org> Subject: Re: [devel] RFC: ca-certificates a la Fedora Date: Fri, 22 Dec 2017 04:28:05 +0300 Message-ID: <20171222012805.GA16098@altlinux.org> (raw) In-Reply-To: <20171222003606.GJ4981@comp-core-i7-2640m-0182e6.fortress> [-- Attachment #1: Type: text/plain, Size: 2943 bytes --] On Fri, Dec 22, 2017 at 01:36:06AM +0100, Alexey Gladkov wrote: > On Thu, Dec 21, 2017 at 06:48:16PM +0300, Mikhail Efremov wrote: > > Hello! > > > > Это должно работать с openssl и gnutls, а вот с nss проблема: я так > > понимаю, что nss использует собственный бандл, а не системный, и > > использует libnssckbi.so для работы с ним. В p11-kit используется модуль > > pkcs11/p11-kit-trust.so и утверждается, что он бинарно совместим с > > libnssckbi.so, так что в Федоре некоторое время имели модули > > libnssckbi.so и p11-kit-trust.so на альтернативах, а сейчас просто > > выкинули libnssckbi.so из nss > > (https://bugzilla.redhat.com/show_bug.cgi?id=1484449). > > Но даже если про бинарную совместимость - это правда, то у меня есть > > сомнения, что это всегда будет так в следующих версиях nss и p11-kit и > > нас нет автоматической проверки таких вещей при сборке. > > Нету. Плюс появление несовместимости станет блокирокером к обновлению nss, > что с точке зрения безопасности мне не нравится. > > Если идти по этому пути, то я бы сделал альтернативы для этой библиотеки. Альтернативы для библиотек -- это вообще плохая идея, я всё никак не придумаю способа их эффективно запретить. > Кроме того, в nssckbi встроенная база Root CA Certificate поддерживается в > актуальном состоянии Mozilla. Пакет ca-certificates, насколько я понимаю, поставляет ту же самую базу, которую импортирует из nss/lib/ckfw/builtins/certdata.txt, достаточно просто обновлять её своевременно. > В тоже время > > # > # ALT CA > # > > Certificate: > Data: > Version: 3 (0x2) > Serial Number: 0 (0x0) > Signature Algorithm: sha1WithRSAEncryption > Issuer: C=RU, O=ALT Linux Team, OU=ALT Certification Authority, CN=ALT Root Certification Authority/emailAddress=ca-root@altlinux.org > Validity > Not Before: Jan 1 00:00:00 2007 GMT > Not After : Jan 1 00:00:00 2017 GMT > Subject: C=RU, O=ALT Linux Team, OU=ALT Certification Authority, CN=ALT Root Certification Authority/emailAddress=ca-root@altlinux.org > > И вот `Not After : Jan 1 00:00:00 2017 GMT` вселяет сомнения в таком же > уровне поддержки. Это артефакт, ALT CA давно решили упразднить. > > libnssckbi.so, тогда у нас действительно будет единое место для > > хранения CA сертификатов. Эту проблему придется как-то решать. > > На мой взгляд правильный путь это добавление сертификатов в базу nss. > https://wiki.mozilla.org/NSS_Shared_DB > https://wiki.mozilla.org/NSS_Shared_DB_And_LINUX Существует ли инструмент экспорта в формат, с которым работает libnssckbi.so? > Ну или альтертантивы для libnssckbi.so. Либо разные реализации libnssckbi.so окажутся настолько совместимы, что будет использоваться только одна, либо нет, и тогда придётся использовать разные реализации одновременно и мы вернёмся к нынешней ситуации. -- ldv [-- Attachment #2: signature.asc --] [-- Type: application/pgp-signature, Size: 801 bytes --]
next prev parent reply other threads:[~2017-12-22 1:28 UTC|newest] Thread overview: 37+ messages / expand[flat|nested] mbox.gz Atom feed top 2017-12-21 15:48 Mikhail Efremov 2017-12-21 23:21 ` Mikhail Efremov 2017-12-29 15:38 ` Mikhail Efremov 2017-12-29 15:53 ` Dmitry V. Levin 2017-12-29 16:08 ` Dmitry V. Levin 2017-12-29 16:29 ` Mikhail Efremov 2018-01-09 23:22 ` Mikhail Efremov 2018-01-09 23:33 ` Mikhail Efremov 2018-01-10 0:41 ` Ivan Zakharyaschev 2017-12-22 0:36 ` Alexey Gladkov 2017-12-22 1:28 ` Dmitry V. Levin [this message] 2017-12-22 2:26 ` Alexey Gladkov 2017-12-22 16:33 ` Mikhail Efremov 2017-12-22 22:37 ` Dmitry V. Levin 2017-12-22 23:53 ` Alexey Gladkov 2017-12-22 23:58 ` Dmitry V. Levin 2017-12-23 0:30 ` Alexey Gladkov 2017-12-23 0:05 ` Alexey Gladkov 2017-12-23 0:22 ` Dmitry V. Levin 2017-12-23 0:35 ` Alexey Gladkov 2017-12-23 0:58 ` Dmitry V. Levin 2017-12-23 1:07 ` Alexey Gladkov 2017-12-23 11:54 ` Mikhail Efremov 2017-12-23 12:00 ` Dmitry V. Levin 2017-12-23 23:58 ` Mikhail Efremov 2017-12-24 0:04 ` [devel] RFC: *-install-test Dmitry V. Levin 2017-12-24 1:05 ` Alexey Gladkov 2017-12-24 1:09 ` Dmitry V. Levin 2018-01-06 23:22 ` Dmitry V. Levin 2018-01-07 0:23 ` Alexey Tourbin 2018-01-07 0:46 ` Dmitry V. Levin 2018-01-07 6:25 ` Alexey Tourbin 2018-01-07 10:49 ` Dmitry V. Levin 2017-12-24 10:08 ` [devel] check_*_pkg? Was: " Ivan Zakharyaschev 2017-12-23 11:21 ` [devel] RFC: ca-certificates a la Fedora Mikhail Efremov 2017-12-23 11:58 ` Dmitry V. Levin 2017-12-23 14:54 ` Alexey V. Vissarionov
Reply instructions: You may reply publicly to this message via plain-text email using any one of the following methods: * Save the following mbox file, import it into your mail client, and reply-to-all from there: mbox Avoid top-posting and favor interleaved quoting: https://en.wikipedia.org/wiki/Posting_style#Interleaved_style * Reply using the --to, --cc, and --in-reply-to switches of git-send-email(1): git send-email \ --in-reply-to=20171222012805.GA16098@altlinux.org \ --to=ldv@altlinux.org \ --cc=devel@lists.altlinux.org \ /path/to/YOUR_REPLY https://kernel.org/pub/software/scm/git/docs/git-send-email.html * If your mail client supports setting the In-Reply-To header via mailto: links, try the mailto: link
ALT Linux Team development discussions This inbox may be cloned and mirrored by anyone: git clone --mirror http://lore.altlinux.org/devel/0 devel/git/0.git # If you have public-inbox 1.1+ installed, you may # initialize and index your mirror using the following commands: public-inbox-init -V2 devel devel/ http://lore.altlinux.org/devel \ devel@altlinux.org devel@altlinux.ru devel@lists.altlinux.org devel@lists.altlinux.ru devel@linux.iplabs.ru mandrake-russian@linuxteam.iplabs.ru sisyphus@linuxteam.iplabs.ru public-inbox-index devel Example config snippet for mirrors. Newsgroup available over NNTP: nntp://lore.altlinux.org/org.altlinux.lists.devel AGPL code for this site: git clone https://public-inbox.org/public-inbox.git