Re: [devel] Вопросы новичка

[Alexander Bokovoy <ab@altlinux.org>]

2009/5/5 Victor B. Wagner <vitus@altlinux.org>:
> В данном случае я обращаю внимание на то, что путь, который выбран
> Fedora и Suse, у нас не очень приемлем. "хорошо задокументированных
> граблей по вышепоскипанным ссылкам не заметил". Там перечислены ну
> настолько общие места, которые даже в наших методичках для пользователей
> CSP и то разжеваны подробнее. Ну то есть понятно, что среди авторов и
> мейнтейнеров приложений криптографический ликбез нужно проводить с нуля.
> Но все же.
http://fedoraproject.org/wiki/CryptoConsolidationScorecard имеет
практический смысл, поскольку позволяет оценить объем требуемых
изменений пакетной базы,  а также оценить последствия таких изменений
или их неисполнения. Всю эту работу пришлось бы делать самостоятельно.

> В Maemo - интереснее.
>
> Но вот думать о создании единой политики использования ключевой
> инфраструктуры в пределах дистрибутива - надо.
>
> При этом сразу же задумываться над тем, что такое системное хранилище,
> что такое пользовательское хранилище, и что должны делать по этому
> поводу демоны.
Именно. Об этом я и говорю, разделяя задачи поддержки ГОСТ и
централизации хранения сертификатов.

> На данный момент мы имеем следующую картину
>
> у libnss есть пользовательское хранилище, но нет системного.
> У OpenSSL есть "умолчательное", т.е. необязательное к использованию
> общесистемное, но нет стандартизованного пользовательского. Кстати можно
> попробовать в upstream эту идею пропихнуть.
>
> У  gnutls это вообще отдано на откуп приложениям.
То есть, на самом деле можно реализовать некоторое подмножество
"централизованного" взгляда, для которого будет предложен типовой код
взаимодействия для некоторых библиотек и рекомендации по его
использованию в приложениях.

>> базу сертификатов для всех разрозненных библиотек существует, хотя бы
>
> Я бы постарался избегать термина "база". К сожалению, прочитав слово
> "база" многие разработчики начинают думать об SQL. SQL, даже в
> инкарнации SQLite здесь не место. Не те объемы, не те критерии поиска.
> А держать по крайней мере хранилище, используемое в WPA, потребуется на
> корневой FS.
>
> Оно нам надо - libsqlite в /lib?
Я не говорю о sql. Термин "база" выше не связан с конкретной
реализацией этой концепции. Хотя я и понимаю, откуда растут ноги у
твоей реакции на "база":
https://wiki.mozilla.org/NSS:Roadmap#SQLite-Based_Shareable_Certificate_and_Key_Databases

> Вообще, на мой взгляд, правильно стандартизировать формат хранилища и
> его расположение в файловой системе. Но ни в коем случае не
> стандартизировать код для доступа к этому хранилищу. Во всяком случае на
> начальном этапе
>
> Формат должен быть такой, чтобы код для доступа умещался в экран.
Это нефункциональное требование.

> Тут требуется обеспечить возможность игнорирования не понимаемых
> алгоритмов. Чтобы использование национальных алгоритмов не было
> равнозначным отказу от стандартного хранилища.
Да.

>> Почему в Maemo для стандартных алгоритмов с тремя библиотеками такую
>> систему удалось сделать, а в ALT нельзя? Потенциально российская
>
> Вообще-то  Maemo не многопользовательская система и не особенно
> рассчитана на поддержку интернет-серверов, у которых совершенно свои
> требования к тому, кому доверять, а кому нет. Поэтому там задача проще.
Я бы вот так и отделил задачи -- клиентскую и серверную сторону.
Требования у них разные, подходы тоже. Проще задача или нет -- дело
десятое, важнее описать требования и конфигурации, в рамках которых
будет выполнена централизация.

> Из приложений, которые используют обычный tls, единственное на сей
> момент найденное приложение, которому требуется нетривиальный патч - это
> Apache (насколько понимаю, в случае Maemo - не шибко интересно).
Поэтому я и отделяю централизацию и поддержку российской криптографии.
Первое полезно всем пользователям ALT, второе имеет смысл для
некоторого специфического круга бизнесов и лиц внутри РФ. ALT
используется не только в РФ.

-- 
/ Alexander Bokovoy