[sisyphus] Шифрование по ГОСТ в Сизифе

[sisyphus] Шифрование по ГОСТ в Сизифе

[Paul Wolneykien]

  Здравствуйте, товарищи из ALT Linux Team.

  Не так давно я собрал в Сизиф версию GnuPG с поддержкой некоторых
алгоритмов цифровой подписи и шифрования по ГОСТ. Поддержка там довольно
ограниченная и специфичная — для работы с ГОСТ требуется аппаратный
токен. Поэтому особенно не обсуждал нововведение (хотя наверное нужно было).

  Теперь ситуация иная: на очереди NSS и, соответственно, Firefox с
поддержкой TLS по ГОСТ. Причём поддержка будет сразу всего доступного
спектра алгоритмов шифрования ГОСТ, включая и наделавший много шума
"Кузнечик".

  И вот, учитывая, что шифрование по ГОСТ не имеет однозначного доверия
в широком сообществе пользователей СПО, частью которого является Сизиф,
я решил вынести вопрос на обсуждение.

  Повестку дня я вижу так:

  0. Нужен ли ГОСТ в Сизифе?
  1. Если да, то в базовом пакете или в отдельной версии с пометкой "gost"?
  2. Если в базовой, то должен ли быть включен по умолчанию?
  3. Должно ли ГОСТ _предлагаться_ по умолчанию (например в GnuPG, при
создании нового ключа и т.д.)?
  4. То же, но в связи с проектами на базе Сизифа.

  Моя позиция по этим вопросам следующая: пусть будет в Сизифе, в
базовом пакете, но в состоянии "выкл."; по умолчанию не предлагать —
пусть пользователь включает и выбирает сам, если и когда ему это нужно.

  С дочерними дистрибутивами на базе Сизифа — согласно назначению
проекта и требованиям к нему. Т.е., если дистрибутив создаётся именно
для того (или в том числе для того), чтобы закрыть требование "у
пользователя всё должно быть ГОСТу", то пускай так и будет. Потому что
как бы там ни было, при таком раскладе ГОСТ пользователю всё равно
навяжут, и тогда пусть лучше это будет дистрибутив на базе Сизифа, чем
какой-то другой.

Re: [sisyphus] Шифрование по ГОСТ в Сизифе

[Paul Wolneykien]

12.07.2019 15:25, Aleksey Novodvorsky пишет:
> 
> 
> 
> 
> пт, 12 июля 2019 г., 15:01 Paul Wolneykien <manowar@altlinux.org
> <mailto:manowar@altlinux.org>>:
> 
> 
>       Здравствуйте, товарищи из ALT Linux Team.
> 
> 
> ALT Linux team -- в списке devel@.
> Полагаю, что стоит обсудить там, особенно с мейнтейнерами firefox и
> firefox-esr.
> 
> Но. Главный вопрос тут -- поддержка этого изменения. Мы не можем
> задерживать сборки firefox, именно в нем очень часты CVE.

  Согласен. Но патч к Firefox не просто маленький, он фактически вообще
невесомый — всё основное в NSS.


>       Не так давно я собрал в Сизиф версию GnuPG с поддержкой некоторых
>     алгоритмов цифровой подписи и шифрования по ГОСТ. Поддержка там довольно
>     ограниченная и специфичная — для работы с ГОСТ требуется аппаратный
>     токен. Поэтому особенно не обсуждал нововведение (хотя наверное
>     нужно было).
> 
>       Теперь ситуация иная: на очереди NSS и, соответственно, Firefox с
>     поддержкой TLS по ГОСТ. Причём поддержка будет сразу всего доступного
>     спектра алгоритмов шифрования ГОСТ, включая и наделавший много шума
>     "Кузнечик".
> 
>       И вот, учитывая, что шифрование по ГОСТ не имеет однозначного доверия
>     в широком сообществе пользователей СПО, частью которого является Сизиф,
>     я решил вынести вопрос на обсуждение.
> 
>       Повестку дня я вижу так:
> 
>       0. Нужен ли ГОСТ в Сизифе?
>       1. Если да, то в базовом пакете или в отдельной версии с пометкой
>     "gost"?
>       2. Если в базовой, то должен ли быть включен по умолчанию?
>       3. Должно ли ГОСТ _предлагаться_ по умолчанию (например в GnuPG, при
>     создании нового ключа и т.д.)?
>       4. То же, но в связи с проектами на базе Сизифа.
> 
>       Моя позиция по этим вопросам следующая: пусть будет в Сизифе, в
>     базовом пакете, но в состоянии "выкл."; по умолчанию не предлагать —
>     пусть пользователь включает и выбирает сам, если и когда ему это нужно.
> 
>       С дочерними дистрибутивами на базе Сизифа — согласно назначению
>     проекта и требованиям к нему. Т.е., если дистрибутив создаётся именно
>     для того (или в том числе для того), чтобы закрыть требование "у
>     пользователя всё должно быть ГОСТу", то пускай так и будет. Потому что
>     как бы там ни было, при таком раскладе ГОСТ пользователю всё равно
>     навяжут, и тогда пусть лучше это будет дистрибутив на базе Сизифа, чем
>     какой-то другой.
>     _______________________________________________
>     Sisyphus mailing list
>     Sisyphus@lists.altlinux.org <mailto:Sisyphus@lists.altlinux.org>
>     https://lists.altlinux.org/mailman/listinfo/sisyphus
> 
> 
> 
> _______________________________________________
> Sisyphus mailing list
> Sisyphus@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/sisyphus
> 

Re: [sisyphus] Шифрование по ГОСТ в Сизифе

[Alexey Gladkov]

On Fri, Jul 12, 2019 at 03:00:55PM +0300, Paul Wolneykien wrote:
> 
>   Здравствуйте, товарищи из ALT Linux Team.
> 
>   Не так давно я собрал в Сизиф версию GnuPG с поддержкой некоторых
> алгоритмов цифровой подписи и шифрования по ГОСТ. Поддержка там довольно
> ограниченная и специфичная — для работы с ГОСТ требуется аппаратный
> токен. Поэтому особенно не обсуждал нововведение (хотя наверное нужно было).
> 
>   Теперь ситуация иная: на очереди NSS и, соответственно, Firefox с
> поддержкой TLS по ГОСТ. Причём поддержка будет сразу всего доступного
> спектра алгоритмов шифрования ГОСТ, включая и наделавший много шума
> "Кузнечик".
> 
>   И вот, учитывая, что шифрование по ГОСТ не имеет однозначного доверия
> в широком сообществе пользователей СПО, частью которого является Сизиф,
> я решил вынести вопрос на обсуждение.
> 
>   Повестку дня я вижу так:
> 
>   0. Нужен ли ГОСТ в Сизифе?
>   1. Если да, то в базовом пакете или в отдельной версии с пометкой "gost"?

В отдельной версии с пометкой "gost". Мы уже это обсуждали с aen@ и cas@.

Для поддержки ГОСТ нужен огромный патч, который очень медленно
обновляется. Поэтому его добавление будет тормозить либо firefox, либо
firefox-esr (в зависимости, куда его приложить).

FYI c такими даже нельзя использовать трейдмарки мозиллы[1] без их
письменного разрешения.

[1] https://wiki.mozilla.org/Legal:Mozilla_Trademark_Policy/2009-06-26_Draft#Modifications

>   Моя позиция по этим вопросам следующая: пусть будет в Сизифе, в
> базовом пакете, но в состоянии "выкл."; по умолчанию не предлагать —
> пусть пользователь включает и выбирает сам, если и когда ему это нужно.

Опциональные патчи это плохая идея. Тем более, что этот патч будет
почти перманентно сломан.

>   С дочерними дистрибутивами на базе Сизифа — согласно назначению
> проекта и требованиям к нему. Т.е., если дистрибутив создаётся именно
> для того (или в том числе для того), чтобы закрыть требование "у
> пользователя всё должно быть ГОСТу", то пускай так и будет. Потому что
> как бы там ни было, при таком раскладе ГОСТ пользователю всё равно
> навяжут, и тогда пусть лучше это будет дистрибутив на базе Сизифа, чем
> какой-то другой.

Для "правильных" дистрибутивов переопределяйте /usr/bin/xbrowser на "всё
по ГОСТу".

-- 
Rgrds, legion

Re: [sisyphus] Шифрование по ГОСТ в Сизифе

[Mikhail Efremov]

On Fri, 12 Jul 2019 15:30:09 +0200 Alexey Gladkov wrote:
> On Fri, Jul 12, 2019 at 03:00:55PM +0300, Paul Wolneykien wrote:
> > 
> >   Здравствуйте, товарищи из ALT Linux Team.
> > 
> >   Не так давно я собрал в Сизиф версию GnuPG с поддержкой некоторых
> > алгоритмов цифровой подписи и шифрования по ГОСТ. Поддержка там довольно
> > ограниченная и специфичная — для работы с ГОСТ требуется аппаратный
> > токен. Поэтому особенно не обсуждал нововведение (хотя наверное нужно было).
> > 
> >   Теперь ситуация иная: на очереди NSS и, соответственно, Firefox с
> > поддержкой TLS по ГОСТ. Причём поддержка будет сразу всего доступного
> > спектра алгоритмов шифрования ГОСТ, включая и наделавший много шума
> > "Кузнечик".
> > 
> >   И вот, учитывая, что шифрование по ГОСТ не имеет однозначного доверия
> > в широком сообществе пользователей СПО, частью которого является Сизиф,
> > я решил вынести вопрос на обсуждение.
> > 
> >   Повестку дня я вижу так:
> > 
> >   0. Нужен ли ГОСТ в Сизифе?
> >   1. Если да, то в базовом пакете или в отдельной версии с пометкой "gost"?  
> 
> В отдельной версии с пометкой "gost". Мы уже это обсуждали с aen@ и cas@.

Была идея сделать отдельный компонент gostcrypto. Соответственно все
пакеты, оканчивающиеся на *-gostcrypto, будут попадать туда. Но, к
сожалению, это пока не сделано.

-- 
WBR, Mikhail Efremov

Re: [sisyphus] Шифрование по ГОСТ в Сизифе

[Alexey Gladkov]

On Fri, Jul 12, 2019 at 05:16:01PM +0300, Mikhail Efremov wrote:
> > В отдельной версии с пометкой "gost". Мы уже это обсуждали с aen@ и cas@.
> 
> Была идея сделать отдельный компонент gostcrypto. Соответственно все
> пакеты, оканчивающиеся на *-gostcrypto, будут попадать туда. Но, к
> сожалению, это пока не сделано.

Похоже на хороший план :)

-- 
Rgrds, legion

Re: [sisyphus] Шифрование по ГОСТ в Сизифе

[Paul Wolneykien]

12.07.2019 16:30, Alexey Gladkov пишет:
> FYI c такими даже нельзя использовать трейдмарки мозиллы[1] без их
> письменного разрешения.
> 
> [1] https://wiki.mozilla.org/Legal:Mozilla_Trademark_Policy/2009-06-26_Draft#Modifications

  Т.е. все патчи, которые меняют что-то в mozilla/... , которые я вижу в
пакете firefox — они все согласованы с Mozilla?

Re: [sisyphus] Шифрование по ГОСТ в Сизифе

[Paul Wolneykien]

12.07.2019 18:36, Aleksey Novodvorsky пишет:
> 
> 
> 
> пт, 12 июля 2019 г., 18:23 Paul Wolneykien <manowar@altlinux.org
> <mailto:manowar@altlinux.org>>:
> 
>     12.07.2019 16:30, Alexey Gladkov пишет:
>     > FYI c такими даже нельзя использовать трейдмарки мозиллы[1] без их
>     > письменного разрешения.
>     >
>     > [1]
>     https://wiki.mozilla.org/Legal:Mozilla_Trademark_Policy/2009-06-26_Draft#Modifications
> 
>       Т.е. все патчи, которые меняют что-то в mozilla/... , которые я вижу в
>     пакете firefox — они все согласованы с Mozilla?
>
> А разве там есть патчи с "significant functional changes" ?

  Но в полиси есть вот такие заключительные строки, в которых через
слово идёт "any":

"Again, any modification to the Mozilla product, including adding to,
modifying in any way, or deleting content from the files included with
an installer, file location changes, added code, modification of any
source files including additions and deletions, etc., will require our
permission if you want to use the Mozilla Marks."

  Но я думаю, что с этим уже лучше в devel@ и после опубликования патчей
в том или ином виде.

Re: [sisyphus] Шифрование по ГОСТ в Сизифе

[Vladimir D. Seleznev]

On Fri, Jul 12, 2019 at 03:30:44PM +0300, Paul Wolneykien wrote:
> 12.07.2019 15:25, Aleksey Novodvorsky пишет:
> > 
> > 
> > 
> > 
> > пт, 12 июля 2019 г., 15:01 Paul Wolneykien <manowar@altlinux.org
> > <mailto:manowar@altlinux.org>>:
> > 
> > 
> >       Здравствуйте, товарищи из ALT Linux Team.
> > 
> > 
> > ALT Linux team -- в списке devel@.
> > Полагаю, что стоит обсудить там, особенно с мейнтейнерами firefox и
> > firefox-esr.
> > 
> > Но. Главный вопрос тут -- поддержка этого изменения. Мы не можем
> > задерживать сборки firefox, именно в нем очень часты CVE.
> 
>   Согласен. Но патч к Firefox не просто маленький, он фактически вообще
> невесомый — всё основное в NSS.

Может в таком случае попытаться заапстримить его?

-- 
   С уважением,
   Владимир Селезнев

Re: [sisyphus] Шифрование по ГОСТ в Сизифе

[Paul Wolneykien]

12.07.2019 19:09, Vladimir D. Seleznev пишет:
> On Fri, Jul 12, 2019 at 03:30:44PM +0300, Paul Wolneykien wrote:
>> 12.07.2019 15:25, Aleksey Novodvorsky пишет:
>>>
>>>
>>>
>>>
>>> пт, 12 июля 2019 г., 15:01 Paul Wolneykien <manowar@altlinux.org
>>> <mailto:manowar@altlinux.org>>:
>>>
>>>
>>>       Здравствуйте, товарищи из ALT Linux Team.
>>>
>>>
>>> ALT Linux team -- в списке devel@.
>>> Полагаю, что стоит обсудить там, особенно с мейнтейнерами firefox и
>>> firefox-esr.
>>>
>>> Но. Главный вопрос тут -- поддержка этого изменения. Мы не можем
>>> задерживать сборки firefox, именно в нем очень часты CVE.
>>
>>   Согласен. Но патч к Firefox не просто маленький, он фактически вообще
>> невесомый — всё основное в NSS.
> 
> Может в таком случае попытаться заапстримить его?
> 

  Но ответная часть в NSS — большая. Предлагаю продолжить в devel@ после
сборки тестовых пакетов. Я написал в sisyphus@ потому, что мне интересно
мнение по принципиальным вопросам не только мэйнтейнеров, но и
пользователей.

Re: [sisyphus] Шифрование по ГОСТ в Сизифе

[Alexey Gladkov]

On Fri, Jul 12, 2019 at 06:23:08PM +0300, Paul Wolneykien wrote:
> 12.07.2019 16:30, Alexey Gladkov пишет:
> > FYI c такими даже нельзя использовать трейдмарки мозиллы[1] без их
> > письменного разрешения.
> > 
> > [1] https://wiki.mozilla.org/Legal:Mozilla_Trademark_Policy/2009-06-26_Draft#Modifications
> 
>   Т.е. все патчи, которые меняют что-то в mozilla/... , которые я вижу в
> пакете firefox — они все согласованы с Mozilla?

Алексей Новодворский наверно помнит, как когда появилось это полиси я
писал в мозиллу и описывал нашу сборку.

У нас нет изменений которые затрагивают поведение. Из 17 патчей 12 это
апстримные патчи (по большей части про улучшение поведения в wayland), 4
исправляют копмиляцию и лишь один вносит не апстримные изменения связанные
с интеграцией с десктопом.

Так что, да, всё согласовано.

-- 
Rgrds, legion