Статус: Участник
Группы: Участники
Зарегистрирован: 27.02.2020(UTC) Сообщений: 29 ![Российская Федерация Российская Федерация](/forum2/Content/images/flags/RU.png) Откуда: Санкт-Петербург
|
Автор: Андрей * ![Перейти к цитате Перейти к цитате](/forum2/Themes/soclean/icon_latest_reply.gif) Эта область CMS не имеет защиты от изменений и информацию, содержащуюся там можно изменять как угодно. Соответственно очень просто можно превратить в корректное или наоборот. Поменял на 1.2.643.7.1.1.1.1 и подпись прошла проверку.
|
|
|
|
Статус: Сотрудник
Группы: Модератор, Участники Зарегистрирован: 03.12.2018(UTC) Сообщений: 1,111 ![Российская Федерация Российская Федерация](/forum2/Content/images/flags/RU.png) Сказал(а) «Спасибо»: 90 раз Поблагодарили: 242 раз в 228 постах
|
А где у вас не проходила проверку? В чем вы проверяли? |
|
|
|
|
Статус: Участник
Группы: Участники
Зарегистрирован: 27.02.2020(UTC) Сообщений: 29 ![Российская Федерация Российская Федерация](/forum2/Content/images/flags/RU.png) Откуда: Санкт-Петербург
|
Автор: Санчир Момолдаев ![Перейти к цитате Перейти к цитате](/forum2/Themes/soclean/icon_latest_reply.gif) А где у вас не проходила проверку? В чем вы проверяли? Litoria Desktop 2 ("Газинформсервис"). Хочется понять является ли это багой при проверке. Понятно, что средство подписание неверно создает подпись, но как быть с проверкой? Здравый смысл подсказывает, что если хеш сошелся и сертификат действителен на момент подписания - все нормально. Однако такая подпись противоречит международным стандартам, а в нашей нормативке даны ссылки на международные стандарты. Получается, что подпись не должна проверяться положительно.
|
|
|
|
Статус: Участник
Группы: Участники
Зарегистрирован: 27.02.2020(UTC) Сообщений: 29 ![Российская Федерация Российская Федерация](/forum2/Content/images/flags/RU.png) Откуда: Санкт-Петербург
|
Санчир, Вы закрыли мой тикит, но я так и не получил ответа на вопрос: "Это корректное поведение, или это бага, которую Вы поправите в новой версии?"
|
|
|
|
Статус: Сотрудник
Группы: Модератор, Участники Зарегистрирован: 03.12.2018(UTC) Сообщений: 1,111 ![Российская Федерация Российская Федерация](/forum2/Content/images/flags/RU.png) Сказал(а) «Спасибо»: 90 раз Поблагодарили: 242 раз в 228 постах
|
Добрый день! Тикет закрылся автоматически тк не было активности в нем. Данный вопрос был поднят среди руководства. Пока на обсуждении |
|
|
|
|
Статус: Участник
Группы: Участники
Зарегистрирован: 27.02.2020(UTC) Сообщений: 29 ![Российская Федерация Российская Федерация](/forum2/Content/images/flags/RU.png) Откуда: Санкт-Петербург
|
Автор: Санчир Момолдаев ![Перейти к цитате Перейти к цитате](/forum2/Themes/soclean/icon_latest_reply.gif) Добрый день! Тикет закрылся автоматически тк не было активности в нем. Данный вопрос был поднят среди руководства. Пока на обсуждении Понял, спасибо.
|
|
|
|
Статус: Сотрудник
Группы: Модератор, Участники Зарегистрирован: 03.12.2018(UTC) Сообщений: 1,111 ![Российская Федерация Российская Федерация](/forum2/Content/images/flags/RU.png) Сказал(а) «Спасибо»: 90 раз Поблагодарили: 242 раз в 228 постах
|
Процитирую коллег: Это точно не ошибка, а скорее неопределенное поведение. Мы не можем гарантировать, что в будущих версиях это поведение не поменяется, но сейчас алгоритма открытого ключа сертификата достаточно для проверки подписи. |
|
|
|
|
Статус: Участник
Группы: Участники
Зарегистрирован: 27.02.2020(UTC) Сообщений: 29 ![Российская Федерация Российская Федерация](/forum2/Content/images/flags/RU.png) Откуда: Санкт-Петербург
|
Автор: Санчир Момолдаев ![Перейти к цитате Перейти к цитате](/forum2/Themes/soclean/icon_latest_reply.gif) Процитирую коллег: Это точно не ошибка, а скорее неопределенное поведение. Мы не можем гарантировать, что в будущих версиях это поведение не поменяется, но сейчас алгоритма открытого ключа сертификата достаточно для проверки подписи. Я прекрасно понимаю, что никакой вендер, никогда не найдет в себе сил признать наличие ошибок в своем софте. В области PKI не может быть неопределенного поведения. Подпись либо верна, либо нет. И от ее верности или неверности зависят факты хозяйственной деятельно: переводятся деньги, меняются права собственности. Очевидно, что алгоритма в сертификате достаточно для проверки подписи, ровно так же, как и очевидно, что подпись создана некорректно, но Ваши продукты проверяют ее положительно.
|
|
|
|
Статус: Сотрудник
Группы: Администраторы
Зарегистрирован: 12.12.2007(UTC) Сообщений: 6,389 ![Мужчина Мужчина](/forum2/Themes/soclean/male.gif) Откуда: КРИПТО-ПРО Сказал «Спасибо»: 36 раз Поблагодарили: 713 раз в 618 постах
|
Автор: kkkknarkkkk ![Перейти к цитате Перейти к цитате](/forum2/Themes/soclean/icon_latest_reply.gif) Я прекрасно понимаю, что никакой вендер, никогда не найдет в себе сил признать наличие ошибок в своем софте.
Это достаточно спорное утверждение. Мы неоднократно признавали ошибки в наших продуктах и искренне благодарили пользователей за сообщения о них. Что касается данной ситуации, то она не так проста, как кажется на первый взгляд. Позволю представить ситуацию двумя утверждениями:
- Электронная подпись данных математически корректна, хэш данных в сообщении правильно, значение электронной подписи успешно проверяется с помощью вложенного открытого ключа.
- PKCS#7-сообщение некорректно и содержит несоответсвующий методическим рекомендациям идентификатор алгоритма подписи.
API для проверки корректности PKCS#7 конвертов мы не предоставляем, если бы оно сущестовало -- тогда можно было бы говорить об ошибке. Метод проверки подписи делает ровно то, что, как нам кажется, должен:
- сравнивает хэш данных
- проверяет значение подписи заданным открытым ключом.
Вопрос со звёздочкой: если в конец корректного PKCS#7-конверта добавить нулевые байты -- подпись становится неверной? |
|
![thanks](/forum2/Themes/soclean/heart_small.png) 1 пользователь поблагодарил Максим Коллегин за этот пост.
|
|
|
Статус: Участник
Группы: Участники
Зарегистрирован: 27.02.2020(UTC) Сообщений: 29 ![Российская Федерация Российская Федерация](/forum2/Content/images/flags/RU.png) Откуда: Санкт-Петербург
|
Автор: Максим Коллегин ![Перейти к цитате Перейти к цитате](/forum2/Themes/soclean/icon_latest_reply.gif) Автор: kkkknarkkkk ![Перейти к цитате Перейти к цитате](/forum2/Themes/soclean/icon_latest_reply.gif) Я прекрасно понимаю, что никакой вендер, никогда не найдет в себе сил признать наличие ошибок в своем софте.
Это достаточно спорное утверждение. Мы неоднократно признавали ошибки в наших продуктах и искренне благодарили пользователей за сообщения о них. Что касается данной ситуации, то она не так проста, как кажется на первый взгляд. Позволю представить ситуацию двумя утверждениями:
- Электронная подпись данных математически корректна, хэш данных в сообщении правильно, значение электронной подписи успешно проверяется с помощью вложенного открытого ключа.
- PKCS#7-сообщение некорректно и содержит несоответсвующий методическим рекомендациям идентификатор алгоритма подписи.
API для проверки корректности PKCS#7 конвертов мы не предоставляем, если бы оно сущестовало -- тогда можно было бы говорить об ошибке. Метод проверки подписи делает ровно то, что, как нам кажется, должен:
- сравнивает хэш данных
- проверяет значение подписи заданным открытым ключом.
Вопрос со звёздочкой: если в конец корректного PKCS#7-конверта добавить нулевые байты -- подпись становится неверной? С точки зрения криптографа - все верно, хэш сошелся, исходный документ не менялся, сертификат подписчика действительный - все хорошо. Но ЭП, это не только про хеши. ЭП лежит на стыке криптографии и юриспруденции. И в случае "неопределенного поведения" появляется неопределенный правовой статус юридически значимого документа. Но мне кажется, что мы зашли в тупик, ГОСТ 34-10-2012 ничего не говорит про формат PKCS#7 и с его точки зрения - все замечательно. Наверное ТК-26 стоило бы выпустить методические рекомендации про формат PKCS#7.
|
|
|
|
Быстрый переход
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.
Important Information:
The Форум КриптоПро uses cookies. By continuing to browse this site, you are agreeing to our use of cookies.
More Details
Close