The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги | ]

31.03.2017 19:44  Mozilla развивает средства верификации бинарных файлов Firefox

В рамках проекта Binary Transparency для Firefox развивается возможность, которая предоставит средства для подтверждения корректности любых публично распространяемых бинарных файлов и даст гарантии, что файлы не содержат вредоносных изменений. В отличие от проверки пакетов по цифровой подписи и контрольной сумме, верификация затрагивает не общий архив, а непосредственно исполняемые или библиотечные файлы по отдельности, которые могут загружаться не только из официальных, но из сторонних источников.

Проверку планируется интегрировать в систему автоматической установки обновлений, которая будет проверять все предлагаемые для загрузки обновления. В дальнейшем наработки проекта выступят основой для формирования повторяемых сборок, позволяющих удостовериться, что бинарные файлы собраны из предоставленных исходных текстов, что позволит охватить и сторонние сборки.

Информация о всех бинарных файлах будет распространяться в виде лога, доступного для публичного аудита и размещаемого с использованием инфраструктуры Certificate Transparency. Для каждого выпуска будет создаваться отдельный сертификат X509 и присваиваться доменное имя, содержащее поддомен с хэшем на основе дерева Меркла, сконструированного на основе SHA256-хэшей связанных с релизом отдельных бинарных файлов. Например, с Firefox 51.0b9 будет связан поддомен вида 151ac...51-0b9.0.fx-trans.net.

Для верификации вначале загружаются только SHA256-хэши бинарных файлов и связанный с релизом сертификат. На основе SHA256-хэшей строится дерево Меркла и формируется доменное имя. Далее проверяется наличие сертификата в публичном и доступном для аудита логе Certificate Transparency, после чего проверяется соответствие сгенерированного доменного имени сертификату. Если всё в порядке, загружаются файлы с релизом и выполняется проверка соответствия заявленных хэшей SHA256 и бинарных файлов.

  1. Главная ссылка к новости (https://news.ycombinator.com/i...)
  2. OpenNews: Google представил Key Transparency, альтернативу серверам криптографических ключей
  3. OpenNews: Проект Mozilla распределил 385 тысяч долларов между значимыми открытыми проектами
  4. OpenNews: Корпорации профинансируют обеспечение повторяемых сборок пакетов в дистрибутивах
  5. OpenNews: В NetBSD обеспечена поддержка повторяемых сборок
  6. OpenNews: Значительный выпуск криптографической библиотеки OpenSSL 1.1.0
Лицензия: CC-BY
Тип: К сведению
Ключевые слова: firefox
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение Ajax/Линейный | Раскрыть все сообщения | RSS
 
  • 1.5, Аноним (-), 23:19, 31/03/2017 [ответить] [показать ветку] [···]    [к модератору]
  • –2 +/
    Лучше бы сделали менее геморройную систему сборки.
     
     
  • 2.6, irinat (ok), 23:29, 31/03/2017 [^] [ответить]    [к модератору]
  • +2 +/
    А что с ней?
     
     
  • 3.7, Vombat (?), 23:34, 31/03/2017 [^] [ответить]    [к модератору]
  • +9 +/
    он просто Хромиум не собирал.
     
     
  • 4.9, Аноним (-), 00:09, 01/04/2017 [^] [ответить]    [к модератору]
  • –2 +/
    Сразу видно опытного гурмана, члена сообщества бесплатного браузера.
     
     
  • 5.10, Аноним (-), 00:12, 01/04/2017 [^] [ответить]    [к модератору]
  • +3 +/
    > Сразу видно опытного гурмана, члена сообщества бесплатного браузера.

    Как там зонды, не слишком распирают?


     
     
  • 6.13, Аноним (-), 00:22, 01/04/2017 [^] [ответить]    [к модератору]  
  • –3 +/
    Анон дело говорит.
    > https://www.opennet.ru/opennews/art.shtml?num=46291#8

    А ты и дальше кушай большой ложкой свою бесплатную шквабодку.

     
     
  • 7.22, Аноним (-), 00:56, 01/04/2017 [^] [ответить]     [к модератору]  
  • +/
    Понимаю 8211 зелен виногад, да и зондом больше, зондом меньше Что сказать-... весь текст скрыт [показать]
     
  • 1.8, Аноним (-), 00:07, 01/04/2017 [ответить] [показать ветку] [···]     [к модератору]  
  • +5 +/
    О, это будет теперь, как с аддонами Сначала вводим цифорвые подписи, всем говор... весь текст скрыт [показать]
     
     
  • 2.14, robux (ok), 00:29, 01/04/2017 [^] [ответить]     [к модератору]  
  • –2 +/
    Упыри и вурдалаки приготовились к атаке с Короче, тихой сапой закручивают га... весь текст скрыт [показать]
     
     
  • 3.16, Аноним (-), 00:34, 01/04/2017 [^] [ответить]    [к модератору]  
  • –1 +/
    А у вас лично, простите, кто гайки закручивает?
    Шквабодка принадлежит тому, кто её оплачивает, всё просто.
     
     
  • 4.40, Анонон (?), 11:56, 02/04/2017 [^] [ответить]    [к модератору]  
  • +2 +/
    > Шквабодка

    К логопеду!

     
  • 1.12, Аноним (-), 00:20, 01/04/2017 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    Лучше бы они повторяемые сборки сделали. А то какие это средства верификации, когда мозиле нужно доверять?
     
     
  • 2.17, Аноним (-), 00:38, 01/04/2017 [^] [ответить]    [к модератору]  
  • +/
    > Лучше бы мы сделали

    Fixed!
    И жирно-жирно донатили за разработку полезной, нужной функциональности.

     
     
  • 3.26, Аноним (-), 02:31, 01/04/2017 [^] [ответить]     [к модератору]  
  • +2 +/
    Аферисты из мозилы, на секундочку, обули Yahoo на 100 млн И теперь всему комью... весь текст скрыт [показать]
     
     
  • 4.29, Аноним (-), 07:08, 01/04/2017 [^] [ответить]    [к модератору]  
  • +/
    Тебя кто-то заставляет обновлять браузер?
     
     
  • 5.36, die_russofobs (?), 21:46, 01/04/2017 [^] [ответить]    [к модератору]  
  • –1 +/
    он вероятно плагино-писатель, так что заставляют... они руками пользователями, косвенно.
     
     
  • 6.37, die_russofobs (?), 21:47, 01/04/2017 [^] [ответить]    [к модератору]  
  • –1 +/
    * он вероятно плагино-писатель, так что заставляют... руками пользователей, косвенно.


     
  • 4.31, user (??), 10:03, 01/04/2017 [^] [ответить]    [к модератору]  
  • +/
    >МЫ будем пилить СВОЙ браузер

    Со смузями и покемонами!

     
  • 1.15, Андрей (??), 00:30, 01/04/2017 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    Лучше бы разбили этот монстр на библиотеки, как в принято в свободном/открытом ПО! И другие смогут пользоваться, и проверять будет проще.
     
     
  • 2.19, Аноним (-), 00:42, 01/04/2017 [^] [ответить]    [к модератору]  
  • +/
    /me глядя на over40MB blob
    Там ведь пара сотен мегабайт источников, кто в этом всём копается?
     
     
  • 3.38, die_russofobs (?), 22:00, 01/04/2017 [^] [ответить]     [к модератору]  
  • –2 +/
    блоб win95 - весь был аж на 70 МБ - и это многих ужасало по началу, сейчас - wi... весь текст скрыт [показать]
     
  • 2.32, user (??), 10:05, 01/04/2017 [^] [ответить]    [к модератору]  
  • +/
    >И другие смогут пользоваться

    Потому и не разбивают, что всякие Seamonkey смогут пользоваться.

     
  • 1.18, Аноним (-), 00:39, 01/04/2017 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    Тут работы на пару вечерков, о чем новость?
     
     
  • 2.21, Crazy Alex (??), 00:49, 01/04/2017 [^] [ответить]    [к модератору]  
  • +/
    Когда аудитория - миллионы и надо чтобы работало у всех - "пара вечерков" запросто превращается в пару лет
     
  • 1.34, freehck (ok), 11:44, 01/04/2017 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    > В отличие от проверки пакетов по цифровой подписи и контрольной сумме, верификация затрагивает не общий архив, а непосредственно исполняемые или библиотечные файлы по отдельности, которые могут загружаться не только из официальных, но из сторонних источников.

    Объясните кто-нибудь, что за ****** они опять страдают?
    У них 90% дополнений сейчас придут в негодность, а они хвастают тем, что очередной велосипед начали пилить?

     
     
  • 2.39, die_russofobs (?), 22:02, 01/04/2017 [^] [ответить]    [к модератору]  
  • –1 +/
    > Объясните кто-нибудь, что за ****** они опять страдают?

    Создают видимость наличия защищённости пользователей в сети...

     
  • 1.35, Аноним (-), 12:34, 01/04/2017 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    Мозилла опять занята непонятно чем. Web Driver доделайте, сволочи.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Заголовок:
    Текст:


      Закладки на сайте
      Проследить за страницей
    Created 1996-2018 by Maxim Chirkov  
    ДобавитьПоддержатьВебмастеруГИД  
    Hosting by Ihor