Vlákno názorů k článku
EU chce, aby policie měla možnost číst šifrovanou komunikaci již od příštího roku
od nettreg - Problém je, že i kdybych stoprocentně souhlasil, že...
-
Problém je, že i kdybych stoprocentně souhlasil, že obětovat soukromí lidí ve prospěch zlepšení law enforcement je dobrý tradeoff, stejně je špatný nápad to dělat, protože to prostě nemůže fungovat. I když všechny mainstreamové platformy budou mít backdoory, nic nebrání zločincům použít vlastní SW. Jistě se najde někdo šikovný, kdo ho napíše a zveřejní (možná i s dobrým úmyslem). Ono napsat funkční E2E šifrování není zas tak těžké. Zvládne to talentovaný středoškolák. Takže pokud nechcete zakázat výuku kryptografie a šíření informací o ní (a spolu s tím i některých částí matematiky), nebo nechcete zakázat lidem spouštět vlastní kód bez schválení každého řádku vládou, neexistuje na světě žádný způsob, jak zabránit malicious aktérům (alespoň kompetentním z nich) používat bezpečnou kryptografii. Takže ve finále takováto nařízení dopadají jen a pouze na poctivé lidi. Takže ve finále nemá cenu se bavit o tradeoffu mezi ochranou soukromí a fungováním bezpečnostních složek, protože tento tradeoff je zcela iluzorní.
-
No ne tak úplně. Porád je 1000 způsobů, jak spustit kus kódu, byť ne zrovna pohodlně. Třeba si nainstaluju interaktivní python interpreter. Vytvořím HTML stránku s kusem JS. Ano, nemůžu to pohodlně distribuovat ve "storu". Ale napsat návod "vemte tento kus kódu" a zkopírujte ho sem, není zas tak těžké a motivovanému aktérovi to za tu práci jistě stojí.
Zalepit všechny tyto díry by vyžadovalo velmi extrémní opatření, které by se de facto rovnaly zákazu programování jako hobby.
-
Například můžu udělat triviální 100řádkový program, který bude jen minimální interface pro kryptografická primitiva v nějaké zavedené opensource kryptografické knihovně. Takový program je i snadno auditovatelný pro byť jen trochu znalé. Pokud nechcete zavést backdoory do kryptografických knihoven na úroveň jednotlivých primitiv, což by bylo celkem těžké, protože by to např. rozbilo kompatibilitu (výstup je nějak standardizovaný a očekávám, že dostanu přesně, co mám). Jako ano, dají se dělat haluze typu slabé generátory náhodných čísel, ale ten prostor je relativně omezený.
-
Nebo proste budem ve velkem zverejnovat na sockach fotky vseho. Ted jsem byl na wc. A ted jsem svacil. A ted jsem umyl nadobi. A ted jsem si na Diffusion modelu vygeneroval tyhle krasna kotatka https://en.wikipedia.org/wiki/Steganography
-
Klasický postup je, že kdo neumožní rozšifrovat (třeba bude používat takový SW), tak bude trestán jen za to samotné.
No uvidíme, zatím zřejmě sami neví, jak to technicky navrhnou. Lépe se to bude kritizovat poté. Ale jsem taky velmi skeptický, že existuje (pro mě) přijatelný mechanismus dosáhnout těch cílů. Přinejlepším dojde k výrazné koncentraci de-facto moci do rukou toho, kdo to rozšifrování bude umět.
-
DannyStříbrný podporovatelZatim jedine, co se tam hmatatelne opravdu najit da je to, ze ENISA s Europolem maji spolupracovat na vytvareni nejakeho repozitare desifrovacich nastroju na ransomware. Asi se tam vcelku "trivialne" muzou prihodit nastroje na prolamovani zabezpeceni treba telefonu, ktere se ostatne bezne prodavaji i komercne...
-
DannyStříbrný podporovatel
Zbytecne okate. Deraveho software je kolem nas diky prekotnemu vyvoji hromada. Zameri se na hledani der v tom software, akorat o nich nebudou nikomu rikat... a budou si zcela legalne drzet svuj utajeny repozitar s exploitiky, do jejichz vyvoje se nasype spousta verejnych penez.
-
Domnívám se, že ne zcela správně chápeš podstatu práva nevypovídat.
To, že odmítneš výpověď, vůbec neznamená, že nemůžeš být stíhán, odstíhán, a potrestán. Znamená to doslova JENOM to, že nejsi povinen učinit svědeckou výpověď, která by inkriminovala tebe, osobu blízkou, nebo osobu v obdobném vztahu vůči tvojí osobě.
A pozor, v důsledcích to neznamená, že za odmítnutí výpovědi nemůžeš být postihován, protože pokud je prokázáno, že osoba vůči níž jsi odmítnul výpověď není osobou tobě blízkou nebo obdobnou, odmítnutí výpovědi je v důsledku obdobná křivé výpovědi a implikuje spolupachatelství, neboť napomáhání spáchání trestného činu / zahlazení stop / legalizaci výnosů. A v tom momentě záleží jenom na státním zástupci, jak moc se mu bude chtít na tobě spotřebovávat svůj čas a prostředky. -
On je ale problém v tom, že od nějakého stupně složitosti a technického rozvoje společnosti už to může být nevyhnutelné a nutné, protože s technologickým pokrokem roste i nebezpečnost hrozeb. A procento zločinců a zrůd je sice v populaci velmi malé, ale nikoli zanedbatelné. A některé útoky, kterých jsou "vadní" jedinci (čti zločinci a teroristé) schopni, jsou schopné poslat společnost (a to je myšleno i v globálním měřítku) do kolen tak, že i pokud se z toho ještě dokáže zvednout, může to trvat klidně desítky nebo i stovky let (např rozšířením infekční choroby s dlouhou inkubační dobou a vážnými následky prostřednictvím letecké dopravy nebo útok na platební systémy a logistiku základních surovin, vodárny, apod.).
A vzdělaný a finančně zajištěný psychopat je jeden z nejhorších možných scénářů, které lze vůbec vymylet.
Takže NĚJAK se to vyřešit doslova musí, a otázka tak nestojí zda, nýbrž JAK. -
P.S. Samozřemě správná cesta je aspoň systémy kritické infrastruktury (a v rámci možností i ty ostatní) dělat maximálně bezpečné a napadnutelné jen maximálně obtížně, jenže to je ten samý problém jako důkaz boží neexistence.
Stačí jediná slabina, která tvůrce / auditora nenapadla, zatímco útočníka jo.
A navíc bezpečnost systémů, s nimiž interagují živí lidé, se s pohodlností používání spíš vylučuje, takže je tam další problém volby dostatečně bezpečného a zároveň funkčního kompromisu. Který ale už z principu zavádí slabiny.
