> Спасибо, что предупредили.

Пешком ходите. Я не понимаю почему система трубочек, критичных к малейшей потере герметичности, насосы которым моща постоянно нужна (порой электрические, кст) для поддержки давления и куча механики - надежнее чем несколько проводов и приводов. Провода к тому же могут и пережить небольшое повреждение изоляции, а из гидролиний даже с небольшим повреждением жидкость вытечет, закончится - и байбай! Так что отказы ВСЕХ гидролиний у самолета - бывали и не так редко как того бы хотелось.

Электрику с инженерной точки зрения можно вообще в принципе подпирать гибридными решениями. Скажем если все провода перебило можно попытаться бэкап по радиоканалу, менее надежно в обычной ситуации, но если проводов не осталось, почему нет? С гидравликой это сложнее, а чем сложнее тем ниже надежность. То что за столетия электрику делать научились хуже чем гидравлику - с чего б вдруг? А если бы система сравнимая с компом по сложности была на гидравлических принципах - вы бы вообще охренели фиксить это постоянно.

>> Ну как бы мне без моего желания фиг чего насадишь.
> А куда ты денешься с подводной лодки! Насяльника прикажет на сайте зарегаться,

А я сам себе режиссер, такой вот чит. Так что договорюсь с собой как-нибудь, имхо. Так можно было, чо.

> где требование биометрического FIDO2 - возьмёшь под козырёк и зарегаешься
> как миленький.

Я свободный человек. Поэтому могу отогнуть фак, если хочется. На этом глобусе больше тасков чем я могу своротить, поэтому определенный процент допустимо послать, конечно, балансируя потери профита и репутации. Поэтому если хочется послать этого, с FIDO2, он и отправится искать других исполнителей и найдет ли и какое там качество выйдет, "зато с FIDO2" - не мои проблемы. Если кастомер лучше знает какие технологии в деталях надо - я ему не нужен! Или говоря начистоту, это - "проблемный клиент", его проще сразу слать.

>> А как тогда ваша теория объяснит факап с DualEC и паливом бэкдора?
> А его никто и не скрывал. Просто не болтали о нём. Кому
> его использовать приходилось - тем никуда не деться было.

Это какое-то неубедительное объяснение. К тому же с учетом наличия клаудспайвари в вебе и неспособности типового апликушника секурно юзать TLS не понятно зачем что-то делать с криптографами. Им даже 25519 и ChaCha не поможет в TLS. Задаунгрейдят до чего попроще если не нравится MITMом, будут ломать что нравится, а прогам все пофиг в массе своей. Браузерам не пофиг, но, вот зеленый замочек на клаудспайвару кажет, а за ней шифрования уже нет, даже если крипто супер-честное, оно уже снято. И заметьте, клаудспайварь бесплатно предлагает услуги. Вот это вызывает вопросы, странный какой-то "комерс" получается, вознимает вопрос на чем они отбивают затраты :). Так что если заговоры искать я бы задумался почему клаудспайварь крышу забесплатно предлагает и на чем они затраты отбивают.

> Что номинально есть и что нгминально нет - это одним росчерком пера меняется.

Ну дык Equation вот есть. И гасит на результат. Все догадываются чье это. Ну и где для них последствия где вещали что мол не надо бояться госов? А точно не надо - если вот какая-то левая группировка делает явно незаконные вещи и им как с гуся вода? Этот вопрос не я придумал, он у знакомых амеров возник.

> Именно потому, что он органично развивался. Все органично выросшие системы такие. От
> генома человека - до системы команд x86.

Да как вам сказать? В эволюции неэффективный хлам - просто вымирал. Это жестоко зато честно. А тут вот какие-то господа все за мамонта цепляются. Мол, клевый пушистик, ну и что что не принадлежит к этому климату и бесполезный почти?! Ну я и не против нескольких экспонатов в зоо, но содержать этого мастодонта лично? У себя во дворе? За свой счет? Вот уж нафиг!

>>Cloudflare
> Нафига ты их притащил? Это к крипте вообще никакого отношения не имеет.

Кроме того что честнейше аннулирует все крипто в единственном что с TLS более-мене нормально за годы отучилось стрелять в пятки - т.е. браузерах. Остальные апликухи с TLS вообще и RSA в частности простреливают пятки более 9000 способов и так извращаться просто не требуется, есть более 9000 более-менее общеизвестных векторов атак.

> влияния продвигать защищённые от DDOS протоколы в браузеры. Приходится
> продаваться клаудфларям за мелкий прайс.

А в результате - вот вам зеленый замочек с одной стороны, доступ к трафу с другой. Весь ваш TLS. И да, чем натужнее счет, тем больше стимул сдаться вот таким. Так что RSA16K очень стимулирует делегировать его счет клаудспайвари. Который впрочем врядли это станет делать и в одностороннем порядке решат что там для них ОК.

> Токс - говно, светящее на всю сеть твои p2p-соединения. Сделанное васянами и
> написенное на сишке.

Ну вот когда и если будет что-то лучше, мы об этом поговорим. А до тех пор остальное вообще централизованое гамно с сервером, позволяющее оптом анализ метаданных, и баны аккакнтов, а то и факапящее end to end крипто как матрикс. Секурные вебтехнологии с питоняшами - это вообще вот так.

Кстати есть и вариант на хрусте. А в TCP режиме оно может работать через Tor или что там кому нравится, типа шадоусоксов каких и проч. Так что если светиться не хочется, это можно. Зато никто не зобанит мне акк сегодня по желанию левой пятки. Бот умещается на страничку текста. И я никого не буду спрашивать можно ли мне его запустить. Просто возьму и запущу.

>> Еще одно булшит-бинго какое-то. Если посмотреть как крипто DJB делал
> А это уже культ.

Это не культ, это культура архитектуры и кодинга. И желание чтобы крипто было простым и прозрачным а не кучей мутномегалиб от васянов которые ламы в крипто и ломают дров, а то и просто CVE каждый месяц выкатывают, как openssl. При том порой такие, от которых никакой ЯП не поможет, типа кривой валидации сертификата, так что левый MITM с васян сертом за своего катит. Что в крипто так то заявка на залет. Если поболтать вместо френда с майором, можно довольно долго потом отдохнуть, вон те телеграмеры проверяли.

>>С минимальным знанием о ремоте.
> Это только когда у тебя 1 версия одного протокола. Сломалась - беги
> с флешкой (качать через инет - небезопасно!) к автору лично за новой.

Намного лучше если протокол с более 9000 опций обдурят сожрать левый серт и я уверен что это ремота - а реально это как в openvpn клиент траф MITMает, или как вон с тем CVE в openssl, когда совсем левый серт мог пройти проверку как валидный. Это называется "мужик, ты за меня или за медведя?!" :)

> ездило и продолжает сидеть на старой версии. А ты такой умный - без сайтов сиди.

Я такой умный что решения нахожу. Без счета RSA16K, упаси меня такой вектор DoS ремотам вывешивать. И нанимать админов для костылирования легаси - ваша прерогатива.

> сбегал с фбешкой за новой.

Извините, я не понял - вы тут имели в виду "ФСБшкой" или "ФБИшкой"? :)

> Вот полный набор проверок, который браузеры делают, долюен бытт не "как-то где-то"
> в браузерах, а в tls-библиотеке под простым фасадом.

Учитывая что это знание годами отращивали, и какого размера и уровня сложности достигли либы, мне почему-то кажется что если кадавра покормить вот настолько - лучше отойти подальше.

> И ты просто пользуешься реализацией в библиотеке, а не пишешь свои проверки. А если
> в библиотеке не написали достаточные проверки - ты либо контрибьютишь в
> библиотеку, либо выкидываешь её целиком.

Вон тут уже господин меня попотчевал сказом что тайминг атаки - так и задумано. И страшенный код не подлежащий аудиту - тоже. У меня иные идеи на этот счет. А вон то точно не будет простым компактным кодом подлежащим аудиту. Значит будет более 9000 факапов в этом коде, может даже не со зла.

>> вайргад
> это не vpn, а помойка. Всем, кто с ним имеет дело, приходится свою нестандартную
> версию вайргарда писать, а не полагаться на игрушку, написанную Доненфильдом.

Это донкихотство. Донфилд зарекомендовал себя весьма осмысленным в вопросах крипто, это редкий случай когда человек более-менее вхож и в математику более-менее, и в имплементационные детали. Это позволяет ему делать грамотно и осмысленно. То что кто-то из вон тех мог так же - вот не факт. По его коду (да, я его еще и читал, опять же потому что объем одупляемый) я вижу то он понимает что делает. Вот ему я свою тушку доверить могу, с энными оговорками. А тем донкихотам - нет.

И когда кто-то про бюрократию говорит - я таки вот как раз и видел как его вертали с его суперкрипто в обход ядерных апей. И в итоге совместными усилиями допинали с двух сторон линка до взаимоприемлимого компромисса. Когда и алго на месте, и апи улучшили, и в целом крипто подсистему ядра куда как окультурили. Практикующий имплементер вхожий в аспекты - круче нонейм корпоратов и швали смеющей писать крипто не будучи вхожи в тему даже минимально. И да, даунплееры тайминг атак для меня входят в ту же категорию, сорянчики. Потому что новость типа сабжа не первая и не последняя.

>> И в 50 раз меньше кода на аудит.
> Правильно. Нет программы - нечего аудировать. А кому программа нужна чтобы бабло
> делать - те и без аудита обходятся. Тяп-ляп - готов VPN-провайдер.

Тяп-ляп это openvpn какой. Кода в 50 раз больше, работает в разы тормознее, кучу лет MITMался любым клиентом влет (позор какой) и его секурная конфигурация это рокетсайнс. И прочих айписеков вместе с этой гадостью заберите. А так если кто программу хотел, вон SoftEther есть, навернули еще в 10 раз больше кода, так что за всю жизнь не перечитать. А сколько там багов, в том числе ведущих к вулнам - можно только гадать, ибо ни 1 безопасник ЭТО юзать не будет просто посмотрев на объем кода и прикинув вот это соображение.

> Безопасность небесплатна. Где ускорили - там и похерили безопасность. Это как раз
> пример с твоей экспонентой 4.

Самый кайф это когда удалось сделать и шустро и безопасно и ключи небольшие. Чем ближе к этой точке тем лучше крипто. И какойнить ключ типа 256 битов еще реально на бумажку записать и мануально вбить, послать смс (публичный конечно) и проч. А RSA - уже в пролете. И это серьезный минус. Если б он постквантум предлагал, может и забили бы, но Шор для него первого и был.

> 1. с чего ты взял, что большой секрет в принципе возможно заменить маленьким?

С того что симметричное крипто, хеши и auth enc в общем то неплохо это иллюстрируют.

> С чего ты взял, что P≠NP? Может мы живём в одном из трёх первых миров Импаглиаццо.

Симметричное крипто от этого допущения не зависит. Ни DJBшное, ни AES. И даже квантовые алгоритмы там не страшны. А таки вот - вместо запоминания чушки на дофига я могу помнить пароль на ее расшифровку. Без этого чушка лишь бесполезный мусор. На память об этом у меня есть несколько архивов от которых я пароль забыл. И не, то крипто за обозримое время не будет разнесено и за глаза я считаю эти данные утерянными.

> мы только с вероятностью 1/ живём в мире, где ассиметричная криптография есть.

А вот кстати если уж так умничать, three-pass к симметричным алго прикрутить не реально? Он так сформулирован что ниоткуда не следует что в его core принципиально нельзя юзать core от симметричных алго. У них должны быть определенные свойства, но не более того. И так вроде бы может получиться нечто типа публичного крипто на совсем другом core математики.

Примерно туда же идут идеи типа double ratchet (как я понимаю некий аналог оного в вайргаде и есть). В практическом сценарии, особенно в p2p, и вдолгую, если атакующий не всемогущий он довольно быстро обнаружит что практическая атака на такую структуру - не особо удобная, потому что динамический обмен ключами, ну, он когда-то, как-то, что-то. Но возможно что момент упущен, а то что вот ща летаеи - взлом не позволяет и в основном вертится вокруг взлома симметричного алго, с синхронными ключами на 2 сторонах линка. А это не прикольно. Даже с квантами.

> 2. С чего ты взял, что у EC всё лучше, а не
> людие его просто знают хреновее, и поэтому тебе и кажется, что
> там меньше всего?

С того что как минимум оно быстрее и ключи меньше и это апгрейд эксплуатационных свойств. А с развитием квантовых компьютеров менять придется и это и RSA, вероятно. Шор изначально сформулирован для разложения на множители так то.

>>И не такое уж и быстрое.
> хочешь ускорить - вообще не шифруй.

Это фиговое предложение, не принимается. Более того ниоткуда не следует что быстрое крипто - небезопасное. Там совсем иные требования в основе лежат, в которые "скорость" в чистом виде вообще не входит. Поэтому возможно бесконечное число реализаций, очень разных по скорости но одинаковых по достигнутому эффекту. Затормозить крипто можно до бесконечности, но это не гарантия получения новых свойств.

Простой пример: salsa или chacha можно легко дописать 100500 раундов, 1 параметр твикнуть. Но после энного числа раундов это ничего нового кроме тормозов особо не дает. Выбор числа раундов DJB в дефолтовой версии и так явно с запасом судя по потугам криптоанализа. В подобных аспектах даже AES вроде ок, его никто и не долбит в лоб. А зачем, если известно его слабое место в виде таймингов? По нему и гасят. Под рассказы что проблемы нет. Исследователям тоже интересно что-то сломать показательно, а не обломаться с 0 результата.

> Можно. Но время будет константным: достаточно ответ выдавать не когда он готов,
> а по таймеру.

Это усложняет имплементацию, требует лишнего внимания и привносит много новых соображений на которых тоже можно налететь. Для имплементера намного лучше если крипто просто не создает им такую проблему. Это повод выбирать вон то крипто вместо вот этого. А на каком-нибудь датчике RSA вообще будет напряжно.

> А, вам ускорения надо, времени ожидания жалко! Ну тогда вам нужны реализации
> максимально оптимизированные, максимально сокращающие время ожидания. Которые
> подвержены атакам по времени.

Ну а вот тут господа научились довольно быстрые алго с фиксированными временами. Шаг вперед по эксплуатационным свойствам. Вы пытались показать что выбор вон тот, а тут пришли вон те и дали новую свободу маневра. Странно что почти все и выбрали их а не вон тот "выбор".

> в 21 веке тайминг атаки вообще можно не учитывать, а убрать навесной защитой.

Это переваливает проблему на имплементера и является недостатком решения и поводом выбрать иное решение раз так можно было. Особенно если там еще и перфоманс на порядки лучше даже с фиксированными таймингами. Это как раз апгрейд эксплуатационных свойств и есть. И повод сменить алго.

> И будет гораздо энергоэффективнее - вместо сжигания энергии попусту процессор
> перейдёт на другой поток  бубет там пользу приносить.

Угу, хочу посмотреть как вы вон там в МК питаемом от CR2032 вообще RSA будете насчитывать и надолго ли вам таблетки CR2032 хватит, если мы уж про энергоэффективность. А что, 25519 я и на таком сворочу за разумное время. И это лучше чем совсем без крипто.

> Вам нужно подешевле или побезопаснее?

И то и другое и можно без хлеба. Чем ближе то или иное решение подходит к этой точке, тем лучше оно по эксплуатационным свойствам.

> После чего выкинуть этот игрушечный код и пойти использовать работающие в практических
> применениях решения.

Для меня tweetnacl работает в вполне практических применениях. И не то чтобы я RSA смогу посчитать на штуке питающейся от CR2032, а вот это - вполне. Да и на серверах мне RSA16K считать... боты и на 4К то серв напрягают. И все жти наймитеадминаfail2banwhatever - я лучше fail2ban сделаю носителям этой точки зрения. Сразу все намного проще и лучше работает. Без видимых ущербов чему либо. А уповать на квантовую секурность RSA когда Шор впервые для него и сформулирован - за кого вы меня держите?

> ещё быстрее - не шифровать вообще. Используйте алгоритм "ничего не делать"
> - даст бесконечное ускорение.

Ниоткуда не следует что безопасный алгоритм обязан быть тормозным. В крипто совсем иные формулировки. И напротив можно сделать море несекурных но тормозных алго. И на ваше горе я эти критерии понмиаю.

> Ты не понимаешь, тебе-то хватило, а бизнесу-то - экономия!

Я я что, рыжий? Я тоже не против процик за доллар с 2032 батареечкой поставить вместо компа и дизельгенератора вон там для счета вашего RSA. А вы на своих серверах можете делать что угодно, мне не жалко если вы будете платить за счет RSA16K. Но - из своих, я этот банкет оплачивать не буду.