Autenticazione della chiave pubblica garantita oltre all'incontro fisico e (possibilmente non affidabile) Root CA

2

Vorrei chiedere se fosse possibile in qualche modo trasferire una chiave pubblica e garantirla senza dover fisicamente incontrare e verificare che la persona che ho incontrato sia chi dice di essere e senza dover fare affidamento su una terza parte che potrebbe non essere affidabile (a causa dei mandati governativi o della valuta dei dati). Ho pensato a diverse idee come Convergence di Moxie Marlinspike, ma ciò richiede di credere che ogni notaio non sia malvagio e ho anche pensato al Quantum Satellite cinese, ma ciò richiederebbe uno scambio fisico e sicuro (ho ragione?) . Il costo non è un problema in quanto voglio solo sapere se è possibile farlo.

L'ultima cosa a cui riesco a pensare è il segreto condiviso e penso che possa funzionare, ma non capisco come possono entrambi i computer generare il segreto condiviso e sapere che cosa genera l'altro computer, o importa (come Wikipedia la voce per Diffie-Hellman sembra indicare con l'esempio di vernice che entrambi i segreti sono colori diversi)?

In sostanza, voglio sapere se è persino possibile garantire che un Man in the Middle Attack non sia possibile senza incontrare fisicamente o fidarsi di una terza parte. Grazie!

Modifica: beh, qualcosa che ho scoperto sulla base della risposta di Mike Ounsworth è che, dal momento che non è realistico per me incontrare ogni persona che vuole che verifichi le chiavi, potrei fare cose come stampare l'impronta digitale della chiave sul business le carte e pubblicarle nel maggior numero possibile di luoghi in quanto è molto meno probabile che un utente malintenzionato possa modificare ogni copia della chiave o dell'impronta digitale e una persona che vuole davvero confermare la mia identità potrebbe controllare più fonti per farlo anche se non lo fanno mi conoscono Questa sarebbe una combinazione di "incontro di persona" e distribuzione di terze parti che mi soddisferebbe. Dopotutto, al fine di modificare tutto in questo mondo, è necessario il controllo del mondo intero e se ciò accade, allora abbiamo tutti problemi più grandi nelle nostre mani. (Sembra molto simile a Tor Timing Correlation Attacks che mostra che tutti noi abbiamo problemi se ciò accadesse).

    
posta SenorContento 13.09.2016 - 14:39
fonte

1 risposta

3

La domanda fondamentale con cui stai combattendo qui è:

How do I know that the human at the other end of the internet is who they say they are?

Per quanto ne so, ci sono solo due modi per farlo:

  1. Pre-condividere alcune informazioni fuori banda, di solito l'hash della tua chiave pubblica, a una riunione fisica, una telefonata, stampata su carta in una busta sigillata, ecc.

  2. Se hai una persona comune a cui hai già stabilito fiducia, puoi estendere la fiducia. Es .: un amico comune in PGP o una CA radice comune in PKI.

Se vuoi rifiutare entrambi e creare fiducia nel nulla, allora potresti rimanere bloccato, indipendentemente dalla tecnologia che usi.

Sulla nota delle tecnologie, parliamo di due:

Diffie-Hellman

DH è un metodo per stabilire un segreto condiviso con qualcuno all'altra estremità del cavo in modo tale che un utente malintenzionato non possa intercettarlo. La DH non ha un meccanismo per autenticare in modo sincero che la persona con cui stai parlando sia in realtà chi affermano di essere. Quando è richiesta l'autenticazione, la DH viene generalmente aumentata richiedendo a ogni persona di avere un certificato emesso da una CA radice comunemente utilizzata.

Distribuzione chiave quantistica

Se il costo non è un problema, allora QKD potrebbe essere la tua risposta. Invece di inviare informazioni codificate in tensione, come facciamo di solito, una macchina QKD da $ 1 milione USD codifica le informazioni nello spin delle particelle quantiche. Secondo le leggi della fisica quantistica, ciò significa che ogni intercettazione altererà il messaggio e il destinatario lo saprà. Come Diffie-Hellman, tuttavia, questo è un modo per proteggere le informazioni in transito ... non fa molto per dimostrare quale umano è alla tastiera.

    
risposta data 13.09.2016 - 14:56
fonte

Leggi altre domande sui tag