GrdUtil: Создание алгоритма и защищенной ячейки

Здравствуйте, Luck.

При создании дескрипторов различных алгоритмов и защищенных ячеек, GrdUtil действительно по-разному может устанавливать набор активированных сервисов и паролей для них. Однако, для всех типов алгоритмов и защищенных ячеек, правильным будет следующее утверждение: если нужно чтобы GrdUtil генерировал пароли для активированных сервисов, то следует выбирать тип пароля как случайный (в выпадающем списке, справа от поля для указания пароля, выбирать соответствующее значение), если же используется постоянный пароль, то его необходимо указывать самостоятельно (получать любым удобным и надежным, по Вашему мнению, способом).

Во все создаваемые в GrdUtil алгоритмы пишется уникальный (для каждого нового алгоритма сгенерированный отдельно), надежный определитель, которому можно доверять. Однако, указать определитель самостоятельно (вручную) разработчик тоже может. Про надежность определителей говорилось еще тут.)
Что же касается паролей для сервисов аппаратных алгоритмов, то это просто рандомно сгенерированные, целые числа, максимальная длинна которых, составляет 4 байта.

Внутри самого шаблона эти пароли меняться не будут даже при его активации, но для каждого шаблона придется отдельно, как то запоминать их, например, в виде nsd-файла сохраненного на основе данного шаблона.

Текущее поведение утилиты GrdUtil при заполнении (или не заполнении) полей паролей для сервисов различных аппаратных алгоритмов действительно не совсем понятное, и мы обязательно учтем Ваши рекомендации при дальнейшем развитии данной утилиты.

В зависимости от алгоритма шифрования/подписи есть свои критерии слабых определителей (ключей) и свои методы генерации ключей (ключевых пар). Эти методы и используются. В общем случае криптографический ГСЧ там не нужен, этот определитель подобрать или вычислить невозможно - это равносильно взлому самого алгоритма или тупому брутфорсу.

Опять же, необходимости в криптографически стойком ГСЧ для этой задачи нет. Мне даже сложно представить use case для этого. Алгоритм генерации не разглашается, но вы сами можете генерировать и записывать туда любые пароли.

Это понятно. У меня просто была мысль набить шаблон ключа алгоритмами про запас, чтобы в дальнейшем, при необходимости их можно было активировать.
Но набивать полсотни алгоритмов руками - а в каждом из них определитель и 3-4 пароля - желания нет. Тем более, что и необходимости в этом тоже нет.

Во первых, по поводу генерации определителей в GrdUtil.

Ваши опасения мне понятны, и могу вас заверить, что они беспочвенны :). Еще раз повторю - опеределитель не требует супермощного криптографического ГСЧ в силу особенностей использования ключей и алгоритмов. Но там далеко не srand(time)-rand(). Мы используем собственный ГСЧ, с собственным сбором энтропии (например, при сборе энтропии учитываются все действия пользователя с момента запуска GrdUtil). Качество "случайности" для каждого определителя проверяется по критерию согласия Пирсона (критерий Хи-квадрат), это помимо алгоритмов отсекающих заведомо слабые определители для конкретных типов криптоалгоритмов.
Плюс к этому наш ГСЧ тщательно тестировался специалистами по криптографии (мы сотрудничаем с кафедрой криптологии и дискретной математики МИФИ) и показал очень хорошие результаты, не уступающие популярным криптографическим ГСЧ.

Возможность генераций паролей защищенных ячеек с помощью аналогичного ГСЧ мы учтем в следующих версиях утилиты. Но вообще говоря это работа близкая к бестолковой, пароли проще всего подсмотреть отреверсив программу и вызовы Guardant API, а не используя математические методы и долго и мучительно собирая статистику.

Возможность прочитать определитель алгоритма из ключа есть потому, что алгоритм представляет из себя защищенную ячейку и это ее типичная возможность. В каких то редких сценариях эта возможность наверное может быть полезна, но вообще говоря алгоритмы действительно должны быть недоступны для чтения из ячейки и накрыт аппаратным запретом, и по умолчанию GrdUtil их создает именно таким образом. Просто я лично не вижу смысла блокировать эту возможность для алгоритмов просто ради блокирования. По умолчанию это всегда выключено.