🤱🏿 😳 🤦🏼 Google GMail उपयोगकर्ताओं को एंड-टू-एंड एन्क्रिप्शन का उपयोग करने का सुझाव देगा 💇🏾 👨🏿‍🤝‍👨🏼 👩🏿‍🎨

Google, Google Chrome ब्राउज़र के लिए एक विशेष एक्सटेंशन जारी करने की तैयारी कर रहा है, जो उपयोगकर्ताओं को भेजने से पहले संदेशों को एन्क्रिप्ट करने के लिए GMail सेवा की अनुमति देगा, ताकि संदेशों के अवरोधन की संभावना को बाहर रखा जा सके। केवल एंड-टू-एंड नाम का एक्सटेंशन, OpenPGP मानक का उपयोग करता है, लेकिन अभी रिलीज़ के लिए तैयार नहीं है, क्योंकि Google समुदाय से मदद मांग रहा है।

Chrome वेब स्टोर पर एक्सटेंशन प्रकाशित होने से पहले Google सुरक्षा टीम ने Apache 2.0 लाइसेंस के तहत एक्सटेंशन सोर्स कोड जारी करने का निर्णय लिया। इसका कारण सरल है - Google को कई कठिनाइयों का सामना करना पड़ा था, इसलिए कंपनी को अभी तक यकीन नहीं है कि उनके OpenPGP का कार्यान्वयन विश्वसनीय है। Google नोट करता है कि जावास्क्रिप्ट रनटाइम आर्किटेक्चरली विश्वसनीय नहीं है क्योंकि यह नियंत्रित नहीं कर सकता है कि देशी स्तर पर क्या हो रहा है, इसलिए डेटा रिसाव का खतरा है। इस परियोजना की उपस्थिति के कारणों का उल्लेख करते हुए, कंपनी ने कहा कि वर्तमान में GnuPG और PGP मौजूद हैं, लेकिन उन्हें उपयोगकर्ता से एन्क्रिप्शन के ज्ञान की आवश्यकता होती है, जबकि Google से एक्सटेंशन एन्क्रिप्शन प्रक्रिया को यथासंभव उपयोगकर्ता के अनुकूल बनाने का प्रयास करेगा। वास्तविक जावास्क्रिप्ट के लिए, Google FAQ कुछ स्पष्टीकरण देता है।

विस्तार के डिजाइन की सभी खामियों को जब भी संभव हो, सही करने के लिए, Google ने खोज और शोषण के लिए पुरस्कारों के लिए उपलब्ध कमजोरियों की सूची में अपना नया उत्पाद शामिल किया है। इस प्रकार, Google की सहायता नि: शुल्क मांगी जाती है, लेकिन $ 500 से $ 20 हजार तक का पुरस्कार प्राप्त करने के अवसर के साथ।

Google गुमनाम उपयोगकर्ताओं को कंपनी में अनाम आंकड़े भेजने के लिए एक्सटेंशन का उपयोग करते समय भी पूछता है, जैसा कि कुछ मामलों में (जैसे ब्राउज़र क्रैश), Google को डेटा भेजा जा सकता है जो आपको उपयोगकर्ता की निजी कुंजी को पुनर्स्थापित करने की अनुमति देता है।

पूछे जाने वाले प्रश्न

चूंकि आपने स्रोत कोड प्रकाशित किया है, तो क्या मैं वेबस्टोर में स्वयं एक्सटेंशन प्रकाशित कर सकता हूं?

कृपया ऐसा न करें।

विकास दल समझता है कि संभावित रूप से इस विस्तार का उपयोग पत्रकारों द्वारा किया जा सकता है, मानवाधिकारों की वकालत करता है और अन्य जो तकनीकी रूप से समझदार नहीं हो सकते हैं, इसलिए यह विस्तार अप्रिय परिणाम दे सकता है।

हम उन कमजोरियों की पहचान करने की उम्मीद में स्रोत कोड जारी करते हैं जो हमारी टीम को याद हो सकती है। इसलिए, जैसे ही हमें पर्याप्त सबूत मिलते हैं कि हमारा कार्यान्वयन विश्वसनीय है, हम स्वयं कैटलॉग को विस्तार जारी करेंगे और आगे समर्थन प्रदान करेंगे।

क्या एन्क्रिप्शन संलग्नक के साथ या केवल जीमेल में पत्र के पाठ के साथ काम करता है?

केवल पाठ के साथ। यह भी याद रखें कि पत्र का विषय और प्राप्तकर्ताओं की सूची भी एन्क्रिप्ट नहीं की जाएगी।

आप केवल अण्डाकार वक्रों पर मुख्य पीढ़ी का उपयोग क्यों करते हैं?

RSA पीढ़ी अण्डाकार घटता की तुलना में धीमी है ।

क्या एंड-टू-एंड मोबाइल उपकरणों पर काम करेगा?

Android और iOS पर Chrome वर्तमान में एक्सटेंशन का समर्थन नहीं करता है, इसलिए नहीं।

एक्सटेंशन में आप किन विशिष्टताओं का उपयोग करते हैं?

RFC4880 - ओपनपीजीपी संदेश प्रारूप

RFC6637 - ओपनपीजीपी एलिप्टिक कर्व क्रिप्टोग्राफी

दुर्भाग्य से, एक्सटेंशन अभी भी OpenPGP और Camellia एल्गोरिथ्म के साथ MIME सुरक्षा के लिए विनिर्देशों का समर्थन नहीं करता है ।

मेरे पास एक दरार है!

हमने गैर-रोमांस भाषाओं के लिए नीम हकीमों को प्रदर्शित करने से बचने की कोशिश की, लेकिन यदि आप विशेष रूप से सेवा क्षेत्रों में रुकते हैं तो आश्चर्यचकित न हों। हमने स्वचालित एन्कोडिंग जांच लागू नहीं की।

क्या स्मृति में निजी कुंजी हैं, क्या वे प्रत्येक ऑपरेशन के बाद साफ हो जाते हैं, या पासफ़्रेज़ के लिए कैश है?

निजी कुंजियों को मेमोरी में अनएन्क्रिप्टेड स्टोर किया जाता है। हम अनुशंसा करते हैं कि आपके "किचेन" में पासफ़्रेज़ हो। इस स्थिति में, निजी कुंजियाँ एन्क्रिप्टेड लोकलस्टोरेज में संग्रहीत की जाती हैं।

खैर, और वे वहां कितने संरक्षित हैं?

चूंकि कुंजियाँ स्थानीय स्तर पर हैं, इसलिए आपको उन्हें एन्क्रिप्ट करने की आवश्यकता है। यदि यह केवल मेमोरी में अनएन्क्रिप्टेड है, तो केवल क्रोमियम सैंडबॉक्स पर निर्भर रहें।

जावास्क्रिप्ट? Srsly?

हां, जब हमने एंड-टू-एंड पर काम शुरू किया था, तो पिछले सभी जेएस हमारे लिए उपयुक्त नहीं थे, इसलिए हमें अपनी खुद की भरपाई करनी थी। हम उन सभी खतरों को पूरी तरह से समझते हैं जो जेएस एन्क्रिप्शन के लिए हैं, इसलिए हमने जोखिम को कम करने और समाप्त करने के लिए हमारे दिमाग में आए सभी उपायों को लिया ।

जावा स्क्रिप्ट में कई प्रमुख क्रिप्टोग्राफी सुविधाओं के लिए कोई समर्थन नहीं है। एन्क्रिप्शन के बिना कहाँ?

क्रोम में V8 जैसे आधुनिक इंजन, टाइप किए गए सरणियों का समर्थन करते हैं, और WebCrypto एक क्रिप्टोग्राफिक छद्म-यादृच्छिक राउटर जनरेटर प्रदान करता है ।

जावास्क्रिप्ट में क्रिप्टो परियोजनाएं अतीत में बार-बार टूटी हैं, इस तरह की गंभीर चीजों को लागू करने के लिए भाषा की विश्वसनीयता को कम करती है।

सत्य कथन। लेकिन व्यवहार में, एक सामान्य प्रोग्रामिंग भाषा कमजोरियों के खिलाफ 100% सुरक्षा प्रदान नहीं करती है।

हम सभी उदाहरणों से अच्छी तरह वाकिफ हैं, इसलिए शुरुआत से ही हमने खुद को उच्च स्तर की गुणवत्ता के साथ स्थापित किया है। परीक्षणों से आच्छादित आधुनिक क्रिप्टोग्राफ़िक लिब बनाने के लिए हमने स्क्रैच से शुरुआत की। यह BigInteger तरीकों, मॉड्यूलर अंकगणित, दीर्घवृत्त घटता, साथ ही सममित और सार्वजनिक एन्क्रिप्शन कुंजी के लिए समर्थन प्रदान करता है। ऐसा करने के बाद, हमने लाइब्रेरी के शीर्ष पर ओपनपीजीपी शेल विकसित किया। पुस्तकालय कोड का एक हिस्सा उत्पादन में हमारी कंपनी द्वारा आंतरिक रूप से उपयोग किया जाता है ।

Google कोड पर पूर्ण सामान्य प्रश्न ।

संदर्भ के लिए । इससे पहले Habré पर तृतीय-पक्ष डेवलपर्स के समान विस्तार का एक उदाहरण पहले से ही चर्चा में था।

Google GMail उपयोगकर्ताओं को एंड-टू-एंड एन्क्रिप्शन का उपयोग करने का सुझाव देगा

More articles: