Przed chwilą odbyłem z moim przyjacielem TeMPOraLem Dyskusję na temat konwencji odpisywania na wiadomości email, a także o kierunku sortowania danych opatrzonych czasem.

Moim stanowiskiem jest odpowiadanie na górze, a także umieszczanie najświeższych informacji u góry strony/zasobu. Nie przemawia do mnie argument, że książki czytamy z góry na dół, gdyż książki nie są zawartością dynamiczną. Uważam, że sieć jest bardzo elastyczną strukturą, potrzebujemy najważniejsze i najświeższe informacje, a co za tym idzie dostęp do nich powinien być maksymalnie uproszczony.
Historia jest także bardzo ważnym elementem życia onLine, gdyż pozwala jednoznacznie określić ewentualne drobiazgi i przebieg jakiejś aktywności. Jednak jest to tylko w celach dokumentacyjnych. Życie toczy się tak szybko, iż ogarniamy najpilniejsze sprawy. Pamiętamy co było w liście/smsie/rssie godzinę czy dwie temu. Interesuje nas aktualny stan rzeczy dostępny w taki sposób, aby nie musieć się zastanawiać GDZIE on jest. Powinien być, jak mówi jedna Bardzo Ważna dla mnie Osoba „Na Oczach”. Takie ułożenie daje sortowanie malejące względem czasu. Najaktualniejsze dane są na wierzchu.

Argument że wiadomości powinny być posortowane rosnąco względem czasu można jeszcze przyjąć pod dyskusję, gdy ktoś uważa, że zawsze potrzebuje całą informację aby być wstanie przyswoić i zrozumieć aktualną wiadomość. Jednakże poglądu, że powinno się odpowiadać w treści czyjegoś komunikatu „cytując” jedynie, w żaden sposób nie potrafię uzasadnić jako rozsądne. Wyrywa się ułamki wypowiedzi z kontekstu, często bardzo podobnego gdy się dyskutuje niuanse zagadnienia, stąd łatwo o pomyłki w interpretacji. A kiedy konwersację prowadzi więcej osób, to bez zaawansowanego systemu śledzenia cytatów (zagadnienie: kto na co odpowiedział) cała energia czytającego/śledzącego zostaje zmarnowana na dojście do tego, kto jaki pogląd prezentuje.

Na koniec drobne pytanko do wszystkich którzy preferują ułożenie „najnowsze na dole”. Czy swój telefon komórkowy, tudzież klienta poczty elektronicznej przestawili na to, aby sam spis wiadomości był także samo posortowany? Z tego co wiem, wszystkie serwisy webowe obsługujące pocztę pokazują najnowsze wiadmości na górze. Telefony komórkowe tak samo. Readery rss podobnie. Klienty poczty elektronicznej także potwierdzają moją tezę.

To dlaczego na siłę zmieniać od dawna ubite szlaki kosztem szybkości dostępu w imię dziwnej filozofii ?

Dzisiaj próbowałem uruchomić skrypt Power Shell’a jako Pre-Build Step Visual Studio. Niestety jak na razie operacja ta ma status failed, jednakże przy okazji dowiedziałem się kilku istotnych rzeczy związanych z podejściem Power Shella do kryptografii i Infrastruktury klucza publicznego wogóle.

Na początek kilka słów o architekturze podsystemu kryptografii w windows. Oczywistym jest, że aby korzystać z dobrodziejstw podpisu/szyfrowania/logowania kryptograficznego potrzebujemy odpowiednich certyfikatów. Obecnie panującym standardem w tym zakresie jest X509 wraz z całą gamą standardów wykonawczych (ITU – ASN.1; RFC – różne noty aplikacyjno-standaryzacyjne).
Certyfikaty te znamy z codzienności, np. logowanie do banku, czy sklepu internetowego przez SSL. Możemy obejrzeć certyfikat, zapisać go jako plik. Ale tak na prawdę, to jest to jedynie cząstka prawdziwego narzędzia. Drugą stroną jest tak zwany klucz prywatny, który powinien być silnie strzeżony. Można (i często jest tak robione… Niestety) te klucze przechowywać także w plikach (np. pliki pfx). Ale to stanowi niebezpieczeństwo „Kompromitacji klucza” (Za RFC – Key Compromise). Dlatego praktycznie od początków, od Windows 2000 Microsoft udostępnia w ramach architektury systemu specjalne miejsce, gdzie w sposób bezpieczny i bardzo restrykcyjny udostępnia użytkownikom dostęp do ich certyfikatów i kluczy prywatnych.Jednak dawniej, przed epoką power Shella wykorzystanie tej przestrzeni i swobodne posługiwanie się certyfikatami było bardzo utrudnione. Istniały obiekty COM dostępne z Visual Basic; Istniały interface’y w C/C++. Jednak to było na tyle skomplikowane, że podpisane skrypty czy programy należały (i w sumie wciąż należą…. Niestety!) do rzadkości.

Power Shell zmienia stan rzeczy radykalnie. Aby podpisać jakikolwiek plik obsługujący SIP wystarczy świadomość jaki certyfikat z posiadanych może być do tego wykorzystany (kiedy użyjemy nieprawidłowego, zostaniemy na czerwono „okrzyczani”) oraz sam kawałek kodu w PS1, który chcemy oznaczyć jako zaufany.

Kwestię uzyskania odpowiedniego certyfikatu zostawię na następnego posta (zainteresowanych odsyłam do nmdlet’u get-help set-AuthenticodeSignature ),
natomiast pokażę fantastyczną składnię umożliwiającą wykorzystanie gotowego już certyfikatu z kluczem publicznym znajdującego się gdziekolwiek w bezpiecznym miejscu: Secure Store w rejestrze, bądź karta inteligentna (o plikach tu nie rozmawiamy, jak widać ;).
Należy przypomnieć że dawniej inaczej się odwoływało do usług Kart inteligentnych, a inaczej do składziku w rejestrze.
Teraz wszystko zostało zunifikowane do prostego uri

. dzięki temu nie przejmujemy się więcej, gdzie ten certyfikat fizycznie jest, tym się zajmuje odpowiedni Dostawca Kryptografii (ang. Cryptografic Provider).
Żeby poznać, jaki certyfikat jest nam potrzebny utożsamiamy właściwy cert w widoku przystawki mmc certmgr.msc z jego odciskiem palca (Thumbprint) a następnie dla weryfikacji wydajemy polecenie powershell’a:

W odpowiedzi dostajemy listę wszystkich certyfikatów którymi możemy dysponować.
Po upewnieniu się, że wszystko jest w porządku, ostatecznie podpisujemy nasz skrypt:

Należy tu zauważyć że przy okazji wypływa potęga power shella – mając URI musimy pobrać obiekt .NET’owy, który dopiero może zostać wykorzystany przez cmdlet podpisujący.

efektem końcowym jest taka mniej więcej wstawka na końcu naszego skryptu:

A we właściwościach pliku ukazuje się dodatkowa zakładka Podpisy Cyfrowe, gdzie możemy obejrzeć interpretację systemową naszej pracy 🙂

Mam nadzieję, że przekonałem Was, iż korzystanie z bezpieczeńswa jest naprawdę proste 🙂

Dzisiaj poszukując łatwego sposobu na dokumentację swojego projektu znalazłem taki oto plugIn do Visual Studio. Plugin po instalacji i odrobinie konfiguracji potrafi z powietrza wygenerować zupełnie sensowny zalążek komentarza dokumentującego:
Było:

Po ustawieniu karetki przed każdą deklaracją funkcji oraz na początku klasy i wywołaniu skrótu CTRL+SHIFT+D otrzymałem:

Tak, dokładnie – to narzędzie potrafi wywnioskować (SIC!!) do czego służą poszczególne funkcje.
Z pewnością to ułatwi i uprzyjemni żmudne godziny tworzenia dokumentacji.

Usługi certyfikacyjne Microsoftu działają w oparciu o szablony certyfikatu, w których zawarte są informacje dotyczące przeznaczenia certyfikatu wydanego na jego podstawie, atrybutów zabezpieczeń związanych z możliwością wydawania i użytkowania certyfikatu i tym podobnych rzeczy powiązanych z użytkowaniem Centrum Certyfikacji w strukturach Active Directory.
Bardzo często w takim środowisku musi się pojawić system działający pod kontrolą linuxa. Ot, choćby VMware ESX, które są hostowane przez Red Hat’a. W takich systemach wszelkie operacje związane z certyfikatami wykonywane jest przez pakiet openssl. Potrafi on niezmiernie dużo zrobić z automatu, jednakże jego funkcjonalność ogranicza się do działań kryptograficznych, jako że nie jest to narzędzie przeznaczone do integracji z Active Directory. Na szczęście jednak Microsoft swoje rozwiązanie automatyzujące wydawanie certyfikatów zmieścił w ramach standardu, i przy niewielkich modyfikacjach pliku konfiguracyjnego można także w Żądaniu Certyfikatu (Certificate Request) generowanym przy pomocy tego narzędzia umieścić także pole odpowiedzialne za szablon przy pomocy którego CA utworzy certyfikat.
Aby takie rozszerzenie dodać, trzeba przede wszystkim poinformować openssl’a o tym, że taki mechanizm istnieje. Robi się to przez rejestrację w pliku konfiguracyjnym openssl’a oid’u wykorzystywanego przez Microsoft do oznaczenia szablonu certyfikatu. W tym celu należy umieścić w sekcji

linię

oraz zarejestrować tę sekcję jako definiującą niestandardowe oidy za pomocą linii

umieszczonej na początku pliku, gdzie definiuje się zmnienne i sekcje. (obszar ten jest zbiorem wpisów podobnych do przytoczonego) Następnie koniecznym jest zdefiniowanie zestawu szablonów możliwych do wykorzystania przez openssl’a przy tworzeniu żądań certyfikatów. Wykonuje się to przez przypisanie zarejestrowanemu wcześniej oid’owi odpowiedniej nazwy szablonu. Jest to realizowane przy pomocy definicji sekcji nazwanej zgodnie z nazwą szablonu o następującej strukturze:

Przytoczona sekcja definiuje szablon o nazwie „Template Name”. Liczba sekcji nie jest ograniczona, należy je dla zachowania przejrzystości pliku konfiguracyjnego umieszczać bezpośrednio po sekcji

która odpowiedzialna jest za opcje związane z żądaniami certyfikatu.

Ostatnim krokiem jest sama generacja klucza prywatnego oraz żądania certyfikatu poświadczającego klucz publiczny z nim skojarzony. Wykonuje się to poprzez wydanie komendy:

celem utworzenia klucza, oraz następnie

Jak widać, poza typowymi argumentami podawanymi do komendy req występuje parametr

który odpowiada za wybór odpowiedniego szablonu certyfikatu który zostanie wykorzystany przez CA do utworzenia Certyfikatu.

Następnie pozostaje wysłać Request do Urzędu Certyfikacji i przetworzyć odpowiedź. Niestety na razie nie znam metody na wykonanie tego prosto spod Linuxa, więc należy się uciec do narzędzi windows’owych (np. certreq.exe), ale prace trwają.
O efektach będę informował 🙂

Rozpoczynając tym znanym cytatem z jeszcze bardziej znanego filmu, prezentuję Wam, Drodzy Czytelnicy od dawna planowanego, a dzisiaj zainstalowanego TechBloga.

Jako że jestem raczej człowiekiem technicznym, to w tym miejscu zamierzam umieszczać opisy i efekty moich codziennych zmagań z techniką, a także prezentować różne zagadnienia techniczne, warte moim zdaniem uwagi. Jednakowoż, fortuna kołem się toczy, a życie ma różne zakręty, więc i tutaj pojawią się tematy bardziej życiu poświęcone. Pewną ciekawostką może się stać fakt, iż będąc absolwentem liceum z klasy Matematyczno – Informatycznej param się także poezją. Zainteresowanych zapraszam do zapoznania się z Liryczną Galeryjką.
Ach, i jeszcze na progu działalności specjalne podziękowania należą się Paszczakowi, który zgodził się gościć ten blog na serwerze

Pozostaje mi jedynie wyrazić serdeczną nadzieję, że materiały tu prezentowane spotkają się z równie entuzjastycznym przyjęciem, jak audycje prowadzone przez szeregowego Cronauer’a…