[IRC-DEV] Re: Cifrado entre servidores

[RoMaNSoFt]

On Sat, 28 Dec 2002 00:28:57 +0100, you wrote:

>BulletProof no es una solución cerrada, porque toda la tecnología y
>protocolo están perfectamente documentados, y ya he dicho en más de una
>ocasión que no me opongo en absoluto a que surgan "competidores",
>siempre que interoperen entre sí. Así que eso de "solución cerrada" te
>lo puedes ahorrar, Román.

 Sabes perfectamente a lo q me refería y refiero: si tú tienes BP pero
los demás no, adios a tus conexiones seguras mediante BP. Sin embargo,
si tú sales por SSL pero los demás no, *sí* es posible establecer un
tramo de conexión segura entre el servidor irc y tú. Este tramo es, a
menudo, el más crítico.

>BP te lo proporciona. BulletProof es un sistema integral que permite el
>cifrado extremo a extremo. Y es compatible con CUALQUIER red de IRC del
>planeta tierra, sin requerir nada especial en el servidor o la red. 

 ¡Pero lo requiere en todos y cada uno de los destinatarios! Pequeño
detalle, ¿eh? :-) ¿Q es más facil: q personal cualificado parchee una
docena de servidores, o q muchos miles de usuarios inexpertos "se
parcheen a sí mismos" (i.e. bajen, instalen, configuren y usen BP)?

 Aparte, no es realmente cierto q BP sea compatible con cualquier red
de irc, al menos si se quiere garantizar la seguridad de contraseñas
nick/chan ;-) De hecho, BP aún no es capaz (dijiste q está en proceso)
de establecer conexiones seguras con bots como nick o chan. Y cuando
lo sea, será necesario q exista algo especial en el servidor. Y cuando
esto último este hecho, la funcionalidad será totalmente dependiente
de la red (realmente de los bots usados en la red), y habrá redes
"compatibles" (en principio, solo irc-hispano) y otras q no.

 Como ves, es fácil darle la vuelta a tus palabras.  };-)

 De todas formas, BP / SSL son soluciones a niveles diferentes (y así
debemos verlo), pero perfectamente compatibles entre sí. Cada una
provee una nivel de seguridad diferente, y a su vez, tiene una alcance
(masa util de usuarios) muy diferente:
- el q no se fie de administradores y/o quiera una privacidad 100%
(pero quiera transmitir sus contraseñas de chan/nick sin cifrar,
perdón por el golpe bajo, jeje), q use BP (y se moleste en
avisar/convencer uno a uno de q se instalen BP a sus destinatarios, q
es el segundo y gran inconveniente).
- el q "simplemente" quiera proteger sus contraseñas de nick/chan
frente a sniffeos, y asegurar 100% su privacidad *en el tramo
cliente-servidor* (en mi opinión, el más "peligroso), quiera seguir
usando su cliente habitual de IRC, sin necesidad de ponerse de acuerdo
con sus destinatarios, q use SSL.

 Cada cual q juzgue las diferencias y use lo q más le convenga. Salvo
casos excepcionales, yo veo más util lo segundo.

 ¿Por qué no se facilitan las 2 opciones y q los usuarios escojan?

>Desde el momento en que montar un túnel SSH es una cuestión puramente
>personal entre dos administradores de IRC, sin que ello sea visible ni
>en el código IRC ni en la red en sí, sería previsible que si tanto
>preocupa el asunto, los administradores más concienciados (estoy
>hablando de IRC-Hispano, aquí) ya habrían montado esos túneles
>"privados" hace tiempo. La tecnología existe desde hace muchos años, y
>montarlo es completamente transparente para todos los no implicados.

 Apostaría a q esos "administradores más concienciados" ya tienen
medios para asegurar sus conexiones en mayor o menor medida (ya sea
túneles propios o cualquier otra argucia). Y los "no concienciados"
pasarán del tema. Como resultado, los usuarios no podemos hacer nada
al respecto.

>El hecho de que *NO* se haya hecho, con lo fácil que es hacerlo, indica
>que nadie en IRC-Hispano se ha sentido lo bastante motivado para
>invertir 45 minutos en ello.

 Re-leer párrafo anterior. Por cierto, seguramente habrías tardado
menos en montar un tunel en argo q en escribir tu post anterior O:-)

>Aquí entraría BulletProof 2.*, como ya he dicho un mensaje anterior. O
>cualquier otro software que hable ese protocolo, sencillo y
>perfectamente documentado, si no te fías de mí.

 No es q no me fie de tí, tu sabes q no es así, sino simplemente q BP
tiene sus virtudes y sus carencias. Las virtudes ya las has nombrado
tú, de las carencias me he encargado yo }:-). Y no con ánimo de dar
por saquillo sino para vislumbrar algunas lagunas de BP, q podrían ser
solucionadas con SSL de forma sencilla y eficiente.

 Las cartas están sobre la mesa. Si algún administrador lee esto y se
anima, pues estupendo. Razones hay de sobra. Y si no, pues nada, q
sigan sniffando nuestras contraseñas, q le vamos a hacer :-). Yo no
voy a insistir más.

 Salu2,
 --Roman

--
PGP Fingerprint:
09BB EFCD 21ED 4E79 25FB  29E1 E47F 8A7D EAD5 6742
[Key ID: 0xEAD56742. Available at KeyServ]