PEP security - mnenja

Je morda že kdo zasledil tole: https://www.pep.security/en/

Na prvi pogled je videti v redu. Ampak malo so mi sumljivi... hvalijo se s code reviewi, ki pa so stari 4 leta, poleg tega gre za 2 različici audita, ki ju je naredila ista firma.

Na Twiterju zavajajo, da se Enigmail ukinja (v resnici se bo integriral v Thunderbird).

Poleg tega so locirani v Švici, kar je slab znak sam po sebi.

V glavnem, zadeva ne izgleda slabo, je pa par drobnih indikatorjev, da mogoče ni vse čisto OK. Mnenja?

poweroff je 16. sep 2020 ob 18:10 izjavil:

CryptoAG, poleg tega je švicarska zalonodaja glede zasebnosti zelo slaba. Plus, imajo podpisanih preces sporazumov s tajnimi službami.

Katera država bi bila ok za sedež podjetja ?

Situacijo v Švici kar poznam, ker imam tam nekaj dobrih kontaktov. Ja, zasebnostno zakonodajo so res imeli dobro, vendar se je v zadnjih letih "pokvarila". Seveda Švica tega ne propagira na glas, ker želijo da jih drugi vidijo kot "oazo zasebnosti". Dejstvo pa je, da so Švicarji vedno igrali dvojne igre, gledajo pa predvsem na lastno korist. S tem ni nič narobe, samo treba se je zavedati tega. Konec koncev je pa Švica precej fašistična in nestrpna država, čeprav se sami skušajo prikazati drugače (neposredna, referendumska demokracija, itd...).

V zadnjih letih so podpisali cel kup bilateralnh dogovorov o izmenjavi podatkov z ameriškimi obveščevalnimi službami. Po eni strani se hvalijo s svojo "zasebnostno" zakonodajo in s tem k sebi privabljajo ljudi, "ki imajo kaj za skrivat", po drugi strani pa podatke veselo prodajajo obveščevalnim službam - dvojna zmaga.

CryptoAG po mojem mnenju ni bila anomalija, pač pa prej "sistemska rešitev". Konec koncev taka operacija mimo vsaj minimalnega vedenja lokalnih oblasti ne bi mogla, pa čeprav zdaj trdijo drugače.

Kar se tiče Protona... za neko mednarodno organizacijo sem postavljal malo bolj občutljivo infrastrukturo in sem predlagal, da se za kontakt odpre mail pri Protonu. Ljudje iz Švice so bili takoj zelo močno proti. In so mi povedali par stvari, zaradi katerih zdaj na Proton gledam z rahlo skepso. Ne pravim, da gre za fishy operation, ampak zadeva vsekakor ni povsem čista.

Glede PEP... njihova kjoda sicer je odprtokodna. Pravijo tudi, da je bila security reviewana. Vendar - leta 2016.

Odprtokodnost je pa sicer super, ampak je treba preveriti ali je koda v redu in predvsem ali so buildi dejansko narejeni iz te kode. Sicer imajo na strani napisano nekaj na temo reproducible builds, ampak ravno zaradi vsega me zanima ali je kdo še kaj konkretneje gledal zadevo ali ne.

Glede EU cryptowars... težnje so seveda vedno, kako bodo uspešni, bomo pa še videli.