Интересно читать, а также опровержения. Возражения от парня, который написал CryptoCat велики, его приложение JavaScript является большим шагом в правильном направлении, я думаю, что это очень круто. Мгновенные, свободные, шифрованные JavaScript чаты ... если это не "безопасный" он уверен, кажется, намного больше секрета того содержимого вашего Gmail или facebook чата.
Это означает, что если вы не можете создать "чистая комната" среда для вашего кода крипто работать в, втягивая не ресурс запятнан любой другой ресурс сайта (от макета до UX), вы можете даже не знать, какую версию контента, который вы смотрите.
На bitaddress.org я использую два метода для создания "чистая комната", Я включил все содержимое встроенного в одном HTML документе. Я включаю SHA-1 хеш HTML документа в имени файла документов поэтому люди не должны пересмотреть код любой версии более чем один раз. Внутри HTML документа У меня есть ссылка на текстовый файл, который имеет мой PGP подпись SHA-1 хэш. Я добавил SSL к сайту только в связи с запросами пользователей, так как люди часто могут использовать сайт без проверки SHA-1 хэш. Технически, кто-то может написать бот опрашивать мой сайт каждую минуту и загрузить HTML и проверить хэш. Таким образом, среда может быть создана, где надежность поставщика JavaScript может быть оспорена.
Теоретически, эксперты могли бы рассмотреть и подписать хэш SHA-1, как знак одобрения.
Matasano имеет явную предвзятость по отношению к JavaScript. JavaScript является Тьюринга и миры наиболее дико используемый язык программирования. Я подозреваю, что все больше людей имеют знание JavaScript, чем любой другой язык. Это как у всех "второй" язык в настоящее время.
Кроме того, Matasano не считается Bitcoin потребительная случай, когда в кратчайшие сроки вы бы доверять другой стороне к подключению SSL с закрытым ключом Bitcoin. Я предпочел бы доверять strongcoin над mybitcoin. Смотр-способность JavaScript является частью его красота.
Установка программного обеспечения является опасным в настоящее время. Что еще хуже, ошибка в реализации JavaScript, что позволяет злоумышленнику увидеть ваш открытый текст ИЛИ кейлоггер? JavaScript это отличный вариант.