0001197: CAcert PGP key signing needs improvement - CAcert Bug Tracker

ID	Project	Category	View Status	Date Submitted	Last Update

0001197	Main CAcert Website	GPG/PGP	public	2013-07-28 19:32	2013-09-22 18:07

Reporter	Benedikt	Assigned To
Priority	normal	Severity	feature	Reproducibility	have not tried
Status	confirmed	Resolution	open
Platform	Main CAcert Website	OS	N/A	OS Version	stable

Summary	0001197: CAcert PGP key signing needs improvement
Description	Following the discussion from cacert-support@l.c.o Topic "Den CACert-Key signieren" (unable to link, no archive) I open this feature request. After letting CAcert sign the own PGP key, the user gets an email to also sign the CAcert's PGP key. This e-mail is neither signed nor encrypted. So the user has to check the key manually. I would propose to at least sign these e-mails, better encrypt them with the just signed user's PGP key.
Additional Information	Original E-Mail text: Ich habe eben einen GPG-Key signieren lassen. Ich denke die Funktion ist gut und okay, da mein Account ja durch mehrere CACert-Mitglieder verifiziert wurde. ABER ich habe daraufhin eine E-Mail bekommen, ich soll doch den CACert-Key signieren. Eine unverschlüsselte, unsignierte E-Mail mit keinem genauem Anzeichen, welches sicherstellt dass es sich tatsächlich um den korrekten Schlüssel handelt. Ich könnte zwar die Signaturen und Trust-Pfade prüfen, aber auch das ist nicht sinnvoll, da vermutlich viele Leute den Schlüssel ungesehen signieren, wenn sie danach gefragt werden. Sollte also ein Angreifer systematisch diese E-Mail verfälschen, würde das nicht auffallen, da viele den Angreifer-Schlüssel schon unterschrieben haben. Man könnte natürlich argumentieren, die Signatur auf meinem Schlüssel ist ein guter Anhaltspunkt, aber ein Angreifer kann auch mit seinem Fake-Schlüssel meinen Key unterschreiben und mich dann auffordern seinen Fake-Schlüssel zu unterschreiben. Ich denke es müsste beim Überprüfen der Identität dem neuen Mitglied die Key-ID ausgehändigt werden, und genau dann sollte man sie unterschreiben. Die aktuelle Art und Weise ist da eher fahrlässig.
Tags	GPG, PGP

Reviewed by
Test Instructions

Date Modified	Username	Field	Change
2013-07-28 19:32	Benedikt	New Issue
2013-07-28 19:33	Benedikt	Additional Information Updated
2013-07-28 19:34	Benedikt	Tag Attached: GPG
2013-07-28 19:34	Benedikt	Tag Attached: PGP
2013-08-26 21:30	BenBE	Relationship added	related to 0000041
2013-08-26 21:31	BenBE	Relationship added	related to 0001079
2013-09-22 18:07	BenBE	Status	new => confirmed