View Issue Details

IDProjectCategoryView StatusLast Update
0001197Main CAcert WebsiteGPG/PGPpublic2013-09-22 18:07
ReporterBenedikt Assigned To 
PrioritynormalSeverityfeatureReproducibilityhave not tried
Status confirmedResolutionopen 
PlatformMain CAcert WebsiteOSN/A 
Summary0001197: CAcert PGP key signing needs improvement
DescriptionFollowing the discussion from cacert-support@l.c.o Topic "Den CACert-Key signieren" (unable to link, no archive) I open this feature request.

After letting CAcert sign the own PGP key, the user gets an email to also sign the CAcert's PGP key. This e-mail is neither signed nor encrypted. So the user has to check the key manually.

I would propose to at least sign these e-mails, better encrypt them with the just signed user's PGP key.
Additional InformationOriginal E-Mail text:

Ich habe eben einen GPG-Key signieren lassen. Ich denke die Funktion ist gut und okay, da mein Account ja durch mehrere CACert-Mitglieder verifiziert wurde.

ABER ich habe daraufhin eine E-Mail bekommen, ich soll doch den CACert-Key signieren. Eine unverschlüsselte, unsignierte E-Mail mit keinem genauem Anzeichen, welches sicherstellt dass es sich tatsächlich um den korrekten Schlüssel handelt.

Ich könnte zwar die Signaturen und Trust-Pfade prüfen, aber auch das ist nicht sinnvoll, da vermutlich viele Leute den Schlüssel ungesehen signieren, wenn sie danach gefragt werden. Sollte also ein Angreifer systematisch diese E-Mail verfälschen, würde das nicht auffallen, da viele den Angreifer-Schlüssel schon unterschrieben haben.

Man könnte natürlich argumentieren, die Signatur auf meinem Schlüssel ist ein guter Anhaltspunkt, aber ein Angreifer kann auch mit seinem Fake-Schlüssel meinen Key unterschreiben und mich dann auffordern seinen Fake-Schlüssel zu unterschreiben.

Ich denke es müsste beim Überprüfen der Identität dem neuen Mitglied die Key-ID ausgehändigt werden, und genau dann sollte man sie unterschreiben. Die aktuelle Art und Weise ist da eher fahrlässig.
TagsGPG, PGP
Reviewed by
Test Instructions

Relationships

related to 0000041 confirmedBenBE upload & extract the user-details from an OpenPGP Key 
related to 0001079 needs work GPG key can not be revoked 

Activities

There are no notes attached to this issue.

Issue History

Date Modified Username Field Change
2013-07-28 19:32 Benedikt New Issue
2013-07-28 19:33 Benedikt Additional Information Updated View Revisions
2013-07-28 19:34 Benedikt Tag Attached: GPG
2013-07-28 19:34 Benedikt Tag Attached: PGP
2013-08-26 21:30 BenBE Relationship added related to 0000041
2013-08-26 21:31 BenBE Relationship added related to 0001079
2013-09-22 18:07 BenBE Status new => confirmed