View Issue Details
| ID | Project | Category | View Status | Date Submitted | Last Update |
|---|---|---|---|---|---|
| 0001197 | Main CAcert Website | GPG/PGP | public | 2013-07-28 19:32 | 2013-09-22 18:07 |
| Reporter | Benedikt | Assigned To | |||
| Priority | normal | Severity | feature | Reproducibility | have not tried |
| Status | confirmed | Resolution | open | ||
| Platform | Main CAcert Website | OS | N/A | OS Version | stable |
| Summary | 0001197: CAcert PGP key signing needs improvement | ||||
| Description | Following the discussion from cacert-support@l.c.o Topic "Den CACert-Key signieren" (unable to link, no archive) I open this feature request. After letting CAcert sign the own PGP key, the user gets an email to also sign the CAcert's PGP key. This e-mail is neither signed nor encrypted. So the user has to check the key manually. I would propose to at least sign these e-mails, better encrypt them with the just signed user's PGP key. | ||||
| Additional Information | Original E-Mail text: Ich habe eben einen GPG-Key signieren lassen. Ich denke die Funktion ist gut und okay, da mein Account ja durch mehrere CACert-Mitglieder verifiziert wurde. ABER ich habe daraufhin eine E-Mail bekommen, ich soll doch den CACert-Key signieren. Eine unverschlüsselte, unsignierte E-Mail mit keinem genauem Anzeichen, welches sicherstellt dass es sich tatsächlich um den korrekten Schlüssel handelt. Ich könnte zwar die Signaturen und Trust-Pfade prüfen, aber auch das ist nicht sinnvoll, da vermutlich viele Leute den Schlüssel ungesehen signieren, wenn sie danach gefragt werden. Sollte also ein Angreifer systematisch diese E-Mail verfälschen, würde das nicht auffallen, da viele den Angreifer-Schlüssel schon unterschrieben haben. Man könnte natürlich argumentieren, die Signatur auf meinem Schlüssel ist ein guter Anhaltspunkt, aber ein Angreifer kann auch mit seinem Fake-Schlüssel meinen Key unterschreiben und mich dann auffordern seinen Fake-Schlüssel zu unterschreiben. Ich denke es müsste beim Überprüfen der Identität dem neuen Mitglied die Key-ID ausgehändigt werden, und genau dann sollte man sie unterschreiben. Die aktuelle Art und Weise ist da eher fahrlässig. | ||||
| Tags | GPG, PGP | ||||
| Reviewed by | |||||
| Test Instructions | |||||
| Date Modified | Username | Field | Change |
|---|---|---|---|
| 2013-07-28 19:32 | Benedikt | New Issue | |
| 2013-07-28 19:33 | Benedikt | Additional Information Updated | |
| 2013-07-28 19:34 | Benedikt | Tag Attached: GPG | |
| 2013-07-28 19:34 | Benedikt | Tag Attached: PGP | |
| 2013-08-26 21:30 | BenBE | Relationship added | related to 0000041 |
| 2013-08-26 21:31 | BenBE | Relationship added | related to 0001079 |
| 2013-09-22 18:07 | BenBE | Status | new => confirmed |
