<div dir="ltr">Dit draadje bewijst dat *gebruiksvriendelijkheid* de #1 veiligheidsmaatregel is.<div>Een vals gevoel van veiligheid is het grootste veiligheidsrisico dat er is.</div><div><br></div><div>Oftewel: Sloop de mensen die desinformatie verkopen.</div>
<div>Dat is de meest effectieve aktie die we kunnen ondernemen.</div><div><br></div><div>/Samir</div></div><div class="gmail_extra"><br><br><div class="gmail_quote">2014-01-31 Michiel Dulfer <span dir="ltr"><<a href="mailto:dulf@piratenpartij.nl" target="_blank">dulf@piratenpartij.nl</a>></span>:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div class="im"><br>
-----BEGIN PGP SIGNED MESSAGE-----<br>
Hash: SHA1<br>
<br>
</div>Wat Patrick volgens mij zegt in gewone mensen taal:<br>
De manier waarop wij de email ondertekenen (met SHA-1) is niet 100%<br>
betrouwbaar.<br>
Iemand anders kan, met de nodige moeite, *zonder jouw private key* een<br>
mailtje te sturen waar een geldige handtekening van jou onder staat.<br>
Het is dan dus moeilijk voor jou om te ontkennen dat die mail van jou<br>
komt, terwijl jij hem niet hebt geschreven.<br>
<br>
Heren cryptologen: klopt dit?<br>
Encryptie zelf is nog prima, alleen de signature is niet waterdicht?<br>
<br>
Kunnen we met de huidige tooling (gpg4win + enigmail) dat beter doen, en<br>
zo ja, hoe?<br>
Moeten we er een nieuwe key voor aanmaken?<br>
<br>
Michiel<br>
<div class="im"><br>
On 31-01-14 01:06, Patrick Godschalk wrote:<br>
><br>
>> SHA-1 for digital signature generation:<br>
>> SHA-1 is acceptable for digital signature generation through December<br>
>> 31, 2010.<br>
>><br>
>> From January 1, 2011 through December 31, 2013, the use of SHA-1 is<br>
>> deprecated  for digital signature generation. The user must accept<br>
>> risk when SHA-1 is used, particularly when approaching the December<br>
>> 31, 2013 upper limit. This is especially  critical for digital<br>
>> signatures on data for which the signature is required to be valid<br>
>> beyond this date. See Section 5.6.2 of [SP 800-57] for further<br>
>> guidance.<br>
>><br>
>> SHA-1 shall not be used for digital signature generation after<br>
>> December 31, 2013. SHA-1 for digital signature verification: For<br>
>> digital signature verification, the use of SHA-1 is acceptable through<br>
>> December 31, 2010. For digital signature verification, SHA-1 is<br>
>> allowed for legacy-use after December 31, 2010.<br>
><br>
> <<a href="http://csrc.nist.gov/publications/nistpubs/800-131A/sp800-131A.pdf" target="_blank">http://csrc.nist.gov/publications/nistpubs/800-131A/sp800-131A.pdf</a>><br>
><br>
><br>
><br>
</div><div class="im">> _______________________________________________<br>
> Algemeen discussielijst | Piratenpartij<br>
> <a href="mailto:Algemeen@lists.piratenpartij.nl">Algemeen@lists.piratenpartij.nl</a><br>
> <a href="https://lists.piratenpartij.nl/mailman/listinfo/algemeen" target="_blank">https://lists.piratenpartij.nl/mailman/listinfo/algemeen</a><br>
<br>
-----BEGIN PGP SIGNATURE-----<br>
Version: GnuPG v2.0.22 (MingW32)<br>
Comment: Using GnuPG with Thunderbird - <a href="http://www.enigmail.net/" target="_blank">http://www.enigmail.net/</a><br>
<br>
</div>iQEcBAEBAgAGBQJS60m7AAoJEC4V70zYvxguWswH/39bHrmmlPMi72FtYxF1Oh/4<br>
Qp61dsFGiWqAOFWI+7aVvYtOZcx3QM755xp+JPfBh4QrVr3DzVVfhBsJslpM6kVM<br>
4pWkUe+f+/KCP5KHzscl3AxmreBgmAjGFj6am69xz5vVO2FZ5CR4zSKh3UYPEcEB<br>
/CxyewMGmGeHxj/oLi2pr04bnaa0O3BGUgozmMrjVUk2oduBQsfmEFk7a2FVntx/<br>
P68sn+78mmxS5HqLa0PUbOiCNnFZ54cAVlR+2lCWYZ7RNVFYC437CAGu9P6fKqYN<br>
MsbVEeiBm1hhSlNIaNltlNI1O8zI1vUIEFHAI8QhytckSFTPdNhmxU5JfErkk3w=<br>
=Y3Oh<br>
<div class="HOEnZb"><div class="h5">-----END PGP SIGNATURE-----<br>
<br>
_______________________________________________<br>
Algemeen discussielijst | Piratenpartij<br>
<a href="mailto:Algemeen@lists.piratenpartij.nl">Algemeen@lists.piratenpartij.nl</a><br>
<a href="https://lists.piratenpartij.nl/mailman/listinfo/algemeen" target="_blank">https://lists.piratenpartij.nl/mailman/listinfo/algemeen</a><br>
</div></div></blockquote></div><br></div>