<div dir="ltr">Nogmaals, de eerste regel in dit draadje:<div><br></div><div>"<span style="font-family:arial,sans-serif;font-size:13px">Hey kijk! Ik ben nu ook encrypted!"</span></div><div><span style="font-family:arial,sans-serif;font-size:13px"><br>
</span></div><div><span style="font-family:arial,sans-serif;font-size:13px">*huilt*</span></div><div><span style="font-family:arial,sans-serif;font-size:13px"><br></span></div><div><span style="font-family:arial,sans-serif;font-size:13px">/Samir</span></div>
</div><div class="gmail_extra"><br><br><div class="gmail_quote">Op 31 januari 2014 17:51 schreef Patrick Godschalk <span dir="ltr"><<a href="mailto:patrick.godschalk@piratenpartij.nl" target="_blank">patrick.godschalk@piratenpartij.nl</a>></span>:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div class="im">> Ik wou me buiten de circlejerk van Samir en Patrick houden, maar nu<br>
> wil<br>
> ik toch even een paar onzin statements rechtzetten, want ik wordt<br>
> volkomen onterecht door het slijk gehaald. Strawman much?<br>
</div>Het meeste van wat ik zeg slaat eigenlijk vooral op cryptoparties als<br>
geheel, niet zozeer op jou persoonlijk.<br>
<div class="im"><br>
<br>
> > De meest gemaakte fout (en meest kritische) is alleen 'gevoelige<br>
> > data' als gevoelig behandelen.<br>
><br>
> Ik heb Lisa dit expliciet uitgelegd, en verteld dat ze juist hierom<br>
> zoveel mogelijk moet encrypten. Ik doe dat zelf ook.<br>
</div>Oke, mooi. :) Maar dat neemt niet weg dat dit de meest gemaakte fout is,<br>
en dat veel mensen zelfs na uitleg uit apathie dit nalaten.<br>
<div class="im"><br>
> > *GEEN EEN VAN JULLIE* neemt de moeite om je publieke<br>
> > sleutel daadwerkelijk publiek te maken.<br>
><br>
> Je hebt niet eens gekeken. We staan allebei op de keyservers.<br>
</div>Een keyserver is absoluut onvoldoende aangezien deze dan een single<br>
point of failure is. Keyservers zijn weliswaar propagated, maar in de<br>
praktijk worden maar enkelen gebruikt. Het is goed mogelijk om de data<br>
tussen client en keyserver te manipuleren, waardoor de client (ofwel, de<br>
gebruiker) een foutieve public key ontvangt.<br>
<br>
Een tweede probleem is een vertrouwenskwestie; wie zegt dat de key op de<br>
keyserver (zelfs als die geldig is) daadwerkelijk van "Michiel Dulfer"<br>
is? Ik kan zo een key maken onder jouw naam, en die met m'n andere keys<br>
ondertekenen, np. Door je key op meerdere plaatsen te publiceren (in<br>
mijn geval, website en git), zijn er meerdere punten om mijn identiteit<br>
te controleren en te bevestigen dat ECC14594 daadwerkelijk van mij is.<br>
<div class="im"><br>
> > snap je uberhaupt hoe GPG en het web of trust werkt? En dat je niet<br>
> kan<br>
> > encrypten zonder de publieke sleutel van iemand?<br>
><br>
> Expliciet uitgelegd, inclusief contrast met root CA's. Ik heb ook<br>
> uitgelegd hoe het web of trust werkt en hoe belangrijk het is elkaars<br>
> keys te signen, en hoe belangrijk het is dat je zeker van je zaak bent<br>
> voor je signt. We hebben elkaars keys gesignd en geupload na controle<br>
> via mumble, dat lijkt me voldoende. Ikzelf heb van een aantal mensen<br>
> de<br>
> key gesigned waar ik zeker van wist dat het goed zat.<br>
</div>Het is bad practice om een keycheck uit te voeren wanneer je achter je<br>
computer zit. Als ik met je Mumble had meegeluisterd, en toegang tot je<br>
computer zou hebben, dan had ik snel de key van Lisa kunnen vervangen<br>
met mijn eigen key waarmee ik claim Lisa te zijn. Om deze reden zijn<br>
computers altijd frappant afwezig op de serieuzere keysigning parties;<br>
mensen wisselen papiertjes met de fingerprint uit en signen later pas<br>
als ze thuis zijn.<br>
<br>
Eerlijkheidshalve doe ik af en toe ook wel op dezelfde manier een key<br>
signen puur uit praktische overweging, alleen geef ik dan wel duidelijk<br>
aan dat het een "sig" is (oftewel, "I make no claim about the level of<br>
verification") in plaats van een "sig3" die ik alleen geef nadat iemand<br>
in meatspace dat papiertje heeft overhandigt samen met het tonen van een<br>
identiteitskaart.<br>
<div class="im"><br>
> > gebruik van SHA-1 en claimen dat de email encrypted is wanneer deze<br>
> enkel<br>
> > maar (ondermaats) ondertekend is.<br>
><br>
> Verschil tussen signen en encrypten expliciet uitgelegd aan Lisa, en<br>
> zie<br>
> de mail met mijn "vertaling" van Patrick's verhaal. Daarin maak ik<br>
> weer<br>
> expliciet onderscheid tussen signen en encrypten.<br>
</div>De eerste regel in dit draadje is "Hey kijk! Ik ben nu ook encrypted!".<br>
Zelfs als jullie twee weten dat dit niet het geval is, is dat vaak<br>
verwarrend voor derden die nog niet bekend zijn met cryptografie en GPG<br>
in het bijzonder.<br>
<div class="HOEnZb"><div class="h5">--<br>
Patrick Godschalk<br>
<a href="mailto:patrick.godschalk@piratenpartij.nl">patrick.godschalk@piratenpartij.nl</a><br>
GPG: <<a href="https://argure.nl/identity/ecc14594.asc" target="_blank">https://argure.nl/identity/ecc14594.asc</a>><br>
This e-mail falls under the CC0 1.0 Universal Public Domain Dedication.<br>
<br>
<br>
</div></div><br>_______________________________________________<br>
Algemeen discussielijst | Piratenpartij<br>
<a href="mailto:Algemeen@lists.piratenpartij.nl">Algemeen@lists.piratenpartij.nl</a><br>
<a href="https://lists.piratenpartij.nl/mailman/listinfo/algemeen" target="_blank">https://lists.piratenpartij.nl/mailman/listinfo/algemeen</a><br>
<br></blockquote></div><br></div>