instead of (another distro) war

[Nikos Mavroyanopoulos]

On Thu, 27 Sep 2001 19:37:26 +0300 ricudis at paiko.gr (Christos Ricudis) wrote:

>  >> προπερσι σου υπεγραφε πιστοποιητικα τζαμπα. Μεχρι που
>  >> διαπιστωσαν οτι υπαρχουν *λεφτα* στο κολπο. 
>  NM> Θα μπορούσαν να διαπιστώσουν με τα openpgp certificates ότι
>  NM> υπάρχουν λεφτά στο κόλπο;
> Na sou pw thn alh8eia, den gnwrizw leptomereies gia to openpgp. Wstoso kanw th
> logikh ypo8esh oti to fundamental problem toy 'who will you trust', kai twn
> root CA's paramenei. 
>  >> οβω την μακρια φουντωτη μωβ ουρα μου οτι και παλι θα πληρωνες 
>  >> για τον ιδιο κοπανιστο αερα. [2]
>  NM> Το Χ.509 δεν αφηνει τα certificates να υπογράφονται απο όλο τον
>  NM> κόσμο αλλά μόνο απο κεντρικές (trusted) υπηρεσίες επιφορτισμένες με αυτόν
>  NM> τον σκοπό. Τα openpgp certificates αφηνουν εσένα να εμπιστευτείς όποιον
>  NM> θέλεις.
> So ? 
> Kai twra mporw na ypograpsw monos mou certificates, mono poy oi browsers 8a moy
> toys ftysoyn sta moutra mazi me 1500 warnings epeidh den eimai root CA. Ki ekei

Οι browsers τώρα υποστηρίζουν μόνο x.509 certificates. Αυτό δυσκολα μπορουσε να
αλλάξει μέχρι σήμερα (όλοι οι καλοί ήταν εμπορικοί). Υπάρχει μια πρόταση (internet-draft)
να χρησιμοποιηθούν και openpgp certificates στο ssl(tls) (αρα και web of trust[0] αντί του 
Central Certificate Authorities). Σύντομα θα έχουμε εξελίξεις σε αυτό.

> paizetai olo to paixnidi, kai ayto 8elw na pw. Poios mou eggyatai dhladh oti
> esy eisai o mhtsos epeidh to certificate sou leei oti eisai o mhtsos? (oxi oti
> an exeis ena verisign certificate moy apodeiknyei emena oti eisai o mhtsos,
> alla telos pantwn). Etsi ki alliws prepei na yparxei kapoios poy empisteyesai
> by default.  

[0]: To web of trust δουλεύει κάπως έτσι:
   Mhtsos has a certificate οn a keyserver.
Ο George ξέρει τον Mhtsos προσωπικά και του έχει κάνει sign το certificate (στέλνει την υπογραφή στον keyserver)
Ο Kostis ξέρει τον George προσωπικά και του έχει κάνει sign το certificate
Ο Sfixter ξέρει τον Kostis προσωπικά και του έχει κάνει sign το certificate
Eσύ ξέρεις τον Sfixter και τον εμπιστεύεσαι άρα εμπιστέυεσαι και τον George.

Αν δεν υπάρχει κάποιο chain που να οδηγεί στον Mhtsos τότε δεν τον εμπιστεύεσαι
οπότε και δεν αγοράζεις απο το e-μαγαζί του. Το να έχεις ανυπόγραφα openpgp
certificates είναι a bad thing(tm).
[όπως επίσης το να μην βάζεις expiration date. Εχω ακόμη ένα certificate στους
keyservers απο το 96-97 του οποίου το private key βρίσκεται ούτε και γω ξέρω που].

Αυτό προυποθέτει αρκετή δουλεία απο την πλευρά του χρήστη (να κάνει sign κλπ). 
Αυτό είναι και το μειονέκτημα του openpgp σε σχέση με το x509 (που αναθέτεις σε
αρμόδιους αυτά τα καθήκοντα). Aλλα freedom has it's price[1].

Μια καλύτερη περιγραφή του web of trust έχει στο: http://www.gnupg.org/gph/en/manual.html#WISE
(αν και είναι δεμένη με την χρήση του gpg).

[1] Δεν είναι μονο αυτό. Αν με το X509 PKI υπάρξει leak απο την verisign τότε πάει 
όλο το e-commerce.  (ποιός χρησιμοποιεί σωστά τα crls?) 
Αν στο openpgp PKI υπάρξει leak απο τον Mhtsos(r) τότε η ζημιά είναι πολύ πιο περιορισμένη.

-- 
Nikos Mavroyanopoulos
mailto:nmav at hellug.gr