Privacy
- Wat niemand over je mag weten
Pretty Bad Privacy
12-08-2017, 18:08 door Anoniem, 11 reacties
In de changelog van de laatste versie van GnuPG (2.1.23) is de volgende functie toegevoegd:
Op https://lists.gnupg.org/pipermail/gnupg-devel/2017-August/033021.html zegt Daniel Kahn Gillmor:
In Enigmail wordt AKR dan ook standaard uitgezet vanaf de volgende versie (1.9.8.2?). In de volgende versie van GnuPG (2.1.23-1?) staat AKR ook standaard weer uit.
Zelf heb ik het liefst dat mijn versie van GnuPG helemaal niet het internet op kan, maar ik weet niet of ik daar een regel voor kan aanmaken met de standaard firewall in Windows 10 Home. Die lijkt mij niet erg application based. Ik heb het nog niet geprobeerd.
* gpg: Options --auto-key-retrieve and --auto-key-locate "local,wkd"
are now used by default. Note: this enables keyserver and Web Key
Directory operators to notice when a signature from a locally
non-available key is being verified for the first time or when
you intend to encrypt to a mail address without having the key
locally. This new behaviour will eventually make key discovery
much easier and mostly automatic. Disable this by adding
no-auto-key-retrieve
auto-key-locate local
to your gpg.conf.
Noot: Web Key Directory kan je op je e-mail domein toevoegen (zover ik het begrijp). Zie: https://gnupg.org/blog/20170803-web-key-in-enigmail.html.are now used by default. Note: this enables keyserver and Web Key
Directory operators to notice when a signature from a locally
non-available key is being verified for the first time or when
you intend to encrypt to a mail address without having the key
locally. This new behaviour will eventually make key discovery
much easier and mostly automatic. Disable this by adding
no-auto-key-retrieve
auto-key-locate local
to your gpg.conf.
Op https://lists.gnupg.org/pipermail/gnupg-devel/2017-August/033021.html zegt Daniel Kahn Gillmor:
Trouble with --auto-key-retrieve
--------------------------------
During signature verification in an e-mail context, AKR is likely to
present a mechanism for "web bug" or "return reciept" functionality,
something most MUA developers are (justifiably) wary of. This could
potentially happen even without the user's knowledge (e.g. if a MUA
tried to check signatures on mail as it was retrieved from the
mailserver, before the user sees it)
--------------------------------
During signature verification in an e-mail context, AKR is likely to
present a mechanism for "web bug" or "return reciept" functionality,
something most MUA developers are (justifiably) wary of. This could
potentially happen even without the user's knowledge (e.g. if a MUA
tried to check signatures on mail as it was retrieved from the
mailserver, before the user sees it)
In Enigmail wordt AKR dan ook standaard uitgezet vanaf de volgende versie (1.9.8.2?). In de volgende versie van GnuPG (2.1.23-1?) staat AKR ook standaard weer uit.
Zelf heb ik het liefst dat mijn versie van GnuPG helemaal niet het internet op kan, maar ik weet niet of ik daar een regel voor kan aanmaken met de standaard firewall in Windows 10 Home. Die lijkt mij niet erg application based. Ik heb het nog niet geprobeerd.
Reacties (11)
Door Anoniem: Hoe ga je dan key's valideren en revoked keys accepteren?
Revocation zou kunnen, maar stel ik maak een sleutelpaar aan, upload de pubkey naar keyserver X en stuur jou een mail met als afzender Real Donald Trump. Jouw mailprogje met gnupg met --auto-key-retrieve haalt die pubkey op van keyserver X en valideert dat de mail inderdaad ondertekend is met de privkey horend bij de pubkey op keyserver X.Dus nou weet je het zeker. Lets make gnupg really really great again...
Door Anoniem: Hoe ga je dan key's valideren en revoked keys accepteren?
Hoe deden ze dat vroeger met PGP 2.6.3i? Handmatig!Bovendien komt het vaak genoeg voor dat mensen geen revocation certificate aanmaken en hun wachtwoordzin vergeten (vooral bij nieuwe gebruikers). Revocation is niet alles.
Sommige mensen willen hun GnuPG sleutels ook niet op de keyservers (ik). Als je dan ook nog geen WKD kan gebruiken omdat je geen eigen domeinnaam hebt, heeft internet voor GnuPG niet zoveel nut, behalve dat het een enorme attack surface geeft voor veiligheidsdiensten.
Mooi dat het in de volgende GnuPG versie wordt teruggedraaid.
Maar dit begrijp ik niet helemaal van je:
Enigmail heeft wel GnPG nodig, maar GnuPG is toch de boosdoener?
En als je niet met keyservers wilt werken in Enigmail kan je Enigmail 1.9.7 gebruiken.
(https://addons.mozilla.org/nl/thunderbird/addon/enigmail/versions/)
Maar dit begrijp ik niet helemaal van je:
In Enigmail wordt AKR dan ook standaard uitgezet vanaf de volgende versie (1.9.8.2?)
Is AKR niet puur een ding van GnuPG?.Enigmail heeft wel GnPG nodig, maar GnuPG is toch de boosdoener?
En als je niet met keyservers wilt werken in Enigmail kan je Enigmail 1.9.7 gebruiken.
(https://addons.mozilla.org/nl/thunderbird/addon/enigmail/versions/)
Door Anoniem: Mooi dat het in de volgende GnuPG versie wordt teruggedraaid.
Maar dit begrijp ik niet helemaal van je:
Enigmail heeft wel GnPG nodig, maar GnuPG is toch de boosdoener?
Maar dit begrijp ik niet helemaal van je:
In Enigmail wordt AKR dan ook standaard uitgezet vanaf de volgende versie (1.9.8.2?)
Is AKR niet puur een ding van GnuPG?.Enigmail heeft wel GnPG nodig, maar GnuPG is toch de boosdoener?
Van dezelfde mailinglist als in de startpost:
Thanks Daniel! I fully agree with your remarks. I'd like to add that
immediately after I read the release announcement - because I had the
same concerns that you you raised here - I implemented functionality in
Enigmail to add --no-auto-key-retrieve to all commands if gpg 2.1.23 or
newer is detected (and the user did not explicitly opt in to
auto-key-retrieve).
immediately after I read the release announcement - because I had the
same concerns that you you raised here - I implemented functionality in
Enigmail to add --no-auto-key-retrieve to all commands if gpg 2.1.23 or
newer is detected (and the user did not explicitly opt in to
auto-key-retrieve).
Public keys publiceren op keyservers is de grootste onzin.
Kijk hoeveel George W's er op whitehouse.gov zijn.
Daarintegen, gebruik de CERT RR i.c.m. DNSSEC.
Als je DNS niet wenst te vertrouwen moet je uberhaubt geen email gebruiken.
Kijk hoeveel George W's er op whitehouse.gov zijn.
Daarintegen, gebruik de CERT RR i.c.m. DNSSEC.
Als je DNS niet wenst te vertrouwen moet je uberhaubt geen email gebruiken.
https://lists.gt.net/gnupg/devel/81246 says:
Disable this by adding:
no-auto-key-retrieve
auto-key-locate local
to your gpg.conf.
no-auto-key-retrieve
auto-key-locate local
to your gpg.conf.
Door Anoniem: https://lists.gt.net/gnupg/devel/81246 says:
Disable this by adding:
no-auto-key-retrieve
auto-key-locate local
to your gpg.conf.
no-auto-key-retrieve
auto-key-locate local
to your gpg.conf.
Dat is ontzettend onveilig om te doen, dit soort "hulp" moet je niet online plaatsen, heel veel mensen kunnen hier verkeerde instellingen door krijgen!
TheYOSH
Update: GnuPG 2.2.0 is ondertussen uit:
Noteworthy changes in version 2.2.0
===================================
This is the new long term stable branch. This branch will only see
bug fixes and no new features.
* gpg: Reverted change done in 2.1.23 so that --no-auto-key-retrieve
is again the default.
* Fixed a few minor bugs.
===================================
This is the new long term stable branch. This branch will only see
bug fixes and no new features.
* gpg: Reverted change done in 2.1.23 so that --no-auto-key-retrieve
is again the default.
* Fixed a few minor bugs.
Waarom zo moeilijk, als het veel gemakkelijker en vooral gebruiksvriendelijker kan.
https://sites.google.com/site/certificaatversleuteling/home
http://hmcguirk.blogspot.nl/2009/10/creating-my-own-root-ca-https-server.html
https://sites.google.com/site/certificaatversleuteling/home
http://hmcguirk.blogspot.nl/2009/10/creating-my-own-root-ca-https-server.html
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
