Privacy - Wat niemand over je mag weten

Pretty Bad Privacy

12-08-2017, 18:08 door Anoniem, 11 reacties
In de changelog van de laatste versie van GnuPG (2.1.23) is de volgende functie toegevoegd:
* gpg: Options --auto-key-retrieve and --auto-key-locate "local,wkd"
are now used by default. Note: this enables keyserver and Web Key
Directory
operators to notice when a signature from a locally
non-available key is being verified for the first time or when
you intend to encrypt to a mail address without having the key
locally. This new behaviour will eventually make key discovery
much easier and mostly automatic. Disable this by adding
no-auto-key-retrieve
auto-key-locate local
to your gpg.conf.
Noot: Web Key Directory kan je op je e-mail domein toevoegen (zover ik het begrijp). Zie: https://gnupg.org/blog/20170803-web-key-in-enigmail.html.

Op https://lists.gnupg.org/pipermail/gnupg-devel/2017-August/033021.html zegt Daniel Kahn Gillmor:
Trouble with --auto-key-retrieve
--------------------------------

During signature verification in an e-mail context, AKR is likely to
present a mechanism for "web bug" or "return reciept" functionality,
something most MUA developers are (justifiably) wary of. This could
potentially happen even without the user's knowledge (e.g. if a MUA
tried to check signatures on mail as it was retrieved from the
mailserver, before the user sees it)

In Enigmail wordt AKR dan ook standaard uitgezet vanaf de volgende versie (1.9.8.2?). In de volgende versie van GnuPG (2.1.23-1?) staat AKR ook standaard weer uit.

Zelf heb ik het liefst dat mijn versie van GnuPG helemaal niet het internet op kan, maar ik weet niet of ik daar een regel voor kan aanmaken met de standaard firewall in Windows 10 Home. Die lijkt mij niet erg application based. Ik heb het nog niet geprobeerd.
Reacties (11)
12-08-2017, 20:07 door Anoniem
Hoe ga je dan key's valideren en revoked keys accepteren?
13-08-2017, 00:41 door Anoniem
Door Anoniem: Hoe ga je dan key's valideren en revoked keys accepteren?
Revocation zou kunnen, maar stel ik maak een sleutelpaar aan, upload de pubkey naar keyserver X en stuur jou een mail met als afzender Real Donald Trump. Jouw mailprogje met gnupg met --auto-key-retrieve haalt die pubkey op van keyserver X en valideert dat de mail inderdaad ondertekend is met de privkey horend bij de pubkey op keyserver X.

Dus nou weet je het zeker. Lets make gnupg really really great again...
13-08-2017, 07:46 door Anoniem
Door Anoniem: Hoe ga je dan key's valideren en revoked keys accepteren?
Hoe deden ze dat vroeger met PGP 2.6.3i? Handmatig!

Bovendien komt het vaak genoeg voor dat mensen geen revocation certificate aanmaken en hun wachtwoordzin vergeten (vooral bij nieuwe gebruikers). Revocation is niet alles.

Sommige mensen willen hun GnuPG sleutels ook niet op de keyservers (ik). Als je dan ook nog geen WKD kan gebruiken omdat je geen eigen domeinnaam hebt, heeft internet voor GnuPG niet zoveel nut, behalve dat het een enorme attack surface geeft voor veiligheidsdiensten.
13-08-2017, 15:35 door Anoniem
Mooi dat het in de volgende GnuPG versie wordt teruggedraaid.
Maar dit begrijp ik niet helemaal van je:
In Enigmail wordt AKR dan ook standaard uitgezet vanaf de volgende versie (1.9.8.2?)
Is AKR niet puur een ding van GnuPG?.
Enigmail heeft wel GnPG nodig, maar GnuPG is toch de boosdoener?

En als je niet met keyservers wilt werken in Enigmail kan je Enigmail 1.9.7 gebruiken.
(https://addons.mozilla.org/nl/thunderbird/addon/enigmail/versions/)
13-08-2017, 18:17 door Anoniem
Door Anoniem: Mooi dat het in de volgende GnuPG versie wordt teruggedraaid.
Maar dit begrijp ik niet helemaal van je:
In Enigmail wordt AKR dan ook standaard uitgezet vanaf de volgende versie (1.9.8.2?)
Is AKR niet puur een ding van GnuPG?.
Enigmail heeft wel GnPG nodig, maar GnuPG is toch de boosdoener?

Van dezelfde mailinglist als in de startpost:
Thanks Daniel! I fully agree with your remarks. I'd like to add that
immediately after I read the release announcement - because I had the
same concerns that you you raised here - I implemented functionality in
Enigmail to add --no-auto-key-retrieve to all commands if gpg 2.1.23 or
newer is detected (and the user did not explicitly opt in to
auto-key-retrieve).
14-08-2017, 14:13 door Anoniem
Public keys publiceren op keyservers is de grootste onzin.
Kijk hoeveel George W's er op whitehouse.gov zijn.

Daarintegen, gebruik de CERT RR i.c.m. DNSSEC.
Als je DNS niet wenst te vertrouwen moet je uberhaubt geen email gebruiken.
18-08-2017, 14:21 door Anoniem
https://lists.gt.net/gnupg/devel/81246 says:

Disable this by adding:

no-auto-key-retrieve
auto-key-locate local


to your gpg.conf.
18-08-2017, 18:29 door Anoniem
Door Anoniem: https://lists.gt.net/gnupg/devel/81246 says:

Disable this by adding:

no-auto-key-retrieve
auto-key-locate local


to your gpg.conf.

Dat is ontzettend onveilig om te doen, dit soort "hulp" moet je niet online plaatsen, heel veel mensen kunnen hier verkeerde instellingen door krijgen!

TheYOSH
20-08-2017, 14:40 door Anoniem
Mmh.. ik las 'Patty Brard Privacy'..

Ik vond het al zo raar.
29-08-2017, 09:22 door Anoniem
Update: GnuPG 2.2.0 is ondertussen uit:
Noteworthy changes in version 2.2.0
===================================

This is the new long term stable branch. This branch will only see
bug fixes and no new features.

* gpg: Reverted change done in 2.1.23 so that --no-auto-key-retrieve
is again the default.

* Fixed a few minor bugs.
29-08-2017, 19:08 door Anoniem
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.