[GnuPG/PGP] Wie gebruikt het?

[Verwijderd]

Vroeger heb ik regelmatig pgp gebruikt, maar sinds ik op mozilla overgestapt ben heb ik 't niet meer gebruikt. Nu ook mozilla gpg kan gebruiken, wil ik 't misschien weer gaan gebruiken...
Wie gebruikt GnuPG en/of PGP?
GnuPG zou ook beter gebruikt kunnen worden bij het Debian package systeem volgens Ian Jackson. Wat vinden jullie hiervan?

quote van DebianPlanet
Do you think that internal package signatures are necessary, or are the existing Release->Packages->debs signatures sufficient (or indeed, superior) in your opinion?

Package signatures would be very good. But, to be effective, dpkg has to refuse by default to install unsigned packages. (Red Hat put signatures on their packages, but you can just strip the signature off and the tools don't complain, by default.) To make it really valuable, you have to make dpkg barf if the signatures are missing. (Obviously the user can override, and put their own keys in the master key list, etc. etc.)

Making a signature infrastructure that provides meaningful per-package signatures that can be used in this way is quite hard. Currently, if I'm not mistaken, the Packages files' signatures aren't checked automatically anyway. They should be (but again this is nontrivial).

Wat heeft de toekomst pgp of gpg?
Waar zou pgp/gpg nog meer bij gebruikt moeten worden?
Wat dachten jullie van een GoT-NOS keysigning actie?

http://www.pgpi.org/
http://www.gnupg.org/
http://enigmail.mozdev.org/
http://kmail.kde.org/
http://www.ximian.com/products/ximian_evolution/

[The Bad Seed]

Stuur jij dan zo vaak mailtjes die de moeite van het beveiligen waard zijn?
En de ontvanger ook PGP GPG geinstalleerd heeft?

Ik heb der een tijdje geleden wat mee zitten klooien, maar als er niemand is die je kent die het ook gebruikt...

[Verwijderd]

Jeps, ik gebruik GnuPG. Vooral voor de wat vertrouwelijkere berichten die andere mensen niet hoeven te kunnen lezen.

Het signen van packages in Debian is inderdaad een goed initiatief, en het is nu alleen nog even wachten totdat dpkg er ook werkelijk mee gaat werken.

Zolang er nog privacy discussies bestaan (zoals onder andere privacy op de werkvloer), is het nut van een signing/encypting tool erg hoog mijns inziens. Als ik werk bij een bedrijf waar de policy is dat de sysadmins mijn mail mogen nakijken, dan weet ik wel zeker dat meer dan 50% van mijn mail encrypted wordt Hebben die lui ook nog wat uit te pluizen

Een keysigning actie ben ik helemaal voor... Wel even paspoort/rijbewijs en genoeg key-slips meenemen

edit:
Domme typefout verbeterd

[Verwijderd]

Op zondag 14 juli 2002 16:37 schreef Duracell het volgende:
Stuur jij dan zo vaak mailtjes die de moeite van het beveiligen waard zijn?
En de ontvanger ook PGP GPG geinstalleerd heeft?

Ik heb der een tijdje geleden wat mee zitten klooien, maar als er niemand is die je kent die het ook gebruikt...

ik heb wel mailtjes die de moeite waard zijn, passwords van servers e.d. maar dat is niet de hoofdreden waarom ik 't gebruik.
Als ik van iemand een mailtje krijg van 'zet deze reclame banner ff online' of 'mail me dat password ff door' dan wil ik graag weten dat dat mailtje ook van de persoon komt waarvan ik denk dat 't komt, voorkomt een hoop gedoe...dan kunnen mensen het mailtje dus signen.

[Verwijderd]

Op zondag 14 juli 2002 16:41 schreef Hieronymus het volgende:
Als ik werk bij een bedrijf waar de policy is dat de sysadmins mijn mail mogen nakijken, dan weet ik wel zeker dat meer dan 50% van mijn mail encrypted wordt Hebben die lui ook nog wat uit te pluizen

big brother is watching you, maar hij moet wel ff een gpg bril kopen als hij 't wil kunnen zien.

[Valium]

* Valium steekt zijn hand op.

Al mijn e-mailtjes zijn in ieder geval ondertekend. Ik kan ook coderen, maar ik stuur geen bedrijfsgeheimen door ofzo. Men weet wel altijd dat een e-mailtje vanaf mijn eigen account is verstuurd.

Ik gebruik trouwens altijd sylpheed als e-mail prog. Lekker licht. Enige nadeel is dat hij geen HTML-rederer heeft. Hij interpreteerd de HTML net als lynx dat doet. Meestal wel afdoende.

[Verwijderd]

Op zondag 14 juli 2002 16:46 schreef compukid het volgende:

[..]

ik heb wel mailtjes die de moeite waard zijn, passwords van servers e.d. maar dat is niet de hoofdreden waarom ik 't gebruik.
Als ik van iemand een mailtje krijg van 'zet deze reclame banner ff online' of 'mail me dat password ff door' dan wil ik graag weten dat dat mailtje ook van de persoon komt waarvan ik denk dat 't komt, voorkomt een hoop gedoe...dan kunnen mensen het mailtje dus signen.

Inderdaad. Het grote nadeel van email is, is dat je zonder signing nooit 100% zeker kan zijn dat het van de goede persoon afkomstig is. Maar ja, dit geldt ook voor telefoon, en snail mail. Elk van de communicatie middelen op afstand is gevoelig hiervoor. Bij email proberen we dat eigenlijk te voorkomen door dus een encryptie toe te passen met je eigen secret key, die aan de andere kant dus de-crypted kan worden met jouw publieke key. Op die manier kan je een bericht signen. Een uitgebreide verhandeling van encryptie ga ik heir even niet lopen geven, aangezien ik eigenlijk aanneem dat de meesten weten hoe het werkt.

[Verwijderd]

Op zondag 14 juli 2002 16:48 schreef Valium het volgende:
* Valium steekt zijn hand op.

Al mijn e-mailtjes zijn in ieder geval ondertekend. Ik kan ook coderen, maar ik stuur geen bedrijfsgeheimen door ofzo. Men weet wel altijd dat een e-mailtje vanaf mijn eigen account is verstuurd.

Ik gebruik trouwens altijd sylpheed als e-mail prog. Lekker licht. Enige nadeel is dat hij geen HTML-rederer heeft. Hij interpreteerd de HTML net als lynx dat doet. Meestal wel afdoende.

Hier ook Sylpheed. Maar het ging mij hier even niet om bedrijfsgeheimen, maar stel dat ik bij een ander bedrijf aan het solliciteren ben, dan is dat toch niet fijn als sysadmins dat mee kunnen lezen Of dat ik bijvoorbeeld een intiem mailtje aan mijn vriendin stuur / van haar krijg.... Zou jij dat door een sysadmin willen laten lezen. Dit natuurlijk even los van hoe gepast dat is tijdens werktijd.

[Verwijderd]

Op zondag 14 juli 2002 16:37 schreef Duracell het volgende:
[...]
Ik heb der een tijdje geleden wat mee zitten klooien, maar als er niemand is die je kent die het ook gebruikt...

Je moet eigenlijk een paar vrienden porren die het ook wel interessant zouden kunnen vinden. Even wat tijd erin steken en je hebt het zo aan de praat en in gebruik.

Zelf heb ik ook een tijdje een stel sleutels. Ik gebruik het nu alleen voor e-mail, maar ga het ook wel gebruiken om bestanden te tekenen. Het probleem is echter dat veel e-mailprogramma's getekende en versleutelde berichten niet helemaal snappen (het PGP/MIME of OpenPGP gebeuren, moet ik nog eens beter uitzoeken hoe het nu precies zit). Het komt er in ieder geval op neer dat bij bijvoorbeeld Outlook Express een leeg e-mailtje lijkt aan te komen met het bericht en de signature als attachments. Dat snappen die mensen natuurlijk niet ....

Zodra ik precies weet hoe het zit (met de standaarden e.d.) ga ik die standaarden gewoon gebruiken en moeten mensen die het niet kunnen lezen hun e-mailprogramma's maar upgraden.

Nog iets: Ik zie wel eens headers in e-mails als X-Fingerprint en X-PGP-Fingerprint en allerlei variaties. Weet iemand of daar al standaarden voor zijn of dat iedereen gewoon eigen headers zit te verzinnen (daar lijkt het op)? Ik heb al eens redelijk uitgebreid gezocht maar kon geen standaard vinden. Een fingerprint kan natuurlijk ook gewoon in je signature, maar dat is zo `aanwezig' en niet automatisch te verwerken. Ik heb ook wel eens headers gezien met een signature van de andere headers erin, maar daar kon ik ook niet echt een standaard voor vinden...

[Verwijderd]

Op zondag 14 juli 2002 19:34 schreef een_aap het volgende:

[..]

Je moet eigenlijk een paar vrienden porren die het ook wel interessant zouden kunnen vinden. Even wat tijd erin steken en je hebt het zo aan de praat en in gebruik.

Zelf heb ik ook een tijdje een stel sleutels. Ik gebruik het nu alleen voor e-mail, maar ga het ook wel gebruiken om bestanden te tekenen. Het probleem is echter dat veel e-mailprogramma's getekende en versleutelde berichten niet helemaal snappen (het PGP/MIME of OpenPGP gebeuren, moet ik nog eens beter uitzoeken hoe het nu precies zit). Het komt er in ieder geval op neer dat bij bijvoorbeeld Outlook Express een leeg e-mailtje lijkt aan te komen met het bericht en de signature als attachments. Dat snappen die mensen natuurlijk niet ....

Zodra ik precies weet hoe het zit (met de standaarden e.d.) ga ik die standaarden gewoon gebruiken en moeten mensen die het niet kunnen lezen hun e-mailprogramma's maar upgraden.

Nog iets: Ik zie wel eens headers in e-mails als X-Fingerprint en X-PGP-Fingerprint en allerlei variaties. Weet iemand of daar al standaarden voor zijn of dat iedereen gewoon eigen headers zit te verzinnen (daar lijkt het op)? Ik heb al eens redelijk uitgebreid gezocht maar kon geen standaard vinden. Een fingerprint kan natuurlijk ook gewoon in je signature, maar dat is zo `aanwezig' en niet automatisch te verwerken. Ik heb ook wel eens headers gezien met een signature van de andere headers erin, maar daar kon ik ook niet echt een standaard voor vinden...

dat zijn ook de struikelblokken die ik tegenkom. 't een en ander lijkt niet helemaal compatible te zijn, meer mensen hier problemen mee?

[Verwijderd]

Ik wilde dit draadje weer is wat nieuw leven in blazen......hoe staat het vandaag de dag met gnupg/gpg en hoe moet 't in de toekomst worden? hoe bescherm je je private keys? heeft 't signen van packages zin? checken jullie die sigs ook wel eens? (redhat doet dit toch standaard met up2date?) zou cvs gnupg support moeten gaan bieden? Zouden de keys van ssh en gnupg gecombineerd moeten worden? Hoe sign/encrypt jij je email? met ssl, pgp, gnupg of weer iets anders? hebben jullie je public key op je website staan en/of een keyserver? wat d88 jullie van een GoT-NOS keysigning gebeuren?
en hoe zit 't met ssl? pop3, imap, apache, licq, webmin, etc. kunnen van ssl gebruik maken, gebruiken jullie dat? zo ja, waarom? zo nee, waarom niet?
btw. pgp 8.0 is uit

[ Voor 32% gewijzigd door Verwijderd op 02-01-2003 23:02 ]

[Jordi]

Mailtjes die ik hier thuis verstuur, hebben een GPG signature ja. Ik krijg regelmatig van GoT users de vraag 'wat is dat voor rommel daar onderaan de mail?'

[Jordi]

Ow, ouwe draad niet eens gezien.
Naja, hoezeer ik overigens ook tegen proprietary software ben voor security dingen meestal... ik vind die code review policy van PGP wel een goed iets. Niet dat ik het gebruik, maar dat neemt iig een hoop bezwaren bij mij weg. Dat zouden meer toko's moeten doen.

[Verwijderd]

Ik doe niet aan signing... Vind 't complete onzin. Mijn vrienden gebruiken 't niet en kennen 't niet, en de mensen van de verschillende -devel mailinglisten weten vanuit mijn stijl al wel of ik het geschreven heb of niet.

Ik denk niet dat ik 't echt nodig heb.

[Verwijderd]

Jotti schreef op 02 januari 2003 @ 23:06:
Mailtjes die ik hier thuis verstuur, hebben een GPG signature ja. Ik krijg regelmatig van GoT users de vraag 'wat is dat voor rommel daar onderaan de mail?'

mozilla+enigmail verbergt volgensmij die 'rommel'.....hier is volgensmij ook PGP/MIME (RFC 3156) voor bedacht...
Zou enigmail ingebakken moeten worden bij mozilla?
Waar sigs heel goed voor zijn is het tegengaan van 'trojan-mirrors'.
GnuPG/GPG zou zo moeten werken dat je mail client bij een binnegekomen bericht in het status veld "GnuPG sign ok" geeft en als er iets mis is een waarschuwing...(net als bij ssl bij websites...

[ Voor 32% gewijzigd door Verwijderd op 02-01-2003 23:22 ]

[Verwijderd]

Jotti schreef op 02 januari 2003 @ 23:07:
Ow, ouwe draad niet eens gezien.
Naja, hoezeer ik overigens ook tegen proprietary software ben voor security dingen meestal... ik vind die code review policy van PGP wel een goed iets. Niet dat ik het gebruik, maar dat neemt iig een hoop bezwaren bij mij weg. Dat zouden meer toko's moeten doen.

http://www.deadly.org/com...?sid=20030102135915&pid=7
http://www.deadly.org/article.php3?sid=20030102135915

ik ga overigens nu, as we speak, eindelijk GnuPG proberen.

[Jordi]

Hmm, ik snap niet helemaal wat ik met die links moet?

[Verwijderd]

Jotti schreef op 03 januari 2003 @ 01:16:
Hmm, ik snap niet helemaal wat ik met die links moet?

Jij hebt het over rare tekens. Kan komen doordat Outlook geen GnuPG support. Outlook support wel S/MIME.

[Jordi]

Neuh, ik heb het over de GPG signature. Mensen schijnen dat te classificeren als 'rommel'. Kan er ook niks aan doen.

[Steije]

Ik gebruik het in combinatie met Mutt voor mijn werk

[Verwijderd]

Jotti schreef op 03 January 2003 @ 03:53:
Neuh, ik heb het over de GPG signature. Mensen schijnen dat te classificeren als 'rommel'. Kan er ook niks aan doen.

"user error: replace user and hit any key to continue"

[Verwijderd]

Steije schreef op 03 January 2003 @ 12:14:
Ik gebruik het in combinatie met Mutt voor mijn werk

GnuPG? wat voor werk?

[Zwerver]

* Zwerver gaat deze even weer wat leven inblazen

En haalt wat hier stond maar weer weg... problem solved

[ Voor 108% gewijzigd door Zwerver op 05-02-2003 14:32 . Reden: gvd leer lezen zwerver ]

[Verwijderd]

Om de discussie voor het nut van PGP e.d. te gebruiken wat te voeden kun je het betoog lezen dat Phil Zimmermann (de bedenker van PGP in 1991) aan de senaat schreef in de V.S.

Een helder en duidelijk betoog waarom iedereen encryptie wil. En niet alleen mensen die 'iets te verbergen hebben'. Ook al ligt de nadruk dan meer op principes dan op de praktijk, toch is dit het overwegen waard.

Phil's Testimony