<div dir="ltr">Hi,<br><div><div class="gmail_extra"><br><br><div class="gmail_quote">On Tue, Nov 19, 2013 at 12:29 PM, Thijs Alkemade <span dir="ltr"><<a href="mailto:thijs@xnyhps.nl" target="_blank">thijs@xnyhps.nl</a>></span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div class=""><div class="h5"><br>
On 19 nov. 2013, at 12:58, Ralf Skyper Kaiser <<a href="mailto:skyper@thc.org">skyper@thc.org</a>> wrote:<br>
<br>
> Hi<br>
><br>
><br>
> On Tue, Nov 19, 2013 at 11:37 AM, Simon Tennant <<a href="mailto:simon@buddycloud.com">simon@buddycloud.com</a>> wrote:<br></div></div>
Automatic key pinning works for SSH, because private keys are rarely changed<br>
and people are more tech-savy than average XMPP users. If you start doing this<br>
for XMPP, you'll see a lot of false positives. I doubt you can convince a<br>
large part of the network to start using self-signed certificates valid for a<br>
long time. Every time a user who doesn't understand the security implications<br>
removes a pin, the security of the system is weakened because it makes MitM<br>
attacks easier. The manifesto requires software to be able to inform users<br>
when a certificate changes and I think this is the right approach to automatic<br>
pinning.<br></blockquote><div><br></div><div>By 'average XMPP user' you mean 'average XMPP Server admin' I think.<br><br></div><div>The user only sees a new certificate if the admin chooses to create a new key on the same domain name.<br>
<br></div><div>The average XMPP server admin is tech-savy. I think I would go as far as saying that the average<br></div><div>XMPP server admin is more tech-savy than the average apache admin - and apache/web-browsers<br>
are going to support pinning soon.<br></div><div><br></div><div>There are enough fallbacks to help the tech-unsavy admin if he looses the key and has to create a new key:<br></div><div>- Can use a new domain (<a href="http://jabber-1.mydomain.org">jabber-1.mydomain.org</a> becomes <a href="http://jabber-2.mydomain.org">jabber-2.mydomain.org</a><br>
</div><div>- Can ask all users to reinstall the jabber client<br></div><div>- Can ask all users to manually remove the pinned key from the client<br></div><div>- Can use 'reverse fingerprinting' where the user can remove an old pinned key by entering the fingerprint of the new certificate.<br>
</div><div>- Backup Key (requires protocol change?)<br></div><div> <br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">
<br>
But right now this is just a proposal, with no working code to go with it.<br>
With the manifesto going in affect on May 19 2014, I think making this a<br>
required part of it would be too soon.<br></blockquote><div><br></div><div>Can we add it as an optional goal for May 19 2014?<br> <br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">

<br>
[1] = <a href="https://tools.ietf.org/html/draft-ietf-websec-key-pinning-08" target="_blank">https://tools.ietf.org/html/draft-ietf-websec-key-pinning-08</a><br>
[2] = <a href="https://tools.ietf.org/html/draft-perrin-tls-tack-02" target="_blank">https://tools.ietf.org/html/draft-perrin-tls-tack-02</a><br>
[3] = <a href="http://mail.jabber.org/pipermail/standards/2013-November/028229.html" target="_blank">http://mail.jabber.org/pipermail/standards/2013-November/028229.html</a><br></blockquote><div><br></div><div>Thanks for [3]!<br>
 <br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">
<br>
Regards,<br>
Thijs<br>
<br>_______________________________________________<br>
JDev mailing list<br>
Info: <a href="http://mail.jabber.org/mailman/listinfo/jdev" target="_blank">http://mail.jabber.org/mailman/listinfo/jdev</a><br>
Unsubscribe: <a href="mailto:JDev-unsubscribe@jabber.org">JDev-unsubscribe@jabber.org</a><br>
_______________________________________________<br>
<br></blockquote></div><br></div></div></div>