Re[2]: [SIGNATUR] DEMO: gæstebog med OCES certifikat underskrift

[Jens Bo Friis <sslug@sslug>]

Hello Jeppe,

browseren kan ikke underskrive. det skal ske med java applet eller
activex - skrevet af nogen. der er ingen standarder for hvordan man
gør det.

ville du føle dig mere tryg, hvis koden til sign er opensorce? hvis et
stort firma havde signeret appletten?

Du er velkommen til at sniffe på kablet. Du vil opdage at jeg
* sender et xmldsig dokument, som specificeret i RFC 3275
* ikke sender andet en ovenstående
* at det ikke er krypteret, da der ikke er noget hemmeligt (iflg
loven)
* at dokumentet hverken indeholder dit keystore, password eller
private nøgle
* at dokumentet indeholder din offentlige nøgle, dit certifikat (og
issuer), din tekst du har signeret og signaturen

Du kan:
* til en hver tid selv signere og se at du når frem til samme
resultat
* selv validere dokumentet jeg sender for at sikre dig at jeg ikke har
lavet fusk med signaturen (jf mit paper om RSA-CRT angrebet).

Men hvis nu jeg holdte protokollen hemmelig, måske krypterede data jeg
sender, holder kildekoden hemmelig - så kan jeg forstå at du er
paranoid.

- men jeg har jo også kun lavet demoen for at demo'e at det IKKE er
noget problem at lave web-sign, som også virker på linux (og snart
også på Mac)

/Bo
http://bofriis.dk


Monday, March 17, 2003, 4:35:40 PM, you wrote:

Jeppe Buk> Jens Bo Friis wrote:

>> Jeg har opdateret mit site med en lille simpel demo, en gæstebog, hvor 
>> man kan skrive en kommentar som herefter signeres med OCES certifikatet.
>>
>> Hvis I lyster så prøv den og pls meld tilbage hvad der virker og hvad 
>> der ikke virker.

Jeppe Buk> Godt initiativ med demo af OCES-anvendelse kompatibelt med åbne standarder!

Jeppe Buk> Men...

Jeppe Buk> Jeg er ikke tryg ved at overlade min nøglefil OG kodeord til din applet 
Jeppe Buk> - det må kunne gøres bedre­ - er der ikke en måde hvor du overlader 
Jeppe Buk> underskrivningen til browseren?

Jeppe Buk> mvh Jeppe