Implement transparency
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 5/5
- Tempo stimato
- Più di una settimana
- Idoneità per principianti
- 35/100
- Tipo di issue
- Funzionalità
- Chiarezza
- Da chiarire
- Stato di attività
- Tranquilla
- Stack tecnologico
- javascript, python
- Ambito
- cryptography, security
Direzione di ricerca
Inizia leggendo l’implementazione di OnionAliasStore.sys.mjs indicata e il verificatore sigsum-ts per comprendere l’approccio di trasparenza proposto. Poi determina come potrebbe adattarsi ai set di regole archiviati e firmati presenti in questo repository. Il lavoro è completato quando la distribuzione dei set di regole può garantire trasparenza rispetto a modifiche mirate e la procedura di firma è semplificata.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
As we know, the use of the rulesets currently requires blind trust on our signing key. It also requires trust from the users that the same ruleset is being shipped to everybody at the same time. Even with our best intentions, if the key was compromised, properly scoped and targeted attacks would remain undetectable.
This ruleset is a natural target for transparency properties: we already archive all the past lists, and we already sign them when we ship them. The Sigsum's developers have suggested that for a long time, as Sigsum is currently the lightest transparency log that's available. It only required an ed2559 private key, and it does support pretty much all the security features we could need. Incidentally, we've also already written a Sigsum verifier (sigsum-ts) for WEBCAT anyway, and it has no runtime dependencies, it pretty minimal and uses the web crypto API as TBB also currently does.
The implementation is here: https://gitlab.torproject.org/tpo/applications/tor-browser/-/blob/tor-browser-152.0a1-16.0-2/browser/components/onionservices/OnionAliasStore.sys.mjs?ref_type=heads
Since we are schedule to rotate the key anyway, and this has been on the table for discussion for a while, it could be a good moment to see if TBB would be interested. We can probably provide the TBB implementation part as well pretty easily.
As a result, I believe we could also simplify our signing procedures quite a bit.
- Lingua principale
- Python
- Stelle
- 11
- Fork
- 4
- Merge medio
- 8m
- PR unite (30g)
- 7
Guida per i contributori
Nessuna guida per i contributori indicizzata per questo repository
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di freedomofpress/securedrop-https-everywhere-ruleset
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 25/100
-
PGPy appears unmaintained Aperta
Difficoltà 4/5 3-5 giorni Idoneità per principianti 35/100
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 50/100
freedomofpress/securedrop-https-everywhere-ruleset#267 · 1 commento · 1 reazione ·
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 35/100
-
Rename this repository Aperta
Difficoltà 3/5 1-2 giorni Idoneità per principianti 30/100
Tutte le issue di freedomofpress/securedrop-https-everywhere-ruleset
Issue simili
-
bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
stephrobert/dsoxlab#238 ·
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
sublimehq/package_control#1780 ·
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 65/100
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 70/100
nwg-piotr/nwg-displays#145 ·