Verify Mozilla's signature in upki-mirror and sign manifests for `upki fetch`
I maintainer di solito rispondono entro 1 giorno
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 5/5
- Tempo stimato
- Più di una settimana
- Idoneità per principianti
- 15/100
Direzione di ricerca
This is a design proposal, not a scoped change. Start by reading how upki-mirror fetches /records and how upki fetch consumes manifest.json and config.toml, and settle on one of the two options (verifying Mozilla's signature via /changeset, or signing the manifest) with the maintainers. Done means an agreed design, with the key and signature format decided, before any implementation.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
I've noticed that right now only TLS protects revocation data between Mozilla and clients. The mirror doesn't check the content signature on cert-revocations, and upki fetch trusts whatever manifest the mirror serves. After eMudhra that feels a bit thin: a bad cert for either host is enough to feed clients fake revocation data.
Two ideas:
- The mirror fetches
/changesetinstead of/recordsand verifies Mozilla's signature, pinning the root rather than the short-lived leaf. - The mirror signs
manifest.json(e.g. a C2SP signed-note) andupki fetchchecks it against a key inconfig.toml. With a signed sequence number, clients could also reject rollbacks.
Since fetch is generic now (#275), this would cover CRLite, intermediates and OneCRL too. Happy to start on the first part.
- Lingua principale
- Rust
- Stelle
- 181
- Fork
- 14
- Merge medio
- 14h 16m
- PR unite (30g)
- 21
Preparare l'ambiente
Questo progetto non fornisce container di sviluppo, Dockerfile né guida per i contributori, quindi l'ambiente è a tuo carico: parti dal suo README e consulta la nostra guida al primo contributo per i passaggi generali.
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di rustls/upki
-
OneCRL supportAperta
Difficoltà 5/5 Più di una settimana Idoneità per principianti 35/100
rustls/upki#229 · 1 commento · 8 reazioni ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 25/100
rustls/upki#199 · 4 commenti · 1 reazione ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 30/100
rustls/upki#171 · 5 commenti ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 35/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 35/100
rustls/upki#149 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
Issue simili
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 65/100
pop-os/cosmic-settings#2296 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
I maintainer di solito rispondono entro 2 giorni
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 70/100
jonathanong/no-mistakes#3431 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 62/100
Eyevinn/open-live-ingest#36 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
Windows YAML bind mounts fail path validation while equivalent --mount-dir CLI mounts succeedAperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
superradcompany/microsandbox#2071 ·
I maintainer di solito rispondono entro 1 giorno