[Auth] Certificates and devices

Đang mở
  • Có gì không ổn?
#113 2 bình luận 0 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó
5/5
Thời gian dự kiến
Hơn một tuần
Mức phù hợp với người mới
20/100
Loại issue
Tính năng
Độ rõ ràng
Cần làm rõ
Mức độ hoạt động
Đình trệ
Lĩnh vực
authentication, security

Hướng nghiên cứu

Read the authentication discussion in the linked May 17, 2018 meeting notes and compare the certificate, device identity, and passcode exchange ideas with the Wi-Fi Alliance Device Provisioning Protocol reference. The issue raises several possible approaches but does not identify a specific change or completion criteria, so first establish which proposal the project wants to pursue.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

osp-network security-tracker

These comments relate to the authentication discussion of the open screen protocol. In particular I wanted to comment on the devices and their certificate discussion from the last F2F meeting.

There is a discussion in the meeting notes:

an area for exploration, with hardware backed certificates, show device number as trusted information in the UI. we could eventually find a way for trusted manufacturer public keys to incorporated

… another idea that could be explored is generating new certificates when changing the friendly name of the device. it's about the integrity of the information we display to the user

Although the device number from a trusted device is a truth, anybody can produce a cert with any ID as the subject (if there is no root CA then there is no trusted assertion of the key-to-ID binding). If an attacker persuades the client to trust the bogus cert - because the subject matches the known ID of the receiver in the same room, the controller will authenticate with unknown receivers. IDs cannot be proxies for public keys. Perhaps receivers need to have their public keys stamping on the front?

If there is a trusted common root CA and device specific certificate, then TLS almost wins anyway. Authentication of the specific physical device just needs a quick visual test through the channel before any confidential data. (I suppose the equivalent step in SSL is the check that the DNS domain matches the certificate subject)

is there a way for a controller and receiver to agree on the mechanism to use for passcode exchange (e.g, QR code, NFC, or other mechanisms)?

… it could enable the receiver to choose which UI to present

This looks a bit like the Wi-fi alliance device provisioning protocol 1.0 which seems to enable all of these. See https://www.wi-fi.org/discover-wi-fi/specifications

Ngôn ngữ chính
Bikeshed
Star
115
Fork
21
Merge trung bình
5 giờ 2 phút
Pull request đã merge (30 ngày)
2

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của w3c/openscreenprotocol

Tất cả issue của w3c/openscreenprotocol

Issue tương tự

Thêm issue về Security

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.