Encrypting data to untrusted keys
还没有人认领这个 Issue。
评估
调研方向
首先跟踪在 Certificate RSA 密钥加密期间于子 shell 中调用 gpg 二进制文件的 Python 代码。重现不受信任密钥的情况，然后评估提出的两种结果——发出警告并退出，还是始终信任并加密——同时考虑 TOFU 方面的担忧以及涉及 -o 和 PFX 密码的风险。
由索引模型根据 Issue 内容生成。
描述
Currently when an untrusted PGP key is used to encrypt the Certificate RSA key, the underlying system fully ignores the key and writes an empty file because the interaction with the gpg binary happens in a subshell.
We should either:
- Warn the user and exit
- Add the always trust flag to the encryption of files.
Concerns around 2:
There's a TOFU problem on initial RSA signing key encryption. Where in between the user setting their fingerprint and running mtls for the first time, a bad actor could potentially swap out the fingerprint uses for later encrypting the key one first generation.
There's also issues around using -o which would then encrypt the password for the PFX to a bad actor based off what's in the config.
- 主要语言
- Python
- 星标
- 29
- 派生
- 7
- PR 合并指标
- 30 天内没有已合并 PR
环境准备
这个项目没有提供开发容器、Dockerfile 或贡献指南，环境需要你自己搭建：先看它的 README，通用步骤见我们的新手贡献指南。
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
drGrove/mtls-cli 的其他 Issue
-
难度 5/5 一周以上 新手友好度 25/100
-
难度 3/5 1-2 天 新手友好度 45/100
-
good first issue help wanted
难度 1/5 1 小时以内 新手友好度 45/100
-
enhancement help wanted
难度 3/5 1-2 天 新手友好度 25/100
-
MacPorts Package未关闭package manger
难度 5/5 一周以上 新手友好度 25/100
相似的 Issue
-
难度 2/5 1-3 小时 新手友好度 88/100
BasedHardware/omi#20271 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 92/100
openai/openai-cookbook#3153 ·
维护者通常 1 天内回复
-
cvss-severity:high devguard l3montree-cybersecurity/devguard/devguard pkg:golang/github.com/l3montree-dev/devguard risk:low state:open
难度 2/5 1-3 小时 新手友好度 65/100
l3montree-dev/devguard#3146 · 1 条评论 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 76/100
-
bug confirmed issue
难度 2/5 1-3 小时 新手友好度 76/100
open-webui/open-webui#31849 · 2 条评论 ·
维护者通常 1 天内回复