CAcert & debian

[Jörg Frings-Fürst]

Hi,

ein Link:

http://www.heise.de/netze/meldung/Debian-verzichtet-auf-SSL-Root-Zertifikate-von-CAcert-2153353.html?wt_mc=sm.feed.tw.netze


Jörg

[Andreas Neumann]

Post by Jörg Frings-Fürst
Hi,
http://www.heise.de/netze/meldung/Debian-verzichtet-auf-SSL-Root-Zertifikate-von-CAcert-2153353.html?wt_mc=sm.feed.tw.netze

Jörg

Muss man diese Entwicklung nun als endgÃŒltigen Niedergang von CACert
interpretieren?

Andreas

- --
Andreas Neumann
Manggasse 8
98693 Ilmenau

andreas.neumann-***@public.gmane.org
https://map4jena.de
https://stadtplan-ilmenau.de

Tel: [phone]
Fax: [phone]
Mobil: [phone]

[Andreas Boehlk]

Hallo,

ich habe immer noch die Hoffnung, daß immer mehr Leuten klar wird, daß
ein Zertifikat, wo das Root-Zertifikat von Thawte ,Verisign, TÃŒrkTrust
und anderen drinsteckt, bezÃŒglich Sicherheit ziemlich wertlos ist.
Aber noch gilt leider die Devise: Leute f..........Millionen Fliegen
können sich nicht irren. Also warten wir auf den nÀchsten Skandal, der
uns vielleicht in die HÀnde spielt.
Ansonsten wÀre es hilfreich wenn CAcert dem einfachen Nutzer ein
Werkzeug an die Hand geben könnte, das den Import der erzeugten
Zertifikate automatisiert. Das wÌrde die Verbreitung erhöhen und damit
die weiteren Chancen erhöhen. (da kommt wieder die Sache mit den
Fliegen ins Spiel).

Gruß

Andreas

Post by Andreas Neumann

Post by Jörg Frings-Fürst
Hi,
http://www.heise.de/netze/meldung/Debian-verzichtet-auf-SSL-Root-Zertifikate-von-CAcert-2153353.html?wt_mc=sm.feed.tw.netze

Jörg
Muss man diese Entwicklung nun als endgÃŒltigen Niedergang von
CACert interpretieren?
Andreas

- --
Andreas Boehlk
Hermann-Löns-Straße 10
29223 Celle
Tel.: [phone]
Mobil: 0152-54213866
E-Post: post-lkjbyIYY+jvQT0dZR+***@public.gmane.org

[Benedikt Heintel]

Ansonsten wäre es hilfreich wenn CAcert dem einfachen Nutzer ein
Werkzeug an die Hand geben könnte, das den Import der erzeugten
Zertifikate automatisiert.

Haben wir für Windows bereits: http://www.cacert.org/?id=3
Bekommen wir auch für Linux Dists hin.

Grüße
Benedikt
CAcert internal Auditor

[Gero Treuner]

Hallo zusammen,

Post by Jörg Frings-Fürst
http://www.heise.de/netze/meldung/Debian-verzichtet-auf-SSL-Root-Zertifikate-von-CAcert-2153353.html?wt_mc=sm.feed.tw.netze

Muss man diese Entwicklung nun als endgültigen Niedergang von CACert
interpretieren?

Das bestimmen wir als Community. Meine Meinung daher: Es kommt darauf
an, mit Tendenz zu "nein".

Insgesamt gesehen müssen die Anwender die Zertifikate mit wenigen
Ausnahmen (die nun weiter gesunken sind) selbst installieren.

Wenn es nun gelingt, Installer und Anleitungen zur Selbstinstallation
stärker unter die Leute zu bringen, kann es auch ein Gewinn werden.
Ebenso, wenn diese Meldung eine Diskussion über die richtigen Strukturen
und Vorgehensweisen für CA anregt.


Von einem Audit und dem Ziel, Eingang in Browser/Betriebssysteme zu
finden, sind wir ein Stück entfernt. Insofern muss man dies akzeptieren,
kann aber weiter dran arbeiten.
Interessant fand ich den Hinweis im Debian-Bug, dass Crowdfunding-
Projekte angeblich den für ein Audit benötigten Kapitalbedarf in kurzer
Zeit gewinnen können.


Schöne Grüße
Gero

[Thomas Wagner]

Das sehe ich nicht so. Es hat eine Distribution eine reversible
Entscheidung getroffen. Fuer alle anderen hat sich nichts
veraendert. Vor allem macht CACert genauso viel Sinn als vorher.

Ich sehe das eher als einen Anschub jetzt Oeffentlichkeitsarbeit
zum Status der Audits zu betreiben. Ohne viel Rechtfertigungen
zu den aktuellen Entscheidungen.

Ich hoffe allerdings, dass die Debian Enscheidung dem Audit-Projekt
einen starken Anschub gibt.

Thomas

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Post by Jörg Frings-Fürst
Hi,
http://www.heise.de/netze/meldung/Debian-verzichtet-auf-SSL-Root-Zertifikate-von-CAcert-2153353.html?wt_mc=sm.feed.tw.netze

Jörg
Muss man diese Entwicklung nun als endgültigen Niedergang von CACert
interpretieren?
Andreas
- --

[Nick Jacobs]

I think the community may have unreasonable expectations of CAcert.
Why do CAcert certificates have to be free of charge? Free as in freedom does not necessarily entail freedom from cost. It costs a lot of resources to complete a proper audit of a certifying authority.
People will work at software development without payment because software development is fun. Going through the tedious, but essential, procedure to complete an audit is not fun. If we want it done, properly, we're going to have to pay for it.

I'd have no problem paying a modest amount for a CAcert certificate. Presumably, the operation could be run on a not-for-profit basis and so the certificates would cost much less than the ~ $1,000/year charged by companies like Symantec.

This is just a thought - not a proposal. I don't know what it would take to get CAcert properly audited, beyond the obvious fact that it will take more resources than CAcert will be able to apply in the foreseeable future. Maybe somebody who fully understands the whole process can comment?

I have also seen (somewhere) the rumour that to get Microsoft to recognise a CA for MSIE requires a $50,000 payment to Microsoft. Since MSIE has a shrinking market share, I don't see the need to pay that. I assume that Mozilla and Google just want to see evidence of an audit. But again, maybe someone who knows the facts can comment.

Nick

________________________________
Sent: Monday, 24 March 2014, 16:40
Subject: CAcert & debian
Hi,
http://www.heise.de/netze/meldung/Debian-verzichtet-auf-SSL-Root-Zertifikate-von-CAcert-2153353.html?wt_mc=sm.feed.tw.netze
Jörg

[Benedikt Heintel]

Dear Nick,

Your assumption is right, certificate do not need to be free of charge.
However, CAcert has a mission to provide privacy to everyone. This means
actually for nothing.

What a audit cost? That depends on the audit. I would assume around
50.000 $ for the initial audit, however money is not everything we need.
We would fail the audit at the moment, means we need to prepare for the
audit first. We audit ourselves internally to find out how far we are
and where we still need to improve.

Help is very welcome and donations, too.

Best Regards

Benedikt
CAcert internal Auditor

Post by Nick Jacobs
I think the community may have unreasonable expectations of CAcert.
Why do CAcert certificates have to be free of charge? Free as in freedom does not necessarily entail freedom from cost. It costs a lot of resources to complete a proper audit of a certifying authority.
People will work at software development without payment because software development is fun. Going through the tedious, but essential, procedure to complete an audit is not fun. If we want it done, properly, we're going to have to pay for it.
I'd have no problem paying a modest amount for a CAcert certificate. Presumably, the operation could be run on a not-for-profit basis and so the certificates would cost much less than the ~ $1,000/year charged by companies like Symantec.
This is just a thought - not a proposal. I don't know what it would take to get CAcert properly audited, beyond the obvious fact that it will take more resources than CAcert will be able to apply in the foreseeable future. Maybe somebody who fully understands the whole process can comment?
I have also seen (somewhere) the rumour that to get Microsoft to recognise a CA for MSIE requires a $50,000 payment to Microsoft. Since MSIE has a shrinking market share, I don't see the need to pay that. I assume that Mozilla and Google just want to see evidence of an audit. But again, maybe someone who knows the facts can comment.
Nick

[Andreas Neumann]

Moin,

neueste Entwicklung:
http://heise.de/-2156226

MfG Andreas

Post by Jörg Frings-Fürst
Hi,
http://www.heise.de/netze/meldung/Debian-verzichtet-auf-SSL-Root-Zertifikate-von-CAcert-2153353.html?wt_mc=sm.feed.tw.netze
Jörg

- --
Andreas Neumann
Manggasse 8
98693 Ilmenau

andreas.neumann-***@public.gmane.org
http://stadtplan-ilmenau.de

Tel: [phone]
Fax: [phone]
Mobil: [phone]