<br><br><div class="gmail_quote">On Fri, Feb 8, 2013 at 3:11 PM, Daniele E. Domenichelli <span dir="ltr"><<a href="mailto:daniele.domenichelli@gmail.com" target="_blank">daniele.domenichelli@gmail.com</a>></span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div class="im">On 08/02/13 16:04, David Edmundson wrote:<br>
><br>
>     The lack of a TLS handler in 0.5 is in my opinion a quite big security<br>
>     bug, because in order to connect to a server with a self signed or<br>
>     expired certificate you have to disable ssl error checks, and therefore<br>
>     user is completely unprotected from man in the middle and similar<br>
>     attacks.<br>
><br>
><br>
</div>> This is *not true*.<br>
<div class="im">><br>
> If we don't have a handler MC checks the certificate itself. If it's<br>
> valid it goes through, if it's invalid the channel is rejected.<br>
><br>
> The problems are:<br>
>  - it uses the system certs, not KDE cert rules<br>
>  - If it's wrong we can't prompt the user.<br>
><br>
> To test this, simply connect to a local prosody server without ticking<br>
> "ignore ssl errors", it blocks the connection<br>
<br>
<br>
</div>Sorry, what I mean that _if you check the "ignore ssl errors" checkbox_<br>
then you are unprotected from attacks, we shouldn't probably even have<br>
that checkbox...<br></blockquote><div><br></div><div>That part is true :)</div><div><br></div><div>At least at that point the user's made a consensual decision.</div><div>How much is that a problem in real life? I only have to do that on my local prosody server, which isn't a real life problem.</div>
<div>It can also be worked round by copying the correct cert into the system certificate folder manually.</div><div><br></div><div>I'd also be ok with removing the ignore-ssl-errors option in 0.6.</div><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">

<div class="HOEnZb"><div class="h5"><br>
<br>
Daniele<br>
_______________________________________________<br>
KDE-Telepathy mailing list<br>
<a href="mailto:KDE-Telepathy@kde.org">KDE-Telepathy@kde.org</a><br>
<a href="https://mail.kde.org/mailman/listinfo/kde-telepathy" target="_blank">https://mail.kde.org/mailman/listinfo/kde-telepathy</a><br>
</div></div></blockquote></div><br>