ID utente contenenti URI

Naviga le tue risposte
7

Quando aggiungi un ID utente alla tua chiave OpenPGP, ti viene in genere chiesto (ad esempio da GnuPG) di fornire un nome, un commento e un indirizzo email (dove ogni parte è facoltativa).

Questo formato ( Name (Comment) <email address> ) è descritto da RFC 4880, sezione 5.11 (Pacchetto ID utente) :

By convention, it includes an RFC 2822 [RFC2822] mail name-addr, but there are no restrictions on its content.

Mentre dice che è solo una "convenzione" e non ci sono "restrizioni sul suo contenuto", la prima frase di questa sezione recita:

A User ID packet consists of UTF-8 text that is intended to represent the name and email address of the key holder.

Suppongo (correggimi se ho torto) che "inteso a rappresentare il nome e l'indirizzo email" non è normativo. Questo significherebbe:

  1. Posso specificare qualsiasi tipo di contenuto (non deve rappresentare un nome e / o un indirizzo email).
  2. Se specifichi un nome e un indirizzo email, non devo seguire il formato dell'indirizzo descritto in RFC 2822.

È corretto?

Se è così, potrei specificare qualsiasi tipo di URI (usando parentesi angolari per delimitarlo ). Poiché lo schema URI sarebbe incluso (contrariamente al formato "convenzione"), potrebbe, ad esempio, impedire alle persone di scambiare un indirizzo XMPP per un indirizzo email.

Esempi di possibili ID utente:

È sensato, forse addirittura raccomandato? Si romperà qualcosa?

Mi chiedo in particolare se strumenti (come server di chiavi, client di posta o portachiavi) troveranno / associano una chiave con un indirizzo email se è specificato l'URI completo ( <mailto:[email protected]> ), e se non lo faranno interpreta un indirizzo XMPP ( <xmpp:[email protected]> ) come indirizzo email.

    
posta unor 17.11.2014 - 22:01
fonte

1 risposta

1

Standardizzazione

Non aspettarti che nessun client sia in grado di leggere quegli ID utente. Gli ID utente che seguono lo schema fornito non fanno parte dello standard e molto probabilmente non verranno implementati.

Questo è particolarmente valido per fornire gli indirizzi di posta, che hanno una rappresentazione formalizzata, incluso un prefisso mailto: che potrebbe infrangere quello.

Le stringhe arbitrarie sono consentite

Qualunque cosa che va oltre nome, indirizzo di posta ed eventualmente un commento non è standardizzata, ma lo standard non impedisce nulla, puoi fornire qualsiasi stringa tu voglia. Considera se qualcun altro sarà in grado di capire quali informazioni desideri fornire e se fornire le informazioni è ragionevole (quindi, qualcuno dovrebbe approvare / certificare l'ID utente?).

Forse cerca di evitare la corrispondenza con lo schema definito dalla RFC 2822, e fai non mettere nulla tra parentesi angolari che non si adatta ad un indirizzo e-mail in cui puoi ricevere la posta, poiché è ciò che le implementazioni (e possibili altri utenti) si aspetterebbero.

Notazioni OpenPGP

Un altro modo per dare (utilizzo) restrizioni sarebbe usare notazioni , ma di nuovo, lì non è un modo definito di usarli e non ho mai sentito di alcuna implementazione che li abbia effettivamente utilizzati.

    
risposta data 18.11.2014 - 00:46
fonte

Leggi altre domande sui tag

Sicuro per il rendering dei dati direttamente su DOM da localStorage? Attacco XSS possibile? Nei Paesi Bassi, c'è pericolo nel mio nome e il numero di conto bancario è pubblico?