Category Archives: Information

General news/information to the CAcert community or about security in general

CAcert Assurances at LISA conference, Washington, DC, USA 05 November 2013

The 27th Large Installation System Administration conference (aka. Lisa 2013) will be meeting Nov 3-8 in Washington, DC, USA. We have held a CAcert Birds-of-a-Feather (BoF) session at several of these. The CAcert Assurance BoF at LISA 13 will be Tuesday evening November 5th. This session is open to the public. Full details are posted on the event page on the CACert Wiki:

http://wiki.cacert.org/events/2013-11-05-LISA13

We will start with a presentation to cover the basics. We will also discuss the new TTP Assurance process. We will have several assurers there to do initial assurances. Mutual assurances are encouraged for getting practice and for answering questions. And there is the added benefit of earning experience points.

If you are in town for the conference or you live in the area, please join us to learn more about free digitial certificates available through CAcert.org.

Efficient method for frequent retrieval of CRLs

Leave a reply

Preferred protocol: OCSP

To verify the validity of a certificate issued by CAcert, the recommended method is to consult the OCSP responder running at ocsp.cacert.org. Many software packages have integrated support for the OCSP protocol, which is quite efficient in two ways:

very little data needs to be exchanged between client and server
the answer is always up-to-date because the server has the most recent Certificate Revocation List (CRL) on hand

Fall-back method: CRL

However, sometimes older software versions may lack working support for the OCSP protocol. But they often do have the ability to verify a given certificate against the Certificate Revocation List (CRL) published by the certificate issuer (CAcert in our case). For this to work, the client software requires a fairly recent copy of the CRL. Traditionally, such a copy can be obtained by an HTTP request for http://crl.cacert.org/revoke.crl and/or http://crl.cacert.org/class3-revoke.crl. Doing this regularly causes a lot of network traffic because the CRLs are quite large: revoke.crl is currently 5.6 MB, while class3-revoke.crl is 0.6 MB.

Improved fallback method: RSYNC

As of today a much more efficient method is available for maintaining a reasonably up-to-date local copy of the CAcert CRLs: the rsync protocol. After the initial retrieval of the full CRL, subsequent updates are orders of magnitude faster because only the small differences with the previous version need to be transmitted. The service can be used like this:

Initial setup:

$ mkdir crl-dir
$ rsync -avz crl.cacert.org::crl crl-dir

Regular update (e.g. via cron):

$ rsync -avz crl.cacert.org::crl crl-dir

Recommendation

Only if you cannot use OCSP and really do need local up-to-date copies of CAcert’s CRLs, please consider the use of the rsync method outlined above. By saving bandwidth use on the crl.cacert.org server everybody benefits from better response times. Your cooperation is appreciated!

ATE Wien (AT), 2013-10-15

1 Reply

Wien Hofburg

German Version below

There will be an ATE in Vienna (AT) on 15th October 2013. More details on the wiki.

There are a couple of options to indicate that you are attending:

– Email I will attend ATE-Vienna – Edit the wiki directly

As IanG said: “The ATE or Assurer Training Event is exceptionally recommended for all Assurers, and include parts which contribute directly to our audit. Come and find out how you can also contribute.”

German Version

Am Dienstag, 15. Oktober 2013 in den Räumen der Wirtschaftskammer Österreich in Wien, das nächste ATE statt.

• Was hast du auf dem CAP Formular hinzuzufügen, wenn du Minderjährige überprüfst ?

• Warum solltest du dir die 3 Buchstaben: R/L/O einprägen ?

• Wie verhälst du dich, wenn du ein fremdes Ausweisdokument zum erste Mal prüfst ?

Antworten auf diese und andere Fragen erhaltet ihr auf dem Assurer Training Event. Bringt geeignete Lichtbildausweise für Assurances mit.

Ein zusätzlicher Hinweis für ehemalige Tverify/Thawte Leute: Das ATE ist auch eine sehr gute Möglichkeit eure Assurance und Experience Punkte in die Reihe zu bekommen, bevor diese gestrichen werden.

ATE-Wien findet statt:

Dienstag, 15. Oktober 2013
Wirtschaftskammer Österreich, Raum B3 1 Besprechungsraum
Wiedner Hauptstrasse 63
1045 Wien
18:00 bis ca. 22:00 Uhr

Die detaillierte Agenda findet Ihr im Wiki.
Registrierung: Ich möchte am ATE-Wien teilnehmen

Vielleicht treffen wir uns ja da.

Mit bestem Gruß vom Events Team!

CAcert at the IT-Works | CRMexpo in Stuttgart

Leave a reply

Hi,

in Germany starts the IT-works & CRMexpo in Stuttgart Trade Fair.
We present CAcert on our Company “CRMADDON” fair stand.

The Fair is between 24 – 26.09.2013
You can find us in hangar 3 stand A77-6

best regards
Bernhart Taubenheim

[German Version]
Hallo CAcert Members,

nächste Woche vom 24. – 26.09.2013 ist die IT-Works | CRMexpo in Stuttgart angesagt.
Da darf CAcert natürlich nicht fehlen.

Wir, das Unternehmen CRMADDON Factory GmbH haben selbstverständlich einen Stand.
Als Assurtes Unternehmen mit einigen Assurern im Team, bringen wir auch gleichzeitig CAcert mit auf die Messe.

So bieten wir jedem CAcert Mitglied, und denen die es noch werden wollen, die Möglichkeit sich Assuren zu lassen. Das natürlich kostenlos. Versteht sich ja von selbst. Wir haben auch nichts dagegen wenn wir Assurt werden.

Wer sich bis Mo. noch bei uns anmeldet, erhält selbstverständlich Freikarten für den Eintritt.
Einfach auf den Link klicken und Termin vereinbaren.

Es geht bei uns nicht nur um die Assurance sondern auch um ein Thema das wir gerne mit euch diskutieren würden. Wir haben ein neues Produkt im Sortiment, das gerade für Unternehmen die Zertifizierung und die Verschlüsselung der Mails übernimmt. Gerade hier ist uns eure Meinung wichtig, was denkt Ihr hat das für Vor- und Nachteile. Wo und wie kann man es am besten einsetzen und noch vieles mehr. Darüber würden wir gerne eine offene Diskussionsrunde aufrufen, an der jeder sich dazu äussern kann. Letzlich wäre auch dies eine Möglichkeit CAcert zu Pushen und somit den Wachstum und die Implementierung von CAcert zu fördern.

Für alle Assurer und die, die es noch werden wollen, gibt es die Möglichkeit uns auf der Messe zu unterstützen. So ist jeder herzlich eingeladen sich uns anzuschließen. Dafür bitte einfach im WIKI eintragen oder mich direkt kontaktieren. Bitte bringt eure eigenen CAP mit. Haben einige dabei aber so geht alles einfacher und schneller.

Sollten vorab noch Fragen anstehen, dann einfach melden.

mit freundlichen Gruessen

Bernhart Taubenheim

PS: Ausweise nicht vergessen ?

CRMADDON Factory GmbH
Am Baechle 12 | 86488 Breitenthal | Germany
Phone: +49-8282-80040-0 | Fax: +49-8282-80040-29
E-Mail: info@crmaddon.com | Web: www.crmaddon.com

CAcert software development reaches milestone for CCA rollout

Leave a reply

[Dutch, French, German, Italian, Spanish versions below]
The CAcert Software Development Team completed work on the important milestone for the rollout of the CAcert Community Agreement (CCA) [1]. The agreement of the CCA is recorded throughtout the software ([2], [3].

Therefore each member needs to agree to the CCA within the software on the following occasions:
– creating a new member account
– assuring another member, getting assured
– creating a new client certificate, a new server certificate or a new gpg certificate

Sometime in the future the software will prompt each user, who did not accept the CCA until up to that date while logging into the system. After that date you only will be able to log into the software after accepting the CCA.

[Dutch version]
Het CAcert Software Development Team heeft een belangrijke mijlpaal
bereikt voor het uitrollen van de CAcert Community Agreement (CCA) [1].
Aanvaarding van de CCA wordt nu door middel van de software systematisch
vastgelegd ([2], [3]).

Daarom moet elk CAcert lid nu de CCA aanvaarden in de software op de
volgende momenten:
– bij het maken van een nieuwe account;
– bij het invoeren van een assurance;
– bij het aanmaken van een nieuw client certificaat, een nieuw
server certificaat of een nieuw gpg certificaat.

Binnenkort zal de software aan elke gebruiker die tot dat moment de CCA
nog niet aanvaard heeft, bij het inloggen verzoeken om in te stemmem met
de CCA. Vanaf dat moment kan er alleen nog ingelogd worden door leden
die expliciet de CCA aanvaarden.

[French version]
L’equipe de développement de logiciels CAcert a franchit une nouvelle étape pour le déploiement de l’Accord de la Communauté CAcert.

L’équipe de développement de logiciel CAcert a achevé ses travaux sur l’étape importante pour le déploiement de l’accord de la Communauté CAcert (CCA) [1]. L’acetptance du CCA est maintenant enregistré par le logiciel. [2], [3]

Par conséquent, chaque membre doit accepter le CCA dans le logiciel sur un des cas suivants:
– lors de la création d’un nouveau compte de membre
– après l’accréditation d’un autre membre, en l’inscrivant dans le système
– lors de la création d’un nouveau certificat de client, un nouveau certificat de serveur ou d’un
nouveau certificat GPG

Dans les jours à venir, le logiciel invitera chaque utilisateur, qui n’a pas encore accepté le CCA lors d’une connection au système, de confirmer qu’il accèpte le CCA. Après cette date, se peut connecter au logiciel que celui qui a accepté le CCA.

[German version]
Das CAcert Software Development Team hat den wichtigen Meilenstein für das CAcert Community Agreement (CCA) [1] Rollout erreicht. [2, 3]

Daher müssen alle Community Member nun an folgenden Stellen innerhalb der Software zustimmen:
– beim Anlegen eines neuen Accounts
– bei der Eintragen der Assurance
– beim Erstellen eines neuen Client Zertifikat, eines neuen Server Zertifikats oder eines neuen GPG Zertifikats

In der näheren Zukunft wird die Software beim Login jeden User, der bis dahin nicht der CCA zugestimmt hat, auffordern der CCA zustimmen. Ab diesem Zeitpunkt wird man sich in der Software nur anmelden können, wenn man der CCA zugestimmt hat.

[Italian version]
Il Team di Sviluppo Software di CAcert ha completato il lavoro su un aspetto
cruciale per il lancio dell’Accordo della Comunità CAcert (CCA) [1].
L’accettazione del CCA è registrata ovunque all’interno del software ([2],[3]).

D’ora in poi ogni membro deve accettare la CCA all’interno del software nelle
seguenti occasioni:
* creazione dell’account di un nuovo membro
* accertamento di un altro membro, accertamento da parte di un altro membro
* creazione di un nuovo certificato client, nuovo certificato server o nuovo
certificato gpg

In futuro il software chiederà ad ogni utente, che non lo avesse ancora fatto,
di accettare la CCA all’accesso nel sistema.
Da quel momento in poi sarà possibile accedere nel software solo dopo aver
accettato la CCA.

[Spanish Verison]
El equipo de desarollo de software terminó el trabajo para alcanzar el importante hito del despliegue del CAcert Community Agreement (CCA) , Acuerdo de la Comunidad CAcert. [1] El acuerdo CCA se registra mediante el software. [2], [3]

Por ello, cada miembro necesita confirmar que acepta el CCA mediante el software en las siguientes ocasiones:
* En la creación de una nueva cuenta de miembro
* Cuando se asegura/certifica a otro miembro, cuando se es asegurado/certificado
* Creando un nuevo certificado de cliente, de servidor o GPG

En un futuro, el software preguntará a cada usuario que no lo haya aceptado hasta ese momento, cuando entre en el sistema. Después de dicho momento, solo se le permitirá el acceso después de aceptar el CCA.

[Links]
[1] http://www.cacert.org/policy/CAcertCommunityAgreement.php
[2] http://svn.cacert.org/CAcert/Events/Public/pics/Big-Masterplan-To-Become-Audit-Ready-20130806.jpg
[3] http://wiki.cacert.org/Software/Assessment

WordPress Client Certificate Authentication

Leave a reply

Client Certificate Authentication is possible for the CAcert Blog for some time. Now, the code was put into an own plugin and published to the wordpress plugin directory. You can also install the plugin directly from your wordpress admin interface to use it in your own blog.

Acknowledgements: This plugin is based on the HTTP Authentication plugin by Daniel Westermann-Clark. Ideas taken from Dan B.’s implementation for client certificate authentication.

CAcert signing server service restored

Leave a reply

[29.08.2013 – 18:30] The operation of the CAcert signing server has been restored. It has been down from 28.08.2013 13:30 CEST until 29.08.2013 18:30 CEST.
By replacing a repeatedly failing primary disk drive, we expect that no more service outages will occur soon. All pending signing and revocation requests have been picked up and processed automatically after the restoration of the service this evening,

CAcert signing server temporarily out of service

Leave a reply

[29.08.2013 – 09:00] The CAcert signing server is temporarily out of service. As far as we can tell, the problem started on 28.08.2013 around 13:30 CEST, and is likely to be similar to the problem we saw earlier this week.
Two CAcert critical system administrators will visit the hosting centre this afternoon in order to fix the problem if possible. We hope that the signing service will be back online around 17:30 CEST.
Currently pending signing and revocation requests will automatically be processed after the service is resumed.

Problems with signing certificates

Leave a reply

We observing problems with the signer again. After the problems from Monday we had the signer fixed yesterday afternoon. All pending certificates could be deployed after the fix.
Unfortunately the signer has problems again. We got the first messages about this afternoon. Our admins will try to fix the problem by tomorrow evening (29th August).

secure-u ensures the operation of the CAcert-servers / secure-u sichert den Betrieb der CAcert-Server

Leave a reply

[Dutch and German version below]
The operation of the servers of the independent certificate authority CAcert was controlled in the recent years by the dutch Oophaga Foundation. Since the foundation is about to become liquidated, its work for CAcert was transferred to the german association secure-u. secure-u gets hardware from Oophaga and will ensure the smooth operation of the CAcert server.
The aim of both associations is similar and CAcert has a competent partner with secure-u by its side. The high level of privacy protection, for which CAcert is renowned, is going to be preserved with secure-u: The team which looks after the hardware remains unchanged, caring also in the future for safe operation of the servers. secure-u itself has, like Oophaga in the past, no access to the stored data.
PM-Sicherung_Betrieb_CAcert-en

[Dutch]
De servers van de onafhankelijke Certificate Authority CAcert waren in de afgelopen jaren succesvol ondergebracht in samenwerking met de Nederlandse stichting Oophaga. Gezien de opheffing van de stichting heeft de Duitse vereniging secure-u e.V. recentelijk deze taken op zich genomen. secure-u heeft de hardware overgenomen van Oophaga en stelt zich daarmee garant voor een perfect functioneren van de CAcert servers.
De doelstellingen van beide organisaties tonen een sterke gelijkenis en CAcert heeft blijvend een competente partner in secure-u. Het hoge niveau aan privacybescherming waar CAcert bekend om staat, blijft bewaard met secure-u: Het team dat de hardware beheerd blijft onveranderd, en gaat door met een veilig beheer van de servers. secure-u heeft, zoals Oophaga in het verleden, geen toegang tot de opgeslagen gegevens.
PM-Sicherung_Betrieb_CAcert-nl

[German]
Der Betrieb der Server des unabhängigen Zertifikatsausstellers CAcert wurde in den letzten Jahren erfolgreich von der niederländischen Oophaga Foundation gesteuert. Da der Verein jedoch aufgelöst werden soll, wurde die Arbeit der Oophaga Foundation an den deutschen Verein secure-u übertragen. secure-u übernimmt damit Hardware von Oophaga und stellt den reibungslosen Betrieb der CAcert-Server sicher.
Die Zielsetzung beider Vereine ist sehr ähnlich und CAcert hat mit secure-u einen kompetenten Partner für den reibungslosen Betrieb an seiner Seite. Das hohe Niveau des Datenschutzes, für den CAcert bekannt ist, bleibt mit secure-u weiterhin erhalten: Das Team, das die Hardware betreut, ist unverändert und kümmert sich auch in Zukunft um den sicheren Betrieb der Server. secure-u selbst hat, wie zuvor Oophaga, keinen Zugriff auf die gespeicherten Daten.
PM-Sicherung_Betrieb_CAcert