<div dir="ltr"><div><a href="http://convergence.io/">http://convergence.io/</a> is a useful system. It provides protection against MITM attacks by using network perspective: you ask notary servers located elsewhere on the Internet to verify the certificate of a site you visit. If the notary servers see the same certificate you do then you know the local network is not being attacked; the MITM would have to be on PyPI's side of the network.<br>
<br><a href="http://tack.io/">http://tack.io/</a> is another interesting system that allows a site to assert ownership of its own SSL certificate apart from the CA system. These systems are useful in a world where browsers trust hundreds of CAs to vouch for the identity of any site.<br>
<br></div><div>Tack reminds me of the ssh security model in practice: in ssh, I usually trust keys the first time I see them, and SSH warns me when a host's key changes. This kind of security is very useful in practice; I would be more likely to accept a new SSH key when on my own network than at pycon and I might already have all the keys I need by the time I got there.<br>
</div><div><div class="gmail_extra"><br><div class="gmail_quote">On Mon, Feb 4, 2013 at 8:35 AM, Donald Stufft <span dir="ltr"><<a href="mailto:donald.stufft@gmail.com" target="_blank">donald.stufft@gmail.com</a>></span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">
                <div><span style="color:rgb(160,160,168)">On Monday, February 4, 2013 at 8:31 AM, Giovanni Bajo wrote:</span></div><blockquote type="cite" style="border-left-style:solid;border-width:1px;margin-left:0px;padding-left:10px">

                    <span><div>Not that I'm against it doing it on the server side for now, anyway. It'll still be useful to users manually browsing to PyPI.</div></span></blockquote><div>This is where it's important. If you're capable of MITM'ing pip you're capable of MITM'ing a web browser. It would not be a fun day if a password (or session cookie) got stolen via a MITM because someone signed on in a coffee shop (or at Pycon etc). </div>
<div><br>
                </div>
            <br>_______________________________________________<br>
Catalog-SIG mailing list<br>
<a href="mailto:Catalog-SIG@python.org">Catalog-SIG@python.org</a><br>
<a href="http://mail.python.org/mailman/listinfo/catalog-sig" target="_blank">http://mail.python.org/mailman/listinfo/catalog-sig</a><br>
<br></blockquote></div><br></div></div></div>