<div dir="ltr">Somewhat related to this, I got an email reminder from GlobalSign today saying our cert expires soon, mid-November. I've currently been the one that registers/renews the cert. Perhaps part of the discussion around our roots of trust will include a discussion of how to manage this cert?<div><br></div><div>Thanks,</div><div>Jason</div></div><div class="gmail_extra"><br><div class="gmail_quote">On Tue, Sep 15, 2015 at 6:35 PM, Gershom B <span dir="ltr"><<a href="mailto:gershomb@gmail.com" target="_blank">gershomb@gmail.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">At the Haskell Implementor's Workshop at ICFP, Duncan gave a talk on<br>
the work on security and package infrastructure that has been going<br>
on:<br>
<br>
<a href="https://www.youtube.com/watch?v=D9juHHlnayI" rel="noreferrer" target="_blank">https://www.youtube.com/watch?v=D9juHHlnayI</a><br>
<br>
One element of that, which was turned over the committee to figure out<br>
is who our actual roots of trust would be, in the same sense that<br>
there are root certificates for TLS and https authentication, etc.<br>
<br>
at the Haskell Symposium itself, I gave a quick lightning talk on the<br>
work the committee had done in this regard:<br>
<br>
<a href="https://www.youtube.com/watch?v=U8ISiSXV2c0" rel="noreferrer" target="_blank">https://www.youtube.com/watch?v=U8ISiSXV2c0</a><br>
<br>
(If you are interested in verifying your communications with Duncan by<br>
the way, and if you trust the video is undoctored, then his GPG key<br>
fingerprint appears on it, which may be of some use.)<br>
<br>
We did in fact get some keysigning done at the conference, and we also<br>
secured a fair number of keys from the roots of trust we co-ordinated,<br>
though some followup work remains to be done there. We certainly<br>
already have enough in hand to bootstrap the process as the hackage<br>
security work gets fully rolled out.<br>
<br>
One related discussion we started to have was if we might want to do<br>
haskell community funding for "phase two" of the update framework<br>
rollout, as discussed in Duncan's talk -- that phase where we not only<br>
implement server trust and signing, but also author signing.<br>
<br>
Apropos of nothing, but a related thought/question I had was if there<br>
would be interest in making cabal files themselves more potentially<br>
secure in the manner of the LIO / HLIO work [1]. Having a better chain<br>
of trust seems to somewhat obviate the need here, but it does seem<br>
like something worth considering. Similar mechanisms might also be<br>
worth integrating into template haskell IO for that matter. However,<br>
one concern is that the worth of these approaches depends in part on<br>
good SafeHaskell takeup, which has a whole bunch of obstacles in<br>
itself :-)<br>
<br>
Cheers,<br>
Gershom<br>
<br>
[1] <a href="http://www.cse.chalmers.se/~russo/publications_files/hybrid-icfp2015.pdf" rel="noreferrer" target="_blank">http://www.cse.chalmers.se/~russo/publications_files/hybrid-icfp2015.pdf</a><br>
and <a href="https://hackage.haskell.org/package/lio-0.11.5.0" rel="noreferrer" target="_blank">https://hackage.haskell.org/package/lio-0.11.5.0</a> and<br>
<a href="http://www.scs.stanford.edu/~deian/pubs/stefan:2014:building-haskell.pdf" rel="noreferrer" target="_blank">http://www.scs.stanford.edu/~deian/pubs/stefan:2014:building-haskell.pdf</a><br>
_______________________________________________<br>
Haskell-community mailing list<br>
<a href="mailto:Haskell-community@haskell.org">Haskell-community@haskell.org</a><br>
<a href="http://mail.haskell.org/cgi-bin/mailman/listinfo/haskell-community" rel="noreferrer" target="_blank">http://mail.haskell.org/cgi-bin/mailman/listinfo/haskell-community</a><br>
</blockquote></div><br></div>