doc/TODO

   1 Next-Steps Monkeysphere Projects:
   2 ---------------------------------
   3
   4 Detail advantages of monkeysphere: detail the race conditions in ssh,
   5    and how the monkeysphere can help you reduce these threat vectors:
   6    threat model reduction diagrams.
   7
   8 Determine how openssh handles multiple processes writing to
   9    known_hosts/authorized_keys files (lockfile, atomic appends?)
  10
  11 Handle unverified monkeysphere hosts in such a way that they're not
  12    always removed from known_hosts file.  Ask user to lsign the host
  13    key?
  14
  15 Handle multiple hostnames (multiple user IDs?) when generating host
  16    keys with gen-key.
  17
  18 Work out the details (and describe a full use case) for assigning a
  19    REVOKER during monkeysphere-server gen_key -- how is this set?  How
  20    do we export it so it's available when a second-party revocation is
  21    needed?
  22
  23 Actually enable server hostkey publication.
  24
  25 Streamline host key generation, publication, verification.  See
  26    doc/george/host-key-publication for what dkg went through on
  27    2008-06-19
  28
  29 Ensure that authorized_user_ids are under as tight control as ssh
  30    expects from authorized_keys: we don't want monkeysphere to be a
  31    weak link in the filesystem.
  32
  33 What happens when a user account has no corresponding
  34    /etc/monkeysphere/authorized_user_ids/$USER file?  What gets placed
  35    in /var/cache/monkeysphere/authorized_keys/$USER?  It looks
  36    currently untouched, which could mean bad things for such a user.
  37    - if authorized_user_ids is empty, then the user's authorized_keys
  38      file will be also, unless the user-controlled authorized_keys file
  39      is added.  I believe this is expected, correct behavior.
  40
  41 Consider the default permissions for
  42    /var/cache/monkeysphere/authorized_keys/* (and indeed the whole
  43    directory path leading up to that)
  44
  45 As an administrator, how do i reverse the effect of a
  46    "monkeysphere-server trust-keys" that i later decide i should not
  47    have run?
  48
  49 Make sure alternate ports are handled for known_hosts.
  50
  51 Script to import private key into ssh agent.
  52
  53 Provide a friendly interactive UI for marginal or failing client-side
  54    hostkey verifications.  Handle the common cases smoothly, and
  55    provide good debugging info for the unusual cases.
  56
  57 Make sure onak properly escapes user IDs with colons in them.
  58
  59 Build a decent, presentable web site for documentation, evangelism,
  60    etc.  Include a mention of how to report trouble or concerns.
  61
  62 Create ssh2openpgp or convert to full-fledged keytrans.
  63
  64 Resolve the bugs listed in openpgp2ssh(1):BUGS.
  65
  66 Understand and document alternate trustdb models.
  67
  68 Understand and document the output of gpg --check-trustdb:
  69  gpg: 3 marginal(s) needed, 1 complete(s) needed, PGP trust model
  70  gpg: depth: 0  valid:   2  signed:  20  trust: 0-, 0q, 0n, 0m, 0f, 2u
  71  gpg: depth: 1  valid:  20  signed:  67  trust: 15-, 0q, 1n, 3m, 1f, 0u
  72  gpg: next trustdb check due at 2008-10-09
  73
  74 Understand and document the numeric values between sig! and the keyid
  75    in "gpg --check-sigs $KEYID" .  Compare with the details found from
  76    "gpg --with-colons --check-sigs $KEYID".  This has to do with trust
  77    signatures.
  78
  79 Fix gpg's documentation to clarify the difference between validity and
  80    ownertrust.  Include better documentation for trust signatures.
  81
  82 Make it easier to do domain-relative ssh host trust signatures with
  83    gnupg. (e.g. "i trust Jamie McClelland (keyID 76CC057D) to properly
  84    identify ssh servers in the mayfirst.org domain") See:
  85    http://tools.ietf.org/html/rfc4880#section-5.2.3.21 and grep for
  86    "tsign" in gpg(1).
  87
  88 Fix the order of questions when user does a tsign in gpg or gpg2.
  89
  90 File bug against ssh-keygen about how "-R" option removes comments
  91    from known_hosts file.
  92
  93 File bug against ssh-keygen to see if we can get it to write to hash a
  94    known_hosts file to/from stdout/stdin.
  95
  96 Add environment variables sections to man pages.
  97
  98 Environment variable scoping.
  99
 100 Move environment variable precedence before conf file.
 101
 102 When using ssh-proxycommand, if only host keys found are expired or
 103    revoked, then output loud warning with prompt, or fail hard.
 104
 105 Update monkeysphere-ssh-proxycommand man page with new keyserver
 106    checking policy info.
 107
 108 Update monkeysphere-ssh-proxycommand man page with info about
 109    no-connect option.
 110
 111 File bug against seahorse about how, when creating new primary keys,
 112    it presents option for "RSA (sign only)" but then creates an "esca"
 113    key.
 114
 115 File bug against enigmail about lack of ability to create subkeys.
 116
 117 Privilege separation: monkeysphere user to handle authn keyring and
 118    generate authorized_keys file (which would be moved into place by
 119    root).  Host keyring would be owned by root.
 120
 121 Check permissions of authorized_user_ids file to be writable only by
 122    user and root (same as authorized_keys)
 123
 124 Improve function that sets owner trust for keys in server keychain.
 125
 126 Test and document what happens when any filesystem that the
 127    monkeysphere-server relies on and modifies (/tmp, /etc, and /var?)
 128    fills up.
 129
 130 Consider moving monkeysphere-managed files (gpg homedirs? temporary
 131    files?) into /var.
 132
 133 Optimize keyserver access, particularly on monkeysphere-server
 134    update-users -- is there a way to query the keyserver all in a
 135    chunk?