<div dir="ltr">"<span style="font-family:arial,sans-serif;font-size:13px">This is the power of open source: with many eyes on the system, the weaknesses will be brought to light quite rapidly."</span><div><span style="font-family:arial,sans-serif;font-size:13px"><br>
</span></div><div><span style="font-family:arial,sans-serif;font-size:13px">In theory that statement is great. Theoretically the more eyes on the code will find bugs faster. In practice I don't think so. I have heard of some pretty old bugs in popular open source libraries. Finding security bugs in software is a lot of work. </span></div>
<div><span style="font-family:arial,sans-serif;font-size:13px"><br></span></div><div><span style="font-family:arial,sans-serif;font-size:13px">I bet if a company was developing a commercial application where security counted that relied on open source libraries they would never rest on the assumption that the "many eyes looked at the code" so it must be secure. They pay someone to review the code every time. </span></div>
</div><div class="gmail_extra"><br><br><div class="gmail_quote">On Wed, Aug 28, 2013 at 3:31 PM, Mike Harrison <span dir="ltr"><<a href="mailto:cluon@geeklabs.com" target="_blank">cluon@geeklabs.com</a>></span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div class="im">On Wed, 28 Aug 2013, wes wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
A smarter plan is to remove the need for secrets. Use strong encryption and authentication, which are essentially<br>
provided for you already in the shape of libraries. Leave the workings in the open. All that remains is for your users'<br>
keys to be compromised, and the attacker can then gain access to that user's data only. This is the power of open<br>
source: with many eyes on the system, the weaknesses will be brought to light quite rapidly.<br>
</blockquote>
<br></div>
Regarding the keys. I'm temped to add AGP to my Android phone so I can decrypt email from the 5 or so people I can use GPG'd email with from<br>
my phone. But my quandry is putting my private keys on the phone, which I really don't trust to keep them private on, or creating a different keyset for my phone, but then I'd have multiple keys for other people to decide which I might be using to read their email, or encrypt with both.. or.. or..<br>

<br>
So I'm just using one machine right now for GPG.. and I'm not so sure I<br>
trust it much, but I trust it more than I trust my phone.<div class="HOEnZb"><div class="h5"><br>
<br>
<br>
<br>
______________________________<u></u>_________________<br>
Chugalug mailing list<br>
<a href="mailto:Chugalug@chugalug.org" target="_blank">Chugalug@chugalug.org</a><br>
<a href="http://chugalug.org/cgi-bin/mailman/listinfo/chugalug" target="_blank">http://chugalug.org/cgi-bin/<u></u>mailman/listinfo/chugalug</a><br>
</div></div></blockquote></div><br><br clear="all"><div><br></div>-- <br><div dir="ltr">Chris Rimondi | <a href="http://twitter.com/crimondi" target="_blank">http://twitter.com/crimondi</a> | <a href="http://securitygrit.com" target="_blank">securitygrit.com</a></div>

</div>