<div dir="ltr"><br><div class="gmail_extra">On Mon, Oct 14, 2013 at 5:04 AM, guns <span dir="ltr"><<a href="mailto:self@sungpae.com" target="_blank">self@sungpae.com</a>></span> wrote:<br><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">

<div class="im">On Sun 13 Oct 2013 at 04:58:25PM +0200, Johan Venant wrote:<br>
<br>
</div>Passing a secret via argv or the environment is unadvisable because it<br>
can easily be acquired by other users on the system through ps(1) and<br>
other means.<br>
<br>
In contrast, while gpg-agent is a feature that trades security for<br>
convenience, its socket is at least scoped to the current user only.<br>
<br>
In addition, GnuPG's pinentry programs aim to be as secure as possibleš,<br>
so I don't mind giving my password to gpg/gpg-agent via its dialogs. I<br>
don't necessarily _distrust_ your plugin's password dialog, but being<br>
cavalier about typing one's password is a good way to get compromised.<br></blockquote><div> </div><div>Using a tiers program is always a risk.</div><div>As you said, even using gpg-agent is a risk. It could give an easy access to your encrypted data</div>

<div>to any king of programs. Security vs convenience, it's always a choice to do.</div><div>But I clearly understand your point.</div><div><br></div><div><br></div><div><br></div><div><br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">

<div class="im"><span style="color:rgb(34,34,34)">I may be missing something, but if your plugin knows GPG_AGENT_INFO and</span><br></div>
can exec `gpg2`, then GnuPG's pinentry->gpg-agent mechanism should just<br>
work as expected. Ensuring that Firefox inherits GPG_AGENT_INFO is the<br>
responsibility of the user/OS, not the client.<br></blockquote><div> </div><div>Accessing  GPG_AGENT_INFO isn't a problem. The problem comes from the inability </div><div>for gpg-agent to open the pinentry dialog box from inside firefox.<br>

</div><div>That's what I understand from the error message : "<span style="font-family:arial,sans-serif;font-size:13px">Error opening terminal: unknown."</span></div><div><span style="font-family:arial,sans-serif;font-size:13px">1- gpg Try to get the data.</span></div>

<div><span style="font-family:arial,sans-serif;font-size:13px">2- ask the passphrase to gpg-agent</span></div><div><span style="font-family:arial,sans-serif;font-size:13px">3- gpg-agent don't have it and try to open a gtk/qt dialog box to ask it to the user.</span></div>

<div><font face="arial, sans-serif">4- for some reason (X environment, firefox restrictions, permissions,...) gpg-agent </font></div><div><font face="arial, sans-serif">can't open the dialog box</font></div><div><font face="arial, sans-serif">5- it fallback to the ncurse (terminal) version who doesn't work much more.</font></div>

<div><font face="arial, sans-serif">Any way, as you said, it's not a pass manager issue. It was just to say.</font></div><div><font face="arial, sans-serif"><br></font></div><div><font face="arial, sans-serif">I will first try to release a version without passphrase management.</font></div>

<div><font face="arial, sans-serif">In a second step, if the addon is useful (and used by other people than just me ^_^),</font></div><div><font face="arial, sans-serif">I will try to deal with the gpg-agent dialog box and the passphrase </font></div>

</div></div></div>