<meta http-equiv="Content-Type" content="text/html; charset=utf-8"><div class="mail" style="font-family: 'Calibri', 'DejaVu Sans';"><p>
Lenz Weber <mail@&#x2026;> writes:<br  />
</p>

<p>
>  As an alternative suggestion to my patch from yesterday.  This one does not trust the keys in the users ~/.password-store/.gpg-id, but it relies on the gpg key owner trust.  This has an upside and a downside:<br  />
> - on the upside, gpg ownertrust is configured outside of the<br  />
> ~/.password-store git's reach, further sepearating signature and "who is allowed to sign".<br  />
> - on the downside, key ownertrust just means "how much do you trust<br  />
> someone that he really verifies keys", not "how much do you trust someones code". So the required ownertrust should be limited to ULTIMATE, which should not be used for any keys but one's own. Then it should be okay.  This could, however lead to users trusting others ultimately out of lazyness or misconception, so I'm not sure if this is the way to go :/<br  />
><br  />
</p>

<p>
Hi all,<br  />
</p>

<p>
I find that subcommands capability is a must – have. Sync them with git is very usefull (then subcommands in a pass subfolder). I am waiting for the patch integration as soon as possible …  I understand that a subcommand should be available only if it has been signed by the user.<br  />
</p>

<p>
My guess is that the user should be lead to review and sign the subcommand when it tries to use it (and he has not already signed it).  BTW, a general <i>sign</i> function would also be usefull in a multi – user environment to prevent malicious modification of a password or metadata …<br  />
</p>

<p>
Subcommand prompt could be something like :<br  />
</p>
<pre style="color: #E6E1DC; background-color: #232323; padding: 0.5em;" class="example">
$ pass totp Web/google/account@google.com
> You have not signed totp subcommand. Please review
$PREFIX/$SUBCOMMAND_FOLDER/totp file.
> Already signed by Xxxx Yyyyy, key KKKKKKK trusted ....  Already signed by Zzzzzz Aaaa, key LLLLLLL trusted ....  Do you want to sign totp subcommand ? [yN]: y
[gpg sign result append to totp.sig and commited]
> You have signed topt. Running pass totp Web/…
[totp subcommand]
> 865452
</pre>

<p>
Although like I said, I think that a full <i>sign</i> command for any password-store entry shall exist, added as an option to <i>pass insert, generate</i>, and status append to <i>pass show</i> output.<br  />
</p>

<p>
Thank you for the work,<br  />
</p>

<p>
&#x2013;<br  />
<code>~^v^~</code> Baptiste<br  />
</p>
</div>