<br><br>On Tuesday, 15 September 2015, John Young <<a href="mailto:jya@pipeline.com">jya@pipeline.com</a>> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Correct analysis. First was get out a prompt notice to wave off users,<br>
then proceed with other authentications. Toughest problem is how to<br>
avoid another compromise of new keys since so many ways to do<br>
that have arisen and/or suspected over the life of PGP and other<br>
systems. WoT is problematic too, as are key signing parties, and<br>
so on. Other systems claim to be better, and we are using some of<br>
them, waiting and watching and suspecting are the lessons learned<br>
from stalwart testbed PGP in all its guises and disguises.<br>
<br>
We likely would not have discovered the compromises if not for<br>
those lessons.<br>
<br>
Nor do we mind starting from scratch, perhaps a bit more often<br>
than 11 years. Tornados do happen out side alleys of easy<br><br></blockquote><div><br></div><div>Are you able to share details of how the compromise was done and detected?<span></span> </div>