I understand you’re promoting Bitmessage, but why don’t you list a GPG key anywhere on your site for people who want to contact you via the traditional email address you list?

ID в bitmessage это хэш открытого ключа – PGP не нужно.

С анонимностью, как и в Bitcoin, к сожелению, не очень:

An active attacker who sends many messages to a particular address in a particular way may be able to determine whether or not the address is owned by a user at that particular Internet connection. Sergio has been finding similar vulnerabilities in Bitcoin and at present, no developers support the notion that Bitcoin (or Bitmessage) are truly anonymous without using Tor.

I believe, however, that users are safe from passive attackers like government intelligence agencies who eavesdrop on Internet backbones. The other five goals of the project are still met:

Decentralized
Trustless
Messages well‐encrypted and secure
Messages authenticated
Not require users to exchange and manage keys

тут^[link7]

Для борьбы с распуханием там предлагается хранение базы в виде дерева, ограничение по времени – типа два дня, и принудительные затраты процессорного времени при генерации нового (или регенерации просроченного) сообщения пропорциональные его длине – в существующем варианте порядка 4 минут на типичном процессоре для типичного сообщения.

А как вообще на житьхабе^[link2]с подписыванием софта? Требуется?

If a node is offline for more than two days, the sending node will notice that it never received an acknowledgement and rebroadcasts the message after an additional two days. It will continue to rebroadcast the message, with exponential backoff, forever. In the worst case, if a user is offline for n days, he must go back online and stay connected for n days (or connect once every two days for n days) in order to receive all of his messages.

We propose that nodes store all objects for two days and then delete them.

ID в bitmessage это хэш открытого ключа – PGP не нужно.

Например по телефону голосом продиктовать. Что тут должно смущать?

$ gpg --keyserver subkeys.pgp.net --recv-keys 0xXXXXXXXX

Я бы собрал дистр

зачем изобретать в 10 раз худший велосипед, когда можно попытаться довести до ума torchat или написать его аналог?

Ну для instant messaging эта штука в нынешнем виде точно не годится. Концепция "все получают всё" непригодна для этого. Научить бы эту штуку находить адресата, скажем, за O(log(n)) пересылок... :)

Я бы собрал дистр, куда включено и автоматически настроено Tor, PGP и Jabber

я критически оценил свои возможности, решил, что не потяну.

скрипт для голого Дебиана накатал с установкой, настройкой указанных приложений + какой-нибудь Privoxy или правило для iptables:

Или админом работаете просто?

Хуже. В библиотеке.

Просто надо было спрашивать, где он раньше работал

И получили бы такой ответ.

А может и какой-то такой, кто его знает...

I^[link19]f I send my Address and a link to the software, can our future communications be uncovered?

No. Active attacker can always execute the MITM attack and your recepient won't get the correct Bitmessage address. You need to send the address via authentic channel: by personal meeting if you know the recepient, by phone call if you know the voice, etc. If you have PGP key which is already trusted by the recepient, then you can simply sign your address with it.

The same for software: since PyBitmessage isn't signed by Atheros you need to download the source and audit it by yourself. Then again, pass the source (or commit hash) via some sort of authentic channel.