<!DOCTYPE html>
<html>
  <head>
    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
  </head>
  <body>
    <p>Hi Andrew,</p>
    <p>1. Yes.</p>
    <p>2. Yes.<br>
    </p>
    <p>3. I cannot speak for GnuPG, but Werner already answered this.</p>
    <p>4. Yes.</p>
    <p>5. Yes, however this brought the following discussion, which, as
      for me, dramatically overcomplicate things:
<a class="moz-txt-link-freetext" href="https://mailarchive.ietf.org/arch/msg/openpgp/lqvsd0aw-OiMnpyZSqU_fIqWSCE/">https://mailarchive.ietf.org/arch/msg/openpgp/lqvsd0aw-OiMnpyZSqU_fIqWSCE/</a></p>
    <p><br>
    </p>
    <div class="moz-cite-prefix">On 07.01.2024 20:28, Andrew Gallagher
      wrote:<br>
    </div>
    <blockquote type="cite"
      cite="mid:4F209A2F-4D82-42A9-B858-CB97FB994D2C@andrewg.com"><span
      style="white-space: pre-wrap">
</span>
      <pre class="moz-quote-pre" wrap="">So at this point my understanding is:

1. It is desirable to protect the literal metadata
2. v5 sigs differ from other versions because they include the metadata (for 0x0 and 0x1 sig types only)
3. Gnupg/librepgp would like to implement v6 sigs but will not do so without metadata protection
4. A method exists (subpacket 40) to add metadata protection to v4 sigs
5. A similar method could be used to add metadata protection to v6 sigs

Please correct me if any of the above are inaccurate? 

A
</pre>
    </blockquote>
    <pre class="moz-signature" cols="72">-- 
  Best regards,
  Nickolay Olshevsky
  <a class="moz-txt-link-abbreviated" href="mailto:o.nickolay@gmail.com">o.nickolay@gmail.com</a></pre>
  </body>
</html>