Web of Trust, Signieren von Schlüsseln

    Thunderbird-Version: 24
    Betriebssystem + Version: OpenSUSE 12.2
    Kontenart (POP / IMAP): POP
    Postfachanbieter (z.B. GMX): ein kleiner.
    S/MIME oder PGP: Diesmal PGP.

    Grüezi, ich schon wieder. Beim Web of Trust und beim Signieren von Schlüsseln ist mir einiges noch nicht klar. Einige Fragen (von welchen ich einige schon beantworten konnte):

    • Sind GnuPG-Schlüssel immer selbstsigniert? Wird das bei der Erzeugung automatisch gemacht?
    • Ich habe irgendwo gelesen, man solle, wenn man jemandes Schlüssel signiert hat, diesen nicht selbst auf einen Schlüsselserver hochladen, sondern dem Besitzer zusenden. Ist das tatsächlich allgemein üblich? (Antwort: „Meist bevorzugt.“; Antwort: „Good etiquette.“) Warum nicht selbst hochladen?
    • Es wird immer das aus Haupt- und Unterschlüsseln und Identitäten bestehende Ganze signiert, oder? Eine Antwort habe ich schon gefunden: „Wenn der Schlüssel mehrere Benutzer-IDs (bzw. E-Mail-Adressen) besitzt, kann man durch wiederholtes Angeben der jeweiligen einstelligen Nummer verschiedene IDs anwählen, die man signieren will. Tut man dies nicht, so werden nach einer Sicherheitsabfrage einfach alle IDs dieses Schlüssels signiert.“ (Ubuntu)
    • Wenn ein Schlüssel signiert wird, wird er größer, oder? Ist das ein Nachteil? Kann man zu viele Signaturen an seinem Schlüssel haben? Gibt es Schlüssel mit, sagen wir mal, 100 Signaturen?
    • Wenn ich einen Ebrief signiere, enthält der Empfänger meinen öffentlichen Schlüssel samt aller Signaturen, oder? Wozu gibt es dann in der Schlüsselverwaltung von Enigmail die Funktion „Öffentliche Schlüssel per Email senden“?
    • Wenn Müller und Meier die gleiche Version meines Schlüssels signieren, wie erhalte ich eine Version meines Schlüssels, die beide Signaturen enthält? Oder habe ich einen Denkfehler begangen?
    • Funktioniert das Web of Trust in Deutschland gut? Haben viele Leute Schlüssel, die durch starke Signaturen bestätigt sind?

    Auf folgende Seiten zum „Web of Trust“ und zum Signieren von Schlüsseln bin ich gestoßen:
    http://wiki.kairaven.de/open/krypto/gpg/p/gpg3
    http://www.rubin.ch/pgp/weboftrust.de.html
    http://www.openpgp.org/technical/whybetter.shtml (Phil Zimmermann)
    http://www.heureka.clara.net/sunrise/pgpweb.htm
    http://wiki.ubuntuusers.de/GnuPG/Web_of_Trust
    http://www.gnupg.org/gph/en/manual.html
    http://www.gnupg.org/gph/de/manual/x696.html
    http://de.wikibooks.org/wiki/GnuPG:_Netz_des_Vertrauens
    http://alfie.ist.org/projects/gpg-party/gpg-party.de.html

    Ludwig

    Hallo Ludwig,

    schon bei deinem letzten Threead bekam man nicht wirklich Lust, zu antworten - u.a. weil "Selbstgespräche" nicht mehr bei den unbeantworteten Beiträgen auftauchen. Aber den Hinweis hast du ja schon bekommen.

    Zitat

    Einige Fragen (von welchen ich einige schon beantworten konnte):

    ..ermuntert gleichfalls nicht dazu.
    Daher nur kurz und pauschal ein paar Aussagen aus meiner Erfahrung, die nicht unbedingt allgemeingültig sein müssen.
    OpenPGP-Schlüssel sollten immer selbstsigniert sein.
    Fremde Schlüssel hochzuladen ist zwar möglich (nicht umsonst wimmelt es auf den Schlüsselservern von gefälschten Schlüsseln), aber man sollte das den "Besitzer" machen lassen.
    Da auf dem Schlüsselserver auch nur so etwas wie ein öffentlicher Schlüsselring liegt, wird (hoffentlich) jede hochgeladene Version von Signaturen zu den vorhandenen hinzugefügt - keine Ahnung, ich hab es noch nicht getestet.
    Natürlich gibt es Schlüssel mit ..zig, vielleicht auch hunderten Signaturen.
    Das Web of Trust ist eine gute Idee ;)
    Eine signierte Mail enthält nicht den öffentlichen Schlüssel (bei S/MIME ist das wohl anders).
    Gruß, muzel

    Danke! Tut mir leid, daß ich so selbstgesprächig war.

    * Noch nicht klar ist mir: Wenn Müller und Meier mir beide meinen Schlüssel mit ihrer Signatur schicke, wie bekomme ich eine Version des Schlüssels, welche beide Signaturen enthält?

    Daß eine PGP-signierte Mail, anders als bei S/MIME, nicht den öffentlichen Schlüssel enthält, war mir ganz neu!

    Die gute Idee des Web of Trust wird wohl eher wenig umgesetzt, oder? Aber man kann das ja nach Bedarf umsetzen und auch ohne Schlüsselsignaturen verschlüsseln. Das ist ein Vorteil gegenüber S/MIME, was deshalb so wenig zum Einsatz kommt, weil die Zertifikate so teuer und kurzlebig sind, bzw. die kostenlosen den Import eines Ausstellerzertifikates erfordern und trotzdem kurzlebig sind. Wie schade, daß sich keine Verschlüsselungstechnik durchgesetzt hat, die zwar in der Authentifizierung unsicherer ist, aber dafür so einfach ist, daß sie wirklich weite Verbreitung findet! Für die meisten Leute müßte Verschlüsselung noch viel einfacher sein!
    Ludwig

    Hallo Ludwig,

    Zitat von "Ludwig7"

    Funktioniert das Web of Trust in Deutschland gut? Haben viele Leute Schlüssel, die durch starke Signaturen bestätigt sind?

    Die wenigen Personen, die mit mir verschlüsselt kommunizieren wollen, kennen mich persönlich und haben die Schlüssel und meine Identität daher verifizieren können. So wird es wohl vielen (der wenigen) gpg-Nutzer gehen. Ich habe noch nie ungefragt eine verschlüsselte E-Mail von jemanden bekommen, der zuvor auf einem Key-Server nach meinem öffentlichen Schlüssel geschaut hätte.

    Ich halte WoT ebenfalls durchaus für eine gute Idee, die m.E. aber nur dann wirklich Nutzen bringt, wenn hinreichend viele Anwender von der Verschlüsselung Gebrauch machen. Davon sind wir aber trotz Snowden weit entfernt.

    Zitat von "Ludwig7"

    Für die meisten Leute müßte Verschlüsselung noch viel einfacher sein!

    Ja und Nein. Meiner Meinung nach ist das Verschlüsseln an sich denkbar einfach zu handhaben. Hier hat mal jemand (ich glaube, es war muzel) einen Link auf eine Anleitung gepostet, mit der man in weniger als einer halben Stunde gpg installiert, den TB eingerichtet und getestet hat. Das kann wirklich fast jeder. Man muss dazu zunächst auch nur das Grundprinzip der asynchronen Verschlüsselung verstanden haben.

    WoT und das Signieren sind dann sicher schon etwas komplizierter, vor allem aber oft kompliziert beschrieben. Der erste von Dir verlinkte Artikel ist ein gutes Beispiel. Er wendet sich an erfahrene gpg-Anwender. Ein Anfänger wird da sicherlich abgeschreckt.
    Dabei braucht man sich im privaten Umfeld zunächst gar nicht damit auseinandersetzen. Viele werden, wie ich, ihre E-Mail-Partner kennen und können Echtheit und Identität z.B. am Telefon bestätigen.

    Ich würde daher jedem Neuling empfehlen, seine Schlüssel zunächst noch nicht auf einen Key-Server zu laden und das Thema WoT erst einmal komplett außen vor zu lassen.

    Zu Deiner verbliebene Frage:

    Zitat von "Ludwig7"

    Wenn Müller und Meier mir beide meinen Schlüssel mit ihrer Signatur schicke, wie bekomme ich eine Version des Schlüssels, welche beide Signaturen enthält?

    Ich hatte selbst, wie geschrieben, noch keine Notwendigkeit es auszuprobieren. Über

    Code
    gpg --import-options merge-only

    kannst Du Signaturen zu einem Schlüssel hinzufügen, ohne dabei einen neuen Schlüssel zu importieren. Das machst Du für Müller und für Meier und kannst anschließend den Schlüssel hochladen.


    Gruß

    Susanne

    Hallo,

    Zitat von "SusiTux"

    Meiner Meinung nach ist das Verschlüsseln an sich denkbar einfach zu handhaben. Hier hat mal jemand (ich glaube, es war muzel) einen Link auf eine Anleitung gepostet, mit der man in weniger als einer halben Stunde gpg installiert, den TB eingerichtet und getestet hat. Das kann wirklich fast jeder. Man muss dazu zunächst auch nur das Grundprinzip der asynchronen Verschlüsselung verstanden haben.


    diese Information haben wir extra angepinnt: E-Mails verschlüsseln in 30 Minuten

    Zitat von "graba"

    ... diese Information haben wir extra angepinnt:

    Auf dass die Anleitung zahlreiche Anwender findet, die sie einmal ausprobieren!

    Die Anleitung auf german-privacy-fund.de sieht gut aus, hoffentlich werden viele sie in Anspruch nehmen. Ich habe mal eine Anleitung für S/MIME geschrieben, ohne Bilder, aber strikt Schritt-für-Schritt. Aber die meisten sind einfach nicht bereit, sich das bißchen Mühe zu machen. Viele verwenden ja sogar Webmail, da können sie gleich die NSA ins CC nehmen. Am ehesten konnte ich Leute zum Verschlüsseln überreden, indem ich ihnen selbst ein S/MIME-Zertifikat erstellt habe. Und zwar mit 20 Jahren Gültigkeit, denn jedes Jahr ein Zertifikat zu erneuern, das bekommt kaum jemand hin. Eine wirksame Maßnahme zur Förderung der Verschlüsselung könnte sein, wenn CAcert oder eine andere Seite kostenlose S/MIME-Zertifikate anböte, die sehr lange oder unbegrenzt gültig sind. Natürlich wäre die Sicherheit der Identifizierung viel geringer, aber das finde ich viel weniger schlimm als daß die allermeisten gar nicht verschlüsseln.
    Ludwig

    hallo Ludwig Daniel,

    nette Anleitung, nur die Verwendung von "Epost-Programm" irritiert. Ich behaupte mal, dass das nicht jeder versteht bzw. zweifelsfrei zuordnen kann. Einerseits ist oder war epost(.de) ein Anbieter (genauer eine Marke der Post), andererseits ist "E-Mail" seit vielen Jahren ein durchaus auch im deutschen Spachraum etablierter Begriff für elektronische Post, demzufolge auch "E-Mail-Programm".

    Ansonsten nur eine Kleinigkeit: ich finde kein Datum der Erstellung bzw. des letzten Updates auf der Seite. Sehr viele Leute ziehen aber solch eine Angabe heran, um für sich selber bewerten zu können, wie aktuell - oder eben überholt - Informationen sind. Und unter Umständen wäre erwähnenwert, mit welcher version von Thunderbird oder Outlook usw. du das getestet hast, denn da gibt es bekanntlich ab und zu Änderungen, welche die erforderliche Herangehensweise auch mal stark ändern können.

    MfG
    Drachen

  • Community-Bot 3. September 2024 um 20:10

    Hat das Thema geschlossen.