MoonKid
Anmeldungsdatum: 9. Februar 2012
Beiträge: 1379
|
Hin und wieder sehe ich Mail-Adressen auf Websites, bei denen nur steht "PGP-Key auf Anfrage" und deren Key auch über ein Directory nicht zu finden ist. Gibt es sicherheitstechnisch einen Grund für so ein vorgehen?
Der öffentliche Schlüssel sollte doch gerade auch veröffentlicht werden, oder?
|
redknight
Moderator & Supporter
Anmeldungsdatum: 30. Oktober 2008
Beiträge: 21725
Wohnort: Lorchhausen im schönen Rheingau
|
Ja und nein. Da es leider keine Infrastruktur gibt, mit der Keyserver überprüft ob die Adresse wirklich Dir gehört, für die du gerade einen key hochlädst, möchten sich manche Leute so wohl schützen. Es hält mich ja nicht davon ab, einen key für eine Adresse zu erstellen, die ich nicht kontrolliere und den key zu veröffentlichen. Dann trudeln irgendwo Mails ein, die keiner lesen kann.
|
jug
Ehemalige
Anmeldungsdatum: 19. März 2007
Beiträge: 12335
Wohnort: Berlin
|
redknight schrieb: Ja und nein. Da es leider keine Infrastruktur gibt, mit der Keyserver überprüft ob die Adresse wirklich Dir gehört, für die du gerade einen key hochlädst, möchten sich manche Leute so wohl schützen. Es hält mich ja nicht davon ab, einen key für eine Adresse zu erstellen, die ich nicht kontrolliere und den key zu veröffentlichen. Dann trudeln irgendwo Mails ein, die keiner lesen kann.
Das ist ein Aspekt, den man gerade versucht mit http://keybase.io zu lösen. Ein anderer Aspekt ist, dass die Keyserver alle öffentlich einsehbar sind. Man könnte die also automatisch mit einem Bot auslesen und hätte dann alle privaten Schlüssel. Weil PGP ein „Web-of-Trust“ nutzt, sind in den öffentlichen Schlüsseln (und den Signaturen darauf) viele Informationen über die sozialen Kontakte des Schlüsselbesitzers enthalten. Meiner Meinung nach haben diese Daten wenig verwertbare Informationen, niemand kann einsehen wie intensiv die Schlüssel genutzt werden oder wer tatsächlich mit wem kommuniziert – man war halt mal bei einem öffentlichen Keysigning mit vielen anderen Leuten. 😉 Mir ist auch kein Fall bekannt in dem die E-Mail-Adressen für Spam genutzt wurden. Aber ich kann verstehen, wenn manche Leute davor Respekt haben und den Schlüssel dann lieber nicht veröffentlichen wollen … ~jug
|
MoonKid
(Themenstarter)
Anmeldungsdatum: 9. Februar 2012
Beiträge: 1379
|
jug schrieb: Ein anderer Aspekt ist, dass die Keyserver alle öffentlich einsehbar sind. Man könnte die also automatisch mit einem Bot auslesen und hätte dann alle privaten Schlüssel.
private Schlüssel sollten doch nicht auf einem Key-Server sein, oder?
|
MoonKid
(Themenstarter)
Anmeldungsdatum: 9. Februar 2012
Beiträge: 1379
|
Hier ein gut verständlicher deutsche Blog-Eintrag zum Thema keybase. Interessant.
|
jug
Ehemalige
Anmeldungsdatum: 19. März 2007
Beiträge: 12335
Wohnort: Berlin
|
MoonKid schrieb: private Schlüssel sollten doch nicht auf einem Key-Server sein, oder?
Ja, da hab ich mich verschrieben, kommt vor. 😉 Wobei ich mich jetzt rausreden könnte, dass das natürlich die Schlüssel von Privatpersonen mit privaten Mailadressen sind die diese Schlüssel für ihre privaten Dinge in ihrer Privatsphäre nutzen … Es sind natürlich die öffentlichen Schlüssel, aber sie enthalten private (für manche Nutzer sensible) Daten – da habe ich die Begriffe nicht sauber genug getrennt. ~jug
|
MoonKid
(Themenstarter)
Anmeldungsdatum: 9. Februar 2012
Beiträge: 1379
|
Eigentlich denke ich darüber nach meinen Schüssel auch auf die Vistenkarte zu packen (mit QR-code und so n schickschnack). Wie ist eure Ansicht zum Thema Ablaufdatum? Mir ist soweit schon klar, dass und warum ein Schlüssel ein Ablaufdatum haben sollte.
Aber nun frage ich mich (bezogen auf meine Praxis), wie lange sollte ein Schüssel leben?
Wann erzeuge ich ein neues Paar? Wie und wo tausche ich die aus?
Auf den keyservern verfallen sie ja durch das Ablaufdatum und werden vermutlich gelöscht. Die Mailprogramme meiner Partner, werden bei Nutzung des keys auf das Ablaufdatum hinweisen. Kann man den Austausch automatisieren, ohne das meine Partner explizit den neuen Schlüssel besorgen müssen?
|
redknight
Moderator & Supporter
Anmeldungsdatum: 30. Oktober 2008
Beiträge: 21725
Wohnort: Lorchhausen im schönen Rheingau
|
Austausch heisst genau das, was das Wort impliziert 😉 Du musst den Schlüssel überall wieder hinbringen. Also im Zweifel auch zu deinen Kommunikationspartnern. Da kannst Du ja die Vertrauensstellung erhalten indem DU signiert und/oder vershclüsselt mit dem alten Key auf Ablauf und den neuen Key hinweist. Die Frage nach der Lebensdauer ist schwer, weil sie unter anderem auch auf deinem eigenen Sichehrheitsgefühl basiert. Praxis bei Browsern ist zB derzeit, ssl-keys als unsicher zu betrachten die länger als 3 Jahre gelten. Weiter würde ich also nicht gehen.
|
V_for_Vortex
Anmeldungsdatum: 1. Februar 2007
Beiträge: 12085
Wohnort: Berlin
|
MoonKid schrieb: Hier ein gut verständlicher deutsche Blog-Eintrag zum Thema keybase. Interessant.
Danke für den Link. Bislang kommt mir Keybase allerdings recht überflüssig vor (sie bestätigen etwas, dass ich entweder selbst bestätigen kann oder das genausowenig hilft, wenn der bestätigte Account geknackt wurde – wenn ich das Prinzip richtig verstanden habe) und in Sache der Option des Hochladens privater Schlüssel auch recht gefährlich, weil Unbedarfte die Risiken nicht einschätzen können, die sie durch Herausgabe ihrer privaten Schlüssel eingehen, dies aber durch die Nutzung von Keybase für normal halten. Die Schlüssel heißen nicht umsonst privat. Außerdem mag ich keine zentralisierten Dienste, da diese für die angebotene Funktion unersetzbar werden und als konzentrierte Datenquelle Begehrlichkeiten bei Blackhats wecken. Für mich sehe ich dort also bislang keinen Mehrwert, bin aber dafür, einem neuen Konzept den Luxus des Zweifels zuzugestehen und werde Keybase in regelmäßigen Abständen beobachten.
|
unbuntuS12
Anmeldungsdatum: 2. Juni 2010
Beiträge: 1816
|
MoonKid schrieb: Hin und wieder sehe ich Mail-Adressen auf Websites, bei denen nur steht "PGP-Key auf Anfrage" und deren Key auch über ein Directory nicht zu finden ist. Gibt es sicherheitstechnisch einen Grund für so ein vorgehen?
Meines Erachtens: Nein. Selbst Richard Stallmann, jemand, der sich Websites aus Sicherheitsgründen per E-Mail zuschicken lässt, um sie dann im Textbrowser zu betrachten, hat seinen öffentlichen Schlüssel auf einem Schlüsselserver. Darüberhinaus öffnet es Man-in-the-middle-Attacken Tür und Tor. Selbst, wenn die E-Mail mit dem Schlüssel verschlüsselt zwischen den E-Mailservern übertragen wird, sind diese (Ein- bzw. Augangsserver) immer noch ein Angriffspunkt. Abhilfe wäre nur gegeben, wenn der zugesandte Schlüssel von anderen, öffentlich einsehbaren Schlüsseln signiert wurde. Aber dann muss man den (öffentlichen) Schlüssel auch nicht mehr geheimhalten. Und dann muss man immer noch hoffen, dass man keinem Betrüger aufgesessen ist, wenn man nicht gerade gewissenhaft den kompletten Fingerprint geprüft hat.
|