Keysigning

Worum es geht

Verschlüsselung erfordert in modernen Verfahren meist ein Schlüsselpaar, das eingebettet ist in eine sogenannte Public Key Infrastructure (PKI). Dabei erstellt man einen geheimen Schlüssel (secret key) und erstellt auch einen öffentlichen Schlüssel (public key).

Um eine Nachricht an den Empfänger zu verschlüsseln benötigt man den öffentlichen Schlüssel. Um nun sicher zu stellen das der öffentliche Schlüssel wirklich zum Empfänger gehört, hat es sich als sinnvoll erwiesen Signaturen zu erstellen. Dabei gibt es verschiedene Modelle die Echtheit einer Signatur zu überprüfen

• Web of Trust Man signiert seine Bekannten, Freunde und Geschäftspartner und stellt somit ein Netzwerk des Vertrauens auf. Vorteil: Einfach einzurichten und zumeist auch kostenfrei. Nachteil: Die Nachverfolgbarkeit und Verteilung der Schlüssel ist aufwendiger, gefälschte Signaturen sind schwerer zu entfernen. Ein Beispiel hierfür ist PGP bzw. dessen freie Implementierung Gnu Privacy Guard (GPG).

• Eine Zentrale Zertifizierungsstelle die auch eine Liste der ungültigen Zertifikate unterhält und bei Bedarf auch ausgegebene Schlüssel oder Unterzertifizierungsstellen als ungültig markieren kann. Hier gibt es zum Beispiel CA Cert, Thwate, Versign, Signtrust und viele andere.

PGP/GPG Keysiegnierung

• Gnu Privacy Guard

CACert

• CACert

Siehe auch

• Keysigning Party beim 22C3

Die Folien zum Treffen am 15.12. http://www.tobias-giese.de/salza-vortrag.pdf