Re: Frage zu KGpg bzw. GnuPG (verschlüsselte E-Mails)
Andreas Pakulat wrote:
> On 19.10.07 23:27:52, Thomas Wegner wrote:
>> Am Freitag, den 19.10.2007, 22:27 +0200 schrieb Roland Schmid:
>> > Auf welche key-server muss man den public-key exportieren, was bedeutet
>> > es, das eigene Schlüsselpaar signieren zu lassen.
>> Du kannst auch direkt Deinen Public Key mit einem Empfänger per email
>> oder Diskette austauschen. Ein Keyserver ist halt nur eine andere
>> Möglichkeit des Austauschs.
>> Signieren bedeutet, dass ein Dritter bezeugt, dass der Schlüssel wirklich Dir gehört und Du der bist, als der Du Dich ausgibst. Normalerweise ist das nur vertrauenswürdig, wenn Du das durch eine anerkannte Institution ausführen lässt, die selbst wieder vertrauenswürdig ist.
>
> Nicht wirklich, das Signieren der Public Keys dient dazu ein
> Web-of-Trust aufzubauen. Dazu bedarf es nicht unbedingt einer
> anerkannten Institution. Mal als Beispiel, Hinz hat einen oeffentlichen
> Schluessel der von Kunz signiert wurde. Kunz oeffentlicher Schluessel
> wiederum wurde von Gustav signiert. Damit weiss Gustav also das Kunz
> oeffentlicher Schluessel auch wirklich Kunz gehoert. Wenn Gustav nun den
> oeffentlichen Schluessel von Hinz sieht, erkennt er dass Kunz diesem
> Schluessel schon vertraut (da er ihn signiert hat), demzufolge kann
> Gustav dem oeffentlichen Schluessel auch ein gewisses Vertrauen
> entgegenbringen. Das heisst nicht das er ihn signiert, aber wenn er eine
> von Hinz signierte Mail bekommt kann er relative sicher sein dass diese
> auch von Hinz ist. Er vertraut darauf das Kunz ueberprueft hat das Hinz'
> oeffentlicher Schluessel auch wirklich Hinz gehoert.
>
> Hoffe das Beispiel ist nicht zu verwirrend :)
>
> Ueberpruefen der Identitaet sollte man sinnvollerweise mit einem echten
> Ausweisdokument (z.B. Pass, Personalausweis usw.)
>
>> Diese Institutionen betreiben dann auch einen entsprechend hohen Aufwand
>> mit der Identitätsprüfung. Z. B. Trustcenter oder die c't.
>
> c't, bzw. Heise bieten vor allem eine Moeglichkeit dem eigenen
> Schluessel schnell ein hohes Mass an Vertrauenswuerdigkeit zu geben.
> Weil sie einen entsprechenden Kontrollaufwand betreiben und demzufolge
> die Menschen die einen von heise signierten oeffentlichen Schluessel
> sehen annehmen dass dieser auch demjeniegen gehoert der im Schluessel
> benannt ist.
Schön erklärt :-)
Aber die Basis bei diesem Verfahren ist das Vertrauen.
Wobei man bei c't bzw. Heise wirklich nur nach Verifizierung der
Identität aufgenommen wird.
Reinhold
Reply to: