Hallo! Rolf Muth wrote:

...

Ein gpg --verify anmeyer@anup.de meint:

mit --verify versucht gpg, die Signatur einer Datei zu prüfen.

ok, danke! da hatte ich ein Verständnisproblem.

Ich glaube, Du willst mit gpg -K anmeyer@anup.de den geheimen Schlüssel anzeigen...

das und gpg -k anmeyer@anup.de funktionieren.

...

Den fingerprint kann ich anzeigen lassen:

gpg --fingerprint anmeyer@anup.de pub 4096R/E22243B7 2012-10-06 Schl.-Fingerabdruck = E85D 8B83 2632 BF94 8B52 BD44 D265 2B2D E222 43B7 uid Andreas Meyer (no comment) sub 4096R/1FF6122B 2012-10-06

Habe ich etwas nicht beachtet,

man gpg oder gpg --help

Ich habe mit gpg -a --output gpg-key.asc --export anmeyer@anup.de den öffentlichen Schlüssel exportiert und mit Squirrelmail eingelesen, das aber meldet einen Fehler beim Verschlüsseln einer email. Es kann auch am Plugin von Squirrelmail hängen. kgpg scheint aber nicht zu funktionieren. Andreas -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

Hallo! Michael Skiba wrote:

Am Samstag, 6. Oktober 2012, 17:42:25 schrieb Rolf Muth:

...

Am Samstag 6 Oktober 12 schrieb Andreas Meyer:

...

gpg: 'anmeyer@anup.de' kann nicht geöffnet werden: Datei oder Verzeichnis nicht gefunden gpg: verify signatures failed: Datei oder Verzeichnis nicht gefunden Was genau willst du denn tun, wenn man Fragen darf?

Ich dachte, ich könnte mit --verify die Echtheit des Schlüssels überprüfen. Es geht mir schlicht darum, gelegentlich GPG zu benutzen und darum habe ich seit langem mal wieder ein Schlüsselpaar erzeugt. Das macht man ja nur einmal im Leben normalerweise. Ich hatte vor Jahren schonmal ein Schlüsselpaar, aber den öffentlichen Schlüssel nie in Umlauf gebracht. Mal auf einen Keyserver hochgeladen, ich weis aber nicht mehr auf welchen ;-) Welchen Schlüsselserver kann man den benutzen in Germany? Aber eigentlich will ich gar keinen benutzen. Oder ist das ein absolut sicherer Weg des Schlüsselaustauschs über große Entfernungen?

...

...

Habe ich etwas nicht beachtet,

man gpg oder gpg --help Rolfs ausführungen ist eigentlich nichts mehr hinzuzufügen: 'gpg --help' ist sehr aufschlussreich und übersichtlich kurz gehalten (man gpg ist dafür deutlich ausführlicher).

Ja, ok.

GPG ist übrigens sehr locker was die Suche von Schlüsseln angeht, statt der Schlüsselkennung oder der E-Mail kannst du auch "gpg -K" verwenden um _alle_ geheimen Schlüssel anzeigen zu lassen. Dieses Schema funktioniert mit den meisten Befehlen (gpg --fingerprint zeigt z.B. die Fingerabdrücke von _allen_ Schlüssel im Bund an).

Wenn dir alle zuviel sind, kannst du die Ausgabe filtern, indem du einen Suchausdruck mitgeben (z.B. Name, E-Mail, Kennung). So würde "gpg -K Andreas" (oder sogar noch kürzer) nur die Geheimen Schlüssel anzeigen, in denen "Andreas" vorkommt.

Ok, dank' Dir! -- Andreas -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

Hallo! Michael Skiba wrote:

Die in meinen Augen interessantesten Parameter hierfür sind: --list-keys // Listet alle Schlüssel --list-secret-keys // Nur die geheimen Schlüssel --list-public-keys // Nur öffentliche Schlüssel --list-sigs // Listet zu den Schlüsseln die dazugehörigen Signaturen auf --fingerprint // Zeigt den Fingerabdruck eines Schlüssels (mit obigen Parametern kombinierbar)

...

Das macht man ja nur einmal im Leben normalerweise. Wenn dem mal nur so wäre ... *gg*

...

Ich hatte vor Jahren schonmal ein Schlüsselpaar, aber den öffentlichen Schlüssel nie in Umlauf gebracht. Mal auf einen Keyserver hochgeladen, ich weis aber nicht mehr auf welchen ;-) Wenn google die Wahrheit sagt dann war das wohl gpg-keyserver.de. Die (großen) Schlüsselserver gleichen sich allerdings untereinander ab, weshalb dein alter öffentlicher Schlüssel mittlerweile z.B. auch auf pgp.mit.edu zu finden ist [0].

aha, danke! :-) pgp-keyserver.de ist mittlerweile wohl kostenpflichtig geworden. Der zweite Aufruf im Browser sagt, Website nicht verfügbar.

...

Welchen Schlüsselserver kann man den benutzen in Germany? Eigentlich jeden, ist nicht durch Ländergrenzen beschränkt *fg* Bei mir ist hkp://keys.gnupg.net als Standard eingestellt. Es gibt aber noch einige weitere (kgpg kommt mit einer ganzen Liste im Einstellungsmenü). Die

Wenn kgpg denn auf der openSUSE 12.2 funktionieren würde. Aber die bash tut's ja auch.

größeren Server gleichen sich in bestimmten (größeren) Zeitabständen miteinander ab, so dass sich dein Schlüssel automatisch verteilt.

Ok, ich habe meinen neuen key mal auf keys.gnupg.net hochgeladen. Den alten hätte ich gerne gelöscht, weis aber nicht wie ich das anstellen soll.

Prinzipiell kann aber jeder Person/Organisation einen eigenen Schlüsselserver aufsetzten, der sich nicht mit den anderen abgleicht.

...

Aber eigentlich will ich gar keinen benutzen. Oder ist das ein absolut sicherer Weg des Schlüsselaustauschs über große Entfernungen? Du musst keinen Schlüsselserver benutzen, du kannst deinen Korrespondenzpartnern auch so deinen öffentlichen Schlüssel zukommen lassen. Die Benutzung eines Schlüsselservers vereinfacht die Sache jedoch (Andere brauchen deinen öffentlichen Schlüssel um dir verschlüsselte E-Mails zu schicken oder deine Signatur prüfen zu können).

Ich bin mir jetzt nicht ganz sicher, worauf du mit der Frage zur Sicherheit der Schlüsselserver hinaus willst. Prinzipiell kann jeder beliebig Schlüssel an einen Schlüsselserver senden, die Angaben können dabei frei erfunden oder auch schon vorhanden sein. Ich könnte ja auf meinem PC einen Schlüssel mit den selben Angaben wie dem deinigen erstellen und hochladen (der Fingerabdruck würde sich allerdings unterscheiden), auch kann ich deinen öffentlichen Schlüssel hochladen (z.B. nachdem du in mir aus einem der oben genannten Gründe geschickt hast). Eine Überprüfung bzw. Authentifizierung findet in diesem Sinne nicht statt.

Sicher(er) wird das System ja dadurch, dass der Austausch über zwei getrennte Kanäle stattfindet. Über einen Kanal wird der öffentliche Schlüssel versendet (Brief, E-Mail, Schlüsselserver, USB-Stick, Webpage, ...) und über den zweiten Kanal wird dann quasi die Echtheit des erhaltenen Schlüssels überprüft, indem du die Merkmale deines Schlüssels durchgibst (Name, E-Mail, Typ, Kennung) und der Empfänger sie mit dem was er erhalten hat vergleicht, das geschieht "am besten" (tm) persönlich oder per Telefon (also so fälschungssicher wie möglich).

ja ok. Der Knackpunkt an der Sache ist ja immer die Echtheit des öffentlichen Schlüssels. Ich dachte immer, eigentlich käme für den Austausch ja nur die persönliche Übergabe in Frage, weil alles andere manipulierbar ist und somit maninthemiddle Angriffe ermöglicht. Der telefonsiche Vergleich des fingerprints und weiterer Merkmale schließt dieses Risiko aber offenbar aus.

Soviel zum allgemeinen Teil. Daneben gibt es bei GPG/PGP auch noch das sog. Web-Of-Trust, bei dem sich Benutzer gegenseitig die Echtheit der Identität überprüfen und dieses Vertrauen in Form einer Signatur an einem öffentlichen Schlüssel festhalten. Diese so unterschriebenen öffentlichen Schlüssel können dann ebenfalls an einen Schlüsselserver hochgeladen werden, damit können dann Andere, welche deinen Schlüssel (aus was für Gründen auch immer) vom Schlüsselserver laden sehen wer deinen Schlüssel geprüft hat und wie sehr er dir vertraut.

Die Idee dahinter ist, dass ich nicht jeden kennen muss, aber vielleicht haben ja ein oder zwei meiner Bekannten deinen Schlüssel überprüft und unterschrieben. Das beweist zwar noch nicht die Echtheit deines Schlüssels, macht sie aber deutlich wahrscheinlicher (zumindest wenn ich meinen zwei Bekannten vertraue eine solche Überprüfung gewissenhaft durchzuführen).

Bevor sich hier jetzt noch mehr Text anhäuft höre ich hier jetzt lieber auf und stehe für weitere Fragen gerne zur Verfügung bevor ich mir hier die FInger wund tippe, mit Sachen die eigentlich keinen Interessieren, weil sie an der eigentlichen Fragestellung vorbei zielen.

[0] http://pgp.mit.edu:11371/pks/lookup?op=vindex&search=0x7E287E3480B9892D

Danke für Deine Ausführungen! Den alten key hätte ich gerne verworfen, weis aber nicht wie. -- Andreas -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

Hallo! Michael! Michael Skiba wrote:

...

Wenn kgpg denn auf der openSUSE 12.2 funktionieren würde. Aber die bash tut's ja auch. Ich nutze noch openSUSE 12.1, was funktioniert denn mit kgpg nicht? Wenn du Kgpg startest müsste in der Tastleiste unten rechts ein kleines goldenes Schloss finden (evtl. auf den Pfeil nach oben ^ klicken). Die Fehlermeldung aus der ersten Mail ist u.U. garnicht wirklich von Belang für das funktionieren von kgpg.

Wenn ich kgpg mit der Maus aus dem Menu von KDE aufrufe, erscheint eine zeitlang ein hüpfendes kleines goldenes Schloss auf dem Bildschirm, dann ist wieder Ende. In der Taskleiste erscheint kein kleines Schloss. kgpg von der Konsole aufgerufen erhalte ich die Fehlermeldung wie schon erwähnt. gpg hingegen funktioniert von der Konsole aus.

[0] http://www.rossde.com/PGP/pgp_keyserv.html#noremove

Danke! Andreas -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

Andreas Meyer, Sonntag, 7. Oktober 2012:

Ok, ich habe meinen neuen key mal auf keys.gnupg.net hochgeladen. Den alten hätte ich gerne gelöscht, weis aber nicht wie ich das anstellen soll.

Wie nebenen schon geschrieben geht das nicht. Aus diesem Grund berechnet man sich gleich zusammen mit einem neuen Schlüssel ein revocation certificate. Damit kann man den Schlüssel unwiderruflich ungültig machen. -- Andre Tann -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org