Hallo!
Michael Skiba
Die in meinen Augen interessantesten Parameter hierfür sind: --list-keys // Listet alle Schlüssel --list-secret-keys // Nur die geheimen Schlüssel --list-public-keys // Nur öffentliche Schlüssel --list-sigs // Listet zu den Schlüsseln die dazugehörigen Signaturen auf --fingerprint // Zeigt den Fingerabdruck eines Schlüssels (mit obigen Parametern kombinierbar)
Das macht man ja nur einmal im Leben normalerweise. Wenn dem mal nur so wäre ... *gg*
Ich hatte vor Jahren schonmal ein Schlüsselpaar, aber den öffentlichen Schlüssel nie in Umlauf gebracht. Mal auf einen Keyserver hochgeladen, ich weis aber nicht mehr auf welchen ;-) Wenn google die Wahrheit sagt dann war das wohl gpg-keyserver.de. Die (großen) Schlüsselserver gleichen sich allerdings untereinander ab, weshalb dein alter öffentlicher Schlüssel mittlerweile z.B. auch auf pgp.mit.edu zu finden ist [0].
aha, danke! :-) pgp-keyserver.de ist mittlerweile wohl kostenpflichtig geworden. Der zweite Aufruf im Browser sagt, Website nicht verfügbar.
Welchen Schlüsselserver kann man den benutzen in Germany? Eigentlich jeden, ist nicht durch Ländergrenzen beschränkt *fg* Bei mir ist hkp://keys.gnupg.net als Standard eingestellt. Es gibt aber noch einige weitere (kgpg kommt mit einer ganzen Liste im Einstellungsmenü). Die
Wenn kgpg denn auf der openSUSE 12.2 funktionieren würde. Aber die bash tut's ja auch.
größeren Server gleichen sich in bestimmten (größeren) Zeitabständen miteinander ab, so dass sich dein Schlüssel automatisch verteilt.
Ok, ich habe meinen neuen key mal auf keys.gnupg.net hochgeladen. Den alten hätte ich gerne gelöscht, weis aber nicht wie ich das anstellen soll.
Prinzipiell kann aber jeder Person/Organisation einen eigenen Schlüsselserver aufsetzten, der sich nicht mit den anderen abgleicht.
Aber eigentlich will ich gar keinen benutzen. Oder ist das ein absolut sicherer Weg des Schlüsselaustauschs über große Entfernungen? Du musst keinen Schlüsselserver benutzen, du kannst deinen Korrespondenzpartnern auch so deinen öffentlichen Schlüssel zukommen lassen. Die Benutzung eines Schlüsselservers vereinfacht die Sache jedoch (Andere brauchen deinen öffentlichen Schlüssel um dir verschlüsselte E-Mails zu schicken oder deine Signatur prüfen zu können).
Ich bin mir jetzt nicht ganz sicher, worauf du mit der Frage zur Sicherheit der Schlüsselserver hinaus willst. Prinzipiell kann jeder beliebig Schlüssel an einen Schlüsselserver senden, die Angaben können dabei frei erfunden oder auch schon vorhanden sein. Ich könnte ja auf meinem PC einen Schlüssel mit den selben Angaben wie dem deinigen erstellen und hochladen (der Fingerabdruck würde sich allerdings unterscheiden), auch kann ich deinen öffentlichen Schlüssel hochladen (z.B. nachdem du in mir aus einem der oben genannten Gründe geschickt hast). Eine Überprüfung bzw. Authentifizierung findet in diesem Sinne nicht statt.
Sicher(er) wird das System ja dadurch, dass der Austausch über zwei getrennte Kanäle stattfindet. Über einen Kanal wird der öffentliche Schlüssel versendet (Brief, E-Mail, Schlüsselserver, USB-Stick, Webpage, ...) und über den zweiten Kanal wird dann quasi die Echtheit des erhaltenen Schlüssels überprüft, indem du die Merkmale deines Schlüssels durchgibst (Name, E-Mail, Typ, Kennung) und der Empfänger sie mit dem was er erhalten hat vergleicht, das geschieht "am besten" (tm) persönlich oder per Telefon (also so fälschungssicher wie möglich).
ja ok. Der Knackpunkt an der Sache ist ja immer die Echtheit des öffentlichen Schlüssels. Ich dachte immer, eigentlich käme für den Austausch ja nur die persönliche Übergabe in Frage, weil alles andere manipulierbar ist und somit maninthemiddle Angriffe ermöglicht. Der telefonsiche Vergleich des fingerprints und weiterer Merkmale schließt dieses Risiko aber offenbar aus.
Soviel zum allgemeinen Teil. Daneben gibt es bei GPG/PGP auch noch das sog. Web-Of-Trust, bei dem sich Benutzer gegenseitig die Echtheit der Identität überprüfen und dieses Vertrauen in Form einer Signatur an einem öffentlichen Schlüssel festhalten. Diese so unterschriebenen öffentlichen Schlüssel können dann ebenfalls an einen Schlüsselserver hochgeladen werden, damit können dann Andere, welche deinen Schlüssel (aus was für Gründen auch immer) vom Schlüsselserver laden sehen wer deinen Schlüssel geprüft hat und wie sehr er dir vertraut.
Die Idee dahinter ist, dass ich nicht jeden kennen muss, aber vielleicht haben ja ein oder zwei meiner Bekannten deinen Schlüssel überprüft und unterschrieben. Das beweist zwar noch nicht die Echtheit deines Schlüssels, macht sie aber deutlich wahrscheinlicher (zumindest wenn ich meinen zwei Bekannten vertraue eine solche Überprüfung gewissenhaft durchzuführen).
Bevor sich hier jetzt noch mehr Text anhäuft höre ich hier jetzt lieber auf und stehe für weitere Fragen gerne zur Verfügung bevor ich mir hier die FInger wund tippe, mit Sachen die eigentlich keinen Interessieren, weil sie an der eigentlichen Fragestellung vorbei zielen.
[0] http://pgp.mit.edu:11371/pks/lookup?op=vindex&search=0x7E287E3480B9892D
Danke für Deine Ausführungen! Den alten key hätte ich gerne verworfen, weis aber nicht wie. -- Andreas -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org