aus ein
Ansicht umschalten Baum an
Avatar von /mecki78
  • /mecki78

mehr als 1000 Beiträge seit 03.07.2004

PGP Reloaded?

Ich finde es irgendwie lustig. Als damals (lang ist es her) die Frage
aufkam, wie man E-mail sicher machen könnte/sollte, und man vor der
Wahl stand PGP oder S/MIME zu benutzen, hat man immer PGP vorgeworfen
hat, dass es nicht sicher sei, da es ja keine zentrale,
vertrauenswürdige Zertifizierungsstelle gibt. Das hat dazu geführt,
dass man S/MIME auf der Basis von X509 Zertifikaten gewählt hat, was
heute so ziemlich jeder Mail Client ab Werk beherrscht, aber PGP
findet man höchstens noch als eine Extension, die mal besser und oft
schlechter funktioniert.

PGP hat nur ein Network of Trust zu bieten, d.h. jeder kann jedem
vertrauen, wenn er möchte, oder eben auch nicht. Und jeder kann für
sich selber entscheiden, ob er automatisch jemanden vertraut, weil
jemand den er vertraut dieser Person auch vertraut. Klingt
kompliziert?

Eigentlich ist es ganz einfach. Ich kenne einige Leute persönlich,
ich kenne sie ausreichend gut und ich vertraue ihnen. Ergo vertraue
ich auch ihren Schlüsseln, weil ich weiß ich habe den richtigen
Schlüssel von ihnen und die Angaben in ihrem Schlüsseln stimmen auch
alle. Jetzt ist da unter diesen Leuten jemanden, der einen sehr hohen
Sicherheitsstandard pflegt (ich will nicht sagen paranoid ist, aber
manch einer würde das so bezeichnen), d.h. der vertraut nicht einfach
jedem. Ergo sage ich, allen Leuten denen diese Person vertraut, denen
vertraue ich auch, weil ich weiß, der würde niemals jemanden
vertrauen, dessen Daten er nicht genausten geprüft hat. Umgekehrt
gibt es vielleicht wieder jemanden, der mir so stark vertraut, dass
er sagt, er vertraut allen Schlüsseln, denen ich wiederum vertraue
(und das können wiederum Schlüssel sein, denen ich nur indirekt über
eine andere Person vertraue, die vielleicht diesem Schlüssel auch nur
indirekt über eine andere Person vertraut).

So entsteht ein Netzwerk und wenn jemand um die Ecke kommt, den ich
noch nie gesehen habe, dann ist dieser Entweder teil meines Trust
Networks, und damit vertrauenswürdig, oder eben nicht, dann muss er
sich das Vertrauen erstmal verdienen. Natürlich spricht nichts
dagegen in dieses System Zertifizierungstellen einzubauen, denen man
vertrauen kann und dann auch allen Schlüsseln, denen diese wiederum
vertrauen. Nur baut dieses System nicht darauf, dass es eine solche
Stelle geben muss, sie ist optional. Optional gefiel damals nicht.
Stattdessen wollte man ein System, was ohne solche Stellen gar nicht
erst auskommt. Und irgendwie steckt da ein Bombengeschäft dahinter,
das Geschäft mit dem Vertrauen.

Und jetzt? Jetzt auf einmal, nach so vielen Jahren, fällt Leuten auf,
was ist eigentlich wenn eine CA doch nicht so vertrauenswürdig ist,
wie wir gedacht haben? Jetzt auf einmal muss man sich seine
vertrauenswürdigen CAs von Hand herauspicken... womit wir faktisch
wieder beim Network of Trust von PGP wären. Back to the roots,
sozusagen. Ich meine, es ist auch lächerlich. Ich lade Firefox
herunter und nur weil Mozilla Firma XYZ vertraut, und deren CA Cert
in Firefox installiert ist, traue ich automatisch allen Zertifikaten,
die von Firma XYZ ausgestellt wurden. Dabei kenne ich die Firma XYZ
gar nicht und keine Ahnung was die prüft bevor sie ein Zertifikat
signiert. D.h. ich muss vertrauen, dass Mozilla hier sorgfältig die
Firma XYZ geprüft hat und wenn diese Firma ein Zertifikat an die
Firma ABC heraus gibt, mit dem man selber wieder Zertifikate
signieren darf, die die Firma ABC wiederum an andere Firmen gibt,
dann muss ich darauf vertrauen, dass XYZ die Firma ABC sorgfältig
geprüft hat und ABC wiederum ihre Kunden, und ... irgendwo sitzt ein
schwarzes Schaf und jegliches Vertrauen ist dahin. Also ich weiß ja
nicht.

/Mecki
Bewerten
- +
Anzeige