PGP-Schlüssel einfach und sicher verteilen

[Jochen Fahrner]

Am 02.03.2015 um 14:56 schrieb Michael Ströder:
> Hat halt schon auch was mit der mangelnden Auditierbarkeit von CACERT
> zu tun. Ich habe mir Details nicht durchgelesen, aber der Auditor war
> da ziemlich lange geduldig.

Naja, also wenn man sowas hier liest:

http://www.heise.de/security/meldung/Indien-stellte-falsche-Google-Zertifikate-aus-2252544.html
http://www.gulli.com/news/22932-google-ertappt-ssl-faelscher-franzoesisches-finanzministerium-2013-12-10

muss man feststellen dass man sowieso keiner CA mehr trauen kann. Von
daher kann man sich die ganze Auditiererei auch gleich sparen, ist nur
Geldmacherei.

Im Prinzip hat so ein Zertifikat 2 Funktionen: 1. enthält es den Public
Key des Inhabers, und 2. soll es die Identität des Inhabers beglaubigen.

Zum verschlüsseln ist es egal ob ein Zertifikat beglaubigt ist, da
reicht auch ein selfsigned Zertifikat. Und wie Fälle wie obige immer
wieder zeigen, kann man sich auf die Beglaubigung auch nicht verlassen.

Ich würde das ganz anders lösen, ich würde die CA's komplett abschaffen.
Jeder soll sich Zertifikate nach Belieben ausstellen (wie bei PGP), und
Browser oder Mailclients sollen zunächst mal alle Zertifikate
akzeptieren, aber als "unbestätigt" anzeigen. Da wo es mir auf die
Identität des Inhabers ankommt (z.B. Online-Banking) muss der Anbieter
halt den Fingerprint seines Zertifikats irgendwo angeben (z.B. auf
seinem Briefpapier oder EC-Karte), und ich muss das in meinem Client
prüfen und bestätigen.

Also im Prinzip die gleiche Vorgehensweise wie bei PGP, nur mit der
S/MIME Infrastruktur. Und es wäre sicherer als das heutige System mit
den CA's.

-- 
Mit besten Grüßen
Jochen Fahrner