PGP-Schlüssel einfach und sicher verteilen

[Robert Schetterer]

Am 02.03.2015 um 15:34 schrieb Jochen Fahrner:
> Am 02.03.2015 um 14:56 schrieb Michael Ströder:
>> Hat halt schon auch was mit der mangelnden Auditierbarkeit von CACERT
>> zu tun. Ich habe mir Details nicht durchgelesen, aber der Auditor war
>> da ziemlich lange geduldig.
> 
> Naja, also wenn man sowas hier liest:
> 
> http://www.heise.de/security/meldung/Indien-stellte-falsche-Google-Zertifikate-aus-2252544.html
> http://www.gulli.com/news/22932-google-ertappt-ssl-faelscher-franzoesisches-finanzministerium-2013-12-10
> 
> muss man feststellen dass man sowieso keiner CA mehr trauen kann. Von
> daher kann man sich die ganze Auditiererei auch gleich sparen, ist nur
> Geldmacherei.
> 
> Im Prinzip hat so ein Zertifikat 2 Funktionen: 1. enthält es den Public
> Key des Inhabers, und 2. soll es die Identität des Inhabers beglaubigen.
> 
> Zum verschlüsseln ist es egal ob ein Zertifikat beglaubigt ist, da
> reicht auch ein selfsigned Zertifikat. Und wie Fälle wie obige immer
> wieder zeigen, kann man sich auf die Beglaubigung auch nicht verlassen.
> 
> Ich würde das ganz anders lösen, ich würde die CA's komplett abschaffen.
> Jeder soll sich Zertifikate nach Belieben ausstellen (wie bei PGP), und
> Browser oder Mailclients sollen zunächst mal alle Zertifikate
> akzeptieren, aber als "unbestätigt" anzeigen. Da wo es mir auf die
> Identität des Inhabers ankommt (z.B. Online-Banking) muss der Anbieter
> halt den Fingerprint seines Zertifikats irgendwo angeben (z.B. auf
> seinem Briefpapier oder EC-Karte), und ich muss das in meinem Client
> prüfen und bestätigen.
> 
> Also im Prinzip die gleiche Vorgehensweise wie bei PGP, nur mit der
> S/MIME Infrastruktur. Und es wäre sicherer als das heutige System mit
> den CA's.
> 

Also ich muss mich outen , ich bin weder Fan von s/mime oder gpg.

Um Massentauglichkeit zu erlangen, darf ein Standard zunaechst mal
nichts kosten ( bzw ist in den Kosten fuer das Mailangebot bereits
enthalten )
Er sollte mit/auf allen grossen Mailclients und Betriebsystemen
lauffaehig sein, dazu natuerlich sicher und frei. Und er darf nicht
komplizierter in der Bedienung werden als die Einrichtung eines Mailktos
an sich, evtl sogar mir dieser verschmelzen.

Derweil sind alle Verbesserungen an s/mime und/oder pgp egal welcher Art
willkommen. Ich teile nicht die Meinung das dies andere Entwicklungen
per se behindert.

Allerdings halte ich es fuer wahrscheinlich das es ein "Neudenken" bei
dem Thema bedarf..., jeden Gedankenaustausch etc der in diese Richtung
geht wuerde ich aktiv unterstuetzen.


Best Regards
MfG Robert Schetterer

-- 
[*] sys4 AG

http://sys4.de, +49 (89) 30 90 46 64
Franziskanerstraße 15, 81669 München

Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263
Vorstand: Patrick Ben Koetter, Marc Schiffbauer
Aufsichtsratsvorsitzender: Florian Kirstein