Die auf dieser Seite klassifizierten Schlüssel:
PGP stellt zwar technisch ein sehr hohes Maß an Sicherheit zur Verfügung, aber das bringt einem nicht viel, wenn diese technischen Möglichkeiten organisatorisch nicht angemessen eingebettet sind. Kann man sich darauf verlassen, dass ein Schlüssel wirklich zu demjenigen gehört, dessen Name eingetragen ist? Das hängt davon ab, unter welchen Voraussetzungen diejenigen, auf die man sich verlässt, Schlüssel signieren.
PGP stellt leider kaum Möglichkeiten zur Verfügung, zum Ausdruck zu bringen, welche Identifikationsqualität eine Signatur hat. Was heißt schon man hat den Schlüssel beiläufig geprüft
oder man hat den Schlüssel sehr gründlich geprüft
? Was bringt es, wenn man einen Schlüsselinhaber anhand seines Personalausweises überprüft, wenn man (wie ich) kaum in der Lage ist, einen gefälschten Ausweis zu erkennen? Immerhin erlaubt PGP es, eine policy URL in die Signatur zu schreiben. Diese Möglichkeit nutze ich (seit dem 23.09.2009). Auf dieser Seite gebe ich für meine relevanten Schlüssel an, nach welchen Kriterien ich sie für Signaturen nutze, so dass jeder für sich entscheiden kann, was er davon hält.
Da diese Seite natürlich manipuliert sein kann, kann man sich anhand ihrer Signaturdateien (ECCB5814, CD4C5CE6, 7F637E7B) von ihrer Echtheit überzeugen. Andererseits: Wenn jemand es schaffen sollte, diese Datei zu manipulieren, dann wird er natürlich diesen Hinweis entfernen. Und wer würde – vor allem beim ersten Besuch – dieser Seite misstrauen, wenn sie scheinbar nicht signiert ist? ;-)
PGP offers a high level of technical security but this is useless if these possibilities are not backed up by organizational rules. Can you rely on it that a key belongs to the claimed owner? This depends on the circumstances under which the one whom you rely on signs a key.
PGP offers few possibilities to state what identification quality a signature has. What do casual verification
and extensive verification
mean? Of what use is a passport verification if the signer (like me) is hardly capable of recognizing a forged passport? At least PGP allows to write a policy URL into the signature. I use this option (starting on September, 23rd 2009). On thos page I explain my criteria for signing a key so that everyone can decide for himself how to assess a certain signature by me.
Of course, this page can be forged so you can verify it by its signature files (ECCB5814, CD4C5CE6). On the other hand: If somebody really manages to forge this page then he certainly would remove this hint. And who would be distrustful – above all at his first visit – if this page was seemingly not signed? ;-)
Dies ist mein erster ernsthaft benutzter Schlüssel. Er gehört zu meiner Haupt-E-Mail-Adresse, hauke@laging.de. Er ist unbegrenzt gültig.
Da dieser Schlüssel schon ein paar Jahre alt ist, kann ich nicht mehr mit Sicherheit sagen, was für Signaturen ich damit erzeugt habe. Soweit ich mich erinnere, waren das alles persönliche Bekannte (und nein, ich kontrolliere nicht immer erst den Ausweis, wenn ich jemanden kennenlerne). Ich erzeuge Signaturen jedenfalls seit langem nur, wenn mir der Schlüssel direkt, also offline, vorgelegt oder der Fingerprint telefonisch verifiziert wurde (Ist es eigentlich schon realistisch, Telefonate (Gruß an VoIP) unerkannt zu maipulieren? ;-) ).
Ich signiere (fast?) immer nur mit dem certification level 3. Wenn ich mal etwas anderes eingetragen haben sollte, dann deshalb, weil ich keine wie eben beschriebene Prüfung durchführen konnte. Allerdings habe ich kürzlich festgestellt, dass diese Angabe von mehreren gpg-GUIs gar nicht in die Signatur geschrieben wird (dafür muss man gpg auf der Kommandozeile starten). Somit existieren bisher (September 2009) wohl kaum Signaturen von mir mit dieser Angabe.
This is the first key which I have seriously used. It belongs to my main email address, hauke@laging.de. It is unlimitedly valid.
This key is several years old so I cannot tell for sure what kind of signatures I have made with it. As far as I remember I have signed only keys of people I personally know (and no I do not check the passport at first when I get to know somebody). For quite some time I have been creating signatures only if either I had direct (i.e. offline) access to it or if I could verify its fingerprint my phone (Is it meanwhile a serious threat (greetings to VoIP) that phone calls could be forged without being noticed? ;-) ).
I (nearly?) always create signatures at the certification level 3. If I should ever have used a different one then because I could not verify the key as explained. However I had to realize recently that several gpg GUIs do not write this statement into the signature (you have to use gpg on the command line in order to use this). Thus up to now (September 2009) probably hardly any signatures by me with this statement exist.
Diesen Schlüssel habe ich am 23.09.2009 erzeugt, um deutlich zu machen, dass ich den Besitzer des Schlüssels möglicherweise nicht kenne, er sich aber mittels seines Personalausweises (o.Ä.) identifiziert hat. Wenn ich zusätzlich überprüft habe, dass der Besitzer des Schlüssels Zugriff auf die genannte E-Mail-Adresse hat, signiere ich mit certification level 3. Ohne diese Überprüfung signiere ich mit certification level 2. Ich signiere auch die Schlüssel von Bekannten mit diesem Schlüssel, denn bekanntlich gilt viel hilft viel
auch bei Schlüsselignaturen.
Der Schlüssel ist unbegrenzt gültig. Er dient nur zum Signieren; er hat keinen Verschlüsselungs-Unterschlüssel. Die angegebene E-Mail-Adresse hat nur beschreibenden Charakter und existiert nicht.
I have created this key on September, 23rd 2009 in order to show that I maybe do not know the owner of the signed key personally but that he has identified himself by passport or similar. If I have also checked that the owner of the key has access to the given email address then I sign at certification level 3. Without this check I sign at certification level 2. I sign keys of people I do know personally with this key, too. The more signatures, the better.
This key is unlimitedly valid. It is used for signing only; there is no subkey for encryption. The given email address has a descriptive meaning only (at least in German ;-) ) and does not exist.
Diesen Schlüssel habe ich am 04.03.2010 auf einer Smartcard erzeugt. Er bietet dadurch ein deutlich höheres Maß an Sicherheit als die anderen Schlüssel, weil die Schlüssel an sich nicht von der Smartcard gelesen werden können und man nur wenige Versuche hat, die korrekte Passphrase einzugeben. Ich habe zwar ein Backup, aber das ist nicht auf dem Rechner und zudem mit einer extrem langen Passphrase gesichert. Sofern nicht bei der Erzeugung des Schlüssels ein Keylogger zugegen war, ist dieser Schlüssel sicher. Allerdings wird er nicht ausschließlich in einer Hochsicherheitsumgebung eingesetzt, und was nützt die Smartcard, wenn die zu signierenden oder zu verschlüsselnden Daten unbemerkt manipuliert werden...
Der Schlüssel ist fünf Jahre gültig. Für diesen Schlüssel habe ich noch keine Signaturrichtlinie; es liegt aber in der Natur der Sache, dass Signaturen dieses Schlüssels (sowohl für andere Schlüssel als auch für Daten) den derzeit höchsten Anforderungen aller meiner Schlüssel genügen müssen. Die angegebene E-Mail-Adresse hat nur beschreibenden Charakter und existiert nicht.
I have created this key on March, 3rd 2010 on a smartcard. Thus it offers a much higher level of security than the other keys because the private keys themselves cannot be read from the smartcard and there is only a small number of tries for entering the correct passphrase. I do have a backup of this key but not on my PC; furthermore it is protected by a very long passphrase. So if there was no keylogger present at the time of creation then this key is safe. But it is not exclusively used in a high security environment so there is a certain risk that the data to be signed or encrypted gets manipulated.
This key is valid for five years. There is no signing policy for this key yet but it is obvious that signatures by this key (both for other keys and for data) have to comply with the (at this time) highest standard of all my keys. The given email address has a descriptive meaning only and does not exist.