Anwerkungen zum Web Key Service

[Werner Koch]

Hallo!

Das Web Key Directory wurde bereits vor einiger Zeit auf den englischen
GnuPG Listen diskutiert.  Ich möchte hier ein paar Antworten auf
häufige Fragen aus den letzten Tagen geben:


** Warum ein Hash der User ID?

   Obgleich es möglich wäre, in einer URL beliebige Zeichen zu verwenden
   und so auch direkt die Mailadresse anzugeben, habe ich diesen Weg
   nicht gewählt.  Ein Hash der User ID hat den Vorteil, daß er direkt
   auf das Dateisystem abgebildet werden kann, ohne ein fehleranfälliges
   "Quoting" zu benutzen.  Hierdurch wird es möglich, die Schlüssel auf
   jedem beliebigen Webserver zu speichern ohne CGIs verwenden zu
   müssen.  Selbstverständlich können auch Datenbanken benutzt werden;
   posteo.de macht das zum Beispiel so.

   Der Hash wird nicht in Hex-Format dargestellt, damit man ihn nicht
   mit einem Fingerprint verwechselt.  z-Base-32 ist das beste
   Codierungsverfahren auf einem 32 Bit Zeichensatz; es gibt hier genau
   eine Variante und diese ist optimiert um Verwechslungen zu
   minimieren.  Base-64 geht nicht, da es nicht für einen Dateinamen
   verwendet werden kann (wg. Gross-/Kleinschreibung auf Windows und dem
   Slash).

** Muss ich dem Mailprovider vertrauen?

   Ja und Nein.  Das Verfahren ist lediglich dazu gedacht, zu einer
   Mailadresse erstmalig den Schlüssel zu finden.  Sobald der Schlüssel
   bekannt ist, wird ein lokales Verfahren (TOFU) sicherstellen, daß ein
   geänderter Schlüssel entdeckt werden kann.  Über die Zeit bildet sich
   so ein Vetrauensverhältniss zu der Kombination von Mailadresse und
   Schlüssel.

** Kann ich das Web-of-Trust weiter verwenden?

   Ja.  Die Voreinstellung von GnuPG wird "tofu+pgp" sein.  Auf diese
   Weise kann ein vorhandenes Web-of-Trust weiter verwendet werden.
   Ferner erlaubt es auch individuell bestätigte Schlüssel (Fingerprint
   auf Vistitenkarte) für höhere Sicherheitsanforderungen.

** Große Provider werden das nicht anbieten

   Das kann schon sein; wir können nur einen Vorschlag machen und
   hoffen.  Wichtig war es uns, ein einfaches Verfahren zu erstellen,
   das jeder Betreiber eines Web- oder Mailservers aufbauen kann.  Die
   wesentliche Arbeit ist nicht das Schreiben von Code, sondern Provider
   zu überzeugen dieses Feature Ihren Kunden bereitzustellen.

** Ist das Verfahren schon ausgereift?

   Nein.  Ich habe noch eine Reihe von Änderungen in Planung.  Das
   grundlegende Verfahren und die Schnittstelle zu den bereitgestellten
   Tools wird sich aber voraussichtlich nicht mehr ändern.
   Bespielsweise wird die Anforderung an einen bestimmten MIME
   Content-Type gelockert werden.



Shalom-Salam,

   Werner

-- 
Die Gedanken sind frei.  Ausnahmen regelt ein Bundesgesetz.
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname   : nicht verfügbar
Dateityp    : application/pgp-signature
Dateigröße  : 162 bytes
Beschreibung: nicht verfügbar
URL         : </pipermail/attachments/20160911/61a538a7/attachment.sig>