WoT Vertständnisproblem

[Björn Keil]

Tha... ich bin zwar auch kein Experte auf dem Gebiet, aber meine
Antworten sind immer noch besser als keine Antworten.

Am Freitag, den 18.01.2008, 09:06 +0100 schrieb Dominik Spies:

> Hier Frage 1:
> Nehmen wir an:
> COMPLETES-NEEDED = 2
> MARGINALS-NEEDED = 4
> Der Schlüssel X hat 3 Signaturen: eine eines voll vertrauten Inhabers, 
> zwei von gering vertrauten Inhabern.
> 
> Ist dieser Schlüssel gültig?
Nein. Completes und Marginals werden getrennt betrachtet. Das ganze ist ein Problem, das die GPG gemeinschaft wenig befasst. Wenn Du vollständiges Vertrauen zu einer Person hast, warum solltest Du dann mehr als eine zweite Signatur verlangen.

> Es gibt das Vertrauens-Level ultimativ. Dieses soll nur für eigene 
> Schlüssel verwendet werden und führt dazu, das Schlüssel die von diesem 
> ultimativ vertrauten Schlüssel signiert worden sind, immer als gültig 
> anerkannt werden.
> 
> [http://www.rubin.ch/pgp/weboftrust.de.html#trustparam]
> 
> 
> Dazu Frage 2:
> Worin unterscheidet sich ultimatives von vollem Vertrauen, wenn 
> COMPLETES_NEEDED = 1 ?
> 
Der Unterschied besteht darin, dass Ultimativ vertraute Schlüssel als
Deine eigenen behandelt  werden. Wenn Du versuchst ohne einen Schlüssel
mit ultimativem Vertrauen zu arbeiten wirst Du ziemlich oft Warnungen
wie "No ultimately trusted keys found" bekommen.
Möglicherweise könntest Du ihn selbst dann nicht zum signieren benutzen
wenn ein privater Schlüssel vorhanden ist - das wäre herauszufinden.
Signaturen von ultimativ vertrauten Schlüsseln sind Eigensignaturen. Das
ist besonders dann wichtig, wenn sie auf deinem eigenen Schlüssel sind.
> 
> Frage 3:
> Warum wird ein von mir signierter Schlüssel nicht als gültig erkannt, 
> wenn ich das Vertrauen in mich selbst auf "voll" herabsetze? Laut 
> Einstellung müsste eine Signatur eines voll Vertrauten (meine eigene) 
> ausreichen, in der Tat tut es das aber nicht. (GnuPG 1.4.6)
> 
hmmmm. :) Der Hauptschlüssel sollte nach wie vor gültig sein. Nur nicht
zwangsläufig alle Unterschlüssel, sie dessen Eigensignatur tragen. Das
Problem bei GPG ist ein wenig, dass es nicht immer allen Identitäten auf
einem vertrauten Schlüssel traut. Die Logik wäre - Dein vertrauen in den
Hauptschlüssel ist implizit "Marginal", also sind die darauf
befindlichen Identitäten mit Eigensignatur nicht vertrauenswürdig.


> Dazu die Frage 4:
> 
> Wie kommt es zu den z.B. hier 
> [http://hp.kairaven.de/pgp/gpg/weboftrust.html] erwähnten Vertauenspfaden?

Es gibt Leute und Zertifizierungsstellen, die sehr sehr viele Schlüssel
signiert haben, und sich dabei auch große Mühe geben.
Wenn man dann beispielsweise auf einer Messe oder sowas Signaturen
ausstauscht kann es passieren, dass man plötzlich zu fünfhundert
Personen Marginal Trust hat (und die zu mir). Wenn man dann mit einer
anderen Person die ähnlich viele Schlüssel zertifiziert hat Schlüssel
ausstauscht kommen nicht nur viele neue dazu,  sondern bei vielen
Schlüsseln werden aus zwei Quellen "marginal trust" fällig. Ergo
vertraue ich denen auch, und gerade bei denen werden auch viele fleißige
Zertifizierer sein...

Wenn ich das richtig verstehe kann man auch Marginal Trust vererben.
Also, nehmen wir an ich vertraue X, weil auf dem zwei Signaturen mit
Marginal Trust liegen. X zertifiziert den Schlüssel von Y. Dann erkenne
ich nicht nur den Schlüssel von Y an sondern habe auch (einmal) Marginal
Trust zu dem. Deswegen könnte sich die Kette mit relativ wenigen
ausgetauschten Signaturen ziemlich lang fortsetzen.

> 
> Hier wird unter der Prämisse, das A B's, B C's und C D's Schlüssel 
> signiert hat die Aussage gemacht A könnte D's Schlüssel als gültig 
> einstufen. Jedoch hat nur B das (lokal eingestellte) Vertrauen A's und 
> somit wird C's Schlüssel gültig, aber woher soll das Vertrauen 
> (owner-trust!!) kommen um C's Signatur unter D's Schlüssel zu aktzeptieren?

Da hat er sich wohl vertan. Cs Schlüssel hat Marginal Trust. Nur eine
Signatur mit Marginal Trust reicht nun nicht mehr aus. Das würde nur
reichen wenn noch ein weiteres "Marginally Trusted" Zertifikat auf dem
Schlüssel läge.
> 
> Hier [http://www.phildev.net/pgp/gpgtrust.html] erwähnt jemand 
> implizites Vertrauen, wie wird dieses berechnet, auf welches Basis? Wo 
> gibt es offizielle Infos dazu (gnupg manual)?
Damit ist gemeint, dass Du einem Schlüssel, den Du selbst signierst hast
auf jeden Fall vertraust. Praktisch wird das natürlich über das
ultimative Vertrauen in Deinen eigenen Schlüssel geregelt.

> Und zu dieser Thematik noch die Frage 5:
> Für was ist der Parameter MAX-CERT-DEPTH gut?
Tja... die Zertifikatkette darf nicht länger als fünf werden per
Defaulteinstellung... Die ersten sind diejenigen, die Du selbst
zertifiziert hast. Die zweiten sind die mit vollständigem Vertrauen. Die
dritten sind die mit zweimal oberflächlichem Vertrauen. Die vierten sind
die mit zweimal oberflächlichem Vertrauen von Schlüssel denen Du
vertraust, weil sie zweimal oberfächliches Vertrauen tragen usw.

> 
> Frage 6:
> 
> Ist es ohne Trust Signing überhaupt möglich, Schlüssel auf gültig zu 
> überprüfen, die weiter als 2 Pfade entfernt sind? Wenn ja, wie?
Was verstehtst Du denn unter Trust Signing? Jedes Zertifikat impliziert Dein Vertrauen.

Grüße,
Björn
-------------- nächster Teil --------------
A non-text attachment was scrubbed...
Name: nicht verfügbar
Type: application/pgp-signature
Size: 189 bytes
Desc: Dies ist ein digital signierter Nachrichtenteil
URL: </pipermail/attachments/20080121/3e2b549d/attachment.pgp>