Archive-name: /maus/pgp-signaturen Posting-frequency: monthly Last-modified: 2000-08-28 Version: 1.35 URL: http://www.wolfgang-kopp.de/sign-faq.html
Wolfgang Kopp @ M4
Dieses FAQ soll häufig gestellte Fragen zum Themenkomplex "Signieren von Nachrichten im MausNet mit Hilfe von PGP" beantworten. Anregungen, Kritik und Verbesserungsvorschläge sind immer willkommen.
Das FAQ stammt aus der MausNet-
A: Eine PGP-
Außerdem steht einiges zu dem Thema im PGP-
A: Das ist Geschmackssache. Bei PMs an Personen, die deinem Schlüssel vertrauen dürfen (z.B. weil sie ihn von dir selbst haben oder ein Freund die Echtheit bestätigt hat), ist das Signieren sicher eine gute Sache. Aber schon bei PMs an andere stellt sich das Problem, dass der Empfänger die Signatur zwar überprüfen kann, aber dadurch nicht ohne weiteres Aufschluss über die wahre Identität des Absenders erhält.
Bei ÖMs ist die Lage noch schwieriger, denn jede Signatur belastet das Netz mit einer Datenmenge, die in normalen Footern sofort zum Aufschrei beunruhigter Sysops (und User) führen würde. Teilweise sind PGP-
Im MausNet ist es (für normale User) so gut wie unmöglich, jemanden zu faken, also eine fremde Identität anzunehmen, außer durch eine falsche Eintragung in einer Maus oder Erschleichen des Passworts. Da man aber ohnehin nicht die Identität dieser Eintragung mit der Person feststellen kann, solange man den Schlüssel nicht aus einer sicheren Quelle hat, ist mit dem Signieren im MausNet nichts gewonnen. Der Leser erhält nur Aufschluss darüber, dass die Mail vom gleichen Menschen wie sonst auch immer stammt. Und das ist im MausNet überflüssig, weil das schon die recht fälschungssichere Absendeadresse besagt, falls nicht das Passwort abhanden gekommen sein sollte. Ansonsten bietet die Signatur lediglich vor Manipulationen durch Sysops (und Telefon-
Natürlich ist auf der anderen Seite die öffentliche Verwendung von PGP die beste Möglichkeit, um die Verbreitung von jedermann zugänglicher starker Kryptographie zu fördern und damit Bestrebungen innerhalb namhafter politischer Kreise zu erschweren, solche Verfahren zu verbieten oder durch Auflagen unbrauchbar zu machen. Dies kann jedoch auch durch kurze Hinweise im Footer erreicht werden, wo man darauf aufmerksam machen kann, wie der Public Key bezogen werden kann.
Fazit: Öffentliche Nachrichten sollte man bei normalem Paranoia-
WICHTIG: Nachrichten, in denen man PGP Keys veröffentlicht (z.B. in der Gruppe Maus.Computer.Sicherheit.PGP), sollten auf keinen Fall signiert werden. Das automatische Einlesen solcher Keys funktioniert nicht, weil PGP bestimmten Zeilen ein "- " voranstellt. Außerdem sollte ein Key ohnehin "in sich" signiert sein (siehe PGP-
A: Es gibt keinen Beschluss darüber. Allerdings ist die Arbeitsgruppe "Sonstiges" (Marcus Ohlhaut @ M4) auf dem Sysoptreffen vom 21. September 1996 zu folgendem Ergebnis gekommen:
Der Status von Headern, dem Quoteverhältnis und Footern wird wie bisher beibehalten. Header, übermäßige Quotes und Footer sind zu unterlassen.
Die PGP-Signierung von öffentlichen Mitteilungen ist nicht erwünscht. Nur für gewisse Mitteilungen mit wichtigem bzw. dokumenthaftem Charakter ist eine Ausnahme erlaubt. Außerhalb von Info- und News-Gruppen wird die Signierung als Footer angesehen.
(Quelle: Protokoll des SysOp-
Die Footer- Alles, was über einen Gruß und den Namen (in jeweils
unübertriebener Länge und ohne offensichtliche Hintertürchen- Die explizit erlaubte Ausnahme bei Footern besteht im
Hinweis auf eine Mailadresse, an die Mails > 16 KB gehen
sollen. Eine URL und ein Hinweis für die Benutzung von PGP kann
ebenfalls toleriert werden. Diese zusätzlichen Informationen
sollten durch eine Tearline vom Rest der Mitteilung getrennt
werden. A: Nachrichten sollte man im MausNet nur signieren, wenn sie keine Umlaute oder sonstige Sonderzeichen enthalten. Diese werden nämlich von der MAUS- Außerdem muss man darauf achten, dass man nicht mehr als zwei Leerzeilen am Stück verwendet. Solche Ansammlungen von Leerzeilen werden nämlich von der MAUS auf zwei zusammengestrichen. Auch Endloszeilen darf man nicht verwenden; es muss einige Zeichen vor der 80. Spalte umgebrochen werden, am besten schon vor der 72. Die einzige Möglichkeit, Sonderzeichen, Endloszeilen und viele Leerzeilen zu verwenden, wäre das Verschicken in der Versandhülle (Armor). Aber dann muss jede Mail vor dem Lesen mit Hilfe von PGP ausgepackt werden, was vor allem bei öffentlichen Nachrichten störend ist und auf Ablehnung stoßen dürfte. A: Im Prinzip gilt das sowohl für ÖMs wie auch für PMs. Bei PMs gibt es aber eine ganz einfache und vor allem sinnvolle Möglichkeit, die Einschränkungen zu umgehen, nämlich das Verschlüsseln. Dadurch erhält die Mail automatisch einen Armor, wird also in ein Format gebracht, das von der MAUS nicht verändert wird (es ist "gaterobust"). Nachdem das Verschlüsseln ja der eigentliche Zweck von PGP ist und Keys heutzutage durch die hohe Akzeptanz von Keyservern leicht zu bekommen sind, stellt dies keine besondere Belastung dar und sollte grundsätzlich bei PMs gemacht werden, ob signiert oder nicht. PGP stellt eine eigene Funktion für das gleichzeitige Signieren und Verschlüsseln zur Verfügung, es ist also nicht nötig, zunächst den Klartext zu signieren und dann das Ergebnis zu verschlüsseln. A: Darüber gibt die Befehlsübersicht Auskunft, die man bei PGP 2.x mit "pgp -h" angezeigt bekommt. Bei Verwendung von PGP 5.x erklärt die Anleitung alles, was sich nicht ohnehin intuitiv erschließt. Auch die korrekte Einbindung in das Maus- A: Das ist eine zweischneidige Sache. Zum einen wird damit bewirkt, dass es schwieriger ist, einen falschen Key im Namen dieser Person in Umlauf zu bringen. Denn der Fingerprint des echten Keys ist jedermann ziemlich offenkundig bekannt, er befindet sich in jeder Mail, insbesondere den ÖMs. Will jemand also einen falschen Key für einen User in Umlauf bringen, so müsste er alle Postings dieses Users fälschen, weil sein Key mangels richtigen Fingerprints sonst schnell als falsch auffliegen würde. Dies dürfte kaum zu bewerkstelligen sein, vor allem im MausNet. Andererseits spiegelt eine solche Angabe unter jeder Mail auch eine falsche Sicherheit vor: Denn die Identität der Person, der angeblich der Key gehört, und der Person, die ihn verwendet, ist damit nicht bewiesen. Man weiß lediglich, dass der Key demjenigen gehört, der auch im Netz unter diesem Namen auftritt. Nun ja, im Zeitalter der fast schon virtuellen Existenz vielleicht keine so große Einschränkung. ;-) A: Nein, bitte nicht. Solche Tests erhöhen das Rauschen in der Gruppe enorm und werden gar nicht gerne gesehen. Es gibt keinen Grund, an deiner Signatur zu zweifeln, falls du alle Hinweise in diesem FAQ beachtet hast. Du kannst zunächst die Signatur an deinem eigenen Rechner testen, dir selbst eine PM schicken oder eine PM an einen hilfsbereiten Mailpartner mit PGP schicken und ihn um Bestätigung bitten.
(Quelle: Beschluß zu Footern etc., <199709110850.a44338@hh2.maus.de> vom 11. September 1997 in MAUS.INFO, Philipp Oelwein @ HH2)
2.4 Wie signiere ich meine Mails richtig?
2.5 Gilt das nur für ÖMs oder auch für PMs?
2.6 Wie mache ich das alles konkret mit PGP?
2.7 Warum verschicken einige mit jeder Mail ihren Key Fingerprint?
2.8 Gut, alles verstanden. Kann ich dann jetzt einen Test in dieser Gruppe posten?
Homepage
URL: http://www.wolfgang-kopp.de/sign-faq.html
Last-modified: 2002-04-09
Wolfgang Kopp <wk@wolfgang-kopp.de>