On Mon Nov 03, 2003 at 21:15:43 +0100, Carsten Friede wrote:

Keysigning???

Kann mir jemand mehr dazu sagen? Oder einen entsprechenden Link posten? Danke.*umentschuldigungfürdiesefragebittend*

http://www.de.debian.org/events/keysigning

Adam

Once upon a time, I heard Fabian Hänsel say:

B signiert den Key von A, nachdem er sich davon überzeugt (Personalausweis ...) hat, das A Fritz Müller ist (z.B. auf ner Keysigning-Party) -> du kannst sicher sein, dass B A für Fritz Müller hält -> wenn du B vertraust, dann wirst du auch A sicher für Fritz Müller halten -> Netz des Vertrauens

Netz des unermüdlichen Vertrauens wäre wohl besser, da in aller Regel mit Gültigkeit bis in alle Ewigkeit signiert wird -- meines Erachtens Blödsinn.

Zeit ist aber nur *ein* häßlicher Faktor, der bei der Berechnung des "Vertrauens" bisher nicht eingeht. Folgendes Szenario tritt ebenfalls ein:

A hält B für vertrauenswürdig.

A signiert öffentliche Schlüssel mit einem bestimmten Verfahren (policy1 -- bspw. nur Freunde und bekannte Kommilitonen).

B signiert öffentliche Schlüssel mit einem bestimmten Verfahren (policy2 -- bspw. auch auf einer Keysigning-Party).

B signiert insbesondere den Schlüssel von C.

C signiert alles, was ihm unter kommt (policy3).

C signiert insbesondere den Schlüssel von D, welches seine Identität gegenüber A nicht nachweisen will.

Gewöhnt man es ihm nicht ab, kalkuliert nun also das sogenannte WOT (Web of Trust) ein transitives Vertrauen von A nach D.

Tatsächlich wird das nur bis zu einer bestimmten Tiefe fortgesetzt (Standardeinstellung sagt 5 Ebenen). Sichert allerdings A->B, B->C und C->D jeweils volles Vertrauen zu, dann reicht das bereits dafür, daß A D für vertrauenswürdig hält.

Ebenfalls komplett dumm ist, daß man bis dato bei der Berechnung keine feineren Abstufungen des Vertrauens vornehmen kann. Ist beispielsweise B ein Bot, der lediglich die Zugehörigkeit des Schlüssels zu einer e-mail Adresse prüft, dann kann man dem entweder vertrauen oder nicht -- man kann aber nicht sagen, daß in bestimmten Anwendungsfällen diese Über- prüfung ausreicht und in anderen nicht.

Party on!

PS: Habe ich irgendetwas falsches oder zutiefst unwahrscheinliches vorausgesetzt?