03.06.2020, 08:08
Die Automatisierung ist die eine Sache, die Vertrauenswürdigkeit des Schlüsselmaterials eine andere. Letzteres sehe ich als den deutlich wichtigeren Punkt an. Wenn ich nicht sicherstellen kann, wem der Schlüssel tatsächlich gehört, ist er im Sinne der Informationssicherheit nicht brauchbar. Daran krankt PGP, neben der mangelhaften Standardisierung, im Wesentlichen.
Um die Vertrauenswürdigkeit der Schlüssel auf einem hohen Niveau zu halten, müssen nach meinem und unserem Verständnis daher S/MIME-Schlüssel von einer vertrauenswürdigen Zertifizierungsstelle stammen. PGP-Schlüssel werden verifiziert, indem eine verschlüsselte E-Mail mit Bestätigungslink an die Adresse im Schlüsselbund geschickt wird. Verschlüsselt wird sie mit dem öffentlichen Schlüssel, der hochgeladen werden soll. So sind zwei Dinge sichergestellt: die E-Mail-Adresse existiert und der private Schlüssel ist im Besitz des Postfachinhabers. Erst wenn der entschlüsselte Bestätigungslink angeklickt wurde, wird der hochgeladene PGP-Schlüssel freigeschaltet.
Um die Vertrauenswürdigkeit der Schlüssel auf einem hohen Niveau zu halten, müssen nach meinem und unserem Verständnis daher S/MIME-Schlüssel von einer vertrauenswürdigen Zertifizierungsstelle stammen. PGP-Schlüssel werden verifiziert, indem eine verschlüsselte E-Mail mit Bestätigungslink an die Adresse im Schlüsselbund geschickt wird. Verschlüsselt wird sie mit dem öffentlichen Schlüssel, der hochgeladen werden soll. So sind zwei Dinge sichergestellt: die E-Mail-Adresse existiert und der private Schlüssel ist im Besitz des Postfachinhabers. Erst wenn der entschlüsselte Bestätigungslink angeklickt wurde, wird der hochgeladene PGP-Schlüssel freigeschaltet.