Vertrauen in Schlüssel
Schlüssel übernehmen
Andreas, Annika, Jens, Katharina, Malte und Tanja haben ihre öffentlichen Schlüssel (public-keys) in ein gemeinsam zugängliches Verzeichnis kopiert, sodass sich alle die benötigten öffentlichen Schlüssel kopieren können.
Bei einem erneuten Blick in das Verzeichnis taucht plötzlich ein weiterer Schlüssel auf.
Aufgabe 1
- Vergleiche die beiden Schlüsseldateien von Jens Thiel. Woran erkennst du, dass es sich um zwei verschiedene Schlüssel handelt?
- Annika will Jens eine vertrauliche Nachricht schicken. Vor welchem Problem steht sie jetzt?
Recherche auf einem Schlüsselserver
Öffentliche Schlüssel von Kommunikationspartnerinnen und -partnern kann man sich auch auf Schlüsselservern wie z. B. keys.openpgp.org besorgen. Aus Datenschutzgründen sind Recherchen auf diesen Servern heutzutage nur noch gezielt möglich. Das heißt, man muss nach dem Fingerabdruck (Fingerprint) eines Schlüssels suchen, den man erhalten hat, oder nach der E-Mail-Adresse, die einem bekannt ist. Beispielsweise findet man den Fingerabdruck des Schlüssels von Linus Neumann auf seiner Website. Zu diesem Fingerabdruck kann man dann auf keys.openpgp.org den passenden Schlüssel herunterladen. Auf seiner Website ist der Fingerabdruck auch direkt mit dem passenden Schlüssel auf keys.openpgp.org verlinkt. Damit kann man Herrn Neumann eine verschlüsselte E-Mail senden.
Früher war auf Schlüsselservern auch eine Suche nach Namen möglich. Eine solche Suche zum ehemaligen Bundesvorsitzenden der Piratenpartei, Sebastian Nerz, lieferte u. a. folgende Informationen:
Ein ganz anderes Bild ergab sich, wenn man sich den öffentlichen Schlüssel der damaligen Bundeskanzlerin Angela Merkel besorgen wollte.
Aufgabe 2
Erläutere, was in den beiden Bildern zu sehen ist. Worin besteht der Unterschied? Stelle Vermutungen auf, wie die Ergebnisse zustande gekommen sind.
Aufgabe 3
- Rufe die Website von Linus Neumann auf und notiere den Fingerabdruck seines Schlüssels.
- Suche auf keys.openpgp.org nach diesem Fingerabdruck. Welche Angaben erhältst du?
- Wer den Schlüssel so besorgt, verlässt sich darauf, dass die Website wirklich von Linus Neumann stammt. Warum ist dieser Weg trotzdem sicherer, als einfach einen Schlüssel zu nehmen, der in einem gemeinsamen Verzeichnis liegt?