Web of trust

Öffentlicher Schlüssel und dessen Übrprüfung

Wieso kann man eigentlich den Signaturen, die mit emails mitgeschickt, oder die für Dateidownloads angeboten werden, trauen? Das führt zu der Frage, warum kann man eigentlich den öffentlichen Schlüsseln trauen?

Der erste Schritt ist, den dazugehörigen öffentlichen Schlüssel zu bekommen um damit die Signatur überprüfen zu können oder dem Kommunikationspartner eine verschlüsselte Nachricht oder Datei zu schicken. Dazu gibt es mehrere Möglichkeiten:

Um die Authentizität des Schlüssels zu überprüfen kann man folgendermaßen vorgehen:

  1. Wenn Du den Schlüssel persönlich in die Hand bekommen hast und Du kennst die Person, ist die Sache eigentlich trivial: Du kannst sicher sein, daß der Schlüssel zu der Person und dessen email-Adresse gehört. Wenn Du nicht sicher bist, vergiß PGP bei der Kommmunikation mit diesem Kommunikationspartner ;-)
  2. Die überprüfst den Fingerabdruck/Fingerprint des öffentlichen Schlüssels, indem Du Deinen Kommunikationspartner anrufst und Dir diesen von ihm vorlesen läßt.
  3. Alternativ kann man der Fingerabdruck des öffentlichen Schlüssels vom Kommunikationspartner per email oder Brief verteilt werden, oder auf einer Webpage hinterlegt sein. Inwieweit man solchen Quellen vertraut, bleibt jedem selbst überlassen.

Traut man einen öffentlichen Schlüssel, dann kann man ihn mit seinem eigenen Schlüssel signieren, damit ist dieser Schlüssel gültig.

Signieren öffentlicher Schlüssel/Gültigkeit und Vertrauen

Gültigkeit/Validity

Ein öffentlicher Schlüssel hat zwei Attribute, die Gültigkeit/Validity und das Vertrauen/Trust. Beide drücken das Vertrauen in diesen öffentlichen Schlüssel aus. Wenn man den öffentlichen Schlüssel eines Kommunikationspartners mit dem eigenen signiert, so besitzt er die höchstmögliche Gültigkeit. Signieren sollte man öffentliche Schlüssel nur, wenn man sich über die Herkunft des öffentlichen Schlüssels und die Zugehörigkeit zur richtigen Identität absolut sicher ist.

Ist der öffentliche Schlüssel überhaupt nicht signiert, dann wird dieser öffentliche Schlüssel nicht als gültig angesehen.

Öffentliche Schlüssel können aber auch mit anderen Schlüsseln, die nicht Dir gehören signiert sein. Dann hängt die Gültigkeit des Schlüssels davon ab, wieviel Vertrauen Du dem Besitzer, der diesen Schlüssel signiert hat, als Signierer anderer Schlüssel entgegen bringst. Dies kannst Du selber über das Einstellen des Vertrauens/Trust bestimmen.

Es gibt prinzipiell zwei Möglichkeiten einen öffentlichen Schlüssel eines Kommunikationspartner zu signieren:

  1. exportierbar/exportable
  2. nicht exportierbar/non exportable

Wenn man den öffentlichen Schlüssel nicht exportierbar signiert, dann kann diese Signatur nicht gemeinsam mit dem öffentlichen Schlüssel an einen Schlüsselserver gesandt werden oder auf eine andere Weise mit diesem öffentlichen Schlüssel aus Deinem Schlüsselring exportiert werden. Dies ist dann interessant, wenn man nicht möchte, daß Andere sich auf diese Signatur verlassen.

Wird exportierbar signiert, dann ist Deine Signatur bei jeglicher Art des Exports des öffentlichen Schlüssels mit dabei.

Vertrauen/Trust

Man kann einem öffentlichen Schlüssel, auch ein gewisses Maß an Vertrauen entgegenbringen, daß er andere öffentliche Schlüssel gültig signiert. Das kann man selber über das Vertrauen/Trust einstellen.

Es gibt verschiedene Vertrauensstufen:

Das Vertrauen in einem öffentlichen Schlüssel kann man erst ändern, wenn der öffentliche Schlüssel gültig ist.

Mit nicht vertrauenswürdigen Schlüsseln signierte andere öffentliche Schlüssel werden nicht als gütig anerkannt. Ist ein anderer öffentlicher Schlüssel mit mindestens 21 teilweise vertrauenswürdigen Schlüsseln unterschrieben, dann wird dann dieser andere öffentliche Schlüssel als gültig anerkannt, genauso wie andere öffentliche Schlüssel die von 11 vertrauenswürdigen Schlüssel signiert sind.

Absolut vertrauenswürdige Schlüssel sind ein Spezialfall, für den Fall, daß man auch den privaten Schlüssel besitzt. Jeder Schlüssel, der mit diesem Schlüssel signiert wird ist automatisch gültig. Bei jedem Schlüsselpaar aus privaten und öffentlichen Schlüssel, das man selbst erzeugt, wird der öffentliche Schlüssel sofort mit dem privaten Schlüssel signiert und die Vertrauensstufe auf »absolut vertrauenswürdig/ultimate trusted« gesetzt.


  1. 1 Bei manchen Programmversionen ist die Anzahl der notwendigen vertrauenswürdigen Schlüssel bzw. die Anzahl der teilweise vertrauenswürdigen Schlüssel einstellbar.