[osstreffen-discuss] Keysigning am Freitag?

Frank Brückner frank.brueckner@muenchen-mail.de
Di Jan 21 19:00:29 CET 2014


Hallo miteinander,

da hat ja die Podiumsdiskussion schon im Vorfeld begonnen :-)

 > dass irgendwer als erstes seine Assurer-Punktzahl ins Spiel bringt,  
die dazu geeignet sei, das an sich ganz gute Prinzip auszuhebeln und  
zu beschleunigen

Hmmm. Das kann ich mir kaum vorstellen. Es sind mindestens 2 separate  
Assurances notwendig. Das ist bereits die "Beschleunigung".
Aushebeln ? Wie ?

Mir persönlich gefällt an CAcert der Ansatz, das aus der OpenSource- 
Welt kommende Web-of-Trust mit dem hierarchischen PKI-Ansatz zu  
verbinden.
Die "Best Practices" des WoT + einige zusätzliche Regeln wurden in  
Policies niedergelegt. Dem Assurer gibt man ein Handbuch mit auf den  
Weg.
Das so angereicherte WoT fungiert aus PKI-Sicht als Registration- 
Authority.

Der Anwender kann sich dann X.509-Client- und/oder Server-Zerifikate  
ausstellen oder auch seinen PGP Public Key signieren lassen.

Bis Freitag,
Frank

P.S.: War schön, mal wieder was von Dir zu hören, Hugi ...

--

Am 21.01.2014 um 11:33 schrieb Nils Magnus:

> Hallo,
>
> Am 21.01.2014 08:29, schrieb Andreas:
>> Am 21.01.2014 01:37, schrieb Nils Magnus:
>>> Das geht in meinen Augen in Richtung dieses kranken CaCert- 
>>> Prinzips, bei
>>> dem man erst mal in einer Art verteilten Rollenspiel möglichst viele
>>> Gummipunkte sammeln muss, um dann als Obermacker zu gelten. Mit  
>>> Security
>>> hat das aber rein gar nichts zu tun.
>>
>> Etwas hart, sei's drum. Jeder wie er kann und will. Aber lassen wir  
>> mal
>> die Rollenspiele der Gummipunkte sammelnden Obermacker beiseite, was
>> bleibt dann?
>
> Ich möchte mich für meine Wortwahl entschuldigen. Die war nicht  
> angemessen.
>
>> Ein Mensch der bereits Teil eines Vertrauensnetzwerks (X) ist,  
>> überprüft
>> die Identität eines potenziellen Teilnehmers an X  basierend auf der
>> amtlichen Foto-ID des Interessenten. Resultat: Daumen rauf oder  
>> runter.
>
> Ja, das ist eine gute Zusammenfassung.
>
> Die Verwirrung kommt wohl daher, dass es bei GPG meistens um die  
> Technik geht, die nach allen Expertenmeinungen solide ist, sich aber  
> schwer bedienen lässt.
>
> Bei CaCert geht es meistens um organisatorische Abläufe, bei der  
> Technik verlässt man sich auf (ebenfalls weitestgehend grundsolide)  
> bestehende Technik, nämlich X.509v3-Zertifikate und die damit  
> verbundenen Kryptoalgorithmen.
>
> Bei den organisatorischen Abläufen stelle ich leider immer wieder  
> eine gewisse Diskrepanz fest: Einerseits werden Ausweise teilweise  
> akribischst geprüft, auch wenn der Inhaber seit langem auf anderem  
> Wege von Person bekannt ist. Andererseits erlebe ich praktisch jedes  
> Mal, wenn auf irgendeiner Liste das Thema CaCert aufkommt, dass  
> irgendwer als erstes seine Assurer-Punktzahl ins Spiel bringt, die  
> dazu geeignet sei, das an sich ganz gute Prinzip auszuhebeln und zu  
> beschleunigen. Daher meine Skepsis der Sache gegenüber.
>
> Ich habe das Problem mal in einem längeren Artikel ausführlich  
> skizziert:
>
>    http://www.linux-magazin.de/Ausgaben/2010/12/Jaeger-und-Sammler
>
> Regards,
>
> Nils Magnus
> -- 
> Director LinuxTag e. V.
> Visit LinuxTag May 8 - 10, 2014 at STATION-Berlin, Germany
>
> -- 
> Abmelden und Archiv: https://lists.frodev.org/mailman/listinfo/opensourcetreffen-discuss
> Tipps zu Listenmails: http://wiki.documentfoundation.org/Netiquette/de
> Alle E-Mails an diese Liste werden unlöschbar öffentlich archiviert
>




Mehr Informationen über die Mailingliste discuss