Event Kurzinfo:
Tag:  Samstag 13. Mai 2006
Zeit: 10Uhr bis 18Uhr
Ort:  FH Brandenburg, Informatikzentrum
Web:  www.linuxinfotag-brb.de
Motto: "Freie Software macht Schule"
KSP:   18Uhr - nach den Vortraägen

KSP Kurzinfo:
Tag:  Samstag 13. Mai 2006
Zeit: 18h bis 19h
Raum: 224

Termine:
Mi 2006-05-10 23:59h Einsendung der SchluesselID an brandenburg2006-ksp(at)guckes.net
Fr 2006-05-13        Fertige Liste online.  Runterladen + ausdrucken,
                     und dann md5sum und sha1 berechnen und notieren.
Sa 2006-05-13 18:00h Key Signing Party bei Brandenburger Linux-Infotag
Mo 2006-05-15 ...... Schlüsselring aller teilgenommenen Schlüssel online

Anmeldung

Bitte schickt Euren öffentlichen Schlüssel an Sven Guckes brandenburg2006-ksp(at)guckes.net Deadline: Mittwoch, 10.Mai 2006, 23:59Uhr CEST

Subject: BLIT06 KSP - 12345678
To:      Sven Guckes <brandenburg2006-ksp(at)guckes.net>
Anhang:  12345678.asc

Bitte schreibt ein bischen Text dazu, zB:

hallo, sven!

anbei mein schluessel zur key signing party.

welche musik wird gespielt?  und
wer bringt eigentlich die kekse mit?

icke (newbie)

Bitte signiert diese Mail mit eurem Schlüssel, damit ich einen Anhaltspunkt dafür habe, ob ihr auch wirklich die Kontrolle über den Schlüssel habt. merci!

Beispiel für Mutt Benutzer

Sofern Ihr mutt verwendet kann dies zB von der shell wie folgt gemacht werden:

MYKEYID=0x57F77F09 # bitte eure eigene SchluesselID einsetzen!
export MYKEYID
gpg --export -a $MYKEYID > $MYKEYID.asc
echo ich komme ebenfalls | mutt -a $MYKEYID.asc -s "BLIT06 KSP - $MYKEYID" brandenburg2006-ksp@guckes.net

Thunderbird

ACHTUNG! Thunderbird ändert wegen der digitalen signature die delimiter-zeilen fuer den public key block, so dass sie eben nicht mehr automatisch erkennbar sind - sehr aergerlich!

Die Antwort

Wenn der Schlüssel erkannt werden kann so werde ich mit dem folgenden Subject antworten:

  Subject: BLIT06 KSP - 0x12345678 added

Schlüssel IDs, Fingerprints und Schlüsselbund

BLIT06-keys.txt [Day MMM DD HH:MM:SS CEST 2006]

Die aktuelle Liste der zur KSP angemeldeten Schlüssel - lange Version, dh mit Text zum Event, Feldern für die md5 und sha1 Summen, und fuer jeden Schlüssel die Grösse, Typ, Erzeugungsdatum, allen user IDs, dem Fingerabdruck (Fingerprint) und den check boxen für Identitätsprüfung und Fingerprint.

FILENAME

Das Schlüsselbund der teilgenommenen Schlüssel - für den direkten Import in das eigene Schlüsselbund.
Das gibt's natürlich erst *nach* der KSP! ;-)

Durchführung

Leiter: Sven Guckes      brandenburg2006-ksp(at)guckes.net
Helfer: ein Helfer wird noch gesucht.
Zeit:   hoffentlich *unter* einer Stunde.

(0) Materialien bereithalten: Ausdruck der Liste
    mit den Schluessel, User IDs und Fingerprints.
    Stift und  *gültigen* Ausweis.

(1) Überprüfung der Anwesenheit:
Der Leiter liest die Liste mit den Schlüsseln der Reihe nach vor,
jeweils die der Nummer, dann den Namen. (Laut und deutlich bitte!)
Der Besitzer des Schlüssels muss sich für alle vernehmlich melden.
Falls sich keiner innerhalb von 5 sekunden meldet, dann gilt derjenige
als abwesend.  Ansagen!  "Nummer 23, Vorname Nachname, fehlt."
Die Leute stellen sich dabei schon einmal in der genannten Reihenfolge
auf, damit zur Überprüfung die Ringmethode angewendet werden kann.
NoShows werden von der Liste gestrichen.
Zusätzliche Leute sollten sich danach ebenfalls melden, aber dann auch
hinten anstellen und genügend Ausdrucke ihres Fingerprints dabei haben.

Methode (1):
ID+FP - Überprüfung der Identität (ID) und der Fingerprints (FP):
Overheadprojektor
Pass auflegen, Listennummer und Namen nennen.
Pass gültig?
Fingerprint OK?
Signaturen nur zumailen oder hochladen?

Methode (2): Ring.
Reihe bilden - aneinandern vorbeilaufen.
Die Laufenden zeigen ihren Ausweis -
die Stehenden machen ihre Haekchen.

Beispiele

• Eigenen Schlüssel generieren
• PhotoID hinzufügen
• Schlüssel mit Fingerprint anzeigen
• Eigenen Schlüssel auf Keyserver hochladen
• Suche nach Schlüsseln auf einem Keyserver
• Schlüssel importieren
• Schlüsselbund importieren
• Schlüssel signieren
• Schlüsselsignatur zuschicken

Web of Trust

• Was sagt eine Unterschrift aus? Ist es grenzenloses Vertrauen in die Integrität des Schlüsselbesitzers? Oder lediglich die Aussage "der Besitzer hat wirklich den Namen und die Emailadresse, die zum Zeitpunkt der Überprüfung angegeben war"?
• Sollte man Personen mit abgelaufenem Ausweis von einer KSP ausschliessen?
• Sollte man nur jene (Schlüssel von) Personen signieren, deren Identität man zweifelsfrei kennt?
• Welche Aussage macht eine Signatur über die Art und Güte einer Überprüfung?
• Inwieweit kann man dem Ausweispapier überhaupt glauben, wenn man die Art der Papiere aus dem entsprechenden Land gar nicht kennt? Ist Biometrie hierfür eine Lösung?
• Sollte man auch prüfen, ob der Besitzer sich ein revoke certificate erstellt hat, um bei einer Kompromittierung des Schlüssel widerrufen zu können?
• Sollte das WOT nur Signaturen haben, die auf persönlichen Beziehungen beruhen?
• Verraten die Unterschriften dann nicht auch die persönlichen Beziehungen?
• Wie viele Arten von WOTs sollte es überhaupt geben?
• Wer kann eine Certification Agency (CA) erstellen? Wie glaubwürdig sind solche CAs eigentlich?
• Wie angreifbar sind Schlüsselserver bezüglich Spam?
• Wer überprüft eigentlich die Schlüsselserver?

Bitte diskutiert das ganze ausführlich und schreibt eure Erkenntnis in nicht mehr als 1000 Worten - und vergesst nicht da zu signieren. Der beste Aufsatz gewinnt einen Schlüssel mit freier Auswahl der UIDs, der von allen anderen unterschrieben werden kann. ;-)

Zitate