Vorbereitung zum Keysigning-Event
Donnerstag, 19. Juni 2003, 19.00 Uhr, Rest. Beaulieu, Bern
Wie schon verschiedentlich angekuendigt, findet am naechsten Off-Event vom 19.6. nach
dem Vortrag ueber "GPG-Handling und -Integration in verschiedene Applikationen" die
1. LugBE GPG Keysigning Party statt.
GPG (gnupg, Gnu Privacy Guard) ist die Open-Source-Implementation von PGP (Pretty
Good Privacy), einem Public-Key-Verfahren, das hauptsaechlich zur Verschluesselung
und zum faelschungssicheren Unterschreiben von Mails verwendet wird. (Man kann damit
aber auch Dateien auf der Festplatte verschluesselt ablegen oder sie so verschluesseln,
dass nur ein einziger Empfaenger sie lesen kann.)
Ziel der Party ist es, dass die Teilnehmer/innen gegenseitig ihre GPG-Keys austauschen.
Diese (Public) Keys braucht man, wenn man jemandem eine verschluesselte Information
schicken will, oder eine angebliche Unterschrift ueberpruefen.
Der Name "Keysigning Party" ist insofern etwas irrefuehrend, als das eigentliche
"Signing", also das Signieren der jeweils anderen Schluessel, gar nicht dort an
dem Event passiert, sondern spaeter, zuhause. Dort laedt sich jede/r dann die Keys
der jeweils anderen Teilnehmer von dem oeffentlichen Keyserver (auf den sie natuerlich
vorher exportiert werden sollten ;-) und ueberprueft sie vor dem eigentlichen Signieren
anhand der Angaben, die er/sie an der Keysigning Party mitgenommen hat. Danach wird der
Key wieder zurueck auf den Server geladen - je mehr das tun, desto "vertrauenswuerdiger"
ist ein solcher Schluessel.
Wer schon mit GPG (gnupg) o.ä. arbeitet, kennt das folgende Prozedere wohl zum Großteil
schon. Fuer die, die das noch nicht tun und noch keinen eigenen Schluessel haben, ist
die untenstehende Anleitung gedacht. Wer schon einen Schluessel hat, muss ihn natuerlich
nicht neu erzeugen; exportiert muss er aber sein. Und was auch unumgaenglich ist: Jede/r
Teilnehmer/in muss den Fingerprint seines/ihres Keys VORHER an den Koordinator der Party schicken,
in diesem Fall bin das ich: markus at wernig.net. (Fuer die, die's interessiert: Key-ID CA558BF7,
FP: CBEA 7BFF 436C 14B4 73DB 6C6B F015 FF77 CA55 8BF7)
Also: unten findet ihr eine Schirtt-fuer-Schritt-Anleitung zum Key-Signing-Event. Bei
Fragen wendet euch bitte an die Liste lugbe at lugbe.ch, so bekommen alle die Fragen und
Antworten mit.
Am liebsten ist mir natuerlich, wenn ihr euch sofort an die Arbeit macht :-) Deadline
zum Einschicken der Fingerprints ist aber auf jeden Fall DIENSTAG, 17. JUNI 2003.
bis bald
/markus
--- BEGIN TUTORIAL ---
Voraussetzungen:
- gnupg (www.gnupg.org)
- evtl. Internetzugang (f. Mail und Schlüssel-Upload)
1) Jeder Teilnehmer, der noch keinen hat, erstellt ein eigenes Key-Pair
mittels
# gpg --gen-key
und den dabei durchlaufenen Fragen. Keysize 2048.
# gpg --list-secret-keys
liefert danach Angaben zum gerade erzeugten Key.
z.B.:
sec 1024D/C01BAFC3 2000-09-21 Demo User <demo@nonexistent.nowhere>
ssb 2048g/7A4087F3 2000-09-21
Bei Bedarf koennen weitere Email-Adressen in den Key aufgenommen werden.
Dies mit dem Kommando
# gpg --edit-key <Key-ID>
(Key-ID waere in diesem Fall C01BAFC3)
Command> adduid
[...]
Command> save
2) Der Public Key wird daraufhin auf einen der oeffentlichen Keyserver
uebertragen. Wir verwenden per default folgenden Keyserver:
wwwkeys.ch.pgp.net
Das Kommando lautet danach:
# gpg --keyserver wwwkeys.ch.pgp.net --send-key <Key-ID>
(Key-ID waere in diesem Fall wieder C01BAFC3). Dies setzt natuerlich
voraus, dass gerade Internet-Connectivity besteht.
3) Jetzt braucht ihr nur mehr den sog. Fingerprint eures Keys zu
ermitteln und an den Koordinator der Keyparty zu schicken:
# gpg --fingerprint <Key-ID>
gibt den Fingerprint aus. Diesen schickt ihr dann an markus at wernig.net.
mit dem Hinweis, dass ihr an der Key-Signing-Party teilnehmen
wollt (Bitte nicht im BCC, sonst landet ihr im Spam-Filter :-)
4) Am 19. Juni 2003 findet die Key-Signing-Party im Anschluss an einen
kurzen GPG-Handling-Vortrag im Beaulieu statt.
Mitzunehmen sind:
- Fingerprint und Key-ID (am besten ausgedruckt)
- Pass/ID
5) An der Party selbst geht's dann wie folgt:
a) Der Koordinator verteilt an alle Teilnehmer/innen eine ausgedruckte
Liste mit den Namen, Email, Fingerprints und Key-ID aller
Teilnehmer/innen.
b) Jede/r ueberprueft, ob seine/ihre Angaben darauf richtig sind
c) Jede/r einzelne wird aufgerufen, seinen/ihren Key vorzulesen und sich
zu authentisieren (entweder durch andere, die ihn/sie kennen, oder mit
Pass/ID)
d) Jede/r ueberprueft auf seinem Blatt, ob der vorgetragene Key dem auf
dem Papier entspricht, die Person authentisiert ist und hakt die "guten"
ab
6) Zu Hause dann gehts irgendwann weiter:
Einzeln werden jetzt die Public Keys der Teilnehmer/innen vom Keyserver
heruntergeladen:
# gpg --keyserver wwwkeys.ch.pgp.net --recv-keys <Andere-Key-ID>
(Die Andere-Key-ID ist jeweils auf der Liste, auf der man an der
Key-Signing-Party die Keys und Identitaeten gecheckt und abgehakt hat.)
Dann wird der Fingerprint ueberprueft:
# gpg --fingerprint <Andere-Key-ID>
Die Ausgabe dieses Kommandos MUSS mit dem Fingerprint auf der Checkliste
uebereinstimmen!!
Wenn das so ist, kann man den Key mittels
# gpg --sign-key <Andere-Key-ID>
signieren. Dabei kann man getrost angeben, dass man die Identitaet des
Besitzers eingehend geprueft hat und den Key als "exportable"
deklarieren.
Anschließend muss noch der signierte Public Key zurueck auf den
Keyserver uebertragen werden:
# gpg --keyserver wwwkeys.ch.pgp.net --send-key <Andere-Key-ID>
Dieses Vorgehen (recv-keys -> fingerprint -> sign -> send-key)
wiederholt man jetzt fuer alle Teilnehmer/innen.
Wenn das alle gemacht haben, haben wir dann
7) unser eigenes schoenes "Web of Trust"
und koennen verschluesselt und signiert in der Gegend herummailen, ohne
dass uns irgendjemand dabei ueber die Schulter schauen oder Mails
faelschen kann. Und das ist doch schon mal ein Anfang, oder ?!
Die Ideen zu diesem Vorgehen stammen uebrigens von
http://www.cryptnet.net/fdp/crypto/gpg-party.html, wo noch weitere
Anregungen zum Thema zu finden sind.
--- END TUTORIAL ---
Webmaster at lugbe.ch
Die Artikel dieser Seite stehen unter Copyleft ihrer jeweiligen Autor*innen.
Ihre Nutzung, Wiedergabe etc. untersteht den Bedingungen der GNU Free Documentation License (http://www.gnu.org/copyleft/fdl.html), wo nicht explizit anders vermerkt.
|