Willkommen im User-Forum von mailbox.org
 

HKP Keyserver?

4684228 hat dies geteilt, 3 Jahren her
erledigt

Wenn man das Mailbox.org Webinterface mit dem Guard benutzt, dann werden die PGP Schlüssel von anderen Mailboxern automatisch gefunden - nett.


Ich verwende Thunderbird und kann oft keine PGP Schlüssel von Mailboxern auf Keyservern oder ä. finden, obwohl im Webinterface ein Schlüssel gefunden wird.


Könntet ihr die Guard Schlüssel auch den Usern zur Verfügung stellen, die das Webinterface nicht verwenden, sondern einen E-Mail Client.


Ich weiß, was ein HKP Server ist und wie man ihn mit Thunderbird verwendet, aber welcher Keyserver kennt die Schlüssel der Mailboxer?

Kommentare (13)

Foto
1

Ich hatte dazu just eben eine halbstündige Telco und führe jeden Tag Gespräche dazu. Wir treffen hier gerade ein paar Entscheidungen und melden uns alsbald zu dem Thema zurück.

Foto
1

Wir haben unseren HKP-Keyserver am 30. Mai 2016 online geschaltet:

https://support.mailbox.org/knowledge-base/article/der-mailbox-org-hkps-keyserver

Foto
1

Ich nutze im Guard ein auf dem Server erzeugtes Schlüsselpaar. Lieber wäre mir natürlich, dass mein Gegenüber mein (wirklich privates SmartCard-)Schlüsselpaar nutzt und somit eine Ende-zu-Ende-Verschlüsselung gegeben ist - auch wenn der Guard eine grandiose Lösung für diejenigen ist, die das nicht wollen oder können.


Habe ich die Möglichkeit, die Publikation meines Guard-Schlüssels zu verhindern und so sicherzustellen, dass er nur im Guard zum Einsatz kommt und nicht aus Versehen auch von Personen genutzt wird, die von ihm wirkliche Ende-zu-Ende-Verschlüsselung erwarten?

Foto
1

Hmmm - bisher wurden alle public Keys im Guard allen mailbox.org Nutzern zur Verfügung gestellt. Das war kein Problem?


Jetzt wurde durch den Keyserver der Bereich der Nutzer etwas erweitert und das ist plötzlich ein Problem? Verstehe ich nicht.


By the way: Das der Guard die Schlüssel von Smartcards nicht unterstützt, ist auch für mich ärgerlich, liegt aber möglicherweise nicht am Guard sondern an der verwendeten Crypto-Lib BouncyCastle (siehe Headerline von einer verschlüsselten Mail).

Foto
1

Bisher war es so, dass die Keys im Guard von denjenigen genutzt wurden, die ohnehin keine Ahnung haben, wie man eigentlich an Keys herankommt und die ihn auch nicht aus dem Guard exportiert und in ihre lokale Installation importiert haben.


In Zukunft ist es so, dass auch diejenigen, die sich mit Schlüsselservern auskennen, an meinen Key aus dem Guard herankommen und ihn sich einfach lokal speichern können. Wenn jemand diese Mühe auf sich nimmt, wäre es mir aber viel lieber, er würde gleich den Key nehmen, der bis auf mein Endgerät verschlüsselt und nicht nur bis auf den Server.


Denn wer lokal PGP betreibt, der hat mir wahrscheinlich auch etwas zu erzählen, das meinen gut gehüteten privaten Schlüssel auf meiner Smartcard verdient. (Weil aber so jemand ohnehin mit mir den Schlüssel prüfen würde, bleibt es ein eher theoretisches Problem und die Einordnung von Peer als "etwas entferntere Anforderung" ist völlig angemessen.)


Was den Guard angeht, befindet der sich in guter Gesellschaft. Die Deutsche Telekom beispielsweise, die ihre Rechnungen auch per PGP verschickt, wenn man seinen public key hinterlegt, nutzt Cryptix OpenPGP 0.20050418 - und der kann auch nicht den korrekten subkey auswählen (und wird nicht mehr weiterentwickelt). Aber immerhin kann Cryptix mit einem Schlüssel umgehen, der nur noch einen einzelnen subkey (nämlich den encryption subkey) enthält und damit korrekt verschlüsseln. Muss man halt händisch eine Schlüsselkopie erstellen und die anderen subkeys herauslöschen.

Foto
Foto
1

Nein, das ist nicht möglich. Alle Keys vom Guard werden publiziert.


Niemand zwingt Dich einen privaten Key auf den Guard zu laden; wer "wirkliches Ende-zu-Ende" will der darf den Private Key im Guard nicht benutzen oder gar nicht erst hochladen.

Foto
1

Die Idee dazu war, mit zwei öffentlichen Schlüsseln zu verschlüsseln, wie in https://support.mailbox.org/knowledge-base/article/hat-absender-oder-mailbox-org-verschluesselt angeregt. Das ist ja erstmal eine gute Idee und vereint die hinreichende Sicherheit und den Komfort des Guards mit der hohen Sicherheit des eigenen Keys auf der SmartCard (und sorgt insbesondere auch dafür, dass man den Guard-Key nicht lokal importieren muss, weil man dort ja die SmartCard hat), wird aber leider durchbrochen, wenn auf einmal Dritte den weniger stark geschützten Guard-Key nutzen.

Foto
2

Wir haben die Idee Keys vom Guard vom HKP zu sperren diskutiert, sind aber zu dem Schluß gekommen, dßa das zu komplex wird und den Rahmen des möglichen sprengt. Und es muß auch noch benutzbar bleiben.


Wir haben das als etwas entferntere Anforderung auf der Featureliste und werden immer wieder prüfen, ob die Zeit für sowas reif ist und man das noch einbaut. Aktuell kurzfristig ist das aufgrund des Aufwandes nicht möglich.

Foto
1

Habe ich das richtig verstanden, dass der mailbox.org hkp Keyserver nur die public Keys anbietet die mit Guard verwaltet werden?

Gibt es auch eine Möglichkeit richtige Ende zu Ende pgp Schlüssel dort zu veröffentlichen ohne Guard zu verwenden?

Foto
2

Ja, im Gegensatz zu anderen Keyservern kann man über den mailbox.org nur die verifizierten Schlüssel der Guard-Nutzer finden. Es ist damit nicht möglich, das Dritte einen Fake-Key für Ihre Mailadresse auf unserem Keyserver veröffentlichen, wie es bei anderen Keyserver üblich ist.


Um Ihren Schlüssel dort zu veröffentlichen müssen Sie den Guard aktivieren (aber nicht nutzen). Nachdem Sie den Guard aktiviert haben, können Sie das automatisch generierte Schlüsselpaar durch Ihren eigenen public Key ersetzen (nur den public Key hochladen ist möglich). Dieser wird dann allen mailbox.org Nutzern im Webinterfache und über den Keyserver zu Verfügfung gestellt.


Sie müssen den Guard also selbst nicht benutzen, nur aktivieren und für die Keyverteilung verwenden geht auch.

Foto
Foto
1

Kann man mittlerweile verhindern, dass der Guard automatisch generierte Schlüssel auf dem mailbox.org HKPS-Keyserver veröffentlicht?


Was passiert im übrigen, wenn ich Schlüssel in den Guard importiere. Kann ich dann im Anschluss die automatisch generierten Schlüssel vom HKPS-Keyserver entfernen lassen?

Foto
1

Der als "aktive" gesetzte Schlüssel wird vom Guard Keyserver veröffentlicht. Das kann man nicht verhindern, es ist Teil des Konzeptes.


Wenn Sie einen eigenen Key hochladen, dann sollte nur dieser Schlüssel vom Keyserver veröffentlicht werden. Der vom Gurad ertsellte Schlüssel sollte dann nicht mehr auf dem Keyserver angeboten werden.

Foto
1

Für mich wird aktuell auch weiterhin nicht nur der aktive Schlüssel auf dem Keyserver veröffentlicht (habe "zwei" Schlüssel im Guard hinterlegt: ein im Guard generiertes Schlüsselpaar und den public key meines eigenen Schlüsselpaares).

Selbst wenn ich die Schlüssel entferne und neu hinzufüge: Es bleiben beide Schlüssel veröffentlicht (bzw. verschwinden sie natürlich, wenn sie gelöscht wurden, aber tauchen beide dann wieder auf).

Foto