Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Web Key Service: OpenPGP-Schlüssel…

Dem Einbrecher das Werkzeug geben

  1. Thema

Neues Thema Ansicht wechseln


  1. Dem Einbrecher das Werkzeug geben

    Autor: derh0ns 09.09.16 - 21:41

    Wäre denke ich mal die passende Metapher, der Mailprovider ist der erste vor dem ich den Content verstecken, daher ist es doch nur logisch ihm nicht das Vertrauen zu schenken, dass er die möglichkeit nicht ausnutzt.

  2. Re: Dem Einbrecher das Werkzeug geben

    Autor: RipClaw 09.09.16 - 23:41

    derh0ns schrieb:
    --------------------------------------------------------------------------------
    > Wäre denke ich mal die passende Metapher, der Mailprovider ist der erste
    > vor dem ich den Content verstecken, daher ist es doch nur logisch ihm nicht
    > das Vertrauen zu schenken, dass er die möglichkeit nicht ausnutzt.

    Wenn du dem Mailprovider nicht traust musst du nicht diese Form vom Schlüsseltausch nutzen. Du kannst auch über andere Kanäle deinen Public Key verbreiten.

    Und wenn alle Stricke reißen kannst du immer noch deinen eigenen Mailserver betreiben.

  3. Re: Dem Einbrecher das Werkzeug geben

    Autor: Vanger 09.09.16 - 23:48

    Der Vorschlag von Werner Koch hat, zumindest wenn man ihn insoweit abändert, dass nur noch HTTPS und keine krude Kombination aus HTTPS für Key Retrieval und E-Mails für Key Submission verwendet wird (siehe https://forum.golem.de/kommentare/security/web-key-service-openpgp-schluessel-ueber-https-verteilen/warum-submission-nicht-auch-ueber-https/103571,4598329,4598329,read.html#msg-4598329), den Vorteil, dass man dem Mailprovider gar nicht vertrauen muss - zumindest unter bestimmten Bedingungen. (Darauf hat mich übrigens dein Beitrag gebracht...)

    Nehmen wir mal an ich hätte ein Mailkonto bei GMX, meine Adresse ist max-mustermann@gmx.de. Der Vorschlag von Werner Koch sieht nun vor, dass unter https://gmx.de/.well-known/… mein OpenPGP-Key abgerufen werden kann. Du hast nun natürlich vollkommen Recht wenn du sagst, dass ich dafür GMX insoweit vertrauen muss, dass sie unter dieser Adresse keine falschen Public Keys ausliefern und damit meine E-Mails fälschen und mitlesen. Absolut gerechtfertigte Kritik!

    Entscheidend beim Vorschlag von Werner Koch ist nun aber, dass die URL nirgends (z.B. im ohne DNSSEC sehr einfach zu manipulierenden DNS) veränderbar und damit manipulierbar ist, sondern sie sich zwingend aus dem Domainnamen der E-Mail-Adresse ergibt. Denn: Was passiert wenn ich meine eigene Domain max-mustermann.de verwende? GMX erlaubt es mir (zumindest gab es das früher mal) meine eigene Domain zu verwenden. Meine E-Mail-Adresse lautet dann mail@max-mustermann.de, mein Mailprovider aber bleibt GMX und es ändert sich ansonsten nichts gegenüber max-mustermann@gmx.de. Was sich ändert ist die Adresse zum Abruf der OpenPGP-Keys: diese ist nun https://max-mustermann.de/.well-known/…

    Die Domain ist unter meiner Kontrolle. GMX ist lediglich insoweit beteiligt, dass ich einen MX RR im DNS anlege der auf die Mailserver von GMX verweist. Die Domain selbst verweist auf einen beliebigen Webhoster auf dem ich meine Schlüssel ablege - und dort sind sie unter meiner Kontrolle. Das wäre insoweit eine sichere Lösung, da es allem voran darum geht, dass ein Angreifer (und der Mailprovider könnte so ein Angreifer sein) nicht sowohl Transportweg als auch Schlüssel unter seine Kontrolle bekommt. Hat er nur eines davon, kann er nichts tun.

    Wenn du richtig paranoid bist könntest du die Domain auch mittels eines CNAME RR im DNS auf eine Adresse eines beliebigen DynDNS-Anbieters verweisen lassen. Dadurch landet man beim Abruf von https://max-mustermann.de/.well-known/… bspw. auf einem bei dir zuhause stehenden Raspberry Pi. Die Schlüssel wären dann auch physisch unter deiner Kontrolle.

    Der Vorschlag von Werner Koch öffnet sich zum Zweck der einfachen Bedienung gegenüber Angriffen durch den Mailprovider - was wir aber mit minimalen Zusatzaufwand verhindern können.

    Offenbar ist Werner Kochs Vorschlag doch eine weit bessere Diskussionsgrundlage (mehr ist der RFC ausdrücklich übrigens nicht!) als auf den ersten Blick gedacht...

  4. Re: Dem Einbrecher das Werkzeug geben

    Autor: ikhaya 10.09.16 - 08:29

    Vanger schrieb:
    --------------------------------------------------------------------------------

    > Der Vorschlag von Werner Koch öffnet sich zum Zweck der einfachen Bedienung
    > gegenüber Angriffen durch den Mailprovider - was wir aber mit minimalen
    > Zusatzaufwand verhindern können.

    Egal ob der Key aus einem Webservice, aus einer E-Mail oder aus dem DNS stammt,
    den Fingerprint sollte man weiterhin abgleichen.

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. Meierhofer AG, München
  2. OSRAM GmbH, Berlin
  3. Cegeka Deutschland GmbH, Flughafen Frankfurt
  4. Conergos, München

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Hardware-Angebote


Haben wir etwas übersehen?

E-Mail an news@golem.de


5G-Report: Nicht jedes Land braucht zur Frequenzvergabe Auktionen
5G-Report
Nicht jedes Land braucht zur Frequenzvergabe Auktionen

Die umstrittene Versteigerung von 5G-Frequenzen durch die Bundesnetzagentur ist zu Ende. Die Debatte darüber, wie Funkspektrum verteilt werden soll, geht weiter. Wir haben uns die Praxis in anderen Ländern angeschaut.
Ein Bericht von Stefan Krempl

  1. Testlabor-Leiter 5G bringt durch "mehr Antennen weniger Strahlung"
  2. Sindelfingen Mercedes und Telefónica Deutschland errichten 5G-Netz
  3. iPhone-Modem Apple will Intels deutsches 5G-Team übernehmen

Ocean Discovery X Prize: Autonome Fraunhofer-Roboter erforschen die Tiefsee
Ocean Discovery X Prize
Autonome Fraunhofer-Roboter erforschen die Tiefsee

Öffentliche Vergaberichtlinien und agile Arbeitsweise: Die Teilnahme am Ocean Discovery X Prize war nicht einfach für die Forscher des Fraunhofer Instituts IOSB. Deren autonome Tauchroboter zur Tiefseekartierung schafften es unter die besten fünf weltweit.
Ein Bericht von Werner Pluta

  1. JAB Code Bunter Barcode gegen Fälschungen

Vernetztes Fahren: Wer hat uns verraten? Autodaten
Vernetztes Fahren
Wer hat uns verraten? Autodaten

An den Daten vernetzter Autos sind viele Branchen und Firmen interessiert. Die Vorschläge zu Speicherung und Zugriff auf die Daten sind jedoch noch nebulös. Und könnten den Fahrzeughaltern große Probleme bereiten.
Eine Analyse von Friedhelm Greis

  1. Neues Geschäftsfeld Huawei soll an autonomen Autos arbeiten
  2. Taxifahrzeug Volvo baut für Uber Basis eines autonomen Autos
  3. Autonomes Fahren Halter sollen bei Hackerangriffen auf Autos haften