Abo
  • IT-Karriere:

OpenPGP: GnuPG verwirft Signaturen von Keyservern

Nach mehreren Angriffen auf OpenPGP-Schlüssel auf Schlüsselservern zieht GnuPG die Reißleine und akzeptiert keine Signaturen mehr von diesen. Damit dürfte sich auch das Web of Trust erledigt haben.

Artikel veröffentlicht am ,
GnuPG nun ohne Schlüsselsignaturen von Schlüsselservern
GnuPG nun ohne Schlüsselsignaturen von Schlüsselservern (Bild: Capri23auto/Pixabay)

Mit der am 9. Juli veröffentlichten Version 2.2.17 ignoriert die Verschlüsselungssoftware standardmäßig alle von Keyservern erhaltenen Schlüsselsignaturen. Die Entwickler begegnen damit Denial-of-Service-Angriffen (DoS) durch massenhaftes Hinzufügen von Schlüsselsignaturen.

Stellenmarkt
  1. Dr. Fritz Faulhaber GmbH & Co. KG, Schönaich
  2. regiocom SE, Magdeburg

Hintergrund der Entscheidung sind vermehrte Angriffe auf die PGP-Keyserver auf Basis der Software SKS. Dort können beliebige Schlüssel hochgeladen werden, die die Server untereinander austauschen. So lassen sich nicht nur Schlüssel für beliebige Mailadressen und Personen hochladen, sondern auch Signaturen zu bestehenden Schlüsseln hinzufügen. Ein Schlüsselserver kann mit bis zu 150.000 solcher Schlüsselsignaturen umgehen, GnuPG allerdings nicht. Wird ein solcher Schlüssel heruntergeladen und importiert, wird die lokale GnuPG-Installation überlastet und stürzt ab. Erst kürzlich wurden auf diese Weise die Schlüssel von zwei aktiven Entwicklern aus der OpenPGP-Community unbrauchbar und schädlich gemacht.

Bye, bye Web of Trust

Die Entscheidung dürfte auch eine Abkehr vom Web of Trust bedeuten. Die Idee dahinter ist, dass die Nutzer ihre Schlüssel gegenseitig signieren und damit indirekt deren Echtheit bestätigen. Diese werden auf die Schlüsselserver hochgeladen und lassen sich - wie der Schlüssel selbst - nie wieder löschen. Bei den Angriffen auf die Schlüssel der beiden Entwickler adressiert ein Kommentar das dahinterliegende Problem für die Privatsphäre: "Sobald SKS-Keyserver geächtet werden, werden PGP-Nutzer mehr Privatsphäre haben."

Seit dem 12. Juni läuft ein neuer Keyserver auf anderer Softwarebasis. Er soll dem Problem begegnen, dass beliebige Daten hochgeladen und verteilt werden können, indem die Mailadressen der Nutzer geprüft werden. Außerdem können sich mit der verifizierten Mailadresse zugehörige Schlüssel löschen lassen.



Anzeige
Spiele-Angebote
  1. (-78%) 11,00€
  2. (-12%) 52,99€
  3. 3,99€
  4. (-80%) 6,99€

bw71236196231 12. Jul 2019

Ich bin deiner Meinung bzgl. PGP. Es ist immer wieder zu beobachten, dass das Konzept...

YarYar 11. Jul 2019

Dann musst du halt selbst signieren. Lokal, ohne keyserver.


Folgen Sie uns
       


Sonos Move ausprobiert (Ifa 2019)

Wir haben den Move ausprobiert, Sonos' ersten Lautsprecher mit Akku, Bluetooth-Zuspielung und Auto-Trueplay.

Sonos Move ausprobiert (Ifa 2019) Video aufrufen
Ryzen 7 3800X im Test: Der schluckt zu viel
Ryzen 7 3800X im Test
"Der schluckt zu viel"

Minimal mehr Takt, vor allem aber ein höheres Power-Budget für gestiegene Frequenzen unter Last: Das war unsere Vorstellung vor dem Test des Ryzen 7 3800X. Doch die Achtkern-CPU überrascht negativ, weil AMD es beim günstigeren 3700X bereits ziemlich gut meinte.
Ein Test von Marc Sauter

  1. Agesa 1003abba Microcode-Update taktet Ryzen 3000 um 50 MHz höher
  2. Agesa 1003abb Viele ältere Platinen erhalten aktuelles UEFI für Ryzen 3000
  3. Ryzen 5 3400G und Ryzen 3 3200G im Test Picasso passt

Acer Predator Thronos im Sit on: Der Nerd-Olymp
Acer Predator Thronos im Sit on
Der Nerd-Olymp

Ifa 2019 Ob wir es nun den eisernen Thron oder den Sitz der Götter nennen: Der Predator Thronos von Acer fällt auf dem Messestand des Herstellers schon auf. Golem.de konnte den skurrilen Stuhl ausprobieren. Er ist eines Gaming-Kellers würdig.
Ein Hands on von Oliver Nickel

  1. Nitro XV273X Acer baut ersten Monitor mit IPS-Panel und 240 Hz
  2. Acer Beim Predator-Notebook fährt die Tastatur wie eine Rampe aus
  3. Geräte für Mediengestalter Acer gibt Verfügbarkeit der Concept-D-Laptops bekannt

Manipulierte Zustimmung: Datenschützer halten die meisten Cookie-Banner für illegal
Manipulierte Zustimmung
Datenschützer halten die meisten Cookie-Banner für illegal

Nur die wenigsten Cookie-Banner entsprechen den Vorschriften der DSGVO, wie eine Studie feststellt. Die Datenschutzbehörden halten sich mit Sanktionen aber noch zurück.
Ein Bericht von Christiane Schulzki-Haddouti

  1. Chrome & Privacy Google möchte uns in Zukunft anders tracken
  2. Tracking Google und Facebook tracken auch auf vielen Pornoseiten
  3. Android Apps kommen auch ohne Berechtigung an Trackingdaten

    •  /