HowTo GnuPG/Extrakt - Versionsgeschichte

Wir speichern nicht!: typo im ersten Satz

2010-06-30T20:59:44Z

typo im ersten Satz

Peu: Quelle im ersten Satz, Sinn der Kopier immer noch etwas fragwürdig ...

2008-09-07T19:40:04Z

Quelle im ersten Satz, Sinn der Kopier immer noch etwas fragwürdig ...

Peu: /* Weblinks */ war eventuell Kat. Berlin gemeint?

2008-09-07T19:35:13Z

Weblinks: war eventuell Kat. Berlin gemeint?

Peu: /* Signieren und Signaturen prüfen */ +Weblinks

2008-09-07T19:34:30Z

Signieren und Signaturen prüfen: +Weblinks

Peu: /* Keyserver benutzen */ ext. Link

2008-09-07T19:33:29Z

Keyserver benutzen: ext. Link

Peu: /* Verschlüsseln */ interner link

2008-09-07T19:32:30Z

Verschlüsseln: interner link

Peu: /* Entschlüsseln */ wikifizieren (Absatzgrenze war untergegangen)

2008-09-07T19:30:46Z

Entschlüsseln: wikifizieren (Absatzgrenze war untergegangen)

Peu: /* Exportieren */ code-box "zu groß"

2008-09-07T19:28:21Z

Exportieren: code-box "zu groß"

Peu: wikifiziert...

2008-09-07T19:27:41Z

wikifiziert...

Peu: wikifizieren...

2008-09-07T19:23:59Z

wikifizieren...

← Nächstältere Version		Version vom 30. Juni 2010, 20:59 Uhr
Zeile 1:		Zeile 1:
−	Dieser Extrakt ist ein Auszug des des Textes [http://www.gnupg.org/howtos/de/GPGMiniHowto.html "Gnu Privacy Guard" von Michael Fischer v. Mollard] und ~~würde~~ überarbeitet von [[Benutzer:Juergen\|Juergen]]	+	Dieser Extrakt ist ein Auszug des des Textes [http://www.gnupg.org/howtos/de/GPGMiniHowto.html "Gnu Privacy Guard" von Michael Fischer v. Mollard] und wurde überarbeitet von [[Benutzer:Juergen\|Juergen]]

	== Umgang mit Schlüsseln ==		== Umgang mit Schlüsseln ==

← Nächstältere Version		Version vom 7. September 2008, 19:40 Uhr
Zeile 1:		Zeile 1:
−	~~Dieses~~ Extrakt ist ein Auszug des des Textes "Gnu Privacy Guard" von Michael Fischer v. Mollard und würde überarbeitet von [[Benutzer:Juergen\|Juergen]]	+	Dieser Extrakt ist ein Auszug des des Textes [http://www.gnupg.org/howtos/de/GPGMiniHowto.html "Gnu Privacy Guard" von Michael Fischer v. Mollard] und würde überarbeitet von [[Benutzer:Juergen\|Juergen]]

	== Umgang mit Schlüsseln ==		== Umgang mit Schlüsseln ==

← Nächstältere Version		Version vom 7. September 2008, 19:35 Uhr
Zeile 95:		Zeile 95:
	[[Kategorie:HowTo]]		[[Kategorie:HowTo]]
	[[Kategorie:Sichere Kommunikation]]		[[Kategorie:Sichere Kommunikation]]
−	~~[[Kategorie:Ortsgruppe Berlin]]~~

@@ Zeile 90: / Zeile 90: @@
 immer natürlich vorausgesetzt, dass man im Besitz des entsprechenden öffentlichen Schlüssels ist.
 [[Kategorie:HowTo]]
 [[Kategorie:Sichere Kommunikation]]
 [[Kategorie:Ortsgruppe Berlin]]

@@ Zeile 50: / Zeile 50: @@
 Anhand der Unterschriften und des ‘ownertrusts’ ermittelt GnuPG die Gültigkeit des Schlüssels. Der Ownertrust ist ein Wert mit dem der Benutzer festlegt, in welchem Maße er dem Schlüsselinhaber zutraut, andere Schlüssel verlässlich zu unterzeichnen. Die möglichen Abstufungen sind ‘gar nicht’, ‘weiß nicht’, ‘teilweise’ und ‘vollständig’. Wenn der Benutzer also einem anderem nicht traut, kann er GnuPG über diesen Mechanismus anweisen, dessen Unterschrift zu ignorieren. Der Ownertrust wird nicht im Schlüsselbund gespeichert, sondern in einer separaten Datei.
 === Keyserver benutzen ===
-Keyserver sind große Datenbanken mit öffentlichen Schlüsseln. GnuPG kann von Haus aus Schlüssel von Keyservern importieren und zu Keyservern exportieren. GnuPG kommuniziert mit dem Keyserver über HTTP, benutzt aber den Port 11371. Man muss darauf achten, dass eine eventuell vorhandene Firewall diesen Port nicht blockiert.
+[http://www.gnupg.org/howtos/de/GPGMiniHowto.html#keyserver Keyserver] sind große Datenbanken mit öffentlichen Schlüsseln. GnuPG kann von Haus aus Schlüssel von Keyservern importieren und zu Keyservern exportieren. GnuPG kommuniziert mit dem Keyserver über HTTP, benutzt aber den Port 11371. Man muss darauf achten, dass eine eventuell vorhandene Firewall diesen Port nicht blockiert.
 Die Adresse des Keyservers übergibt man mit der Option <code>--keyserver</code> beim Aufruf auf der Kommandozeile, man kann den Eintrag aber auch in Konfigurationsdatei ˜/.gnupg/options anlegen:
 # Tragen Sie hier Ihren Lieblingserver ein:
@@ Zeile 58: / Zeile 58: @@
 und exportiert mittels
   gpg --send-key UID
 == Verschlüsseln und entschlüsseln ==
 Falls man mehrere private Schlüssel hat, kann man mit der Option <code>-u UID</code> oder <code>--local-user UID</code> einen (oder mehrere) Schlüssel nach seiner UID auswählen. Diese Auswahl ersetzt den im Konfigurationsfile mit dem Befehl default-key KeyID einen Schlüssel standardmäßig ausgewählten Schlüssel.

@@ Zeile 66: / Zeile 66: @@
 oder
   gpg --encrypt Empfänger [Datei]
-Es ist sinnvoll, die Dateien auch zu signieren, genaueres siehe “Signieren und Signaturen prüfen”.
+Es ist sinnvoll, die Dateien auch zu signieren, genaueres siehe “[[#Signieren und Signaturen prüfen|Signieren und Signaturen prüfen]]”.
 === Entschlüsseln ===
 Das Kommando zum Entschlüsseln lautet

@@ Zeile 73: / Zeile 73: @@
   gpg [--decrypt] [Datei]
 Auch hier gilt: Voreingestellt ist Ausgabe auf stdout, man kann aber mit der Option -o [Datei] in eine Datei ausgeben.
-Signieren und Signaturen prüfen
+== Signieren und Signaturen prüfen ==
 Mit dem Befehl
   gpg -s (oder --sign)[Datei]

@@ Zeile 14: / Zeile 14: @@
 === Exportieren ===
 Mit
-  gpg --export [UID] wird der Schlüssel mit der User ID UID exportiert. Wird keine UID angegeben, so wird der ganze Schlüsselbund exportiert. Voreingestellt ist Ausgabe auf stdout, man kann aber mit der Option -o [Datei] in eine Datei ausgeben. Es empfiehlt sich noch, mit der Option -a (--armor) zu arbeiten, da ich andernfalls Probleme hatte. Mit dieser Option werden die Schlüssel nicht im Binärformat ausgegeben, sondern als ASCII (7 Bit) Dateien.
+  gpg --export [UID]
-Den exportierten Schlüssel kann man dann in der Welt verbreiten, wahlweise auf der Homepage, via finger, über Keyserver, ... .
+wird der Schlüssel mit der User ID UID exportiert. Wird keine UID angegeben, so wird der ganze Schlüsselbund exportiert. Voreingestellt ist Ausgabe auf stdout, man kann aber mit der Option -o [Datei] in eine Datei ausgeben. Es empfiehlt sich noch, mit der Option -a (--armor) zu arbeiten, da ich andernfalls Probleme hatte. Mit dieser Option werden die Schlüssel nicht im Binärformat ausgegeben, sondern als ASCII (7 Bit) Dateien.
 === Importieren ===

@@ Zeile 3: / Zeile 3: @@
-=Umgang mit Schlüsseln=
+== Umgang mit Schlüsseln ==
-==Erzeugen mit gpg --gen-key==
+=== Erzeugen ===
-mit gpg --gen-key wird ein neues Schlüsselpaar erzeugt. Als Erstes wird man nach dem zu verwendenden Algorithmen gefragt. Genaueres zu den Algorithmen steht in der PGP DH vs. RSA FAQ oder in Schneier (1996) Man kann (und sollte) einfach den default Wert (DSA/ ElGamal) nehmen.
+Mit
 Bei der Schlüssellänge muss man zwischen Sicherheit und Rechenzeit abwägen. Je länger ein Schlüssel, desto sicherer ist er, desto länger dauern aber auch Operationen mit ihm. Bei der Rechenzeit muss man aber berücksichtigen, dass der Schlüssel möglicherweise auch noch in einigen Jahren benutzt werden soll, wenn die durchschnittliche Rechenleistung stark angewachsen sein wird. GnuPG fragt ab einer Schlüssellänge von mehr als 1536 Bits, ob ein so großer Schlüssel wirklich nötig sei, andere Leute empfehlen mindestens 2048 Bits. Für DSA ist 1024 Bits Standard.
 Dann wird nach Namen, Kommentar und Email Adresse gefragt. Anhand dieser Angaben wird der Schlüssel identifiziert. Man kann die Angaben aber später noch ändern beziehungsweise ergänzen. Siehe “Schlüsselbund verwalten” Man sollte eine länger gültige Email Adresse wählen, da die komplette Benutzerkennung unterschrieben wird. Wird dann etwas geändert, gelten die Unterschriften unter die geänderten Angaben nicht mehr.
@@ Zeile 12: / Zeile 14: @@
 Man kann durch willkürlich eingestreute GRoß/KlEinSchReibung und Leerzeichen weitere Sicherheit erhalten. Außerdem muss man es sich merken können, da der geheime Schlüssel ohne Mantra wertlos ist. Es kann in diesem Zusammenhang ein guter Gedanke sein, gleich ein Rückrufzertifikat zu erstellen. Siehe “Widerrufen”.
-=Exportieren=
+=== Exportieren ===
-==gpg --export [UID]==
+Mit
-Mit gpg --export [UID] wird der Schlüssel mit der User ID UID exportiert. Wird keine UID angegeben, so wird der ganze Schlüsselbund exportiert. Voreingestellt ist Ausgabe auf stdout, man kann aber mit der Option -o [Datei] in eine Datei ausgeben. Es empfiehlt sich noch, mit der Option -a (--armor) zu arbeiten, da ich andernfalls Probleme hatte. Mit dieser Option werden die Schlüssel nicht im Binärformat ausgegeben, sondern als ASCII (7 Bit) Dateien.
+ gpg --export [UID] wird der Schlüssel mit der User ID UID exportiert. Wird keine UID angegeben, so wird der ganze Schlüsselbund exportiert. Voreingestellt ist Ausgabe auf stdout, man kann aber mit der Option -o [Datei] in eine Datei ausgeben. Es empfiehlt sich noch, mit der Option -a (--armor) zu arbeiten, da ich andernfalls Probleme hatte. Mit dieser Option werden die Schlüssel nicht im Binärformat ausgegeben, sondern als ASCII (7 Bit) Dateien.
 Den exportierten Schlüssel kann man dann in der Welt verbreiten, wahlweise auf der Homepage, via finger, über Keyserver, ... .
-== Importieren ==
+=== Importieren ===
 Wenn man von irgendwoher einen öffentlichen Schlüssel bekommen hat, sollte man ihn in sein Schlüsselbund aufnehmen. Das wird mit
   gpg --import [Datei]
 erreicht. Wenn man den Dateinamen weglässt, wird von stdin gelesen.
-== Widerrufen ==
+=== Widerrufen ===
 Es gibt verschiedene Gründe, einen alten Schlüssel zu widerrufen: Er könnte in fremde Hände geraten sein, die UID stimmt nicht mehr oder er ist einfach zu klein geworden. In all diesen Fällen ist der Befehl der Wahl
-gpg --gen-revoke
+ gpg --gen-revoke
 Damit wird ein Schlüsselwiderruf-Zertifikat erzeugt. Dafür braucht man den privaten Schlüssel, denn sonst könnten solche Zertifikate auch von Fremden erzeugt werden. Das hat aber einen Nachteil: Ein Schlüssel, dessen Mantra ich nicht weiß, ist offensichtlich nutzlos. Aber weil ich das Mantra nicht weiß, kann ich ihn nicht widerrufen. Deshalb ist es geschickt, sich gleich bei der Erzeugung des Schlüssels ein Widerruf-Zertifikat zu erzeugen. Das sollte dann aber sicher verwahrt werden, am besten auf Diskette und auf Papier, damit es nicht in falsche Hände gerät.
-Schlüsselbund verwalten
+=== Schlüsselbund verwalten ===
 Der Schlüsselbund ist eine Datei, in der alle Schlüssel mit den dazugehörigen Informationen (bis auf die Ownertrust Werte, was das ist steht in “Schlüssel signieren”) gespeichert werden. Mit
-gpg --list-keys
+ gpg --list-keys
 können alle Schlüssel des öffentlichen Schlüsselbundes angezeigt werden. Mit
-gpg --list-sigs
+ gpg --list-sigs
 werden zusätzlich noch die Signaturen angezeigt (siehe “Schlüssel signieren”). Mit
-gpg --fingerprint
+ gpg --fingerprint
 werden die Schlüssel mit ihren ‘Fingerabdrücken’ aufgelistet. Das sind (verhältnismäßig) kurze Zahlenfolgen, an denen sich der Schlüssel identifizieren lässt. Das kann praktisch sein, um sich über Telefon zu vergewissern, dass ein öffentlicher Schlüssel vom Gesprächspartner stammt. Fingerabdrücke im Abspann von Email oder Usenet Artikeln zu verschicken ist übrigens nicht sinnvoll.
-gpg --list-secret-keys
+ gpg --list-secret-keys
 listet die Schlüssel des privaten Schlüsselbundes auf. Unterschriften und Fingerabdrücke von privaten Schlüsseln haben keinen Informationswert.
 Mit dem Befehl
-gpg --delete-key UID bzw. gpg --delete-secret-key
+ gpg --delete-key UID bzw. gpg --delete-secret-key
 kann man Schlüssel aus dem entsprechenden Schlüsselbund löschen.
 Der letzte wichtige Befehl für den Umgang mit Schlüsseln lautet
-gpg --edit-key UID
+ gpg --edit-key UID
 In dem dann folgenden Menü kann man unter anderem das Mantra und das Verfallsdatum ändern, Fingerabdrücke anzeigen lassen und Schlüssel signieren, womit wir beim nächsten Abschnitt wären.
 Schlüssel signieren
 Wie in der Einleitung erwähnt, ist die Echtheit eines öffentlichen Schlüssels die Achillesferse des Systems. Deshalb gibt es die Möglichkeit, Schlüssel zu unterschreiben. Damit bestätigt der Unterzeichnende, dass der in der User ID angegeben User tatsächlich der Besitzer des Schlüssels ist.
-Nachdem man mit gpg --edit-key UID den zu unterzeichnenden Schlüssel ausgewählt hat, kann man ihn mit dem Kommando sign unterschreiben.
+Nachdem man mit
 Unterschreiben Sie nur Schlüssel von deren Echtheit sie sich überzeugt haben. Das kann geschehen, in dem man entweder den Schlüssel persönlich bekommen hat (zum Beispiel auf einer Keysigning Party), oder man über Telefon den Fingerprint vergleicht. Man sollte keinen Schlüssel nur deshalb unterschreiben, weil man den anderen Unterschriften vertraut.
 Anhand der Unterschriften und des ‘ownertrusts’ ermittelt GnuPG die Gültigkeit des Schlüssels. Der Ownertrust ist ein Wert mit dem der Benutzer festlegt, in welchem Maße er dem Schlüsselinhaber zutraut, andere Schlüssel verlässlich zu unterzeichnen. Die möglichen Abstufungen sind ‘gar nicht’, ‘weiß nicht’, ‘teilweise’ und ‘vollständig’. Wenn der Benutzer also einem anderem nicht traut, kann er GnuPG über diesen Mechanismus anweisen, dessen Unterschrift zu ignorieren. Der Ownertrust wird nicht im Schlüsselbund gespeichert, sondern in einer separaten Datei.