Kryptographische Methoden und Keysigningparty

2007-02-14 2007-06-13   605 words   ~3 mins
#GnuPG #Keysigning

Table of Contents

Vortragsreihe Kryptographie an der Uni Magdeburg

Es gibt 3 offene Veranstaltungen zum Thema Kryptographie an der Uni Magdeburg:

  • 03.04.07, 19-20:30 Uhr, Fakultät für Informatik Geb.29 / R037 Einführung in kryptographische Methoden

  • 17.04.07, 19-20:30 Uhr, Fakultät für Geistes-, Sozial- und Erziehungswissenschaften, Geb. 40 / R334, GnuPG-Workshop

  • 15.05.07, 19-20:30 Uhr,Fakultät für Geistes-, Sozial- und Erziehungswissenschaften, Geb. 40 / R334, Keysigningparty

Plan: http://www.uni-magdeburg.de/unicampus/sueden.html Die Gebäudenummern sind oben aufgeführt und zeigen das Gebäude an, wenn man sie mit der Maus berührt.

Der erste Vortrag richtet sich an absolute Einsteiger und setzt keine weiteren Kenntnisse voraus. Der zweite Vortrag zeigt die Anwendung von GnuPG, dem Quasistandard wenn es um verschlüsselte eMails geht. Zu diesem werden Vorkenntnisse (asymmetrische Kryptographie, Prüfsummen, Signaturen …​) benötigt, z. B. aus dem ersten Vortrag oder anderweitigen Quellen. Zur Keysigningparty wird verständlicherweise ein OpenPGP-Schlüsselpaar benötigt. (Erzeugung dessen wird in Vortrag Zwei gezeigt)

Einführung Kryptographie

Dieser Vortrag lief auf dem LinuxTag in Chemnitz das erste Mal und entstand aus dem Wunsch heraus eine allgemein verständliche Einführung in die Kryptographie für normale Benutzer zu geben. Kryptographie ist z. Zt. das wohl einzige Mittel um zuverlässig die Privatsphäre zu schützen oder die Integrität von Daten sicherzustellen. Kryptographische Methoden sind außerdem auch hervorragende Mittel um Rechnersysteme vor Manipulation und Einbruch zu schützen bzw. diesen nachzuweisen.

Vortragsthemen:

  • Prüfsummen

  • symmetrische Kryptographie

  • asymmetrische Kryptographie (Public Key Verfahren)

    • kryptographische Signaturen

Unterlagen

Anwendung am Bsp. von GnuPG

OpenPGP (RFC2440) ist der Standard wenn es um eMailverschlüsselung und asymmetrische Kryptographie geht. GnuPG ist im Sinne der GPL freie Software und kann so von jederman eingesetzt werden. In diesem Vortrag (eigentlich mehr ein Workshop) werde ich die praktische Anwendung von GnuPG im eMailverkehr bzw. im alltäglichen Umgang demonstrieren. Wer einen Laptop hat, sollte diesen auch mitbringen und praktisch mitüben.

Keysigningparty - Warum?

Ein OpenPGP Schlüssel enthält die Daten des Besitzers (Name, Kommentar, eMail) und einen Fingerprint bzw. daraus abgeleitet eine KeyID. Eigentlich sollte es keine Schlüssel mit gleichem Fingerprint und unterschiedlichen Daten geben, allerdings gibt es die Möglichkeit ein Schlüsselpaar zu einer gegebenen ID zu erstellen ("0xDEADBEEF-Attacke"). Unter http://skylane.kjsl.com/jharris/duplicate_keyids.html findet sich eine Liste mit doppelten echten Schlüssel-IDs. (Unter anderem auch Phil Zimmermans)

Eine Schlüsselsignatur soll nun sicherstellen, das die Informationen des Schlüssels korrekt sind, also

  • der Schlüsselbesitzer echt ist (Ausweis prüfen)

  • der Besitzer zum Schlüssel gehört (Challenge Response oder Verschlüsselung der Signatur)

  • die eMailadresse passt (Challenge Response oder Einschicken der Signatur per eMail)

Weitere Infos zu OxDEADBEEF finden sich in den Cypherpunk-Archiven

Keysigningparty - Ablauf und Organisation

Davor:

  • Bis Dienstag, 15.05.2007, 12:00 Uhr:

    • Einschicken des Fingerprints an: keysigning0705 [at] cryptomancer [punkt] de

      • [at] und [punkt] durch @ und . ersetzen sowie Leerzeichen entfernen

      • Den Fingerprint bekommt man mit gpg --fingerprint MEINE_ID

  • Nach der Anmeldung schicke ich eine Bestätigungsmail heraus

  • Vor der Keysigningparty:

    • Ausdruck der ksp20070515.txt Schlüsselliste mitbringen

    • SHA1-Summe der Schlüsselliste generieren und mitbringen

      sha1 ksp20070515.txt
sha1sum ksp20070515.txt
gpg --print-md sha1 ksp20070515.txt

  • Fingerprint aller eigenen Schlüssel aus dem lokalen Keyring erzeugen, ausdrucken und mitbringen

    • gpg --fingerprint 0xb3fbae33 > fpr.txt

Dabei:

  • Mitbringen: gültigen Personalausweis oder Reisepass mit Foto, Schlüssellliste, eigene Fingerprints,

  • persönliches Erscheinen logischerweise notwendig

  • Ablauf: Ausweis wird per Beamer an die Wand geknallt, Person steht auf, lässt sich authentifizieren und liest den eigenen Fingerprint vor

  • "Signierer" authentifizieren Person anhand des Ausweises und überprüfen den vorgetragenen Fingerprint mit der Schlüsselliste

Danach:

  • Schlüsselring der Keysigningparty von dieser Webseite besorgen

  • korrekte Schlüssel anhand der Schlüsselliste signieren und verschicken

  • an täglich steigender Zahl der eigenen Signaturen ergötzen gpg --recv-key 0xb3fbae33 ; gpg --list-sigs 0xb3fbae33 | grep -i ^sig | wc -l

  • und mit gpg2dot bunte Graphen bauen ;-)

Das Web of Trust

vorher
Figure 1. Vorher
danach
Figure 2. Nachher
← prev next →