Spam durch Daten auf public key server ???

Hallo,
ich lade meine gpg-Schlüssel seit Jahren auf öffentlichen Server, was vom Prinzip vergleichbar sein sollte.
Ich bin mir ziemlich sicher, darüber noch nicht in die Fänge eines Spammers gekommen zu sein, so habe ich auf eine der Adressen noch keine einzige Spammail bekommen.
Deine Frage hatte ich mir aber auch schon gestellt und auch mit Freunden das für Spammer oder Malwareversender vermutlich recht erfolgreiche Szenario entworfen, Adressen + public key von den keyservern zu holen und dann verschlüsselte Spammails zu verschicken.
Wir waren uns recht sicher, daß verschlüsselte Mails beim Empfänger vertrauenswürdiger erscheinen, auch würden Antispamfilter sowie serverseitige Antivirenprogramme öfter ins Leere laufen. Anscheinend ist der Aufwand aber doch zu groß - glücklicherweise.

Karla

Hi gaga3000,

ich glaube, da kann ich dich beruhigen. (Kann allerdings nur für X.509-Zertifikate sprechen, aber bei GnuPG-Keyservern wird es ähnlich sein.)
Die Daten werden nicht "einfach so" auf einem Webserver gespeichert, wo die SpamBots einfach nach "irgendwas@orgend.wo" suchen können, sondern in einem so genannten Verzeichnisdienst. Zum Beispiel auf einem ldap-Server. Dort musst du für jede Abfrage konkrete Ausgangsbedingungen stellen und nach einer deutlichen Zeitspanne erhältst du das Ergebnis.
Dabei verhindert man durch bestimmte Maßnahmen Massenabfragen (Name = A*) und begrenzt auch die Zahl der angezeigten Ergebnisse. Meist musst du auch eine bestimmte Anzahl von Buchstaben eingeben. Und dann kann man auch noch die Zahl der Suchläufe pro IP und Zeiteinheit drastisch einschränken bzw. die Zeitabstände immer größer werden lassen. Damit ist diese Quelle für die Bots nur äußerst schlecht geeignet.

Ziel muss ja trotzdem sein, dass zum Beispiel ein Mailpartner dein Zertifikat mit dem öffentlichen Schlüssel vom Server holen kann und andererseits eine automatische Zertifikatsprüfung möglich ist. Manche Mailclients sind auch in der Lage, das Zertifikat zur Verschlüsselung automatisch zu holen.

Ich habe seit vielen Jahren mehrere Zertifikate auf derartigen Servern zu liegen - und ich bekomme auf allen meinen vielen Mailadressen je Woche nur 1-3 Spam-Mails !

MfG Peter

Quote from "Vic~"

Bei *geschlossenen* Projekten erfolgt der key-Austausch ja eh nicht via öffentlichem Server!

Volle Zustimmung.
Der ldap, wo sich die jeweiligen Anwendungen das Zertifikat (= öffentlicher Schlüssel) holen, befindet sich im Intranet. Für die Signaturprüfung, also die nach SigG geforderte Aussage "gültig", "unbekannt" oder "ungültig" gibt es ocsp-Server, zu denen das zu prüfende Zertifikat geschickt wird, und die dann lediglich eine der drei Antworten zurücksenden. Selbstverständlich wiederum signiert ... . Diese ocsp-Server sind aus dem Intra- und aus dem Internet erreichbar.

Aber ich denke mal, die Ausgangsfrage des TE haben wir beantwortet.

MfG Peter