Zurückgezogenen Key auf dem Server ausgrauen

Am 24.09.2018, werden in der Zeit zwischen 21:00 Uhr und 09:00 Uhr des folgenden Tages Wartungsarbeiten am Server durchgeführt. Daher wird die Webseite in dieser Zeit nur eingeschränkt erreichbar sein.
  • Um Rückfragen vorzubeugen, bitten wir um folgende Angaben:
    * Thunderbird-Version:38.2.0
    * Betriebssystem + Version:Ubuntu 12.04
    * Kontenart (POP / IMAP):IMAP / POP
    * Postfachanbieter (z.B. GMX):t-online.de
    * S/MIME oder PGP:PGP
    * Eingesetzte Antivirensoftware:
    * Firewall (Betriebssystem-intern/Externe Software):
    Hallo,
    mein Key war abgelaufen und ich habe ihn deaktiviert, zurückgezogen und gelöscht. Danach ein neues Schlüsselpaar generiert.
    Leider habe ich vergessen, den zurückgezogenen Key nochmals hochzuladen.
    Jetzt ist der alte Key auf dem Server nicht ausgegraut.


    Wie kann ich erreichen, daß der alte Key auf dem Server ausgegraut wird?


    Gruß
    Ch. Hanisch

  • Hallo,


    du hast auch lokal das Schlüsselpaar und das Widerrufszertifikat gelöscht, oder wie soll ich das verstehen?
    Das Schlüsselpaar sollte man behalten, um alte Mails weiterhin entschlüsseln zu können, und zum zurückziehen braucht man eben das Widerrufszertifikat - aber sicher gibt es eine Datensicherung?


    Gruß, muzel

  • Hallo,
    >du hast auch lokal das Schlüsselpaar und das Widerrufszertifikat gelöscht, oder wie soll ich das verstehen?


    Ich habe das verfallene Schlüsselpaar deaktiviert, zurückgezogen und dann gelöscht.
    Ein Widerrufszertifikt habe ich wohl noch:
    frau.hanisch@t-online.de (0x2079D946) rev.asc
    Was soll ich nun damit anfangen?


    >Das Schlüsselpaar sollte man behalten, um alte Mails weiterhin
    >entschlüsseln zu können, und zum zurückziehen braucht man eben das
    >Widerrufszertifikat - aber sicher gibt es eine Datensicherung?


    Weitere Datensicherungen habe ich nicht.
    Es war wohl keine gute Idee, das Schlüsselpaar zeitlich begrenzt anzulegen.
    Nun habe ich nur Trouble. Die alten e-Mails kann ich nicht mehr entschlüsseln.
    Auf dem Server liegt der verfallene öffentliche Schlüssel noch.
    Dazu ist der neue öffentliche Schlüssel gekommen.
    Den alten Schlüssel möchte ich auch vom Server löschen bzw. wenigstens ausgrauen.


    Gruß
    Ch. Hanisch

  • Moin,
    ich weiß nicht genau, was du mit "ausgrauen" meinst, jedenfalls ist alles, was du tun kannst, das Widerrufszertifikat auf den Server hochladen, damit der Schlüssel dort als widerrufen gekennzeichnet ist.
    Einen Schlüssel vom Server zu löschen ist unmöglich, denn es gibt keinerlei Authentifizierung. Jeder kann einen Schlüssel hochladen (auch ich könnte jetzt einen weiteren Schlüssel zu deiner E-Mail-Adresse generieren und hochladen), niemand kann ihn mehr löschen.

    Zitat

    Es war wohl keine gute Idee, das Schlüsselpaar zeitlich begrenzt anzulegen.

    Wie gesagt, es ist keine gute idee, einen Schlüssel zu löschen, ein Ablaufdatum ist sehr wohl sinnvoll.
    HTH, muzel

  • Hallo,
    >ich weiß nicht genau, was du mit "ausgrauen" meinst, jedenfalls ist alles, was du tun kannst, das >Widerrufszertifikat auf den Server hochladen, damit der Schlüssel dort als widerrufen gekennzeichnet ist.
    Der Dateianhang zeigt als ersten Eintrag (ausgegraut) den alten zurückgezogenen und gelöschten öffentlichen Schlüssel.
    Wenn ich das Widerrufszertifikat auf den Server hochlade, habe ich dann auch diesen ausgegrauten Schlüssel?
    Dann wäre das Hochladen des zurückgezogenen Schlüssels zum Hochladen des Widerrufszertifikats alternativ.


    Gruß
    Ch. Hanisch

  • Hallo Hanisch,


    bitte anonymisiere in Deinem eingestellten Bildschirmausdruck die Klarnamen nebst der Mailadressen.


    Gruß
    Feuerdrache

    „Innerhalb der Computergemeinschaft lebt man nach der Grundregel, die Gegenwart sei ein Programmfehler, der in der nächsten Ausgabe behoben sein wird.“
    Clifford Stoll, amerik. Astrophysiker u. Computer-Pionier

  • Hallo Hanisch,
    ich habe das gerade getestet, ich konnte den abgelaufenen Schlüssel vom Schlüsselserver laden.
    Er bleibt natürlich etwas blasser da dieser Schlüssel nicht mehr gültig ist.
    Die alten E-Mails sollten damit aber wieder lesbar sein.

    Gruß
    EDV-Oldi

  • Hallo,


    so richtig kann ich das "Problem" nicht verstehen.
    Ein Schlüsselpaar kann nur innerhalb seiner Gültigkeitsdauer zum Verschlüsseln an den Eigentümer (public key) und zum Entschlüsseln einer erhaltenen verschlüsselten Mail sowie zum Signieren einer E-Mail (beides: secret key) verwendet werden. Auch die erfolgreiche Signaturprüfung einer erhaltenen Mail mit dem public key des Absenders ist nur innerhalb der Gültigkeit möglich. Danach wird die Prüfung zwar mit der (sinngemäßen) Aussage "Signiert vom Absender ..., aber außerhalb der Gültigkeit" ablaufen.
    Ist die Gültigkeit des Schlüsselpaares abgelaufen, kann der public key immer noch zur Signaturprüfung (s. oben) und der secret key immer noch zur Entschlüsselung "alter" Mails verwendet werden.
    => alles gute Argumente zum Aufbewahren auch abgelaufener Schlüsselpaare!


    Das Zurückziehen (Widerrufen) eigener Schlüssel macht nichts anderes, als das Ablaufdatum auf "jetzt" zu setzen (also vorzuziehen). Das Widerrufen eines bereits abgelaufenen Schlüsselpaares ist also sinnfrei (wenn es denn überhaupt geht?). Und dass man seinen abgelaufenen Schlüssel (beide) nicht vernichten sollte, habe ich ja auch begründet.



    @EDV-Oldie:

    Die alten E-Mails sollten damit aber wieder lesbar sein.

    Auf dem Schlüsselserver dürfen nur die public keys zu finden sein (hoffentlich)!
    Und mit diesen kannst du niemals eine Mail entschlüsseln. Weder alte noch neue ;-)



    MfG Peter

    Thunderbird 45.8.x, Lightning 4.7.x, openSUSE Tumbleweed, 64bit
    S/MIME, denn ich will bestimmen, wer meine Mails lesen kann.
    Nebenbei: die Benutzung der (erweiterten) Suche, und von Hilfe & Lexikon ist völlig kostenlos - und keinesfalls umsonst!
    Und: Ich mag kein ToFu und kein HTML in E-Mails!

  • bitte anonymisiere in Deinem eingestellten Bildschirmausdruck die Klarnamen nebst der Mailadressen.

    Warum, das ist doch auf dem Schlüsselserver für jedermann jederzeit zugänglich.


    Gruß
    Ch. Hanisch

  • ich habe das gerade getestet, ich konnte den abgelaufenen Schlüssel vom Schlüsselserver laden.
    Er bleibt natürlich etwas blasser da dieser Schlüssel nicht mehr gültig ist.
    Die alten E-Mails sollten damit aber wieder lesbar sein.

    Ja, soweit ich meinen alten secret-key noch habe. Den habe ich aber vorschnell schon gelöscht.


    Gruß
    Ch. Hanisch

  • Das Zurückziehen (Widerrufen) eigener Schlüssel macht nichts anderes, als das Ablaufdatum auf "jetzt" zu setzen (also vorzuziehen). Das Widerrufen eines bereits abgelaufenen Schlüsselpaares ist also sinnfrei (wenn es denn überhaupt geht?).

    D.h. das Hochladen meines Widerrufszertifikats macht genau dasselbe wie das Hochladen des abgelaufenen öffentlichen Schlüssels - oder?
    Wenn ich das Widerrufszertifikat in meinen Schlüsselring aufnehme und dann hochlade, was passiert dann?


    Gruß
    Ch. Hanisch

  • Hallo Ch.


    zuerst ein Hinweis:
    Du kannst eigene Beiträge, so lange noch niemand darauf geantwortet hat, auch editieren (bearbeiten). Mehrere eigene Beiträge hintereinander machen den Thread nur unübersichtlich.



    Ein Widerrufszertifikat sollte man nur nutzen, wenn es wirklich einen guten Grund dafür gibt. Also zum Bsp., wenn der Schlüssel kompromittiert wurde oder wenn das Schlüsselpaar zu alt ist und mittlerweile auch die damaligen Schlüssellängen oder Hash-Algorithmen nicht mehr den heutigen Anforderungen entsprechen. Das ist auch der Hauptgrund, einen Softwareschlüssel mit einem Ablaufdatum zu versehen. Zwei Jahre ist hier eine gute Lebensdauer. Und damit kannst du dir das Widerrufen (wenn nicht einer der o.g. Gründe für ein vorzeitiges Ende vorliegt) sparen.


    D.h. das Hochladen meines Widerrufszertifikats macht genau dasselbe wie das Hochladen des abgelaufenen öffentlichen Schlüssels - oder?

    Nein.
    Ein Widerrufszertifikat ist eine von deinem privaten Schlüssel signierte Information, dass eben jenes Zertifikat ab jetzt ungültig geworden ist. Also dessen Lebensdauer vor dem eingetragenen Ablaufdatum endet. Und um so ein Widerrufszertifikat zu erzeugen, benötigst du einen (den dazu passenden!) privaten Schlüssel, der auch noch nicht abgelaufen ist. Deshalb solltest du immer gleich nach der Erzeugung des Schlüsselpaaares das Widerrufszertifikat erzeugen und sehr sicher lagern.
    Ist ein Zertifikat abgelaufen, brauchst du es nicht mehr widerrufen. (Aber das hatte ich doch schon geschrieben ... .)
    Und wozu du einen alten abgelaufenen öffentlichen Schlüssel irgendwohin hochladen willst, verstehe ich nicht. Hast du deinen public key auf den Schlüsselserver geladen, dann ist er doch schon dort - auch wenn er mittlerweile abgelaufen ist.



    Ja, soweit ich meinen alten secret-key noch habe. Den habe ich aber vorschnell schon gelöscht.

    Dann kannst du nie wieder auf deine "alten" Mails zugreifen, denn dazu brauchst du ja den privaten Schlüssel des Schlüsselpaares, mit dessen öffentlichen Schlüssel der Absender diese Mails verschlüsselt hat.
    Und du kannst auch kein Widerrufszertifikat erzeugen, denn auch dieses muss damit signiert werden. Sonst könnte ja jeder deine Schlüssel widerrufen ... .



    Warum, das ist doch auf dem Schlüsselserver für jedermann jederzeit zugänglich.

    Ja, wo du Recht hast, hast du Recht!
    Das ist eine große Schwachstelle dieses Systems. Nicht hinsichtlich der kryptologischen Sicherheit, aber zur Wahrung der Privatsphäre.
    Jeder kann auf den Schlüsselservern nach interessanten Mailadressen suchen (und diese dann verkaufen ...). Es wird lediglich mit technischen Mitteln verhindert, dass sich jemand ganz offiziell durch den Vordereingang die komplette Datenbank zieht. Verhindert hießt hier aber nur, dass eine IP innerhalb eines bestimmten Zeitfensters nur eine sehr kleine Anzahl von Anfragen stellen kann. Der Neugierige wird also ausgebremst. Aber wer Zeit hat ... .
    Und du musst auch immer recht viele Zeichen bei der Suche eingeben. Also alle Adressen, beginnend mit "M" anzeigen lassen, geht nicht.



    Persönliche Bemerkung von mir:
    Ich habe vom "Herüberschwappen" der ersten PGP-Version über den Großen Teich zu uns an (PGP v. 2.0.6 für DOS, war ganz am Anfang der 90er Jahre) für etwa 10 Jahre PGP bzw. GnuPG genutzt. Aber ich habe niemals einen Schlüssel auf einen Schlüsselserver hochgeladen! Wozu auch?
    Hast du denn jemals eine verschlüsselte Mail als Erstkontakt von einer dir bislang unbekannten Person erhalten? Bei Zigtausenden verschlüsselter Mails und entsprechend vielen verschlüsselnden Mailpartnern im Verlauf der letzten zwei Jahrzehnte wurde zuerst eine unverschlüsselte Kontaktaufnahme durchgeführt. Dann habe zumeist ich angeregt, die Mitleser auszusperren und dann wurden die öffentlichen Schlüssel mit einer ganz normalen "offenen" Mail ausgetauscht. Und immer wurden dann noch auf anderem Wege (Telefon oder wie auch immer) die Fingerprints dieser Schlüssel verglichen, um auch sicher zu sein, dass der Partner der richtige ist.



    MfG Peter

    Thunderbird 45.8.x, Lightning 4.7.x, openSUSE Tumbleweed, 64bit
    S/MIME, denn ich will bestimmen, wer meine Mails lesen kann.
    Nebenbei: die Benutzung der (erweiterten) Suche, und von Hilfe & Lexikon ist völlig kostenlos - und keinesfalls umsonst!
    Und: Ich mag kein ToFu und kein HTML in E-Mails!

  • Und wozu du einen alten abgelaufenen öffentlichen Schlüssel irgendwohin hochladen willst, verstehe ich nicht. Hast du deinen public key auf den Schlüsselserver geladen, dann ist er doch schon dort - auch wenn er mittlerweile abgelaufen ist.


    Der abgelaufenen Schlüssel ist nur ausgegraut auf dem Schlüsselsever wenn ich nach dem Zurückziehen des Schlüsselpaares dessen öffentlichen Schlüssel danach noch einmal auf den Server hochlade.
    Meine Frage ist, ob das Hochladen des importierten Widerrufszertifikats das gleich erreicht.


    Gruß
    Ch. Hanisch

  • Gern noch einmal:
    Ein mit Ablaufdatum versehenes Schlüsselpaar wird bei Erreichen dieses Datums automatisch ungültig. Da musst du nichts mehr hochladen und auch nichts widerrufen. Dieser Ablauf ist automatisch und unumkehrbar.


    Wenn du aus bestimmten Gründen (und nur dann) deinen Schlüssel vor Ablauf der eingetragenen Gültigkeit (oder wenn du dummerweise überhaupt keine Gültigkeit eingetragen hast!) für ungültig erklären willst, dann musst du das mit dem gültigen privaten Schlüssel erzeugte Widerrufszertifikat zum Server hochladen.


    Der erreichte Effekt ist bei beiden Verfahren letztendlich der gleiche.


    OK?



    MfG Peter

    Thunderbird 45.8.x, Lightning 4.7.x, openSUSE Tumbleweed, 64bit
    S/MIME, denn ich will bestimmen, wer meine Mails lesen kann.
    Nebenbei: die Benutzung der (erweiterten) Suche, und von Hilfe & Lexikon ist völlig kostenlos - und keinesfalls umsonst!
    Und: Ich mag kein ToFu und kein HTML in E-Mails!