Nachteile dezentraler Lösungen am Beispiel OpenPGP

Einer der zentralen Bestandteile der E-Mail Verschlüsselung mittels OpenPGP/GPG basierte auf dem Web of Trust. Im Gegensatz zur Konkurrenz S/MIME setzte man eben nicht auf ein hierarchisches Zertifikatssystem. Das Web of Trust scheiterte spektakulär 2019.

Damals wurden nämlich die SKS-Keyserver über die öffentliche Schlüssel verteilt werden konnten gezielt angegriffen (siehe: Kommentar: OpenPGP Keyserver – Letzte Zuckungen). Kernproblem: Die Software zum Betrieb der Keyserver war quasi unwartbar. Die Entwicklercommunity veröffentlichte deshalb ein neues Keyserver-Modell, das sich durch eine Mailadressenüberprüfung auszeichnete und keine Signaturen mehr verteilte (eben die Abschaffung des Web of Trust).

Ich konnte mir schon damals folgenden Kommentar nicht verkneifen:

Durch die Dezentralisierung des Protokolls dauert es aber viel zu lange bis diese Entwicklungen beim Anwender ankommen. Alle Implementierungen müssen schließlich die voreingestellten Keyserver auswechseln. Selbst wenn die Entwickler das wirklich machen (was noch nicht gesichert ist) dauert es Jahre bis das alle Anwender erreicht – sofern diese überhaupt noch ihre Clients aktualisieren bzw. überhaupt noch aktiv gepflegte Programme nutzen.

Ich hab die letzten Wochen ein paar Neuinstallationen mit verschiedenen Linux Distributionen vorgenommen (siehe: Erfahrungen mit dem ASUS ZenBook 14 UM425IA). Außer Manjaro setzen alle Distributionen bei der zentralen Schlüsselverwaltungssoftware von KDE, namens Kleopatra, immer noch auf SKS-Keyserver. Das bedeutet erstens niemand hat Upstream etwas an den Standardkonfigurationen geändert hat und sich auch niemand bei den Distributionen die Arbeit machen wollte.

Bei ein bisschen Recherche konnte ich nur feststellen, dass wohl Enigmail damals schnell reagiert hat. Wie da der aktuelle Stand ist bleibt aber unklar, da die OpenPGP-Integration in Thunderbird kürzlich massiv umgebaut wurde (siehe: Thunderbird nun offiziell mit OpenPGP). Wie das bei den anderen Implementierungen aussieht kann ich nicht sagen. Vielleicht weiß dazu hier jemand mehr?

Das soll jetzt kein Plädoyer für S/MIME sein, denn dort gibt es ebenfalls große Probleme (siehe: S/MIME – Eine Verschlüsselungsoption weniger). Es zeigt halt einfach wie Tod das ganze Konzept inzwischen ist. Man kann es gleich neben dem Pendant für Echtzeitkommunikation XMPP beerdigen.

Mehr aus dem Blog

1.000 Beiträge

Mit dem Artikel über Mastodon habe ich den 1000. Blogbeitrag auf Curius veröffentlicht. Nicht mitgezählt sind die Themenseiten, die in WordPress nicht als Blogbeiträge...

Mastodon – Dank Elon Musk endlich ein Erfolg

Mastodon gibt es schon lange. Twitter sogar noch länger. Viele Jahre haben die Mastodon-Fans um die Twitter-Nutzer geworben. Denn ein soziales Netzwerk lebt davon,...

Canonical arbeitet an einer TPM-basierten Verschlüsselung

Mit dem in Kürze erscheinenden Ubuntu 23.10 wird Canonical erstmals experimentell eine vollständige TPM-basierte Verschlüsselung einführen. Eine kurze Einführung wurde kürzlich im offiziellen Ubuntu-Blog...

Tipp: PDFs bearbeiten mit PDF Mix Tool

Manchmal möchte man aus einem PDF eine Seite entfernen oder nachträglich eine Seite hinzufügen. Für GNOME und GTK-basierte Desktop-Umgebungen gibt es Werkzeuge wie Sand...