Keysigning im Bürgerhaus in Barmbek
Wir treffen uns am 2009-09-19 um 18:30 Uhr im Bürgerhauscafe und werden dort wie in den letzten Jahren gewohnt, unsere Keys und Fingerprints vergleichen.
Aktuelle Teilnehmerliste (hier klicken)
Alle diejenigen, die es nicht mehr geschafft haben auf die Liste zu kommen besteht die Möglichkeit das ihr etwas "Ausgdrucktes" mit eurem Key und Fingerprint mitbringt um sie den Teilnehmern direkt zu übergeben, also bitte oft genug ausdrucken.
Was ist ein Keysigning?
Für viele Belange ist es wichtig, vertrauliche Daten zu verschlüsseln. Eine Lösung hierfür ist GnuPG. Mit dieser Software kannst du dir ein Schlüsselpaar mit deinem Namen und deiner E-Mailadresse anfertigen und deine Daten schützen.
Wenn nun ein anderer dir vertrauliche Informationen zukommen lassen möchte, kann er nach deinem Schlüssel suchen und dir seine E-Mail verschlüsseln. Doch woher weiß der andere, dass es sich bei dem angegebenen Schlüssel wirklich um deinen handelt? Schließlich kann jeder Mensch Schlüssel unter beliebigen Namen erstellen. Um hier mehr Sicherheit zu gewinnen, machen die Nutzer untereinander so genannte Keysignings. Das heißt, sie treffen sich, vergleichen ihre Ausweise, um festzustellen, dass die Person auf dem Schlüssel auch mit der Person in der Realität übereinstimmt, und unterschreiben sich dann gegenseitig den Schlüssel. Wer GnuPG nutzt, kann mit dem Befehl
'gpg --list-sigs KEYID' (KEYID steht für eine eindeutige Bezeichnung eines Schlüssels.) eine Liste aller Unterschriften einsehen. Generell gilt, je mehr Unterschriften ein Schlüssel besitzt, desto vertrauenswürdiger ist er anzusehen.
Wir möchten uns nun gesammelt zum Software Freedom Day treffen, um dort gegenseitig die Daten der Schlüssel zu verifizieren. Die zentrale Veranstaltung hat den Vorteil, dass wir zentral und sehr effizient viele Besitzer antreffen können und das Netz des Vertrauens (Web of Trust) eines jeden wird gestärkt.
Was musst du tun, um an dem Keysigning teilzunehmen?
* Erzeugung eines Schlüsselpaares, falls nicht schon vorhanden
* Mittels GnuPG kannst du das mit dem Befehl gpg --gen-key tun.
* Falls du schon einen Schlüssel besitzt, sollte der auf einem öffentlichen Keyserver vorhanden sein. Empfehlenswert sind hierbei die Server random.sks.keyserver.penguin.de oder subkeys.pgp.net
* Die Schlüsselkennungen mit der entsprechenden Emailadresse sind an mich (michael.beyer(at)lug-balista.de) bis spätestens 16.09.2009 zu schicken.
* Wenn die Anmeldefrist abgelaufen und Du trotzdem teilnehmen willst, drucke dir bitte eine hinreichend große Zahl an Fingerprints deines Keys aus und komme zum genannten Termin zur KSP. Ich werde dort weitere Hinweise geben.
* Lade die Liste der Teilnehmer herunter und überprüfe, ob dein Schlüssel mit aufgelistet ist. Die Liste wird erst ab dem 17.09.2009 zum Download zur Verfügung stehen. Alle Teilnehmer erhalten Informationen per E-Mail.
* Berechne die MD5-, SHA1- oder SHA256-Hashsumme der Liste. Dies kannst du mit dem Programm md5sum, sha1sum bzw. sha256sum aus den GNU Coreutils tun. Weiterhin kannst du auch GnuPG (gpg --print-mds $DATEI) oder ein anderes Programm dazu nutzen. Den errechneten Wert trägst du in das entsprechende Feld der Liste ein.
* Drucke die Liste aus und bringe sie zum Keysigning mit.
Ablauf des Keysignings
Wie oben beschrieben, soll die Identität anhand eines amtlichen Dokuments geprüft werden. Bringe hierzu bitte deinen Personalausweis oder Reisepass mit. Dieser muss am Tage des Keysignings noch gültig sein.
Zum Keysigning treffen wir uns wie im letzten Jahr im Bürgerhauscafe und werden dort der Reihe nach die Ausweise prüfen.
Später werden dann alle Schlüssel, von deren du überzeugt bist, von dir am deinem eigenen Rechner unterschrieben. Mit GnuPG kannst du das mit dem Befehl gpg --sign-key KEYID bzw. gpg --edit-key KEYID machen.
Wenn du das Unterschreiben gern automatisieren möchtest, kannst du caff nutzen. Dies ist ein Hilfprogramm für das Keysigning und nimmt dir einen Großteil der Arbeit ab.
Weitere Informationen
Solltest du Fragen zum Ablauf des Keysignings haben, schreibe eine E-Mail an michael.beyer(at)lug-balista.de. Weiterhin kannst du das GPG Keysigning Party HOWTO anschauen.