Re: key signing party - neuer key nur mit eigenem PC?

* Guenther H. Leber <gleber@gams.at> [2003-03-15 23:35]:
> Wenn ich in den Leuten kein Sicherheitsbewußtsein
> entwickle (oder es zumindest versuche), ja ihnen sogar
> Sachen vormache, die sicherheitstechnisch höchst
> bedenklich sind, dann laße ich sie wohl besser ohne Keys.
>
> Better no sense of security than a false sense of security.
> Sollen die Leute an Sicherheit und Sicherheitsbewußtsein gewinnen, oder
> soll nur die Zahl derer, die einen Key bekommen, maximiert werden?

rhetorische fragen..

> Insofern war die Tirade gegen Peter
> höchst unfair und auch unqualifiziert.

bzzt! nix gegen den peter! sondern lediglich
eine frage zur durchfuehrung von key singing parties (KSP)
bei denen auch jene teilnehmen koennen sollen, die an
dem tag auch mitmachen wollen, aber noch keinen key haben.

daher nochmal meine frage etwas ausfuehrlicher:

sollen bei einer KSP wirklich nur jene mitspielen koennen,
die zur erzeugung eines keys auch ihre eigene kiste mitbringen?
duerfen jene das gpg ueberhaupt per paket installiert haben -
oder muessen sie dies nicht selber installier/kompiliert haben?
koennen sie dem compiler trauen? und der hardware?
wie weit kann jenes misstrauen eigentlich gehen?
und ab wann wird dies eigentlich unpraktikabel?

und damit es nicht wieder rhetorische fragen
werden, hier meine konkrete meinung dazu:
ich wuerde einem debian paket zu gpg vertrauen -
aber hierbei wuerde ich nur einen offiziellen debian
mirror benutzen und auch mal die checksum ueberpruefen.
den key wuerde ich natuerlich lieber auf meiner eigenen
kiste erzeugen - aber ich habe dies damals (1995)
auf einer maschine in der uni gemacht. und eigentlich
vertraue ich natuerlich damit auch "root", seinen backups,
seinem root password und seiner verschwiegenheit...

haette ich jenes grundvertrauen nicht, dann muesste
ich mir wohl einen laptop zulegen, damit nur ich
jemals zugang zu meinem secret key habe...
ehrlich gesagt, - *das* faende ich unpraktibel.
und es ist mir auch viel zu teuer...

mal sehen wann ich genuegend "geheime" daten beisammen
habe werde, damit sich dieser aufwand auch "lohnt"...

Sven

[ Um sich von dieser Liste abzumelden, sende bitte "unsubscribe" ]
[ an <linuxevent-request@mlist.austria.eu.net>. ]
Received on Sun Mar 16 17:08:01 2003