[a.borque]

Hallo!
Hoffe mal, dass dieses Thema in dieses Forum passt. Also:
Habe heute eine E-Mail von "PGP Global Directory <[email protected]" bekommen mit der Bitte, meinen Schlüssel für das Global-Directory zu verifizieren. Zwar habe ich auf der PGP-Homepage Infos zu dem Thema gefunden, bin mir aber nach all den netten Versuchen von Spammern an verifizierte Mailadressen zu kommen und auch den div. recht glaubwürdig wirkenden Phishingmails "von Banken" zum ersten mal nicht sicher, ob es eine seriöse Mail ist, oder nur etwas Bösartiges, was in deren Kielwasser mitschwimmt.
Der Link scheint zwar auf einen PGP-Server zu zeigen, aber die Mail ist nicht signiert, was doch in diesem Fall wirklich kein Problem sein sollte.
Google ist auch keine große Hilfe, also ist das Board die nächste Anlaufstelle.
Brain 1.0 ist sich bei mir in der Bewertung unsicher, und 1.0.1 ist noch nicht da, was sagt ihr? *g*
Dake für Infos!
Gruss - a.borque

[Rika]

Mein Brain sagt, daß das Server-Cert von einem Root-Cert im Critical-Mod unterschrieben ist und daß man fieberhaft an Pathservern arbeitet, daß außerdem viele andere Keyserver existieren und sowohl Hochladen als auch Entfernen des Schlüssels bei diesem Test-Keyserver per Challenge-Response bestätigt werden muss.

Soweit also alles legitim. Bist du sicher, daß die Mail wirklich nicht signiert war? Unterstützt dein MUA auch OpenPGP oder nur S/MIME?

Und wo genau ist dein anderes Problem? Daß dein Key mitsamt Mail-Adresse nicht nur auf Keyservern landet, sondern noch zweifelsfrei verfiziert wird statt extrem wahrscheinlich existent zu sein?

Allein den Verfizierungsschlüssel würde ich nicht unterschreiben oder Vertrauen geben, auch der Pathserver findet keinen Verifzierungsweg.
EDIT: Ups, doch, jetzt hat er einen. Vertrauen! Signieren werden ich ihn trotzdem nicht.

Dieser Beitrag wurde von Rika bearbeitet: 11. Dezember 2004 - 14:12

[a.borque]

Hi!
Danke für den Reply. Kurz zwei Antworten:
1. Ja, mein Mailclient unterstützt die div. PGP-Varianten, jedenfall nutze ich sie. *g* Habe definitv keine Signatur für die Mail gefunden.
2. Mein Problem war einfach, dass ich mir -trotz des Inhaltes- in diesem Fall ausnahmsweise nicht sicher war, was ich von dieser Mail halten sollte: Spammer, die über den Klick auf den Link meine Adresse verifizieren wollen, irgendwas Fieses, worauf ich nichtmal komme, oder wirklich PGP mit einem Anliegen.
Begründung steht im ersten Posting. Werde mich jetzt nach der Entwarnung mal weiter damit befassen.
Gruss - a.borque

[Rika]

Nun ja, der Verifzierungskey wurde von einem PGP-Entwickler signiert, diese wiederum von einem anderen PGP-Entwickler, dieser wiederum von Werner Koch (Mitentwickler von GnuPG), und dessen Key hab ich bei persönlichem Treffen signiert. Scheint also ziemlich vertrauenswürdig zu sein.

Hehe, der Pathserver sagt mir, daß sogar P. Zimmermann das Ding signiert hat.

Dieser Beitrag wurde von Rika bearbeitet: 11. Dezember 2004 - 14:28