Rechnernetze

Schlüsselverwaltung

In PGP kommt der Schlüsselverwaltung eine zentrale Rolle zu, da PGP in der Regel nicht von einer zentralen Zertifizierungsinstanz ausgeht, welche öffentliche Schlüssel vertrauensvoll an den Absender (zum Verschlüsseln) oder Empfänger (zum Zertifizieren) einer Nachricht übermittelt. Statt dessen werden öffentliche Schlüssel in PGP mit Hilfe eines "Web of Trust" verbreitet.

Ein Anwender von PGP besitzt (mindestens) einen privaten und einen dazugehören öffentlichen Schlüssel. PGP stellt Werkzeuge zur Verfügung, um solche

	Private und dazu gehörige Öffentliche Schlüssel zu generieren,
	Private Schlüssel unlesbar zu verwahren,
	Öffentliche Schlüssel vor Verfälschung zu schützen.

Dazu werden verschiedene "Schlüsselbunde" oder Keyrings verwendet, in denen private und öffentliche Schlüssel gespeichert werden können. Diese Dateien sind selbst verschlüsselt und werden durch eine "Passphrase" mittels eines Passworts geschützt.

In dem Secrete/key-Ring werden geheime Schlüssel gespeichert. Sie enthalten als Information:

	Typbezeichnung: sec.
	Anzahl der Bits, z.B. 1024.
	Schlüssel-Identifikationscode (Key-ID): 8 Oktett Skalar.
	Erstellungsdatum in UNIX-Zeit.
	User-ID: Name und E-Mail-Adresse, z.B. Wolfgang P. Kowalk <kowalk@kowalk.informatik.uni-oldenburg.de>

In dem Public/key-Ring werden öffentliche Schlüssel gespeichert. Sie enthalten als Information:

	Typbezeichnung: pub.
	Anzahl der Bits, z.B. 1024.
	Schlüssel-Identifikationscode (Key-ID): 8 Oktett Skalar.
	Erstellungsdatum in UNIX-Zeit.
	User-ID: Name und E-Mail-Adresse, z.B. Wolfgang P. Kowalk <kowalk@kowalk.informatik.uni-oldenburg.de>
	Trust-Feld: Misst das Vertrauen in die Vertrauenswürdigkeit und Urteilsfähigkeit einer Person, die einen Schlüssel beglaubigt hat.
	Validity-Feld: Misst das Vertrauen in die Richtigkeit eines öffentlichen Schlüssels.
	Key-Fingerprint: MD5-Hash eines Schlüssels.

Wird ein öffentlicher Schlüssel von einer anderen Person bezogen, so muss der Empfänger anhand des Vertrauensverhältnisses zu dieser Person (Trust-Feld) entscheiden, ob dieser Schlüssel ausreichend zertifiziert ist. Teilweise kann das Maß des Vertrauens durch einen geeigneten Wert angegeben werden. Die Gültigkeit (Validity) eines Schlüssels wird entsprechend in einem Gültigkeitsfeld angegeben. In der Regel bleibt die Entscheidung, ob einem öffentlichen Schlüssel vertraut wird, dem Anwender überlassen.