Widerrufene Keys - Problem mit automatischem Keyserver Lookup

Hallo zusammen,

wir haben folgendes Problem:

  • Benutzer A hat seinen Key mit der ID 123456 für seine E-Mail A@domain.xyz auf keys.openpgp.org hochgeladen
  • Benutzer B hat keys.openpgp.org als Keyserver eingetragen

Schreibt nun Benutzer B eine verschlüsselte E-Mail an Benutzer A, so wird der Key von GpgOL automatisch vom Keyserver ermittelt und verwendet. Bis hierhin ist alles gut.

  • Benutzer A widerruft seinen Key mit der ID 123456 und lädt diesen auf keys.openpgp.org hoch bzw. aktualisiert seinen Key dort
  • Benutzer B macht einen “refresh” seiner Keys

Schreibt nun Benutzer B eine verschlüsselte E-Mail an Benutzer A, so findet GpgOL keinen gültigen Key mehr und meldet ein Problem beim Versand. Bis hierhin auch noch OK.

  • Benutzer A erstellt einen neuen Key mit der ID 654321 für seine E-Mail A@domain.xyz und lädt diesen neuen Key auf keys.openpgp.org hoch

Schreibt nun Benutzer B eine verschlüsselte E-Mail an Benutzer A, so findet GpgOL diesen neuen, gültigen Key nicht bzw. sucht er erst gar nicht danach. Erst wenn Benutzer B den lokalen, widerrufenen Key von Benutzer A aus dem Keyring entfernt, sucht GpgOL auch wieder auf dem Keyserver und findet den neuen, gültigen Key.

Hat jemand eine Lösung für dieses Problem oder kennt dieses?

Danke
Christof

Hallo,

bei WKD würde der workflow funktionieren sofern der Key initial über WKD abgerufen wurde, wird dann auch nach einem neuen gesucht. Dafür gibt es einen Mechanismus in GnuPG.

Zentralisierte, authenticating Keyserver als single point of failure / single point of attack. Werden von uns nicht gesondert behandelt. Wir können nicht einfach nach einer Mail Addresse suchen und uns darauf verlassen das ein beliebiger Keyserver eine vertrauenswürdige, eindeutige, Antwort zurück schickt.

Das hat auch ein Angriffspotential bzgl. Man in the Middle attacken.

Das ist im Unterschied zu WKD wo es der Domaininhaber ausliefert. So wie du es dir eingerichtet hast mag das für dich OK sein. Verallgemeinern können wir das aber nicht. Daher musst du in diesem Fall manuell eingreifen. Bzw. A@domain.xyz muss B eine Mail schreiben (idealerweise mit dem alten key signiert) “Hey hier ist mein neuer key” oder einfach eine signierte Mail mit dem neuen Key schicken und B müsste in seiner Konfiguration “auto-key-retrieve” (was kurzzeitig auch mal default war) eingeschaltet haben.

Wenn dich unser Konzept zur automatischen Verschlüsselung intressiert findest du das hier:
https://wiki.gnupg.org/AutomatedEncryption

Du kannst da gerne Anmerkungen / Anregungen mit einbringen. Am besten auf der gpg4win-devel Mailing liste.