/ Forside / Teknologi / Internet / Sikkerhed / Nyhedsindlæg
Login
Glemt dit kodeord?
Brugernavn

Kodeord


Reklame
Top 10 brugere
Sikkerhed
#NavnPoint
stl_s 37026
arlet 26827
miritdk 20260
o.v.n. 12167
als 8951
refi 8694
tedd 8272
BjarneD 7338
Klaudi 7257
10  molokyle 6481
PGP og revoking af keys
Fra : Morten Ovi


Dato : 20-05-02 23:03

Jeg har nu tre offentlige PGP-nøgler på pgpkeys.mit.edu. Den ene er
revoked, den anden er ikke (og er ikke i brug) og den sidste er i
brug og er den eneste der ønskes brugt.

1) Hvor lang tid går der før revoked keys bliver fjernet fra
serveren? Jeg har læst mig til noget, men kan ikke finde konkrete
oplysninger.

2) Jeg har mistet passphrasen til den anden nøgle. Er der overhovedet
nogen mulighed for at revoke den eller på anden måde gøre den
ugyldig? Jeg kan ikke finde noget svar i PGPs manual.

3) Den tredje (som virker fint , er lavet med PGPfreeware. Hvor
seriøs bliver den nøgle taget i forhold til en der er lavet af
Verisign og lignende?

--
Morten

 
 
Ole Michaelsen (21-05-2002)
Kommentar
Fra : Ole Michaelsen


Dato : 21-05-02 07:41

Morten Ovi wrote:
>
> 2) Jeg har mistet passphrasen til den anden nøgle. Er der overhovedet
> nogen mulighed for at revoke den eller på anden måde gøre den
> ugyldig? Jeg kan ikke finde noget svar i PGPs manual.

Fra comp.security.pgp FAQ:

7.4 How do I indicate that my key is invalid when I don't have the
secret key anymore?
This is a very tricky situation, and should be avoided at all costs. The
easiest way is to prepare a key revocation certificate (See 7.3 for
details on how to do this) before you need it, so you can always revoke
the key, even without the secret key.
Alternatively, you can use a binary editor to change one of the user IDs
on your public key to read "Key invalid; use key 0x12345678" or
something to that effect. Keep in mind that the new user ID can't be
longer than the old one, unless you know what you are doing. Then
extract the key, and send it to the keyserver. It will think this is
actually a new user ID, and add it to your key there.

However, since anyone can do the above, many people will not trust
unsigned user IDs with such statements. As explained in question 6.3,
all user IDs on your key should be self-signed. So again, make a key
revocation certificate in advance and use that when necessary.


Det hjaelper ikke meget, men maaske lidt.

Haaber du finder ud af det.


--
Ole Michaelsen, Darmstadt, Germany
http://www.fys.ku.dk/~omic

Morten Ovi (21-05-2002)
Kommentar
Fra : Morten Ovi


Dato : 21-05-02 10:24

Ole Michaelsen wrote in news:dk.edb.sikkerhed :

>> 2) Jeg har mistet passphrasen til den anden nøgle. Er der
>> overhovedet nogen mulighed for at revoke den eller på anden
>> måde gøre den ugyldig? Jeg kan ikke finde noget svar i PGPs
>> manual.
>
> Fra comp.security.pgp FAQ:
>
> 7.4 How do I indicate that my key is invalid when I don't have
> the secret key anymore?
> This is a very tricky situation, and should be avoided at all
> costs. The easiest way is to prepare a key revocation
> certificate (See 7.3 for details on how to do this) before you
> need it, so you can always revoke the key, even without the
> secret key.

[]

> Det hjaelper ikke meget, men maaske lidt.

Jeg kan se at det ikke umiddelbart lader sig gøre. Heldigvis er det
"kun" en test-key som jeg har mistet passphrasen til. Men nu ved jeg
hvad jeg skal lave til min primære key: Et key recovation certifikat
til nødstilfælde.

Tak for hjælpen. Den FAQ vil jeg læse.

--
Morten

Søg
Reklame
Statistik
Spørgsmål : 177549
Tips : 31968
Nyheder : 719565
Indlæg : 6408822
Brugere : 218887

Månedens bedste
Årets bedste
Sidste års bedste