HE:Gemeinsamer-PGP-Key

Dies soll eine kleine Anleitung für das Erstellen von gemeinsam genutzten PGP-Keys sein, wie sie beispielsweise E-Mail-Adressen, wie vorstand@, mitgliederverwaltung@ oder fraktion@, erfordern.

Erstellen

• Ein Mitglied der betreffenden Gruppe erstellt einfach einen neuen PGP-Key für die entsprechende E-Mail-Adresse, z.B. vorstand@
• Am besten hat der Schlüssel ein Verfallsdatum. Dies ist u.a. für Vorstände zu empfehlen, damit nach den absehbaren Wahlterminen ein neuer Schlüssel erzeugt werden muss und der alte seine Gültigkeit verliert
• Ein Widerrufszertifikat (Key Revocation Certificat) wird erstellt und redundant vorgehalten (ggf. eine Kopie pro Vorstandsmitglied). Mit diesem Zertifikat kann der Schlüssel umgehend widerrufen werden, falls er kompromittiert wird
• Für den Schlüssel wird ein langes, zufälliges, nur für diesen Zweck verwendetes Passwort erzeugt

Verteilung

• Falls es praktikabel ist, sollte der erstellte Schlüssel inkl. Passwort bei einem persönlichen Treffen (z. B. erste Vorstandssitzung) übergeben werden. Ist dies nicht möglich, wird er den übrigen Mitglieder per mit deren persönlichen Schlüsseln verschlüsselter Mail zugestellt
• Alle Schlüsselinhaber (inkl. dem Ersteller!) ändern umgehend das zufällige Passwort zu einem, was nur ihnen selbst bekannt ist
• Falls der Schlüssel kompromittiert wird, wird dies sofort den anderen Schlüsselinhabern mitgeteilt. Der Schlüssel wird widerrufen und ein neuer Schlüssel wird nach dem gleichen Verfahren erstellt. Der alte Schlüssel wird aufgehoben, falls damit gesicherte Mails von Nutzern, die den Widerruf nicht mitbekommen haben eintreffen
• Sofern es Aufbewahrungsfristen für Vorstands-E-Mails gibt, müssen die Schlüssel ebenfalls entsprechend aufbewahrt werden!

Änderungen in der Gruppe

• Gibt es Änderungen in der Gruppe, z.B. Vorstandsneuwahlen, wird der bestehende Key revoked (quasi zurückrufen bzw. ungültig erklärt) und es muss ein neuer nach gleichem Ablauf erstellt werden

Bekanntgabe

• Der öffentliche Schlüssel sollte auf die PGP-Key-Server https://keys.openpgp.org (oder pgpkeys.pca.dfn.de oder pool.sks-keyservers.net) hoch geladen werden
• Der Schlüssel sollte auf der entsprechenden Website mit angeben werden. Am besten mit ID, Fingerprint und Verlinkung zu einem öffentlichen Key-Server

Wichtig

• Der geheime Schlüssel muss unter allen Umständen geschützt bleiben, da sich damit u.a. die verschlüsselten E-Mails entschlüsseln lassen. Dieser darf nur unter den Mitgliedern der Gruppe geteilt werden und niemals veröffentlicht werden oder ungeschützt verteilt werden
• Der Gruppen-Schlüssel ist in keiner Weise mit dem persönlichen Schlüssel verknüpft. Nur beim initialen Austausch, muss man mit seinem persönlichen Schlüssel den Gruppen-Schlüssel entschlüsseln

OTRS und geheimer Schlüssel, ohne Mitwisser

Wenn man das hessische Ticketsystem (OTRS) benutzt, dann ist es möglich den PGP-Key von der Hessen-IT erstellen zu lassen. Dadurch verbleibt der geheime Schlüssel immer auf den Servern der Hessen-IT und hat niemals Kontakt zu einem der Vorstände oder anderen beauftragten Personen.

OTRS kann generisch mit PGP/GPG umgehen. Es kann Mails ent- und verschlüsseln und bietet somit eine einfache Art und Weise eine gesicherte Kommunikation zwischen Anfragestellern und der Partei herzustellen.

Die Vorteile dieser Lösungen sind, dass nach dem Wechsel des Vorstands kein neuer Key generiert werden muss. Es reicht, wenn im Ticketsystem neue Accounts angelegt werden. Außerdem kümmern sich um die Server des hessischen Landesverbands Personen, die langjährige Erfahrung mit den Systemen haben und diese ständig aktuell halten. Dadurch entfällt das Risiko des Schlüsselklaus durch unsichere Privatrechner.