Deutschsprachige CAcert Support Liste

[Thorsten Bremer <313 AT thoddi.de>]

Sebastian van de Meer schrieb:

> "Wir" kommen dabei leider nicht ganz so gut weg, wie erhofft, oder sieht
> das jemand anders? Selbst unser Assurance Officer (geiler Titel) Ulrich
> Schroeter konnte es nicht wirklich herausreißen.... 

Nicht so gut wegkommen ist in meinen Augen noch freundlich formuliert.

Das einzige positive an dem Artikel ist, dass jetzt mehr Personen von
CAcert wissen. Ob sie angesichts des Artikels auch mitmachen? Ich denke,
dass hat CAcert aber zum Teil auch selbst zu verantworten.

In weiten Teilen klingt es leider auch sehr reisserisch. Die Anmerkungen
zur Punktehatz klingen irgendwie, als ob der Autor uns wie ein
Socialgame bei Facebook ansieht. Die Fehler beim Erlaeutern des
Punktesystems lieber nicht zu erwaehnen...

> Den weg zum Assurer schwerer zu gestalten, ist sicher eine
> zweischneidige Geschichte aber vielleicht doch zu überdenken?!?!

Henne und Ei. Je schwieriger der Assurer-Status wird, desto weniger
Assurer wird es auch geben. Und je weniger Assurer es gibt, desto
schwerer wird es, sich assuren zu lassen. Ich z.B. bin damals relativ
lange bei 50 Punkten stehen geblieben, weil es in meinem Heimatort nicht
mehr Assurer gab. Erst auf einem anderen Linux-Stammtisch waren mal 4
Assurer anwesend, die mich dann auf 100 Punkte gebracht haben.

Die Schwierigkeit wird sein, hier die richtige Mischung zu finden.

> Ich bin fest davon überzeugt das CAcert die richtige Idee ist und das
> der Weg im groben passt. Nur, ohne Root Zertifikaten in den Browsern und
> ohne das unserer Assurer wissen was sie tun und das sehr bewusst und
> ausgewählt, kommen wir sicher nicht weiter!

EIGENTLICH machen wir es besser als die kommerziellen CAs. Bei denen
bekommst Du zum Teil gegen nur simple eMail-Verifizierung und
Geldeingang bereits ein Zertifikat, was dann fuer ein Jahr gueltig ist
und in den Browsern eben keinen Fehler erzeugt. Verifikation eher nahe Null.

Bei uns hingegen muss man sich erst bei mehreren Assurern mit Ausweisen
vorstellen, bevor man die richtigen, lange gueltigen Zertifikate bekommt.
Getruebt wird das nur, dass man auch bei CAcert als unassured Member
Zertifikate ausstellen kann, die von der gleichen Root unterschrieben
werden wie die "richtigen" Zertifikate. Nein, dass die unassured
Zertifikate nur 6 Monate statt 24 gueltig sind, ist irgendwie kein
Sicherheitsgewinn.

Noch trueber sieht es allerdings aus, wenn ich Personen assure, die
bereits ueber 50 Punkte von anderen bekommen haben und wo es
gleichzeitig aber einige Unstimmigkeiten zwischen CAcert-Account und
Ausweisen gibt. Es ist mir ein Raetsel, warum mindestens drei andere
Assurer einen Mittelnamen bestaetigen, der laut den vorgelegten
Ausweisen nicht belegt werden kann.

Noch viel mehr fasse ich mir dann an den Kopf, wenn solchen eindeutigen
Hinweisen dann in einem Arbitration-Verfahren nicht weiter nachgegangen,
sondern der Fall einfach abgebuegelt wird. Und dass Arbitrations in
Faellen, wo sich eigentlich alle Parteien einig sind, mal eben ein 3/4
Jahr andauern, ist auch nicht lustig. Ob ich mir in Zukunft noch weitere
Arbitrations antue oder die zweifelhaften Assurances einfach wegwerfe,
muss ich mir angesichts dessen noch ueberlegen. Auch mein Engagement,
mich stundenlang auf grossen Veranstaltungen (wie zuletzt beim 26C3)
irgendwo hinzusetzen und CAcert bekannt zu machen und zu erklaeren, hat
deswegen gelitten :-(

Recht hast Du vermutlich mit der Bedeutung der Browser-Integration. Das
ist es eigentlich, wofuer man eine freie CA braucht. Ohne Integration in
die Programme und Betriebssysteme kann da draussen niemand eine
eMail-Signatur von CAcert verifizieren, kann niemand keinen Webserver
*vernuenftig* mit CAcert absichern.
Fuer interne Zwecke nutze ich lieber eine eigene CA und verteile diese
auf meine Clients, da brauche ich kein CAcert. Das brauche ich nur fuer
draussen.

Leider bekommt man nur ein dummes Kennedy-Zitat um die Ohren gehauen,
wenn man danach fragt.

So, wieder mal genug Frust,
                            Thoddi