Deutschsprachige CAcert Support Liste

[Michael Nausch <michael AT nausch.org>]

Servus!

Am Montag, 12. August 2013, 21:18:00 schrieb Werner Dworak:

> >> Das Zertifikat konnte nicht verifiziert werden, weil es mit einem
> >> Signatur-
> >> Algorithmus signiert wurde, der deaktiviert wurde, weil er nicht
> >> sicher ist.

Tja, da sind wir nun mal wieder bei dem gleichen Thema, das auch mit den 
Apple-Sachen besteht. Dazu hatte ich ja auch schon mal angefragt, wann die 
Signatur des Class 1 Zertifikates angepasst und beide Root-Zertifikate 
erneuert werden. 

> Da war wohl jemand übereifrig und kennt sich nicht wirklich aus. Leider
> gibt es von dieser Sorte einige Leute.

Also dazu ist es eigentlich müßig, ein Urteil zu fällen, da es letztendlich 
ein zunehmendes Problem ist und wird. Was nutzen denn Zertifikate, wenn diese 
nicht als trusted eingestuft werden können? NIX! Da kann ich ja gleich besser 
mit 'ner eigenen CA aufwarten. 

In meinen Workshops zum Thema sicher eMail, erwähne ich mittlerweilen S/MIME 
nur noch als weitere Alternative. Meine Empfehlung geht mit den Erfahrungen 
der MD5-Signatur im Class1 nunmehr in Richtung PGP. 

> Das Stammzertifikat Klasse 1 von CAcert benutzt noch MD5. Wir sind
> jedoch dabei, ein neues Stammzertifikat zu erstellen, das
> voraussichtlich SHA256 benutzen wird.

Ich hatte die Frage Dir ja schon mal gestellt [s20130605.20], wann es soweit 
sein könnte. 

Zitat: "... Ob auch ein neues Stammzertifikat Klasse 3 erzeugt werden muss
oder sollte, steht noch nicht fest."

Na ja, da sind wir wieder bei Deinem Eingangsstatement, oder?

> Das Stammzertifikat Klasse 3 (manche nennen es auch Zwischenzertifikat)
> von CAcert benutzt seit längerem SHA256. Es stützt sich allerdings auf
> das Stammzertifikat Klasse 1.

Genau, und wenn ein Glied Zertifikats-Kette kein Vertrauen geniest oder gar 
ungültig sein sollte, dann passiert was?  ... /dev/null :/ Genau, dann ist 
schluß mit lustig, nix geht! Die Frage also, ob dann das Class 3 Zertifikat 
erzeugt werden "sollte", erübrigt sich also.

Aus dem Grund hab ich meine externen Dienste leider mittlerweilen alle auf  
kostenpflichtige Zertifikate umgestellt, damit die Apple-Nutzer und 
sonstigen, 
die mit dem aktuellen CAcert-Root Zertifikat ein Problem haben, nicht außen 
vor stehen.


Servus
Django
--
https://dokuwiki.nausch.org/doku.php/centos:openpgp_beim_mua
http://ebersberger-liedersammlung.de
http://wetterstation-pliening.info