Digitale Signaturen in PDF-Dateien

[zahni 571]

Warum glaubt eigentlich jeder, dass man PDF-Dateien valide mit selbst erstellten Zertifikaten (egal ob self oder Enterprise-CA) valide signieren kann?

Ich habe hier wieder ein Angebot, wo Acrobat natürlich meldet: Unterschrift ungültig (bzw. Es gibt es Problem mit der Unterschrift).

Dafür, dass die Technik uralt ist, herrscht hier sehr viel Unkenntnis.

[NorbertFe 2.175]

vor 24 Minuten schrieb zahni:

Dafür, dass die Technik uralt ist, herrscht hier sehr viel Unkenntnis.

 

Und das ist doch aber in vielen Bereichen so. ;) Und Zertifikate sind sowieso und grundsätzlich "bäh" ;)

[daabm 1.389]

Frag mal nen durchschnittlichen Admin, was er unter "Trust Anchor" versteht...  

[vkf 0]

vor 17 Stunden schrieb zahni:

 

Warum glaubt eigentlich jeder, dass man PDF-Dateien valide mit selbst erstellten Zertifikaten (egal ob self oder Enterprise-CA) valide signieren kann?

Wo ist dein Blog zu dem Thema? Oder bietet du Seminare zum Thema?

[zahni 571]

vor 12 Stunden schrieb daabm:

Frag mal nen durchschnittlichen Admin, was er unter "Trust Anchor" versteht...  

Ich versuche immer wieder zu erklären, dass ein Zertifikat in diesem Kontext die Identität einer Personen garantieren muss. Daher muss der Aussteller diese überprüfen und dafür garantieren. 

Jetzt muss ich dem "Trust Center" vertrauen, dass es seine Aufgaben richtig erledigt. im Falle von Unterschriften passt der Prozess bei D-Trust noch am besten (auch wenn die auch nicht vor Angriffen gefeit sind) und natürlich der Personalausweis. Eine der Gründe, warum ein kleines Problem mit Letsencrypt habe. Im Prinzip wird diese Kette dort nicht umgesetzt (da bekommt quasi jeder ein Zertifikat). Allerding hoffentlich nur für Server.

 

BTW: Falls jemand IDNOW benutzt: Die werden an den Finanzinvestor Corsair Capital verkauft. 

[vkf 0]

Und wo ist jetzt die technische Frage?

[NilsK 2.982]

Moin,

 

vor 22 Stunden schrieb NorbertFe:

Und Zertifikate sind sowieso und grundsätzlich "bäh" ;)

 

wer sagt denn sowas?

 

vor 2 Stunden schrieb zahni:

Jetzt muss ich dem "Trust Center" vertrauen, dass es seine Aufgaben richtig erledigt.

 

Ja, das ist das Grundproblem der ganzen PKI-Klamotte. Wir ersetzen Vertrauen durch Verträge, die uns nicht bekannte Unternehmen miteinander geschlossen haben.

 

Zitat

im Falle von Unterschriften passt der Prozess bei D-Trust noch am besten (auch wenn die auch nicht vor Angriffen gefeit sind) und natürlich der Personalausweis.

 

Im Falle von Unterschriften muss man aber auch dazu sagen, dass die Anforderungen an digitale Signaturen viel höher sind als die an die analoge Welt. Einer auf Papier gekritzelten Unterschrift kann ich nicht ansehen, wer da gekritzelt hat. Trotzdem kann man damit Arbeitsverträge kündigen und Grundstücke kaufen.

 

Zitat

Eine der Gründe, warum ein kleines Problem mit Letsencrypt habe. Im Prinzip wird diese Kette dort nicht umgesetzt (da bekommt quasi jeder ein Zertifikat). Allerding hoffentlich nur für Server.

 

Das ist jetzt Äpfel mit Pflaumen vergleichen. Letsencrypt macht ausschließlich TLS-Zertifikate vom Typ "Domain Validated". Da passt deren Prozess. Für andere Zwecke passt er nicht, aber die bedient die Organisation auch nicht.

 

Gruß, Nils

... die Langfassung gibt es auch als Vortrag von mir.

bearbeitet Freitag um 10:34 von NilsK

[NorbertFe 2.175]

vor 2 Stunden schrieb NilsK:

wer sagt denn sowas?

Das sind so Dinge, die man bei Kunden mitnimmt, sobald es um Zertifikate geht. Nicht weil die Notwendigkeit nicht gesehen wird, sondern weil man sich damit nicht beschäftigen will.

[zahni 571]

vor 2 Stunden schrieb NilsK:

die Langfassung gibt es auch als Vortrag von mir.

Das wissen wir

[NilsK 2.982]

vor 5 Stunden schrieb NorbertFe:an sich damit nicht beschäftigen will.

Moin, 

 

vor 5 Stunden schrieb NorbertFe:

Das sind so Dinge, die man bei Kunden mitnimmt, sobald es um Zertifikate geht. Nicht weil die Notwendigkeit nicht gesehen wird, sondern weil man sich damit nicht beschäftigen will.

 

das weiß ich doch.  Ich wollte mal was anderes schreiben als "PKI ist böse". 

 

vor 4 Stunden schrieb zahni:

Das wissen wir

 

Wie, habe ich darauf schon mal hingewiesen? Ich bin doch sonst so zurückhaltend. 

 

Gruß, Ni"sehr uneitel"ls

[NorbertFe 2.175]

vor einer Stunde schrieb NilsK:

Ich wollte mal was anderes schreiben als "PKI ist böse". 

Das weiß ich doch aber auch. Nur vielleicht nicht jeder der hier mitliest. 😉