Translations:Concepts/OpenPGP Getting Started/14/de: Difference between revisions

Latest revision as of 02:39, 22 October 2013

Information about message (contribute)

This message has no documentation. If you know where or how this message is used, you can help other translators by adding documentation to this message.

Message definition (Concepts/OpenPGP Getting Started)

Most OpenPGP keys have at least one subkey (all have exactly one main key). You usually need not care about this difference; your application (or rather the base application, usually '''GnuPG''') selects the right one automatically. The main key is the one which the key fingerprint refers to and only the main key can certify: your own subkeys and user IDs and the user IDs of other keys. The subkeys can do everything else (mainly decryption and signing) if you configure them so. The reason the difference between these key types is mentioned here is that this is very important for key generation: You can separate the secret main key from the secret subkeys (with GnuPG; this is not part of the OpenPGP standard!). The subkeys can be replaced later, the main key cannot (that would be a new key not just a modified key). Thus if you create an offline main key at key generation which you protect by a very hard passphrase, store at least the passphrase securely and use the main key (and its passphrase) in secure environments only then you can keep this key "forever" (say 20 years). This is important for everyday keys. High security keys don't really need this separation (usually don't need subkeys at all). You should create one subkey for each capability you need: encryption, signing, and maybe authentication (for SSH).

Die meisten OpenPGP-Schlüssel haben mindestens einen Unterschlüssel (alle haben genau einen Hauptschlüssel). Sie brauchen sich normalerweise nicht um diesen Unterschied zu kümmern; Ihre Anwendung (oder genauer: die Basisanwendung, typischerweise GnuPG) wählt automatisch die richtige Schlüsselkomponente aus. Der Hauptschlüssel ist derjenige, auf den sich der Fingerprint bezieht, und nur nur er kann zertifizieren: die eigenen Unterschlüssel und User-IDs sowie die User-IDs anderer Schlüssel. Die Unterschlüssel können alles andere (vor allem entschlüsseln und signieren), wenn man sie entsprechend konfiguriert. Der Grund dafür, dass der Unterschied zwischen Haupt- und Unterschlüsseln hier angesprochen wird, ist, dass er für die Schlüsselerzeugung sehr wichtig ist: Man kann den geheimen Hauptschlüssel von den geheimen Unterschlüsseln trennen (mit GnuPG ist das möglich; es ist nicht Teil des OpenPGP-Standards!). Die Unterschlüssel können später ersetzt werden, der Hauptschlüssel nicht (das wäre dann ein neuer Schlüssel, nicht bloß ein modifizierter). Deshalb kann man einen Hauptschlüssel durchaus für "immer" (20 Jahre) verwenden, wenn man ihn bei der Schlüsselerzeugung sowohl mit einer kryptografisch sicheren Passphrase schützt als auch ihn als Offline-Hauptschlüssel abtrennt und anschließend zumindest die Passphrase sicher speichert und den Hauptschlüssel nur in sicheren Umgebungen verwendet. Das ist auch für Alltagsschlüssel wichtig. Hochsicherheitsschlüssel haben weniger Bedarf an dieser Trennung (brauchen üblicherweise gar keine Unterschlüssel). Sie sollten für jede Aktion einen eigenen Unterschlüssel erzeugen: für Signaturen, für Entschlüsselungen und bei Bedarf auch für Authentifizierung (SSH).