tor-webwml.git

1) ## translation metadata
2) # Based-On-Revision: 18058
3) # Last-Translator: mail (a.t) oliverknapp. de
4) 
5) 
6) #include "head.wmi" TITLE="Signaturen überprüfen" CHARSET="UTF-8"
7) 
8) <div class="main-column">
9) 
10) <h2>Signaturprüfung bei unseren Dateien</h2>
11) <hr />
12) 
13) <p>Jede Datei auf unserer <a href="<page download>">Downloadseite</a> wird von
14) einer Datei mit der Endung ".asc" begleitet.</p>
15) 
16) <p>Dabei handelt es sich um PGP-Signaturen, mit denen man sicherstellen kann,
17) dass die heruntergeladene Datei auch die ist, die sie vorgibt zu sein.</p>
18) 
19) <p>Natürlich brauchst du dazu unsere GPG-Schlüssel in deinem
20) GPG-Schlüsselbund. Solange du den unterschreibenden Schlüssel nicht kennst,
21) kannst du nicht sicher sein, dass es tatsächlich wir waren, die unterschrieben
22) haben. Zum Unterschreiben benutzen wir folgende Schlüssel: Rogers (0x28988BF5)
23) und Nicks (0x165733EA, oder seinem Unterschlüssel 0x8D29319A). Einige
24) kompilierte Pakete könnten auch von Andrew (0x31B0974B), Peter (0x94C09C7F,
25) oder seinem Unterschlüssel 0xAFA44BDD) oder Matt (0x5FA14861) unterschrieben
26) sein.</p>
27) 
28) <p>Man kann die Schlüssel auch direkt in sein GnuPG importieren:</p>
29) 
30) <pre>gpg --keyserver subkeys.pgp.net --recv-keys 0x28988BF5</pre>
31) 
32) <p>oder mittels folgender Zeile nach den Schlüsseln suchen:</p>
33) 
34) <pre>gpg --keyserver subkeys.pgp.net --search-keys
35) 0x28988BF5</pre>
36) 
37) <p>Nachdem man einen Schlüssel ausgewählt hat, wird er dem Schlüsselring
38) hinzugefügt.</p>
39) 
40) <p>Die Fingerabdrücke der Schlüssel sollten folgende sein:</p>
41) 
42) <pre>
43) pub   1024D/28988BF5 2000-02-27
44)       Key fingerprint = B117 2656 DFF9 83C3 042B  C699 EB5A 896A 2898 8BF5
45) uid                  Roger Dingledine &lt;arma@mit.edu&gt;
46) 
47) pub   3072R/165733EA 2004-07-03
48)       Key fingerprint = B35B F85B F194 89D0 4E28  C33C 2119 4EBB 1657 33EA
49) uid                  Nick Mathewson &lt;nickm@alum.mit.edu&gt;
50) uid                  Nick Mathewson &lt;nickm@wangafu.net&gt;
51) uid                  Nick Mathewson &lt;nickm@freehaven.net&gt;
52) 
53) pub  1024D/31B0974B 2003-07-17
54)      Key fingerprint = 0295 9AA7 190A B9E9 027E  0736 3B9D 093F 31B0 974B
55) uid                  Andrew Lewman (phobos) &lt;phobos@rootme.org&gt;
56) 
57) pub   1024D/94C09C7F 1999-11-10
58)       Key fingerprint = 5B00 C96D 5D54 AEE1 206B  AF84 DE7A AF6E 94C0 9C7F
59) uid                  Peter Palfrader
60) uid                  Peter Palfrader &lt;peter@palfrader.org&gt;
61) uid                  Peter Palfrader &lt;weasel@debian.org&gt;
62) 
63) pub   1024D/5FA14861 2005-08-17
64)       Key fingerprint = 9467 294A 9985 3C9C 65CB  141D AF7E 0E43 5FA1 4861
65) uid                  Matt Edman &lt;edmanm@rpi.edu&gt;
66) uid                  Matt Edman &lt;Matt_Edman@baylor.edu&gt;
67) uid                  Matt Edman &lt;edmanm2@cs.rpi.edu&gt;
68) sub   4096g/EA654E59 2005-08-17
69) </pre>
70) 
71) <p>(Natürlich: Wenn du wirklich sicher sein willst, dass diese Fingerabdrücke
72) stimmen, solltest du sie an verschiedenen Stellen verifizieren. Du kannst dich
73) auch mit dem "Web of Trust" von PGP beschäftigen und versuchen einen
74) Vertrauenspfad zu den Schlüsseln zu bekommen.)</p>
75) 
76) <p>Wenn du GnuPG benutzt, speichere die .asc Datei im gleichen Verzeichnis wie
77)  die Installationsdatei und gib dann folgendes ein:
78) "gpg --verify (wasauchimmer).asc (wasauchimmer)"
79) Es wird entweder "Good signature" oder "BAD signature" anzeigen. Als Beispiel
80) hier eine vollständige, gute Ausgabe:</p>
81) 
82) <pre>
83) gpg --verify tor-0.1.0.17.tar.gz.asc tor-0.1.0.17.tar.gz
84) gpg: Signature made Wed Feb 23 01:33:29 2005 EST using DSA key ID 28988BF5
85) gpg: Good signature from "Roger Dingledine &lt;arma@mit.edu&gt;"
86) gpg:                 aka "Roger Dingledine &lt;arma@mit.edu&gt;"
87) gpg: WARNING: This key is not certified with a trusted signature!
88) gpg:          There is no indication that the signature belongs to the owner.
89) Primary key fingerprint: B117 2656 DFF9 83C3 042B  C699 EB5A 896A 2898 8BF5
90) </pre>
91) 
92) <p> Beachte: GnuPG gibt eine Warnung aus, weil du noch keinen Vertrauenslevel
93) für den Schlüssel festgelegt hast. Das Programm überprüft nur, ob die
94) Unterschrift von dem speziellen Schlüssel stammt, ob der Schlüssel den
95) Entwicklern gehört muss der Nutzer entscheiden. Die beste Methode dafür wäre
96) die Entwickler persönlich zu treffen und die GPG Fingerabdrücke auszutauschen.
97) Andere Leute können Schlüssel auch unterschreiben. Wenn du dir Rogers oder
98) Nicks Schlüssel anschaust, siehst du, dass viele andere Leute bereits
99) überprüft haben, dass die Schlüssel den beiden gehören. Mittels ihrer
100) Unterschrift haben sie das dann öffentlich erklärt. Wenn du diesen anderen
101) Menschen traust, hast du z.B. einen Vertrauenspfad zu Roger oder Nick. </p>
102) 
103) <p>Das alles zusammengefasst: Entweder du ignorierst die Nachricht (schlecht)
104) oder du legst ein Vertrauenslevel für die Schlüssel fest.</p>
105) 
106) <p>Als Beispiel: So sieht eine <em>SCHLECHTE</em> (weil fehlgeschlagene)
107) Überprüfung aus. Das bedeutet, dass der Inhalt der Datei nicht mit der
108) Unterschrift übereinstimmt:</p>
109) 
110) <pre>
111) gpg --verify tor-0.1.0.17.tar.gz.asc
112) gpg: Signature made Wed Feb 23 01:33:29 2005 EST using DSA key ID 28988BF5
113) gpg: BAD signature from "Roger Dingledine &lt;arma@mit.edu&gt;"
114) </pre>
115) 
116) <p>Wenn du solch eine Meldung siehst, solltest du dem Inhalt der Datei auf
117) keinen Fall vertrauen!</p>
118) 
119) <p>Wenn du Tor auf Debian laufen lässt, solltest du <a
120) href="https://wiki.torproject.org/noreply/TheOnionRouter/TorOnDebian">diese

121) Anleitung zum Import der Schlüssel in apt</a> lesen.</p>