Verschlüsselung

[Christoph Zurnieden]

Hallo,

Kannst Du mir hier mal erklären, wo da der Unterschied liegt?

Ok, hier liegt wohl ein Missverständnis meinerseits. Ich gehe momentan vor allem davon aus, dass der Kommunikationspfad vor externen Angreifern zu schützen ist,

Ja, _das_ geht ja auch einwandfrei. Zur Not mit Papier, Bleistift und einer Münze und das auch noch sicher.

weil ich beiden Partnern zunächst mal volles gegenseitiges Vertrauen unterstelle. Daher hat es mich verwirrt, wo du denn dauernd Lügner hervorzaubern willst. Wenn man allerdings davon ausgeht, dass man niemandem ausser sich selbst trauen kann, wird klar was du meinst.

Selbst sich selber kann man nicht trauen. (Man kann sich z.B. auch irren)

Nein, es ist nur sichergestellt, das Du das Passwort zusammen mit dem Fingerprint bekommen hast.
Mehr nicht.
Noch nicht einmal, ob die beiden zusammengehören, ob der Absender der richtige ist usw.

Ja, da ist die Stelle wieder. Ich bin jetzt mental wohl von dem Bild ausgegangen, wie ich den Account im Institutscomputerpool gekriegt habe: Ich gehe hin, zeige dem netten Herrn dort meinen Studenten- und Personalausweis, er überprüft, ob beide zusammen, zu mir und zu seinen Unterlagen passen. Dann unterschreibe ich die Nutzerordnung und eine Empfangsbestätigung für das Passwort und er händigt mir letzteres aus.

Jaja, so ist das hier in D. Hauptsache Stempel und Unterschrift ;-)

Ich bin davon ausgegangen, dass es bei der von mir vorgestellten Anwendung etwa ähnlich abläuft, bloss dass ich zu dem Passwort noch einen Zettel mit dem Fingerprint kriege. Hierbei habe ich aber implizit wieder angenommen, dass die ganze Rechnerbetriebsgruppe eine Einheit bildet und inhärent vertrauenswürdig ist. Also, dass der nette Mann dort nicht derjenige ist, der mich hinters Licht führen will.

Das würde ich aber annehmen und erst später bezahlen;-)
Nein, Scherz beiseite. Auf so einem öffentlichem Server reicht kein Passwort (das ist nur die Zugangsbeschränkung für Dich selber) da mußt Du Dir schon ein verschlüsseltes Datei(system) in Deinem $HOME einrichten und ansonsten davon ausgehen, das da jeder mitlesen kann.

Das ist der Unterschied zwischen realem Leben und Computern: im Leben kannst Du einen gewissen Vertrauensvorschuß vergeben, bei Computern ist prinzipiell Mißtrauen angesagt.
Wenn man das den Benutzern einprügeln könnte, wäre ein ganzer Wirtschaftszweig ziemlich schnell Pleite ;-)

Um bei Deinem Beispiel zu bleiben: was ist mit einem Druckfehler?

Ja, da gehe ich wie gesagt davon aus, dass mich ein abweichender Fingerprint alarmiert und ich beim heise-Verlag nachfrage. Daran, dass manipulierte Zeitschriften oder Druckfehler lange überleben,

Hat Dich denn Deine Mutter nie mit Spinat gestopft "weil da viel Eisen drin ist"? ;-)

ohne dass es jemand mitkriegt, glaube ich nicht. Wie gesagt, die c't ist dabei dann wieder als vollständig vertrauenswürdig angenommen und ich will mich nur vor externen Angreifern schützen.

Der gefährlichste Feind ist meist die eigene Schusseligkeit.

Wahlspruch aus leidvoller Erfahrung ;-)

Welchem Partner?
Woher weißt Du, das es der Richtige ist? (no pun intended ;-)

Da bin ich davon ausgegangen, dass derjenige der mir gegenüber eine Dienstleistung erbringt, derjenige ist, der mir gegenüber eine Dienstleistung erbringt ;)

Ja, jetzt hat er es! ;-)

Mehr kannst Du ganz einfach nicht annehmen.
Alles weiter ist nur Risikominimierung.

Aber ich kann wirklich schlecht erklären, ich gebe es unumwunden zu.

Ich glaube ich habe es jetzt verstanden, hoffe ich...

Wenn Du von jetzt an allem mit Mißtrauem und spitzen Fingern begegnest ... ;-)

so short

Christoph Zurnieden