Email Sicherheit?!?

wenn du Leuten vertraust, die irgendwelche, teilweise fremden Menschen den Key unterschreiben, solltest du dir unter umstaenden ueberlegen, selbigen doch nicht zu vertrauen ..

Das frag ich mich allderdings auch...diese "Rogue CA" (ja Rogue schreibt man so ) war nämlich iirc ein rein theoretischer Ansatz, der wie du schon gesagt hast auf MD5-Kollisionen basierte. Falls wir von der reden, die heuer mal auf einer Security Konferenz publiziert wurde...leider vergessen wo genau...Link vorhanden?
Wird jedenfalls so schon länger nicht mehr von den nahmhaften Anbietern eingesetzt.

Jedenfalls nix was real Probleme gemacht hätte.

Was deine herangehensweise angeht um "falsche Identitäten" im Web-of-Trust zu vermeiden, muss ich mich doch _sehr_ wundern. Gerade von dir hätt ich doch erwartet, dass du solche "Pfusch"-Konzepte ohne vernünftige Regelungen und Standards nicht beführwortest.
Oder hats vielmehr damit zu tun weil einfach "Open" drauf steht?

Sicherheit die von der persönlichen Erfahrung und Einschätzung des Benutzers abhängt und _nicht_ technisch/mathematisch eindeutig nachweisbar ist, kann man wohl wenig ernst nehmen. Das Problem ist der Faktor Mensch, dem man nicht vertrauen kann.
Dann noch zu sagen: "ja aber da kann man sich ja persönlich treffen!" zeigt doch gerade wie schwach das System ist. Wenn ich mich persönlich treffen muss, kann ich ihm die Nachricht auch direkt in die Hand drücken.

https://blog.torproject.org/blog/de...owser-collusion - Und man sieht wieder einmal: CAs sind eine schlechte Idee. Zumindest, wenn nicht irgendwie limitiert ist, fuer welche Subjects sie buergen koennen (was in X.509 nicht vorgesehen ist).