Der OPENPGPKEY Resource Record stellt im Domain Name System den OpenPGP Public Key für eine E-Mail-Adresse bereit. Er ist eine Erweiterung des DANE-Protokolls. Abgesichert wird der Record durch DNSSEC. Die Validierung muss bestanden werden, um akzeptiert zu werden. Der Record-Type ist definiert im Standard RFC 7929, der sich jedoch im experimentellen Stadium befindet, und ist bei der IANA registriert unter der Nummer 61.
Bietet eine Alternative zu den Schlüsselservern, die in der Kritik stehen wegen Datenschutz und gefälschten Schlüsseln. Eine weitere Alternative ist Web Key Directory (WKD), die ein ähnliches Sicherheitsniveau versprechen wie OPENPGPKEY-Records. Allerdings ist WKD nicht standardisiert; es existiert nur ein RFC-Entwurf dafür.
Der Record wird in die DNS-Zone des Domain Parts der E-Mail-Adresse eingetragen. Dadurch hängt das Vertrauen des Schlüssels an dem Zoneninhaber und nicht an Usern. Als User hat man nicht die Möglichkeit, den Schlüssel in die Zone einzutragen, und kann nur den E-Mail-Provider bitten, den bereitgestellten Schlüssel einzutragen.
Um den Datenschutz zu erhöhen, wird der Local Part, im Standard auch „left-hand side“ genannt, der E-Mail-Adresse nicht im Klartext in der Zone abgelegt, sondern in SHA2-256-gehashter Form. Damit muss auf dem Client der exakte Local Part gehasht werden, um den passenden Record abzufragen.
Es können nur E-Mail-Adressen im Record abgebildet werden, bei denen der Domain Part der Adresse zur Zone der Domain passt. Der Local Part der Adresse wird gehasht.
Der Record darf nur einen Schlüssel enthalten. Wenn man mehrere Schlüssel angeben will, zum Beispiel während eines Schlüsselaustauschs, kann man einen zweiten Record anlegen. Enthalten sein müssen der Primärschlüssel inklusive Selbstsignierung und ein Verschlüsselungsschlüssel, falls der Primärschlüssel selbst nicht verschlüsseln kann. Der UID sollte auf die durch den Record referenzierte E-Mail-Adresse zeigen. Der Schlüssel sollte möglichst kleingehalten werden, aber falls vom Schlüsselinhaber erwünscht, können weitere Unterschlüssel, UIDs und Fremdsignierungen enthalten sein. Fremdsignierungen sind für das Web of Trust hilfreich oder notwendig.
Aufbau Name Der Name bzw. die Subdomain beginnt mit den ersten 56 Zeichen des SHA2-256-gehashten Local Part in hexadezimaler Darstellung. Anschließend kommt mit einem Punkt abgetrennt die Zeichenfolge _openpgpkey. Mit dem Unterstrich fällt die Domain unter den RFC 8552. TTL Die Zeit in Sekunden, wie lange der Record im Cache gültig bleibt. Klasse Der Record-Typ ist klassenagnostisch. Es wird heutzutage hauptsächlich die Internet-Klasse "IN" verwendet. Eine theoretische Alternative wäre Hesiod, das als Verzeichnisdienst entwickelt wurde. Type Der Wert OPENPGPKEY. Siehe auch RR-Typen Daten/Wert Der eigentliche Schlüssel in ASCII-kodierter Form. Der Standard verweist auf RFC 4880, der durch RFC 9580 ersetzt wurde.
Der Record, zusammengesetzt für [email protected], sollte so aussehen: 5d2d3ceb7abe552344276d47d36a8175b7aeb250a9bf0bf00e850cd2._openpgpkey.example.com. IN OPENPGPKEY <base64 public key>
Einzelnachweise
Kategorie:Resource Record