Linux-Kernel schlägt dezentrales Identitätssystem als Ersatz für PGP Web of Trust vor

Aktuelle Herausforderungen der PGP-Authentifizierung

Linux-Kernel-Entwickler verwenden derzeit Pretty Good Privacy (PGP) mit Git-Integration für signierte Tags und Commits. Das System erfordert ein Web-of-Trust, das nach dem Hack von kernel.org im Jahr 2011 auf einem Kernel Summit durch persönliche Schlüssel-Signierungssitzungen initialisiert wurde. Heute müssen Kernel-Maintainer, die ein kernel.org-Konto erhalten möchten, jemanden finden, der bereits im PGP-Web-of-Trust ist, sich persönlich mit ihm treffen, einen amtlichen Ausweis vorlegen und ihren Schlüssel signieren lassen.

Linux-Kernel-Maintainer Greg Kroah-Hartman beschreibt diesen Prozess als "mühsam durchzuführen und zu verwalten", da er durch manuelle Skripte verfolgt wird, Schlüssel veralten und die öffentliche "Wer-wohnt-wo"-Karte Datenschutz- und Social-Engineering-Risiken birgt.

Linux ID: Die vorgeschlagene Lösung

Linux ID ist eine dezentrale, datenschutzschützende Identitätsschicht, die das fragile PGP-Schlüssel-Signierungs-Web-of-Trust ersetzt. Das System wurde von den Decentralized Trust-Leitern der Linux Foundation, Daniela Barbosa und Hart Montgomery, zusammen mit Affinidi-CEO Glenn Gore vorgestellt.

Im Kern von Linux ID stehen kryptografische "Nachweise der Personhaftigkeit", die auf modernen digitalen Identitätsstandards basieren. Anstelle eines einzigen monolithischen Web-of-Trust stellt das System Personhaftigkeits-Anmeldeinformationen und verifizierbare Anmeldeinformationen aus und tauscht sie aus, die beispielsweise Folgendes bestätigen:

• "diese Person ist ein reales Individuum"
• "diese Person ist bei Unternehmen X angestellt"
• "dieser Linux-Maintainer hat diese Person getroffen und als Kernel-Maintainer anerkannt"

Technische Umsetzung

Linux ID basiert auf dezentralen Identifikatoren (DIDs), einem W3C-artigen Mechanismus zur Erstellung global eindeutiger IDs und zum Anhängen öffentlicher Schlüssel und Service-Endpunkte an diese. Entwickler erstellen DIDs, möglicherweise unter Verwendung bestehender Curve25519-basierter Schlüssel aus der heutigen PGP-Welt, und veröffentlichen DID-Dokumente über sichere Kanäle wie HTTPS-basierte "did:web"-Endpunkte, die ihre Public-Key-Infrastruktur offenlegen.

Das System ist ausstellerunabhängig und komponierbar. Anmeldeinformationen können auf verschiedene Weise verankert werden:

• Staatlich ausgestellte digitale Ausweise (wo verfügbar)
• Drittanbieter-Identitätsverifizierer ähnlich wie Visa-Antragszentren
• Arbeitgeber
• Die Linux Foundation selbst als Aussteller

Wenn zwei Entwickler unterschiedlichen Ausstellern vertrauen, können sie dennoch überlappende Vertrauenspfade finden. Je mehr unabhängige Aussteller existieren, desto stärker wird das Gesamtsystem.

Zeitplan und Auswirkungen

Linux ID wird noch nicht eingeführt, soll aber innerhalb eines Jahres eingesetzt werden. Das System ist so konzipiert, dass es auch von anderen Open-Source-Projekten außer dem Linux-Kernel genutzt werden kann, und bietet eine flexiblere Möglichkeit, Entwickleridentitäten nachzuweisen, ohne brüchige Schlüssel-Signierungspartys oder Ad-hoc-Videoanrufe.