Ein Keyserver ist ein Verzeichnisdienst für öffentliche PGP- und OpenPGP-Schlüssel. Er macht es möglich, fremde Schlüssel nach Namen oder Fingerprint zu suchen, herunterzuladen und den eigenen Schlüssel zu veröffentlichen. Der Server selbst ist jedoch kein Identitätsnachweis – er verteilt Schlüssel nur, wer wem gehört, entscheidet das Web of Trust.
HKP – das HTTP-Keyserver-Protokoll
Der erste webbasierte PGP-Keyserver entstand 1996 aus einer Diplomarbeit von Marc Horowitz am MIT. Er führte das HKP-Protokoll (HTTP Keyserver Protocol) ein, über das Clients Schlüssel suchen, hochladen und abrufen. GnuPG nutzt HKP zum Beispiel mit den Optionen --recv-keys, --send-keys und --search-keys.
Bekannte Dienste
- keys.openpgp.org: moderner, datenschutzfreundlicher Dienst (Implementierung „Hagrid"), der nur verifizierte E-Mail-Adressen veröffentlicht
- SKS-Pool: historisch verbreiteter Keyserver-Pool, der wegen Zertifikat-Poisoning-Angriffen ab 2021 weitgehend vom Netz genommen wurde
Moderne Alternativen
Weil Keyserver Angriffsfläche bieten und keine Identitäten bestätigen, setzen viele Projekte heute auf:
- WKD (Web Key Directory, RFC 7929): Der Schlüssel wird per HTTPS von der eigenen Domain abgerufen, etwa
openpgpkey/example.org - DANE (DNS-based Authentication of Named Entities): veröffentlicht Schlüssel-Fingerprints im DNS
- TOFU (Trust on First Use): Der Client merkt sich den beim ersten Kontakt gesehenen Schlüssel und warnt bei späteren Änderungen
Verwandte Grundlagen: Schlüsselaustausch, Zertifikat, GPG, X.509.