Das Web of Trust (Vertrauensnetz) ist das dezentrale Vertrauensmodell von PGP und OpenPGP. Statt einer zentralen Zertifizierungsstelle bestätigen Nutzer gegenseitig, dass ein öffentlicher Schlüssel wirklich zur angegebenen Person gehört – durch digitale Signaturen auf den jeweiligen Schlüsseln.
Wie Vertrauen entsteht
Wer einen fremden Schlüssel prüfen will, vergleicht den Fingerprint und signiert den Schlüssel der anderen Person, sobald die Identität nachvollziehbar bestätigt wurde. Die Signatur bedeutet: „Ich habe geprüft, dass dieser Schlüssel zu dieser Person gehört." Mit der Zeit entsteht so ein Netz aus wechselseitig bestätigten Schlüsseln.
Verbreitete Praxis sind Key-Signing-Partys: Treffen, bei denen Teilnehmer ihre Ausweise prüfen, Fingerprints austauschen und anschließend die Schlüssel der anderen signieren. Je mehr vertrauenswürdige Personen einen Schlüssel signiert haben, desto höher stuft der eigene Client dessen Glaubwürdigkeit ein.
Vertrauensgrade
GnuPG unterscheidet mehrere Vertrauensstufen: unknown, none, marginal, full und ultimate. Eine „marginal"-Signatur von mehreren Personen kann einen Schlüssel als gültig einstufen, eine „full"-Signatur eines einzigen stark vertrauten Einführers (Introducer) ebenfalls. Diese Einstufung ist lokal und subjektiv – jeder Nutzer entscheidet selbst, wem er vertraut.
Grenzen und Alternativen
Das Web of Trust skaliert für kleine Gruppen gut, wird aber bei großen Nutzerzahlen unübersichtlich. Neuere Mechanismen ergänzen oder ersetzen es: Trust-on-First-Use (TOFU), das Web Key Directory (WKD) und DANE über DNS. Diese Verfahren sind im Keyserver-Artikel und beim GPG-Einsatz im Detail beschrieben.
Verwandte Grundlagen: PKI, Zertifizierungsstelle, Public Key, Digitale Signatur.