Signier-Richtlinie für den Schlüssel 0x9A4C704C

Diese Signierrichtlinie gilt für die Signaturen anderer OpenPGP-Schlüssel, die ich ab 2004-04-14 vergebe und bei denen ein Verweis auf diese Resource in die Signatur eingebunden ist. Für Schlüssel-Signaturen, die ich vor diesem Datum vergeben habe, gilt diese Richtlinie nicht.
Kleine redaktionelle Änderungen behalte ich mir ohne besondere Kennzeichnung vor, für inhaltliche Änderungen werde ich eine neue Version mit dann aktuellen Datum veröffentlichen.

Grundlagen

RFC 2440

Der aktuelle Standard RFC 2440 - OpenPGP Message Format führt für das Signieren von Schlüsseln verschiedene Signatur-Typen ein, definiert dabei aber bewusst keine feste Bedeutung:

5.2.1. Signature Types

   There are a number of possible meanings for a signature, which are
   specified in a signature type octet in any given signature. These
   meanings are:

   [...]

   0x10: Generic certification of a User ID and Public Key packet.
         The issuer of this certification does not make any particular
         assertion as to how well the certifier has checked that the
         owner of the key is in fact the person described by the user
         ID.  Note that all PGP "key signatures" are this type of
         certification.

   0x11: Persona certification of a User ID and Public Key packet.
         The issuer of this certification has not done any verification
         of the claim that the owner of this key is the user ID
         specified.

   0x12: Casual certification of a User ID and Public Key packet.
         The issuer of this certification has done some casual
         verification of the claim of identity.

   0x13: Positive certification of a User ID and Public Key packet.
         The issuer of this certification has done substantial
         verification of the claim of identity.

         Please note that the vagueness of these certification claims is
         not a flaw, but a feature of the system. Because PGP places
         final authority for validity upon the receiver of a
         certification, it may be that one authority's casual
         certification might be more rigorous than some other
         authority's positive certification. These classifications allow
         a certification authority to issue fine-grained claims.      

   [...]

Es wird also vorgeschlagen, dass man zum Signieren feiner abgestufte, individuelle Richtlinien einführt, wenn man Signaturen vergibt.
Eine solche Signatur-Richtlinie stelle ich mit dem vorliegenden Dokument für die Schlüssel-Signaturen auf, die ich mit meinem Schlüssel 0x9A4C704C in Zukunft vergebe.

GNU Privacy Guard (GPG)

In der interaktiven Hilfe beim Signieren erklärt GPG (Version 1.2.4) die Verwendung der Signatur-Typen folgendermaßen:

Wenn Sie die User-ID eines Schlüssels beglaubigen wollen, sollten Sie zunächst
sicherstellen, dass der Schlüssel demjenigen gehört, der in der User-ID genannt
ist. Für Dritte ist es hilfreich zu wissen, wie gut diese Zuordnung überprüft
wurde.

"0" zeigt, dass Sie keine bestimmte Aussage über die Sorgfalt der 
    Schlüsselzuordnung machen.

"1" Sie glauben, dass der Schlüssel der benannten Person gehört,
    aber Sie konnten oder nahmen die überpüfung überhaupt nicht vor.
    Dies ist hilfreich für eine "persona"-überprüfung, wobei man den
    Schlüssel eines Pseudonym-Trägers beglaubigt

"2" Sie nahmen eine flüchtige überprüfung vor. Das heisst Sie haben z.B.
    den Schlüsselfingerabdruck kontrolliert und die User-ID des Schlüssels
    anhand des Fotos geprüft.

"3" Sie haben eine ausführlich Kontrolle des Schlüssels vorgenommen.
    Das kann z.B. die Kontrolle des Schlüsselfingerabdrucks mit dem
    Schlüsselinhaber persönlich vorgenommen haben; dass Sie die User-ID des
    Schlüssel anhand einer schwer zu fälschenden Urkunde mit Foto (wie z.B.
    einem Pass) abgeglichen haben und schliesslich per E-Mail-Verkehr die
    E-Mail-Adresse als zum Schlüsselbesitzer gehörig erkannt haben.

Beachten Sie, dass diese Beispiele für die Antworten 2 und 3 *nur* Beispiele sind.
Schlussendlich ist es Ihre Sache, was Sie unter "flüchtig" oder "ausführlich"
verstehen, wenn Sie Schlüssel Dritter beglaubigen.

Diese Interpretation von RFC 2440 finde ich unbefriedigend. Meine Widersprüche dazu:

• Wenn ich die höchste Signaturstufe schon für einen Schnipsel Papier, den ich auf einer Messe im Gedränge oder bei einer key-signing-party gekriegt habe und einen kurzen Blick auf einen Personalausweis vergebe, welche Signatur soll ich dann für den Schlüssel meiner Schwester oder meines Mitbewohners vergeben?
• Warum sollte ich öffentlich die Identität eines Schlüsselinhabers beurkunden (und das ist für mich eine Schlüssel-Signierung), wenn ich diese überhaupt nicht geprüft habe?
  Wenn ich aus irgendeinem Grund einen ungeprüften Schlüssel signieren will, genügt es mir, das mittels einer lokalen Signatur zu erledigen.
• Ein Großteil der heutzutage existierenden OpenPGP-Software ist nicht in der Lage, den Signaturtyp 0x11 als "bedeutungslos" zu erkennen. Auch wenn der Signierende damit gezielt eine Aussage treffen will, wird diese in vielen Anwendungen gar nicht bzw. nicht deutlich genug ausgewertet und wiedergegeben.

meine Signier-Richtlinie