digitale Signatur

[ralfix]

Das Konzept der digitalen Signatur ist mir echt unklar.

Wenn ich ein Makro in einem Calc-Dokument schreibe, dann kann ich über eine von mir mit Selfcert erstellte Signatur erreichen, dass dieses Makro als sicher angesehen wird und die Sicherheitsmeldung nicht mehr erscheint.

Aber ich kann in einem anderen Dokument Schaltflächen anlegen, die Makros starten, die in "meine Makros" abgelegten Modulen enthalten sind, auch wenn sie gar nicht von mir stammen. Von wem sie stammen, scheint auch keine Rolle zu spielen.

Das würde bedeuten, dass Makros und Makros in externen Modulen gar nicht signiert werden (ich habe auch nicht gesehen, wo so etwas gemacht werden könnte).
Ich hatte bisher immer unterstellt, dass mit der digitalen Signatur eine "Quelle" bezeichnet werden kann, die dokumentübergreifend als sicher eingestuft wird. Das scheint aber hier nicht so zu sein.

Oder habe ich irgendwas falsch verstanden?

[Stephan]

Wenn ich ein Makro in einem Calc-Dokument schreibe, dann kann ich über eine von mir mit Selfcert erstellte Signatur erreichen, dass dieses Makro als sicher angesehen wird und die Sicherheitsmeldung nicht mehr erscheint.

WEnn du das so sagen willst dann ja.
Im Kern dient die Signatur natürlich dazu die Identität des Dokuments (also dessen Unverändertheit) zu belegen und das die Sicherheitsmeldung nicht mehr erscheint ist nur mittelbares Ergebnis dessen.

Aber ich kann in einem anderen Dokument Schaltflächen anlegen, die Makros starten, die in "meine Makros" abgelegten Modulen enthalten sind,

Das hat doch aber garnichts mit signierten Dokumenten(!) zu tun.

auch wenn sie gar nicht von mir stammen. Von wem sie stammen, scheint auch keine Rolle zu spielen.

genauso wie das bei der Mehrzahl alller Programme und Dokumente auf DEinem Recher, in diesem Sinne, keine Rolle spielt.

Das würde bedeuten, dass Makros und Makros in externen Modulen gar nicht signiert werden (ich habe auch nicht gesehen, wo so etwas gemacht werden könnte).

Richtig, so ist es implementiert (bzw. nicht implementiert, denn der WEg ist ja nicht vorhanden).
Das heißt nun aber nicht das diese unsicher sind sondern nur das die Möglichkeit der Signierung nicht direkt im OOo gegeben ist.

Z.B. die Sicherheit der mit OOo direkt mitgelieferten makros ist z.B. dadurch gegeben das diese ja Bestandteil des Installationspakets sind und deshalb der Möglichkeit der Identitätsprüfung durch die voröffentlichten md5-Summen unterliegen, siehe z.B.:
http://de.openoffice.org/downloads/md5.html
http://de.openoffice.org/downloads/hinweise.html

Ähnlich könnte man auch für Extensions md5-Summen nutzen oder andere Mechanismen der Identitätssicherung, die Verwendung einer Signatur ist nur eine Möglichkeit unter Weiteren.

Ich hatte bisher immer unterstellt, dass mit der digitalen Signatur eine "Quelle" bezeichnet werden kann, die dokumentübergreifend als sicher eingestuft wird. Das scheint aber hier nicht so zu sein.

Ich verstehe den Satz nicht ganz.

Eine Signatur ist nur das Anbringen eines Verweises auf ein Zertifikat, wodurch die Identität von einer Datei verbürgt wird.
"Identität" meint auch nur Selbige also die gesicherte Autentizität eines Dokuments, was nicht heißt das der Inhalt des Dokuments sachlich richtig sein muß, wenn also ein Dokument signiert ist und im Dokument steht "1+1=3" so ist zwar diese rEchnung falsch, gleichzeitig aber gesichert das diese falsche Rchnung tatsächlich von demjenigen der das Dokument signiert hat so ins Dokument geschrieben wurde.

Zertfikate werden üblicherweise von Zertifizierungsstellen 'herausgegeben' (z.B. http://www.verisign.com/), auch können von sog. Stammzertifikaten abgeleitete Zertifikate von Dritten herausgegeben werden.
Wenn Du, wie Du schreibst, das Programm SelfCert benutzt hast fungierst Du hierbei quasi als Zertifizierungsstelle was rein technisch nicht besser und nicht schlechter ist, was praktisch aber deswegen nicht sehr gebräuchlich ist da Du nicht sehr bekannt bist (Du bist ja nur eine Person) und Deine Identität deshalb nicht sehr sicher überprüfbar ist. Jeder der Deine Identität prüfen wollte müßte sich z.B. Deinen Ausweis (nicht nur eine Kopie davon) zeigen lassen, was etwas unpraktikabel wäre.

Um es mal sehr vereinfacht zu sagen:
Eine Signatur ist vergleichsweise nur eine Unterschrift die die Identität des Dokuments bestätigt und das dazugehörige Zertifikat ist der Identitätsnachweis desjenigen der die Unterschrift gegeben hat, vergleichweise also ist eine Unterschrift auf einem Kaufvertrag für ein Auto eine Signatur und das Vorzeigen des Personalausweises des Unterschreibenden das Zertifikat.
Es geht hier letztlich immer nur um eine Aussage und die Bestätigung der Identität desjenigen der diese Aussage tätigt, das ist nicht an Dateien oder Dokumente gebunden. Wenn Dich z.B. Deine Frau zuhause anruft und Dir sagt das in einer halben Stunde ein Mann kommt der einen Trenchcoat und schwarzen Hut anhat dem Du das Paket geben sollst was auf dem Flur steht, dann wäre quasi die Stimme Deiner Frau (bzw. die Tatsache das du die Stimme am Telefon erkennst) das Zertifikat und der Trenchcoat und Hut die Signatur.




Gruß
Stephan

[ralfix]

Hi,
danke für Deine sehr umfassenden Erläuterungen.
Ich war fälschlicherweise davon ausgegangen, dass nicht nur Dokumente, sondern auch Makros digital signiert werden können, und der Urheber dokumentübergreifend als vertrauenswürdig erklärt werden kann.
Ich habe mir jetzt so beholfen, dass ich Makros in einer Bibliothek verwalte, exportiere und als Extension einbinde. Die Dokumente enthalten damit keine Makros mehr und die Signatur ist nicht mehr erforderlich.
Gruß Ralf