Seminar Sequoia PGP Praxis mit sq

Inhaltsverzeichnis

• Abstract
• Zielbild und Nutzen
• Zielgruppe
• Voraussetzungen
• Lernziele
• Inhalte und Agenda 
• Ergebnisse und Transfer-Artefakte

Abstract

Das Seminar vermittelt praktische OpenPGP-Workflows mit Sequoia PGP und dem Kommandozeilenwerkzeug sq. Im Fokus stehen Schlüsselmanagement, Signieren, Verifizieren, Verschlüsseln, Entschlüsseln, sichere Policy-Einstellungen sowie reproduzierbare Prozesse für Teams. Ergänzend werden typische Fehlerbilder, Interoperabilitätsaspekte und Betriebsrichtlinien behandelt.

Zielbild und Nutzen

• Einheitliche OpenPGP-Prozesse für Teams und Build-/Release-Pipelines
• Reduzierung typischer PGP-Fehler (falsche Trust-Einstellungen, schwache Policies, veraltete Schlüssel)
• Sichere Standardkonfigurationen für Signaturen und Verschlüsselung
• Verifizierbare Ergebnisse durch definierte Checklisten und Wiederholbarkeit

Zielgruppe

• DevOps, Release Engineering, Security Operations
• Entwicklerteams mit Signaturpflicht (Artefakte, Packages, Commits)
• Administrierende, die OpenPGP als Bestandteil der Security Controls betreiben

Voraussetzungen

• Grundkenntnisse: Public-Key-Kryptographie
• Shell-Grundlagen (Linux/macOS; optional Windows mit kompatibler Umgebung)
• Kein Rust-Wissen erforderlich

Lernziele

• OpenPGP-Schlüssel sicher erzeugen, verwalten, rotieren und widerrufen
• Signaturen korrekt erstellen und verifizieren (Artefakte, Dateien, Nachrichten)
• Verschlüsselungsworkflows robust umsetzen (Einzelnutzer, Team, Automatisierung)
• Policy- und Trust-Entscheidungen dokumentieren und audittauglich machen

Inhalte und Agenda

Tag 1: OpenPGP-Basics und sichere Workflows

• OpenPGP-Objekte: Zertifikat, Subkeys, User IDs, Bindings
• Schlüsselerzeugung: Parameter, Lebensdauer, Subkey-Strategien
• Signieren/Verifizieren: Detached Signatures, Inline, Artefakt-Pipelines
• Verschlüsseln/Entschlüsseln: Empfängerauswahl, Multi-Recipient, Symmetrisch vs. Asymmetrisch
• End-to-End Workflow: Key → Sign → Verify → Encrypt → Decrypt

Tag 2: Policy, Trust, Team- und Betriebsaspekte

• Policies: Algorithmenwahl, Mindeststandards, Kompatibilität
• Trust-Modelle: grundlegende Konzepte, Team-Modelle, Delegationsmuster
• Automatisierung: reproduzierbare CLI-Skripte, saubere Exit-Codes, Logging ohne Secrets
• Fehlerbilder: beschädigte Keyrings, falsche Recipient Sets, Zeit-/Expiry-Probleme
• Team-Workflow und Notfallpfad: Key Compromise, Rotation, Revocation

Ergebnisse und Transfer-Artefakte

• OpenPGP Team-Policy als Textvorlage
• Checkliste “Sign/Verify” für CI
• Runbook “Key Rotation / Revocation”