Door Erik van Straten: Te vaak wordt een key simpelweg automatisch gedownload en de user niet of onvoldoende gewaarschuwd dat er geen validatie heeft plaatsgevonden. Validatie moet je zelf doen. Je kent die keyservers verder niet dus dat moet je toch. Keysigning parties schalen niet, dus vallen de meeste gebruikers terug op plan B - het vertrouwen dat een vriend van een vriend is wie hij tegen zijn vriend heeft gezegd dat hij is, en die "tussenvriend" dat hopelijk gecontroleerd heeft. Maar dat gebeurt nou net te weinig; garanties heb je niet. Nouja, dan kijk je het zelf na en als je de wereld wil verbeteren dan publiceer je jouw signatuur op die nagekeken sleutel en iedereen die wil kan er van meegenieten. Maar inderdaad, het blijft een vertrouwenskwestie. Ik vind hoe ze het nu gedaan hebben geen goede opzet, maar zeer zeker wel beter dan bv. PKI, en al helemaal dan hoe PKI in browsers gedaan wordt. Hoe het beter kan weet ik zo snel even niet. Het is hetzelfde probleem als wat spionnen hebben: Wie kan je ...