Toby’s Friendly Canary

Warum überhaupt ein Friendly Canary und was macht meine Variante davon so besonders?
Die meisten kennen das Konzept nur als Warrant Canary:
Eine Art digitaler Lebensnachweis. Er zeigt an, dass es der Person gut geht, sie nicht verhaftet wurde und weiterhin die Kontrolle über ihre Webseite oder ihren PGP-Schlüssel hat.
Solche Canaries sieht man vor allem bei Journalistinnen, Aktivistinnen oder sehr staatsskeptischen Gruppen. Ich selbst gehöre zu keiner dieser Kategorien und genau deshalb entstand bei mir eine eher spielerische Idee.
Aus dieser kleinen Idee hat sich dann aber etwas entwickelt, das ich in dieser Form bisher nirgendwo gesehen habe: Der Friendly Canary, eine Weiterentwicklung, die über den klassischen Zweck hinausgeht.

Inhaltsverzeichnis:

• Was ein Warrant Canary eigentlich ist
• Was meinen Friendly Canary besonders macht
• Anleitungen: So prüfst du meinen Friendly Canary
  • 0. Vorbereitung
  • 1. Public Key importieren
    • 1.1 Extra Linux
  • 2. PGP-Signatur prüfen
    • 2.1 Extra Linux
    • 2.2 Extra Windows
  • 3. Blockchain-Timestamp prüfen

Was ein Warrant Canary eigentlich ist

Ein Warrant Canary ist eine signierte Erklärung, die regelmäßig erneuert wird und bestätigt "Bis Datum X wurde ich nicht festgenommen, nicht verhört und nicht daran gehindert, frei zu kommunizieren."
Wenn so ein Canary plötzlich nicht mehr aktualisiert wird, ist das ein stummer Hinweis darauf, dass etwas nicht stimmt, denn über geheime Behördenanfragen darf man oft nicht sprechen.
Technisch basiert das Ganze fast immer auf PGP-Signaturen, weil sie eindeutig beweisen, dass eine Nachricht tatsächlich von der Person stammt, die den zugehörigen Schlüssel besitzt.

Was meinen Friendly Canary besonders macht

Beim klassischen Warrant Canary geht es darum, zu zeigen "Mir geht’s gut und ich bin frei."
Bei meinem Friendly Canary geht es dagegen um etwas anderes und etwas, das ich so noch nie umgesetzt gesehen habe.
Er beweist langfristig, dass mein veröffentlichter PGP-Key seit Zeitpunkt X unverändert und authentisch ist.
Und das löst ein echtes Problem, das normale Warrant Canaries haben. Wenn man einen Canary zum ersten Mal sieht, weiß man eigentlich nie, ob der verwendete PGP-Key echt ist oder ob jemand ihn heimlich ausgetauscht hat.
Selbst eine gültige Signatur beweist nur:

• dass irgendein Schlüssel signiert hat
• aber nicht, wie lange dieser Schlüssel schon existiert
• oder ob er gestern manipuliert wurde

Für dieses Problem habe ich eine Lösung entwickelt.
Ich verankere meinen PGP-Key per OpenTimestamps in der Bitcoin-Blockchain.
Damit ist beweisbar:

• Mein PGP-Key existiert seit Zeitpunkt X.
• Niemand kann den Timestamp fälschen oder rückwirkend verändern.
• Selbst wenn du meinen Key erst Jahre später siehst, kannst du feststellen, dass dieser Key seit Block XY legitimerweise der gleiche.

Natürlich ist auch das kein hundertprozentiger Beweis dafür, dass nicht jemand letzte Woche einen gefälschten Canary geschrieben hat.
Darum gibt es zusätzliche, voneinander unabhängige Backups, die gemeinsam praktisch nicht zu fälschen sind:

• Der Public Key liegt auf einem ein unabhängiger, geprüfter Keyserver
• Eine Kopie des allerersten Canarys ist auf Archive.org archiviert.
• In der DNS-Zone meiner Domain liegt ein TXT-Record mit meinem Fingerprint.

Diese Kombination aus Blockchain-Timestamp, Keyserver, Web-Archiv und DNS macht es extrem unwahrscheinlich, dass ein Angreifer alles gleichzeitig manipulieren könnte.
Es ist eine Art dauerhafte Vertrauensgrundlage für meinen PGP-Key, unabhängig davon, wie gut man mich persönlich kennt.
Hier ist der Link zu meinem Friendly Canary.

Anleitungen: So prüfst du meinen Friendly Canary

0. Vorbereitung

Zuerst muss der öffentliche PGP Schlüssel auf den PC gebracht werden. Es gibt unterschiedliche Wege, ich nehme hier den Weg mit Kleopatra, da dieses Tool unter Linux und Windows läuft.

1. Zu erst muss der Schlüssel runtergeladen werden: Download (.asc)
2. Kleopatra installieren. 2.1 Unter Linux, im Terminal mit folgenden Befehl installieren: sudo apt install kleopatra
   2.2 Unter Windows, Gpg4win runterladen und installieren. (Download Seite)

1. Public Key importieren

1. Kleopatra öffnen. (Funktioniert in Linux und Windows)
2. Datei --> Importieren (Strg+i) --> .asc Datei auswählen --> öffnen klicken
3. Fingerprint prüfen: E712 CC8F C22D 721A 73CA A067 F136 C4D5 624C
4. Optional, rechte Maustaste auf den importierten Schlüssel --> Beglaubigen klicken
5. Fertig.

1.1 Extra Linux

Hier nochmal ein zweiter Weg unter Linux, der wesentlich schneller geht.

1. Im Terminal gpg --import T0by_0xA067F136C4D5624C_public.asc
2. Fingerprint im Terminal prüfen gpg --fingerprint A067F136C4D5624C --> E712 CC8F C22D 721A 73CA A067 F136 C4D5 624C

2. PGP-Signatur prüfen

Da diese beiden Wege in Kleopatra ausgeführt werden, funktionieren sie in Linux & Windows.
Erster Weg:

1. Canary Text markieren und kopieren.
2. In Kleopatra oben rechts auf "Notizblock" klicken.
3. Kopierter Canary Text einfügen.
4. Dann mittig auf "Notizblock entschlüsseln/prüfen" klicken.

Zweiter Weg:

1. Canary per Copy & Paste kopieren und in eine .txt speichern zum Beispiel canary.txt oder per Download.
2. Oben links mittig auf Entschlüsseln/Überprüfen klicken.
3. Die .txt aussuchen und öffnen

Das Ergebnis sollte dann so aussehen:

2.1 Extra Linux

Hier wieder ein Methode die auch schnell im Terminal funktioniert.

1. Canary per Copy & Paste kopieren und in eine .txt speichern zum Beispiel canary.txt.
2. Terminal öffnen (ins Verzeichnis navigieren, wo die .txt liegt) und folgenden Befehl eingeben:
   gpg --verify canary.txt

Das Ergebnis sollte dann wie dieses Beispiel aussehen:

gpg: Signatur vom Fr 14 Nov 2025 17:24:36 CET
gpg:                mittels RSA-Schlüssel E712CC8FC22D721A73CA9188A067F136C4D5624C
gpg: Korrekte Signatur von "T0by <mail@t0by.de>" [ultimativ]

GnuPG zeigt dir:

• Signatur gültig oder ungültig
• welcher Key signiert hat
• Vertrauen / Historie des Schlüssels

2.2 Extra Windows

Funktioniert nur wenn, wie oben beschrieben GPG4win installiert wurde.

1. Canary per Copy & Paste kopieren und in eine .txt speichern zum Beispiel canary.txt.
2. Rechtsklick --> GpgEX --> Signatur prüfen

3. Blockchain-Timestamp prüfen

Dieser Schritt funktioniert einfach und ohne installationen.
Der Friendly Canary enthält eine .ots-Datei, das ist der Beweis, wann mein PGP-Key in der Bitcoin-Blockchain verankert wurde. Die Prüfung geht für alle Nutzer (Linux, Windows, Mac) ohne Software direkt über die Webseite: opentimestamps.org/#stamp-and-verify
So funktioniert’s:

1. Zuerst die Datei T0by_0xA067F136C4D5624C_public.asc.ots hochladen.
2. Danach die zugehörige Datei hochladen, in meinem Fall den PGP-Public-Key (T0by_0xA067F136C4D5624C_public.asc)
3. Die Seite zeigt sofort das Ergebnis:

   SUCCESS!
   Bitcoin block 923616 attests existence as of 2025-11-14 CET

Die .ots und .asc Dateien befinden sich in der Friendly Canary.
Das bedeutet, der PGP-Key existierte nachweisbar mindestens seit diesem Datum und wurde seitdem nicht verändert.
Damit lässt sich langfristig beweisen, dass mein veröffentlichter Key echt und authentisch ist, egal wann man ihn prüft.

Bildquellen: eigene
Links: -