Aus EasyLinux 04/2011

S/MIME und PGP mit Thunderbird

© Kheng Guan Toh, 123RF

Sichere Sache

Entgegen der allgemeinen Auffassung ist E-Mail alles andere als ein Medium mit Privatsphäre. Die Nachrichten sind so geheim wie jede beliebige Postkarte. Mit den richtigen Hilfsmitteln sorgen Sie dennoch für Vertraulichkeit.

Viele Nutzer unterliegen der irrigen Annahme, ihre elektronische Post sei von Hause aus sicher – doch das stimmt so nicht. In der Regel wandern die verschickten Nachrichten selbst im Klartext durch die Netzwerke. Zwar legt das Netzwerkprotokoll von sich aus mit Hilfe von SSL/TLS und STARTTLS meist eine verschlüsselte Hülle um die Klarnachricht – aber diese Verschlüsselung funktioniert nur auf dem Weg zwischen zwei Servern. Klinkt sich ein Angreifer beim Verhandeln der SSL-Schlüssel zwischen die Server, kann er auf den Inhalt der Nachricht zugreifen. Auch eine Umleitung über mehrere Server birgt Sicherheitsrisiken. Nicht zuletzt – und das ist wohl das größte Risiko – landen Ihre Nachrichten im Klartext beim Provider, bevor Sie diese abholen. Verschafft sich jemand die Zugangsdaten, kann er die E-Mails direkt beim Provider lesen. Immer wieder berichten die Medien von einzeln oder massenhaft gehackten Accounts, aus denen Angreifer E-Mails kopieren.

Das wird dadurch begünstigt, dass viele Nutzer ihre E-Mails dank IMAP oder auf expliziten Wunsch hin dauerhaft beim Provider lagern. Der Vorteil: So greifen Sie von beliebigen Rechnern mit Internetanschluss auf diese E-Mails zu. Oft funktioniert dieser Zugriff dann auch schneller. Um sich vor Risiken zu schützen, können Sie Ihre E-Mails verschlüsseln, um sie allein auf Ihrem Client im Klartext zu lesen. Die Frage ist nur, welche Technik ist die richtige?

Grundlagen

Zum besseren Verständnis machen Sie sich zunächst mit einigen Grundbegriffen vertraut. Nachrichten lassen sich entweder signieren, verschlüsseln oder auch beides gleichzeitig. Die Signatur funktioniert dabei ähnlich wie eine Unterschrift: Das Dokument bleibt für jedermann lesbar, erhält aber einen Herkunftsnachweis. Im Gegensatz zur normalen Unterschrift beweist die E-Mail-Signatur zugleich, dass die Nachricht nach dem Abschicken und Signieren nicht verändert wurde. Die Verschlüsselung hingegen schützt die E-Mail mit Hilfe von Kryptographie vor neugierigen Blicken Dritter. Die sicherste Variante ist die Kombination beider Verfahren – eine Signatur bestätigt die Echtheit der Nachricht, deren Inhalt wiederum eine Verschlüsselung schützt.

Für beide Varianten kommt ein Schlüsselpaar zum Einsatz, das aus einem privaten und einem öffentlichen Schlüssel besteht. Jeder der Schlüssel hat eine feste Funktion:

  • Der private Schlüssel dient Ihnen einerseits zum Dechiffrieren von verschlüsselten E-Mails, die Sie erreichen. Andererseits „unterschreiben“ Sie damit E-Mails, die Sie signiert an andere schicken wollen.
  • Mit Ihrem öffentlichen Schlüssel verschlüsselt Ihr Gegenüber hingegen Nachrichten an Sie und überprüft die Korrektheit der Signaturen bei E-Mails, die von Ihnen stammen.

Den privaten Schlüssel speichern Sie auf Wunsch auf verschiedenen Medien, meist aber auf der Festplatte. Zunehmend finden aber auch Smartcards und USB-Tokens Verbreitung. Ein änderbares Kennwort – auch Passphrase genannt – schützt den Schlüssel vor Zugriffen durch Unbefugte.

Etwas komplizierter wird das Ganze dadurch, dass es zwei verschiedene Standards zur E-Mail-Verschlüsselung gibt. Die meisten Programme – so auch Thunderbird – unterstützen von Hause aus das so genannte S/MIME-Verfahren. Dabei stellt eine dem E-Mail-Client bekannte Zertifizierungsstelle ein Zertifikat für Sie aus, das Sie als Person eindeutig identifiziert. Das funktioniert ähnlich wie eine notarielle Beglaubigung; kostenfreie Zertifikate stellen verschiedene Anbieter aus, die wir weiter unten vorstellen.

Demgegenüber steht das so genannte PGP-Verfahren, auch als GnuPG oder OpenPGP bekannt. Der große Unterschied besteht darin, dass Sie die nötigen Schlüssel selbst erstellen. Die Funktion der Zertifizierungsstelle nehmen andere PGP-Nutzer wahr: Sie bestätigen Ihre Identität. Je mehr Bestätigungen Sie vorweisen, desto vertrauenswürdiger sind Sie. Das Vertrauen liegt hier also nicht bei einem einzelnen Anbieter, sondern bei einer Gemeinschaft von Nutzern. Öffentliche Schlüsselserver speichern die einzelnen Schlüssel und deren Beglaubigungen. Ein großer Nachteil von PGP besteht allerdings darin, dass viele E-Mail-Programme eine separate Erweiterung benötigen.

PGP nachrüsten

Unser Testsystem besteht aus Mozilla Thunderbird 3.1 und der PGP-Erweiterung Enigmail. Benutzen Sie Thunderbird bereits, müssen Sie unter Kubuntu und OpenSuse 11.3/11.4 lediglich die Enigmail-Komponente installieren. Unter OpenSuse ergaben sich dabei eine Reihe von Problemen: Hier lief nur das Add-on von der Enigmail-Webseite, andernfalls warf der Assistent beim Einrichten der Verschlüsselung jedes Mal Fehlermeldungen aus. Mit einem Trick ließen sich die Probleme (teilweise) umgehen. Allerdings ließen sich verschlüsselt eintrudelnde E-Mails im Anschluss nicht entschlüsseln, also auch nicht lesen. Das macht keinen Spaß und den PGP-Support im Prinzip wertlos – verwenden Sie als OpenSuse-Nutzer also besser S/MIME.

Um Thunderbird neu einzuspielen, klicken Sie in Kubuntu im KDE-Menü auf Anwendungen / System / Softwareverwaltung. Tippen Sie dann in die Zeile unter Beziehen und Entfernen von Software in das Suchfeld thunderbird und wählen Sie drei Pakete zur Installation aus: Mozilla Thunderbird Mail/News, thunderbird-locale-de sowie die Enigmail-Erweiterung für Thunderbird, indem Sie rechts neben den Einträgen auf Installieren klicken. Nach einem Klick auf Anwenden und der Eingabe des Passworts spielt KPackageKit die Programme auf den Rechner.

Das Schlüsselpaar erzeugen

Um Thunderbird zu starten, wählen Sie unter Kubuntu Anwendungen / E-Mail-Client (Thunderbird Mail/News) aus dem K-Menü. Richten Sie nach einer Erstinstallation zunächst Ihr E-Mail-Konto ein und testen Sie, ob das Empfangen und Versenden von E-Mails problemlos funktioniert. Die Kontodaten finden Sie meist etwas versteckt auf der Webseite Ihres E-Mail-Providers (Google, Yahoo, Web.de etc.) Den Einstieg in die PGP-Verschlüsselung mit Thunderbird erleichtert Ihnen hingegen ein Assistent.

  1. Klicken Sie in der Menüzeile auf OpenPGP / OpenPGP-Assistent und bestätigen Sie die Wahl Ja, ich möchte vom Assistenten geholfen bekommen über Weiter.
  2. Benutzen Sie mehrere E-Mail-Konten, suchen Sie nun das aus, für das Sie die PGP-Unterstützung benötigen.
  3. Im zweiten Dialogfenster wählen Sie Nein, ich möchte in den Empfängerregeln festlegen, wann unterschrieben werden soll – andernfalls würde Enigmail jede Nachricht automatisch digital signieren. Klicken Sie abermals auf Weiter
  4. Treffen Sie dieselbe Wahl auch für die Verschlüsselung (Nein, ich möchte…) und wählen Sie erneut Weiter.
  5. Der Assistent bietet Ihnen nun an, die Einstellungen Ihres E-Mail-Kontos für PGP zu optimieren, was Sie am besten akzeptieren. Wollen Sie PGP unter OpenSuse 11.3/11.4 trotzdem nutzen, müssen Sie die Option hier ablehnen, andernfalls stürzt das Programm an dieser Stelle ab. Sie erhalten dennoch nur einen eingeschränkten Funktionsumfang.
  6. Das Hilfsprogramm fragt jetzt nach einem Kennwort, mit dem Sie Ihren Schlüssel schützen – wählen Sie hier ein möglichst sicheres Passwort mit Sonderzeichen und Zahlen.
  7. Abschließend resümiert der Assistent Ihre gewählten Optionen, was Sie mit Weiter besiegeln.

Um das Schlüsselpaar zu erstellen, sammelt PGP nun einige Zufallsdaten, während Sie normal weiterarbeiten. Dieser Prozess dauert eine Weile, nicht selten mehrere Minuten – ignorieren Sie dabei den Fortschrittsbalken! Sind genug Daten gesammelt, erscheint eine entsprechende Meldung und Sie klicken auf Zertifikat erzeugen. Schlussendlich speichern Sie noch das Widerrufszertifikat an einem sicheren Ort. Einmal mehr fragt der Assistent nach einem Passwort – geben Sie das in Schritt 6 erzeugte an.

Wird Ihr Schlüssel doch einmal missbraucht, erklären Sie ihn mit Hilfe des Zertifikats für ungültig und wenden so weitere Schäden ab. Ihr Schlüsselpaar wird nun also erzeugt und durch ein änderbares Passwort geschützt. Für Notfälle haben Sie ein separates Widerrufszertifikat in der Hinterhand, um das Schlüsselpaar für ungültig zu erklären.

EasyLinux 04/2011 KAUFEN
EINZELNE AUSGABE Print-Ausgaben Digitale Ausgaben
ABONNEMENTS Print-Abos Digitales Abo
TABLET & SMARTPHONE APPS
Deutschland

Hinterlasse einen Kommentar

  E-Mail Benachrichtigung  
Benachrichtige mich zu: