Aus EasyLinux 04/2017

E-Mails verschlüsseln

Blickdichte E-Mails

Thunderbird beherrscht von Haus aus nur die S/MIME-Verschlüsselung, für die Sie ein Zertifikat benötigen. Einfacher geht’s mit PGP: Dafür spielen Sie unter Thunderbird das populäre Plug-in Enigmail ein. Damit bleibt Vertrauliches in Zukunft vertraulich.

Sie möchten eine Nachricht verschicken, die Fremden verborgen bleibt, und gleichzeitig dem Empfänger versichern, dass Sie der Absender sind? Dann scheiden einfache E-Mails, Faxe oder Postbriefe aus – die bieten weder Abhörschutz noch den Nachweis der Absender-Echtheit. Trotzdem müssen Sie keine Reise antreten, um die Botschaft persönlich zu überbringen (was beide Probleme lösen würde), denn Sie können E-Mails dank der so genannten Public-Key-Kryptographie verschlüsseln und signieren und auch damit alle Ziele erreichen.

Vor dem sicheren Austausch der E-Mails ist ein wenig Einrichtungsarbeit notwendig. Vielleicht haben Sie schon von dem generellen Konflikt „Sicherheit gegen Benutzerfreundlichkeit“ (englisch: security vs. usability) gehört: Erhöhte Sicherheit hat immer einen Preis, und beim Mailversand ist der Preis der Konfigurationsaufwand. Wenn Sie sich die Mühe machen, gewinnen Sie damit Vertraulichkeit für Ihre Mails.

Es gibt mit OpenPGP und S/MIME zwei sehr unterschiedliche Vorgehensweisen für die Einrichtung von Verschlüsselung und Signierung, die wir hier beide kurz vorstellen.

GnuPG

In der Linux-Welt ist OpenPGP (Pretty Good Privacy, implementiert durch das Programm GnuPG, gpg) der meist genutzte Standard. PGP basiert darauf, dass jeder Benutzer, der es verwenden möchte, ein Schlüsselpaar erstellt:

  • Den öffentlichen Schlüssel (engl. public key) können Sie an Ihre Kontakte weitergeben oder auf einer Webseite veröffentlichen,
  • den privaten Schlüssel (engl. private key) behalten Sie auf Ihrem Rechner und schützen ihn, z. B. durch eine „Passphrase“ (das ist der bei PGP übliche Begriff für ein Passwort).

Nachrichten werden dann mit dem öffentlichen Schlüssel verschüsselt und mit dem privaten Schlüssel entschlüsselt. Es kann dadurch jeder beliebige Anwender eine Botschaft verschlüsseln und die so erzeugte Version per Mail verschicken; nur der Empfänger ist in der Lage, sie wieder zu entschlüsseln und im Klartext zu lesen.

Das Signieren von Nachrichten läuft genau umgekehrt ab: Der Absender signiert mit seinem privaten Schlüssel die Botschaft und schickt die Signatur als Anhang mit der Mail an den Empfänger – der kann (aber auch jeder andere Benutzer) kann dann mit dem öffentlichen Schlüssel des Absenders überprüfen, dass die Nachricht nicht verändert wurde. Falls sichergestellt ist, dass der öffentliche Schlüssel wirklich zu einer bestimmten Person gehört, ist dann sogar der Absender identifiziert, weil er der Einzige ist, der korrekte Signaturen erstellen kann: Nur er besitzt seinen eigenen privaten Schlüssel. Dieses Sicherstellen unterstützt OpenPGP durch die Möglichkeit, öffentliche Schlüssel von mehreren Personen signieren zu lassen, wodurch sie an Glaubwürdigkeit gewinnen. Es entsteht ein „Web of trust“ (dt. Netz des Vertrauens).

Beim Verschlüsseln und Signieren gibt es nun zwei praktische Probleme:

  • Erstens müssen Absender und Empfänger beide mit OpenPGP arbeiten, damit eine verschlüsselte Kommunikation möglich ist,
  • und zweitens muss der Absender den öffentlichen Schlüssel des Empfängers besorgen, falls er ihn nicht bereits hat.

Das erste Problem lösen Sie in Thunderbird durch die Installation des Enigmail-Plug-ins (siehe weiter unten), und für das zweite Problem gibt es auch eine einfache Lösung: Öffentliche Schlüsselserver (PGP Key Server) bieten als Service eine Schlüsselverwaltung. Anwender können ihre öffentlichen Schlüssel dort hochladen, und andere Benutzer können dann nach diesen Schlüsseln suchen.

S/MIME

S/MIME (Secure/Multipurpose Internet Mail Extensions) nutzt ebenfalls Schlüsselpaare (privat, öffentlich) für Ver- und Entschlüsselung bzw. für Signatur und Überprüfung, setzt aber zusätzlich auf ein Zertifikatsystem, das garantieren soll, dass der Empfänger einer Mail zuverlässig prüfen kann, ob der Absender echt ist. Gerade in Zeiten einer Phishing-Mail-Flut ist das nützlich. Was bei OpenPGP über das Web of trust (oder die persönliche Überprüfung der Schlüsselechtheit) läuft, setzt bei S/MIME die Zusammenarbeit mit Zertifizierungsstellen (engl. CAs, Certification Authorities) voraus, die Zertifikate ausstellen. Der Ablauf ist dabei prinzipiell

  • Der Benutzer besucht die Webseite einer CA und beantragt ein S/MIME-Zertifikat.
  • Die CA überträgt ein Generierungsprogramm (z. B. als im Browser laufender JavaScript-Code) auf den Rechner des Anwenders.
  • Auf dem Rechner erzeugt das Generierungsprogramm ein Schlüsselpaar (privat, öffentlich) und lädt den öffentlichen Schlüssel zur CA hoch.
  • Die CA erstellt auf Basis des Schlüssels und der Anmeldedaten ein Zertifikat und überträgt es zum Rechner des Anwenders.
  • Der Benutzer speichert das Schlüsselpaar und das Zertifikat.

Das Zertifikat der CA sagt aus: „Wir garantieren, dass dieser öffentliche Schlüssel zu dieser konkreten Person gehört.“ Damit diese Vorgehensweise überhaupt einen Wert hat, muss bereits eine Kundenbeziehung zwischen CA und Benutzer bestehen oder der Benutzer sich auf eine sichere Weise gegenüber der CA ausweisen (etwa über PostIdent).

Mailprogramme erkennen die Zertifikate einer CA nur dann an, wenn sie diese CA kennen und als vertrauenswürdig betrachten. Da es je nach Mailprogramm und dessen Version vorkommt, dass bestimmte CAs unbekannt sind oder ihnen nicht vertraut wird, klappt die Überprüfung nicht immer.

Die meisten CAs verlangen für die Zertifikatsausstellung Geld. Es gibt auch kostenlose Angebote, bei denen aber die Wahrscheinlichkeit höher ist, dass nicht alle Mailprogramme diese Zertifikate akzeptieren. Schließlich besteht noch die Möglichkeit, sich selbst ein Zertifikat auszustellen (das dann nirgends als vertrauenswürdig angesehen wird).

Wegen der vergleichsweise umständlichen Einrichtung von S/MIME und auch wegen der starken Verbreitung von OpenPGP im Linux-Umfeld geht es im Rest der Artikels um die Einrichtung und Nutzung von OpenPGP.

DIESEN ARTIKEL ALS PDF KAUFEN
EXPRESS-KAUF ALS PDFUmfang: 4 HeftseitenPreis €0,99
(inkl. 19% MwSt.)
KAUFEN
EasyLinux 04/2017 KAUFEN
EINZELNE AUSGABE Print-Ausgaben Digitale Ausgaben
ABONNEMENTS Print-Abos Digitales Abo
TABLET & SMARTPHONE APPS
Deutschland

Hinterlasse einen Kommentar

  E-Mail Benachrichtigung  
Benachrichtige mich zu: