Text:
• PMs auf secarts.org verschlüsseln - geht das?
Natürlich geht das - PGP (GnuPG/GPG) ist ja kein Programm, das nur in Kombination mit E-Mails oder gar E-Mail-Clients funktionieren würde.
Theoretisch lässt sich jede Datei, jeder Text verschlüsseln, und in der oben geschilderten Kombination aus öffentlichem und privatem Schlüssel auch wieder entschlüsseln.
Dementsprechend können selbstverständlich auch die PMs auf www.secarts.org verschlüsselt werden - ganz "klassisch" per Copy&Paste aus einem PGP/GnuPG-Programm, welches den Reintext in PGP-Code umwandelt.
Nach Markieren des getippten PM-Texts kann dieser über rechten Mausklick kann die Nachricht auf klassischem Copy&Paste-Wege wieder entschlüsselt werden.
Ein weiterer Vorteil: Wenn du die E-Mail-Weiterleitung aktiviert hast, schützen PGP-verschlüsselte PMs auch die durch die Weiterleitung per klassischer Mail entstehende Sicherheitslücke - der Abruf von Mail-Postfächern ist in der Regel nicht SSL-gesichert, wie dies www.secarts.org ist. • am 09.07.2008 von AG Technik
Theoretisch lässt sich jede Datei, jeder Text verschlüsseln, und in der oben geschilderten Kombination aus öffentlichem und privatem Schlüssel auch wieder entschlüsseln.
Dementsprechend können selbstverständlich auch die PMs auf www.secarts.org verschlüsselt werden - ganz "klassisch" per Copy&Paste aus einem PGP/GnuPG-Programm, welches den Reintext in PGP-Code umwandelt.
Nach Markieren des getippten PM-Texts kann dieser über rechten Mausklick kann die Nachricht auf klassischem Copy&Paste-Wege wieder entschlüsselt werden.
Ein weiterer Vorteil: Wenn du die E-Mail-Weiterleitung aktiviert hast, schützen PGP-verschlüsselte PMs auch die durch die Weiterleitung per klassischer Mail entstehende Sicherheitslücke - der Abruf von Mail-Postfächern ist in der Regel nicht SSL-gesichert, wie dies www.secarts.org ist. • am 09.07.2008 von AG Technik
• Wie mache ich meinen öffentlichen Schlüssel bekannt?
Wie hoffentlich aus der kurzen Einführung ersichtlich wurde, ist PGP ein ganz wunderbar simples Verfahren, das zudem ein uraltes Problem der Kryptographie, nämlich die sichere Schlüsselübergabe, höchst elegant löst: musste bei klassischen Verfahren, bei denen Sender und Empfänger den gleichen Schlüssel benutzten, noch umständlich dieser Schlüssel sicher transportiert werden (was i. d. R. nur persönlich möglich war), ist PGP tatsächlich die Antwort auf die Kryptographiefrage im Internetzeitalter: man darf seinen (öffentlichen) Schlüssel nicht nur bekannt machen, man muss es auch, wenn man überhaupt verschlüsselt kommunizieren will.
Dafür gibt es nun mehrere Wege - bedenke, dass eine möglichst weite Verbreitung deines öffentlichen Schlüssels notwendig ist, wenn du mit vielen Kommunikationspartnern verschlüsselt Mails austauschen willst:
Dafür gibt es nun mehrere Wege - bedenke, dass eine möglichst weite Verbreitung deines öffentlichen Schlüssels notwendig ist, wenn du mit vielen Kommunikationspartnern verschlüsselt Mails austauschen willst:
- den Schlüssel auf sog. Keyserver hochladen,
- den Schlüssel automatisch als E-Mail-Anhang immer mitversenden,
- und, last but not least, deinen Schlüssel auch ins secarts.org-Nutzerprofil hochladen.
• Wie "unterschreibe" ich Schlüssel?
GnuGP arbeitet im Sinne eines dezentralen Netzes und verfügt nicht über zentrale Zertifizierungsstellen oder Zentralserver - die sog. öffentlichen Schlüsselserver, auf die jeder seinen öffentlichen Schlüssel laden kann, nehmen ebenfalls keine Überprüfung vor.
Das bietet Chancen (insb. gegen zentrale Attacken), aber auch Risiken: woher willst du wissen, das der öffentliche Schlüssel, den du zur Verfügung hast, auch tatsächlich der Echte des Empfängers ist? Die erste Möglichkeit, dies zu überprüfen, ist bereits erwähnt worden: mit dem sog. "Fingerprint". Nun wird es aber genug Fälle geben, in denen keinerlei Möglichkeit besteht, den Fingerprint mit dem Empfänger abzugleichen: weil du den Empfänger nicht kennst, weil due den Schlüssel von einem öffentlichen Schlüsselserver heruntergeladen hast oder weil der Empfänger seinen Fingerprint nicht veröffentlicht hat. Wie soll man nun die Echtheit des Schlüssels überprüfen?
Auch hierfür gibt es eine Möglicheit, die zwar nicht absolut sicher ist, aber mit steigender Teilnehmerzahl wächst: das sog. "Unterschreiben" öffentlicher Schlüssel. Dies läuft folgendermaßen: du erhälst von einer Person, die du kennst, den öffentlichen Schlüssel. Diesen kannst du nun mit verschiedenen "Sicherheitsstufen" versehen - du schätz ein, wie stark du diesem Schlüssel vertrauen kannst. Wenn dir die Person persönlich den Schlüssel übergeben hat, kannst du definitiv davon ausgehen, dass es sich um den "echten" Schlüssel handelt. Du gibst diesem öffentlichen Schlüssel also die beste Sicherheitseinschätzung. Damit hast du diesen Schlüssel "unterschrieben"; garantierst also gegenüber Dritten für die Echtheit. Je mehr Personen dies tun, desto sicherer ist der öffentliche Schlüssel, denn die Unterschriften unter einen öffentlichen Schlüssel werden in diesen aufgenommen und sich damit auch für andere sichtbar. So entsteht ein sog. Net of trust, das durch weite Verbreitung an Glaubwürdigkeit gewinnt.
Anmerkung: es gibt auch "professionelle" Möglichkeiten, diese Schlüsselsignierung durchzuführen: bei verschiedenen Instanzen, die dies nach Vorlage des Personalausweises tun, bei der Computerzeitschrift C't, oder bei sog. "Signierungsparties", also Usertreffen, die sich bei persönlichem Kontakt gegenseitig die Schlüssel als echt signieren.
Je mehr "Signaturen" ein öffentlicher Schlüssel trägt, als desto sicherer kann er gelten. Eine 100%ige Garantie ist dies alles freilich nicht. Aber sicherer als unverschlüsselte Kommunikation ist es allemal! • am 22.01.2007 von AG Technik
Das bietet Chancen (insb. gegen zentrale Attacken), aber auch Risiken: woher willst du wissen, das der öffentliche Schlüssel, den du zur Verfügung hast, auch tatsächlich der Echte des Empfängers ist? Die erste Möglichkeit, dies zu überprüfen, ist bereits erwähnt worden: mit dem sog. "Fingerprint". Nun wird es aber genug Fälle geben, in denen keinerlei Möglichkeit besteht, den Fingerprint mit dem Empfänger abzugleichen: weil du den Empfänger nicht kennst, weil due den Schlüssel von einem öffentlichen Schlüsselserver heruntergeladen hast oder weil der Empfänger seinen Fingerprint nicht veröffentlicht hat. Wie soll man nun die Echtheit des Schlüssels überprüfen?
Auch hierfür gibt es eine Möglicheit, die zwar nicht absolut sicher ist, aber mit steigender Teilnehmerzahl wächst: das sog. "Unterschreiben" öffentlicher Schlüssel. Dies läuft folgendermaßen: du erhälst von einer Person, die du kennst, den öffentlichen Schlüssel. Diesen kannst du nun mit verschiedenen "Sicherheitsstufen" versehen - du schätz ein, wie stark du diesem Schlüssel vertrauen kannst. Wenn dir die Person persönlich den Schlüssel übergeben hat, kannst du definitiv davon ausgehen, dass es sich um den "echten" Schlüssel handelt. Du gibst diesem öffentlichen Schlüssel also die beste Sicherheitseinschätzung. Damit hast du diesen Schlüssel "unterschrieben"; garantierst also gegenüber Dritten für die Echtheit. Je mehr Personen dies tun, desto sicherer ist der öffentliche Schlüssel, denn die Unterschriften unter einen öffentlichen Schlüssel werden in diesen aufgenommen und sich damit auch für andere sichtbar. So entsteht ein sog. Net of trust, das durch weite Verbreitung an Glaubwürdigkeit gewinnt.
Anmerkung: es gibt auch "professionelle" Möglichkeiten, diese Schlüsselsignierung durchzuführen: bei verschiedenen Instanzen, die dies nach Vorlage des Personalausweises tun, bei der Computerzeitschrift C't, oder bei sog. "Signierungsparties", also Usertreffen, die sich bei persönlichem Kontakt gegenseitig die Schlüssel als echt signieren.
Je mehr "Signaturen" ein öffentlicher Schlüssel trägt, als desto sicherer kann er gelten. Eine 100%ige Garantie ist dies alles freilich nicht. Aber sicherer als unverschlüsselte Kommunikation ist es allemal! • am 22.01.2007 von AG Technik
• Wie verschlüssele und signiere ich Nachrichten?
Neben der reinen Verschlüsselungsmöglichkeit, bei der E-Mail-Body-Texte und/oder E-Mail-Anhänge mit dem öffentlichen Schlüssel des Empfängers verschlüsselt werden, bietet PGP auch die Option, Nachrichten zu signieren.
Signieren bedeutet, dass E-Mail-Texte mit dem eigenen privaten Schlüssel "unterschrieben" werden - so wird sichergestellt, dass während des Transports der E-Mail niemand am Text herumgepfuscht hat. Die beiden Verfahren verschlüsseln und signieren erfüllen ganz unterschiedliche Zwecke: schützt das erste vor Mitlesen durch Unbefugte, garantiert das Zweite die Integrität der Nachrichten - mit PGP-Signatur kannst du davon ausgehehn, auch wirklich die Nachricht bekommen zu haben, die der Absender eingegeben hat.
Signieren und Verschlüsseln kann zusammen oder einzeln eingesetzt werden. Höchstmögliche Sicherheit besteht natürlich, wenn eine Nachricht nicht nur verschlüsselt, sondern auch signiert wurde. Da man aber in der Regel gerade von unbekannten Kommunikationsteilnehmern die öffentlichen Schlüssel nicht kennt, ist signieren in jedem Falle möglich - dafür benötigste du ja bekanntermaßen nur deinen eigenen privaten Schlüssel; nicht jedoch den öffentlichen des Empfängers.
Wenn du derart signierte E-Mails an Personen schickst, die nicht über PGP verfügen, ist das übrigens auch nicht dramatisch: solange die Nachricht nur signiert ist, kann sie jeder lesen. Die PGP-Signatur bildet in so einem Falle lediglich einen "kryptischen" Anhäng, der nicht schadet, aber eben auch nicht nützt. • am 22.01.2007 von AG Technik
Signieren bedeutet, dass E-Mail-Texte mit dem eigenen privaten Schlüssel "unterschrieben" werden - so wird sichergestellt, dass während des Transports der E-Mail niemand am Text herumgepfuscht hat. Die beiden Verfahren verschlüsseln und signieren erfüllen ganz unterschiedliche Zwecke: schützt das erste vor Mitlesen durch Unbefugte, garantiert das Zweite die Integrität der Nachrichten - mit PGP-Signatur kannst du davon ausgehehn, auch wirklich die Nachricht bekommen zu haben, die der Absender eingegeben hat.
Signieren und Verschlüsseln kann zusammen oder einzeln eingesetzt werden. Höchstmögliche Sicherheit besteht natürlich, wenn eine Nachricht nicht nur verschlüsselt, sondern auch signiert wurde. Da man aber in der Regel gerade von unbekannten Kommunikationsteilnehmern die öffentlichen Schlüssel nicht kennt, ist signieren in jedem Falle möglich - dafür benötigste du ja bekanntermaßen nur deinen eigenen privaten Schlüssel; nicht jedoch den öffentlichen des Empfängers.
Wenn du derart signierte E-Mails an Personen schickst, die nicht über PGP verfügen, ist das übrigens auch nicht dramatisch: solange die Nachricht nur signiert ist, kann sie jeder lesen. Die PGP-Signatur bildet in so einem Falle lediglich einen "kryptischen" Anhäng, der nicht schadet, aber eben auch nicht nützt. • am 22.01.2007 von AG Technik
• Was ist der "Fingerprint"?
Der sog. "Fingerprint" ist eine eindeutige und einmalige "Kurzbeschreibung" des öffentlichen Schlüssels.
Dieser ist zur Verschlüsselung nicht notwendig, erhöht aber die Sicherheit: er beweist sozusagen, dass der öffentliche Schlüssel auch der richtige, vom Ausgeber sanktionierte ist. Denn dies ist bzw. wäre ohne den Fingerprint eine Sicherheitslücke im Konzept von PGP: woher soll man wissen, dass der verbreitete öffentliche Schlüssel von Person A auch wirklich Person A gehört, und ihr nicht von übelwollender Person C untergeschoben wurde..?
Des Rätsels Lösung ist recht simpel: bei jedem öffentlichen Schlüssel, den man in seinem Key Manager, dem "Schlüsselbund" sozusagen, abspeichert, lässt sich (meist mit rechter oder linker Maustaste) unter den Schlüsselinformationen der sog. Fingerprint des Schlüssels anzeigen - diesen kann man jetzt, z. B. telefonisch, per Postkarte oder persönlich, mit dem Besitzer des öffentlichen Schlüssels, abgleichen - nur wenn der Fingerprint übereinstimmt, ist der öffentliche Schlüssel auch der Echte.
Hier auf der Webseite haben wir das etwas vereinfacht: neben der Möglichkeit, den eigenen öffentlichen Schlüssel ins Benutzerprofil hochzuladen, lässt sich dort auch der Fingerprint speichern. So kann gleich gecheckt werden, ob der Schlüssel, den man benutzt, auch der Echte ist. (Hinweis: es kam bisher noch nie vor und ist auch unwahrscheinlich, aber: wenn es einem Angreifer gelingen sollte, einen Account zu "knacken", kann natürlich sowohl der öffentliche Schlüssel als auch der Fingerprint verfälscht werden! Insofern ist es durchaus nicht abträglich, dennoch mit der Person, die den Schlüssel ausgibt, den Fingerprint auf anderem Wege zu überprüfen!!) • am 19.01.2007 von AG Technik
Dieser ist zur Verschlüsselung nicht notwendig, erhöht aber die Sicherheit: er beweist sozusagen, dass der öffentliche Schlüssel auch der richtige, vom Ausgeber sanktionierte ist. Denn dies ist bzw. wäre ohne den Fingerprint eine Sicherheitslücke im Konzept von PGP: woher soll man wissen, dass der verbreitete öffentliche Schlüssel von Person A auch wirklich Person A gehört, und ihr nicht von übelwollender Person C untergeschoben wurde..?
Des Rätsels Lösung ist recht simpel: bei jedem öffentlichen Schlüssel, den man in seinem Key Manager, dem "Schlüsselbund" sozusagen, abspeichert, lässt sich (meist mit rechter oder linker Maustaste) unter den Schlüsselinformationen der sog. Fingerprint des Schlüssels anzeigen - diesen kann man jetzt, z. B. telefonisch, per Postkarte oder persönlich, mit dem Besitzer des öffentlichen Schlüssels, abgleichen - nur wenn der Fingerprint übereinstimmt, ist der öffentliche Schlüssel auch der Echte.
Hier auf der Webseite haben wir das etwas vereinfacht: neben der Möglichkeit, den eigenen öffentlichen Schlüssel ins Benutzerprofil hochzuladen, lässt sich dort auch der Fingerprint speichern. So kann gleich gecheckt werden, ob der Schlüssel, den man benutzt, auch der Echte ist. (Hinweis: es kam bisher noch nie vor und ist auch unwahrscheinlich, aber: wenn es einem Angreifer gelingen sollte, einen Account zu "knacken", kann natürlich sowohl der öffentliche Schlüssel als auch der Fingerprint verfälscht werden! Insofern ist es durchaus nicht abträglich, dennoch mit der Person, die den Schlüssel ausgibt, den Fingerprint auf anderem Wege zu überprüfen!!) • am 19.01.2007 von AG Technik
• Das PGP-Schlüsselpaar
PGP arbeitet, wie eingangs schon kurz erläutert, mit "Schlüsselpaaren" - einem öffentlichen und einem privaten Schlüssel pro Benutzer. Genau zur Erstellung dieses Schlüsselpaares wirst du bei Installation von GnuPG (bzw. dem in GPGforWin enthaltenen Schlüsselmanager WinPT oder der entsprechenden Plugins für Mailprogramme) aufgefordert.
Die Schlüsselpaare arbeiten wie folgt: Angenommen, Person A will Person B eine verschlüsselte E-Mail senden. Person A hat selbst ein Schlüsselpaar, bestehend aus privatem und öffentlichem Schlüssel und kennt - dies ist notwendig, um überhaupt verschlüsselt kommunizieren zu können - den öffentlichen Schlüssel von Person B. Die E-Mail wird nun also vom Absender, der Person A, mit dem öffentlichen Schlüssel des Empfängers, Person B, verschlüsselt. Wenn Person B nun diese verschlüsselte E-Mail erhält, kann sie sie mit ihrem eigenen privaten Schlüssel wieder ent-schlüsseln.
Klingt erstmal kompliziert? Ist es nicht! Das Schöne am Prinzip von PGP ist ein einfacher Kniff: wie der Name schon sagt, der öffentliche Schlüssel kann (und muss, damit es klappt!) öffentlich bekannt gegeben werden, also z.B. mit E-Mails versandt, als Datei auf dem Server zum Download hinterlegt oder auf sog. öffentliche Schlüsselserver hochgeladen werden; dies alles gefährdet den Schutz der verschlüsselten Daten nicht im Geringsten, da ja - wie wir wissen - zum Entschlüsseln immer der passende eigene private Schlüssel, den niemand anders als der Besitzer kennt, erforderlich ist. Die Kommunikation zwischen Person A und Person B ist also bombensicher, denn nur im Zusammenspiel des öffentlichen Schlüssels von Person B auf der Absenderseite und des privaten Schlüssels von Person B auf der Empfängerseite funktioniert das Spiel... Person B kann nun also die von Person A abgeschickte und mit dem öffentlichen Schlüssel codierte Nachricht mit dem eigenen privaten Schlüssel öffnen, aber niemand anders sonst.
Klar geworden sein sollte: wichtig ist die möglichst breite Verbreitung des eigenen öffentlichen Schlüssels, um anderen PGP-Nutzern die Möglichkeit zu geben, sicher zu kommunizieren. Denn ohne den öffentlichen Schlüssel läuft nix.
Die öffentlichen Schlüssel einzelner Stellen dieser Webseite sind übrigens auf der Startseite unter "Kontakt" als .asc-Dateien zum Download angeboten. Wenn du nun eine verschlüsselte E-Mail z. B. an den Herausgeber dieser Seite senden willst, holst du dir zunächst mal im Kontaktformular den öffentlichen Schlüssel des Herausgebers, verschlüsselst dann deine Mail mit diesem öffentlichen Schlüssel und schickst sie ab. Der Empfänger kann sie dann, spiegelverkehrt sozusagen, wieder entschlüsseln - andere haben keinen Zugriff, da sie die privaten Schlüssel der beiden beteiligten Seiten nicht kennen.
Ebenso besteht für registrierte Nutzer die Möglichkeit, den eigenen öffentlichen Schlüssel ins Account-Profil hochzuladen - andere Nutzer haben dann also die Möglichkeit, verschlüsselte Nachrichten an diese Person zu verschicken.
Das Zusammenspiel aus privaten und öffentlichen Schlüssel läuft in der Regel mit den heutigen Programmen automatisch ab; du musst also dank ausgereifter Schlüssel-Manager kaum noch mit verschiedenen Paaren rumoperieren. Wenn du den öffentlichen Schlüssel einer Empfänger-E-Mail-Adresse im Schlüsselmanager gespeichert hast und vor dem Senden "encrypt" aktivierst, läuft das alles ganz von alleine - beim Empfänger mit "decrypt" übrigens auch. • am 18.01.2007 von AG Technik
Die Schlüsselpaare arbeiten wie folgt: Angenommen, Person A will Person B eine verschlüsselte E-Mail senden. Person A hat selbst ein Schlüsselpaar, bestehend aus privatem und öffentlichem Schlüssel und kennt - dies ist notwendig, um überhaupt verschlüsselt kommunizieren zu können - den öffentlichen Schlüssel von Person B. Die E-Mail wird nun also vom Absender, der Person A, mit dem öffentlichen Schlüssel des Empfängers, Person B, verschlüsselt. Wenn Person B nun diese verschlüsselte E-Mail erhält, kann sie sie mit ihrem eigenen privaten Schlüssel wieder ent-schlüsseln.
Klingt erstmal kompliziert? Ist es nicht! Das Schöne am Prinzip von PGP ist ein einfacher Kniff: wie der Name schon sagt, der öffentliche Schlüssel kann (und muss, damit es klappt!) öffentlich bekannt gegeben werden, also z.B. mit E-Mails versandt, als Datei auf dem Server zum Download hinterlegt oder auf sog. öffentliche Schlüsselserver hochgeladen werden; dies alles gefährdet den Schutz der verschlüsselten Daten nicht im Geringsten, da ja - wie wir wissen - zum Entschlüsseln immer der passende eigene private Schlüssel, den niemand anders als der Besitzer kennt, erforderlich ist. Die Kommunikation zwischen Person A und Person B ist also bombensicher, denn nur im Zusammenspiel des öffentlichen Schlüssels von Person B auf der Absenderseite und des privaten Schlüssels von Person B auf der Empfängerseite funktioniert das Spiel... Person B kann nun also die von Person A abgeschickte und mit dem öffentlichen Schlüssel codierte Nachricht mit dem eigenen privaten Schlüssel öffnen, aber niemand anders sonst.
Klar geworden sein sollte: wichtig ist die möglichst breite Verbreitung des eigenen öffentlichen Schlüssels, um anderen PGP-Nutzern die Möglichkeit zu geben, sicher zu kommunizieren. Denn ohne den öffentlichen Schlüssel läuft nix.
Die öffentlichen Schlüssel einzelner Stellen dieser Webseite sind übrigens auf der Startseite unter "Kontakt" als .asc-Dateien zum Download angeboten. Wenn du nun eine verschlüsselte E-Mail z. B. an den Herausgeber dieser Seite senden willst, holst du dir zunächst mal im Kontaktformular den öffentlichen Schlüssel des Herausgebers, verschlüsselst dann deine Mail mit diesem öffentlichen Schlüssel und schickst sie ab. Der Empfänger kann sie dann, spiegelverkehrt sozusagen, wieder entschlüsseln - andere haben keinen Zugriff, da sie die privaten Schlüssel der beiden beteiligten Seiten nicht kennen.
Ebenso besteht für registrierte Nutzer die Möglichkeit, den eigenen öffentlichen Schlüssel ins Account-Profil hochzuladen - andere Nutzer haben dann also die Möglichkeit, verschlüsselte Nachrichten an diese Person zu verschicken.
Das Zusammenspiel aus privaten und öffentlichen Schlüssel läuft in der Regel mit den heutigen Programmen automatisch ab; du musst also dank ausgereifter Schlüssel-Manager kaum noch mit verschiedenen Paaren rumoperieren. Wenn du den öffentlichen Schlüssel einer Empfänger-E-Mail-Adresse im Schlüsselmanager gespeichert hast und vor dem Senden "encrypt" aktivierst, läuft das alles ganz von alleine - beim Empfänger mit "decrypt" übrigens auch. • am 18.01.2007 von AG Technik
• Wie nutze ich PGP, welche Programme brauche ich?
Um unter die segensreichen Errungenschaften dieses Werkzeuges zu kommen, benötigt man GnuPG, den unter der GNU-Lizenz veröffentlichten freien Standard, der kostenlos zur Verfügung steht und mittlerweile in den verschiedensten Formen für alle Betriebssysteme bereitsteht: von Kommandozeilenprogrammen bis zu ausgereiften grafischen Benutzeroberflächen. Unter den allermeisten Linux-Systemen gehört die GnuPG-Implemetierung bereits längst zum Standard. • am 18.01.2007 von AG Technik
• Was ist eigentlich "PGP"?
Pretty Good Privacy (PGP) ist ein von einem gewissen Phil Zimmermann entwickeltes Programm zur Verschlüsselung von Daten. Es benutzt das sog. Public Key-Verfahren, d.h. es gibt ein eindeutig zugeordnetes Schlüsselpaar: Einen öffentlichen, mit dem jeder die Daten für den Empfänger verschlüsseln kann, und einen geheimen privaten Schlüssel, den nur der Empfänger besitzt und der durch ein Kennwort geschützt ist. Nachrichten an einen Empfänger werden mit seinem öffentlichen Schlüssel verschlüsselt und können dann nur durch den privaten Schlüssel des Empfängers entschlüsselt werden. Diese Verfahren werden auch asymmetrische Verfahren genannt, da Sender und Empfänger zwei unterschiedliche Schlüssel verwenden.
Die erste Version wurde 1991 geschrieben und verwendete einen RSA-Algorithmus zur Verschlüsselung der Daten. Spätere Versionen benutzten den DH/DSS-Algorithmus.
Bei PGP wird aber nicht die ganze Nachricht asymmetrisch verschlüsselt, denn dies wäre viel zu rechenintensiv. Stattdessen wird die eigentliche Nachricht symmetrisch und nur der verwendete Schlüssel asymmetrisch verschlüsselt (Hybride Verschlüsselung). Dazu wird jedes Mal ein symmetrischer Schlüssel zufällig erzeugt. [Wikipedia]
Soweit zur technischen Seite - wer sich für Kryptographie interessiert oder mehr über die mathematischen Hintergründe des Verfahrens wissen möchte, wird im Netz massenweise fündig - wir wollen an dieser Stelle nicht weiter darauf eingehen, da die meisten technischen Basics für den privaten Anwender mittlerweile keine Rolle mehr spielen - neuere Plugins und Programme machen dies im Hintergrund von alleine. • am 18.01.2007 von AG Technik
Die erste Version wurde 1991 geschrieben und verwendete einen RSA-Algorithmus zur Verschlüsselung der Daten. Spätere Versionen benutzten den DH/DSS-Algorithmus.
Bei PGP wird aber nicht die ganze Nachricht asymmetrisch verschlüsselt, denn dies wäre viel zu rechenintensiv. Stattdessen wird die eigentliche Nachricht symmetrisch und nur der verwendete Schlüssel asymmetrisch verschlüsselt (Hybride Verschlüsselung). Dazu wird jedes Mal ein symmetrischer Schlüssel zufällig erzeugt. [Wikipedia]
Soweit zur technischen Seite - wer sich für Kryptographie interessiert oder mehr über die mathematischen Hintergründe des Verfahrens wissen möchte, wird im Netz massenweise fündig - wir wollen an dieser Stelle nicht weiter darauf eingehen, da die meisten technischen Basics für den privaten Anwender mittlerweile keine Rolle mehr spielen - neuere Plugins und Programme machen dies im Hintergrund von alleine. • am 18.01.2007 von AG Technik
• Sichere Kommunikation per E-Mail: warum?
Eine E-Mail lässt sich mit einer "analogen" Postkarte vergleichen: ohne jeglichen Schutz ist ihr Inhalt jedem, der sich Zugriff auf sie verschaffen kann, offengelegt. Das soll nicht heißen, dass zwangsläufig jede E-Mail auch gelesen wird (wie ja auch der Postbote kaum jede Postkarte, die ihm in die Hände gerät, lesen wird) - wohl aber, dass zumindest in technischer Hinsicht keinerlei Hürden bestehen: zudem ist das elektronische Medium noch durch standardisierte Formate und schnelle Rechner leicht maschinell auszufiltern. Was bei unverfänglichen Kurztexten noch irrelevant erscheinen mag, bekommt bei schützenswerten Informationen, Klarnamen und anderen Daten durchaus Relevanz: nicht nur vor einem neugierigen Staatsapparat, sondern auch zum Schutz vor maßgeschneiderter Werbung oder übelwollenden Hackerangriffen sollte man seine persönliche Kommunikation geeignet abschirmen.
Mit der Sicherheit dieser Webseite hat das Ganze nur am Rande zu tun - E-Mail-Sicherheit ist, genauso wie Schutz vor "Phishing", Spam oder Viren, eigentlich Privatangelegenheit. Da allerdings ein nicht unerheblicher Teil der Kommunikation unter den Nutzern dieser Seite und mit ihren Machern über die gute, alte E-Mail läuft, sollen dazu einige Worte gesagt sein.
Im Folgenden wird das derzeit sicherste (theoretisch zwar knackbare, in der Praxis jedoch bisher ungebrochene) Verfahren, PGP ("Pretty Good Privacy"), vorgestellt. Wir selbst, die Macher dieser Seite, sind bestrebt, für die Kommunikation mit den einzelnen AGs und Vertretern dieser Webseite Möglichkeiten zur Verschlüsselung, also sog. öffentliche PGP-Schlüssel, zur Verfügung zu stellen - dazu später mehr. Den Nutzern wird ausdrücklich geraten, sich möglichst schnell an den Versand verschlüsselter E-Mails zu gewöhnen und dieses Verfahren, wo möglich, zu nutzen. • am 18.01.2007 von AG Technik
Mit der Sicherheit dieser Webseite hat das Ganze nur am Rande zu tun - E-Mail-Sicherheit ist, genauso wie Schutz vor "Phishing", Spam oder Viren, eigentlich Privatangelegenheit. Da allerdings ein nicht unerheblicher Teil der Kommunikation unter den Nutzern dieser Seite und mit ihren Machern über die gute, alte E-Mail läuft, sollen dazu einige Worte gesagt sein.
Im Folgenden wird das derzeit sicherste (theoretisch zwar knackbare, in der Praxis jedoch bisher ungebrochene) Verfahren, PGP ("Pretty Good Privacy"), vorgestellt. Wir selbst, die Macher dieser Seite, sind bestrebt, für die Kommunikation mit den einzelnen AGs und Vertretern dieser Webseite Möglichkeiten zur Verschlüsselung, also sog. öffentliche PGP-Schlüssel, zur Verfügung zu stellen - dazu später mehr. Den Nutzern wird ausdrücklich geraten, sich möglichst schnell an den Versand verschlüsselter E-Mails zu gewöhnen und dieses Verfahren, wo möglich, zu nutzen. • am 18.01.2007 von AG Technik
• häufig aufgerufene Sicherheit-Themen: