Verschlüsselung

Wenn eine "normale" E-Mail unverschlüsselt durchs Internet schickt, kann die prinzipiell von sehr vielen Leuten mitgelesen werden. Unter das Briefgeheimnis fallen diese nach den meisten Urteilen auch nicht, es ist also sogar möglicherweise legal, dies zu tun. Glücklicherweise gibt es diverse Programme, mit denen ihr E-Mails verschlüssel könnt. Die verwendeten Verfahren sind i.W. gleich, es gibt einen privaten Schlüssel, auf den nur ihr Zugriff habt, und einen öffentlichen, den ihr möglichst weit verbreiten solltet, dieser wird benötigt um euch verschlüsselte E-Mails zu schicken; die beste Verschlüsselung aber nützt euch nichts, wenn ihr nicht sicher seit, dass ihr auch den richtigen öffentlichen Schlüssel von der/dem EmpfängerIn besitzt. Zur Schlüsselüberprüfung gibt es zwei wichtige Verfahrensweisn:

Zentrale Verwaltung

Es gibt eine zentrale Instanz, die verschiedene (hoffentlich vertrauenswürdige) Organisationen ermächtigen kann, Zertifikate (ein Zertifikat bestätigt, dass euch ein bestimmer Schlüssel gehört) auszustellen. Euer E-Mailprogramm oder Browser kennt von dieser Instanz den Schlüssel und kann damit andere von diesen Organisationen zertifizierte Schlüssel überprüfen. Vorteil: Verwaltungsaufwand ist relativ gering Nachteile: Ihr müsst eben dieser zentralen Instanz und den beteiligten Organisationen vertrauen. Wenn die zentrale Instanz ausfällt oder der private Schlüssel der Instanz abhanden kommt, ist keine sichere Kommunikation mehr möglich.

Dieses Verfahren wird üblicherweise für die Absicherung von Webseiten, teilweise auch innerhalb von Unternehmen und Behörden für E-Mails genutzt, es gibt aber auch die Möglichkeit, ein Zertifikat für den Privatgebrauch zu bekommen. Das verbreiteste Verfahren bei E-Mails nennt sich S/MIME.

Dezentrales "Web Of Trust" (Vertrauensnetz)

Hierbei kann jeder Schlüssel "zertifizieren" und ihr könnt entscheiden, wem ihr vertraut. Wenn Person A Person B trifft, könnt ihr gegenseitig die Fingerabdrücke (engl. Fingerprints) von euren Schlüsseln überprüfen und dies elektronische bestätigen. Person A und B können in Zukunft also sicher miteinander kommunizieren. Wenn nun Person B ebenfalls mit Person C die Fingerabdrücke ausgetauscht hat und Person C Person B sehr gut vertraut, kann Person C mit Hilfe von Person Bs Bestätigung, dass der öffentliche Schlüssel von A richtig ist, auch Person A verschlüsselte E-Mails schicken. Wenn es noch eine Person D gibt, die ebenfalls den öffentlichen Schlüssel von Person A bestätigt hat und der ihr vertraut, ist das Verfahren natürlich noch sicherer. Vorteile: Ihr müsst keiner einzelnen Organisation vertrauen, sondern entscheidet selbst, welchen Personen ihr vertrauen wollt. Falls eine einzelne Person ihren Schlüssel verliert, könnt ihr trotzdem weiter sicher kommunizieren (da ihr hoffentlich mit mehreren Personen Fingerabdrücke ausgetauscht habt).

Signieren

Jeder kann auch eine E-Mail mit eurem Namen als Absender verschicken, eine Unterschrift gibt es bei den meisten E-Mails nicht (eine eingescannte Unterschrift bringt übrigens auch nichts, weil die jeder unter seine eigene E-Mail drunter setzen könnte). Um dieses Problem zu lösen, haben "Verschlüsselungsprogramme" auch eine Funktion, die eine elektronische Unterschrift erstellen. Hiermit bestätigt ihr, dass eine bestimmte E-Mail mit genau diesem Inhalt von euch verschickt wurde, diese Bestätigung bezeichnet man auch als "Signieren". Ihr könnt euren privaten Schlüssel auch zum Signieren nutzen, jeder der euren öffentlichen Schlüssel besitzt, kann dann überprüfen, ob eure E-Mail wirklich von euch stammt. (Der öffentliche Schlüssel kann mit dem selben Mechanismus wie bei der Verschlüsselung überprüft werden).


Technische Voraussetzungen

Das wichtigste ist, dass ihr eine Software besitzt, die die Verschlüsselung erledigt. S/MIME wird z.B. von Mozilla Thunderbird und Microsoft Outlook sowie dem Webinterface von web.de unterstützt, für OpenPGP benötigen Thunderbird und Outlook ein Plugin, viele Programme (z.B. Sylpheed, Kmail und Mutt) haben OpenPGP-Unterstützung bereits integriert. Außerdem gibt es externe Programme, die einzelne Dateien oder den Inhalt der Zwischenablage ver- und entschlüsseln können.

Außerdem benötigt ihr eine Möglichkeit, eure öffentlichen Schlüssel auszutauschen. Das könnt ihr entweder per Datenträger (z.B. CD, USB-Stick etc.) machen, wobei ihr euch die Ãœberprüfung der Fingerabdrücke sparen könnte oder ihr macht das übers Internet, dort könnt ihr euren Schlüssel z.B. auf eurer Homepage veröffentlichen, per E-Mail verschicken oder einen der vielen öffentlichen Keyserver benutzten, die speziell zur Verwaltung der (Open-)PGP-Schlüssel entwickelt wurden. --BenediktWildenhain 16:05, 27. Apr 2006 (CEST)


Einfache Erklaerung, wie man sowas einrichtet

GnuPG/OpenPGP-Howto für den Mail-Client Thunderbird

 

Diese Anleitung soll möglichst einfach erklären, wie Du unter Windows und Linux mit Hilfe des kostenlosen Emailprogramms "Thunderbird" Deine Emails verschlüsseln und signieren kannst. Für Linux haben wir die Anleitung schwerpunktmäßig für die Distributionen Debian, Ubuntu und alle deren Abkömmlinge geschrieben. Für andere Distributionen müsste sich die Anleitung aber leicht übertragen lassen. Weitere Hilfe findest DU auf den von uns angegebenen Internetadressen. Für die Einrichtung der Verschlüsselung und Signierung braucht Du neben einem Internetanschluss nur ein paar wenige Minuten Zeit.

Die von uns verwendeten Programme sind alle gerade noch klein genug, dass ein Download auch mit einem Modem noch vertretbar sein dürfte. Auf die Installation der Emailsoftware "Thunderbird" wird hier nicht besonders eingegangen. Wenn Du dabei Hilfe brauchst, wende Dich einfach an die Mailingliste des FaFo Medien der Grünen Jugend.

Installation unter Windows:

Zuerst musst Du Dir die entsprechende Software zum Signieren und Verschlüsseln besorgen. Als kostenloses und quelloffenes Programm bietet sich GnuPG an.

Auf der Homepage [1] findet sich in der Rubrik "Download" auch ein fertiges Paket für Windows. Dieses holst Du Dir einfach auf Deinen Computer und installiert es mit einem Doppelklick. Merkt Dir bitte den Pfad in den Du GnuPG installierst. Wir brauchen ihn später noch mal. Mit dieser Software könntest Du im Prinzip schon alle Deine Mails signieren und verschlüsseln.

Das Programm lässt sich in dieser Form allerdings noch nicht sehr komfortabel bedienen.Für die einfache Bedienung und Verwaltung hilft das Programm Enigmail. Das Schöne an diesem Programm ist, dass es eine fertige Erweiterung für die Emailsoftware Thunderbird ist. Du findest Enigmail zum Beispiel auf der Seite [2] Vor dem Download musst Du besonders darauf achten, dass die Version von "Enigmail" zu Deiner Version von Thunderbird passt.

Welche Version von Thunderbird auf Deinem Rechner läuft findest Du in Thunderbird selbst, wenn Du in dem Reiter "Hilfe" auf "über Thunderbird" klickst.Nach dam Download von Enigmail startet ihr einfach "Thunderbird". In der Spalte "Extras"; findet sich die Zeile "Erweiterungen". In dem sich öffnenden Fenster ist ganz unter wiederum das Feld "installieren" zu ferinden. Nun musst Du nur noch die vorhin heruntergeladene .xpi Datei für Enigmail auswählen und beim nächsten Neustart der Emailsoftware wird die Erweiterung von alleine installiert.Nachdem wir diesen Neustart gemacht haben findet dich in der Menüleiste der neue Eintrag "OpenPGP" Hier müssen wir dem neuen Programm als erstes zeigen, wo es das von uns installierte GnuPG finden kann. Fahre dazu bitte mit dem Abschnitt "Benutzung von Enigmail" fort.Installation unter Debian GNU/LinuxZuerst musst du das eigentlich Programm herunterladen und installieren, dafür musst du als Benutzer root angemeldet sein und dann folgendes auf der Kommandozeile eingeben (jeweils ohne Anführungszeichen): "apt-get install enigmail-locale-de" (für die deutsche Version) "apt-get install mozilla-enigmail" (für die englischsprachige Version, benötigt etwas weniger Speicherplatz). Als normaleR BenutzerIn kannst du nun das Mailprogramm Mozilla Thunderbird starten, entweder per "Startmenü" oder auf der Kommandozeile mit der Eingabe von: "mozilla-thunderbird&" Falls du vorher noch nie Thunderbird benutzt hast, musst du jetzt ersteinmal die Daten deines E-Mail-Anbieters eingeben, die du üblicherweise auf dessen Webseiten findest.Benutzung von EnigmailWenn du jetzt auf den Menüpunkt "Enigmail" (evtl. auch "OpenPGP") und dann auf "Schlüssel verwalten" (engl. Key Managment) klickst, wirst du wahrscheinlich ersteinmal gefragt, ob du Enigmail jetzt konfigurieren willst, klicke dann bitte auf "Ja". Dort musst du in Pfad zur GnuPG-Anwendung folgendes eintragen: "/usr/bin/gpg" (Linux) oder für Windows beispielsweise "c:\Programme\gnu\GnuPG\gpg.exe". Du kannst jetzt noch einstellen, wie lange die sog. Passphrase, ein besonders gutes Passwort, mit dem dein privater Schlüssel gesichert wird, gespeichert wird. solange diese gespeichert ist, kannst du neue signierte E-Mails erstellen und verschlüsselte E-Mails lesen, ohne erneut dein Passwort eingeben zu müssen, wenn zwischendurch jemand fremdes an deinen Rechner kommt, kann er/sie aber ebenfalls diese Aktionen durchführen, deshalb solltest du diese Zeit nicht zu lang wählen, wenn andere Personen in der Nähe deines Rechners sind.Der nächste Schritt ist es eine Schlüsselpaar zu erstellen. Dies geht sehr schnell wenn wir im Menü "Erzeugen - Neues Schlüsselpaar" (engl. "Generate" "New Key Pair") anwählen. Das neue Schlüsselpaar sollten wir jetzt mit einer Passphrase schützen. Für den eigentlichen Versandt von Emails ist dieser Schutz zwar unnötig, für den Fall, dass ein Computervirus oder eine fremde Person unerwünschten Zugriff auf den Computer erhalten könnte, ist dieser zusätzliche Schutz sehr empfehlenswert. Wir müssen aber schon warnen, dass wenn Du an dieser Stelle ein Passwort auswählst, Du das vor jedem Versenden einer signierten Email erneut eingeben musst.Das so erzeugte Schlüsselpaar solltest Du jetzt unbedingt auf ein externes Medium (z.B. einen CD-Rohling) sichern und an einem andern Ort als Deinen Computer aufbewahren. Wenn mit dem Computer etwas passiert (Diebstahl, Brand, Virusbefall) kannst Du mit Hilfe des gesicherten Schlüsselpaar Deine Emails von einem anderen Computer oder nach einer Neuinstallation wieder mit den alten Schlüsseln signieren und verschlüsseln bzw. im Falle des Diebstahls deinen öffentlichen Schlüssel widerrufen, also ungültig machen (da du leider davon ausgehen musst, dass der Dieb jetzt deinen privaten Schlüssel besitzt). Der Schlüsselexport erfolgt im "Key Managment" unter "Datei - " ("File - Export Key to File").Im Prinzip ist jetzt schon alles fertig. Als letztes passen wir noch die Einstellungen des Emailprogramms soweit an, dass jede versandte Email auch automatisch signiert wird.Am einfachsten geht das, wenn wir als ersten Schritt in Thunderbird auf "Verfassen" klicken, damit sich das Fenster öffnet in dem wir eine neue Email beginnen können. In diesem Fenster finden wir in der obersten! Menüleiste wieder den Eintrag "OpenPGP". Hier gibt es nun auch den Unterpunkt "Default Composition Options". Wenn wir diese Anwählen klappt sich wiederum ein Menü aus, in dem wir "Signing/Encryption Options wählen." Ungefähr in der Mitte des neuen Fensters finden wie die Optionen "Sign non-encrypted messages by default" und "Sign encrypted messages by default", wovor jeweils ein Häcken erscheinen sollte, wenn Du alle Deine Emails automatisch signiert haben möchtest. Von einer automatischen Verschlüsselung ("Encrypt messages by default") sehen wir in diesem Beispiel ab, da es sonst bei einer unbedachten Antwort auf Emails von Verteilern zu Problemen kommen könnte. (Wenn ihr die Email mit dem öffentlichen Schlüssel eines Teilnehmers verschlüsselt und an einen Emailverteiler schickt, erhalten alle Anderen auf der Liste nur Datensalat) Im unteren Teil des Fensters sollten auch vor "Send OpenPGP Key ID" und "Send Url for key retrival" ein Häkchen stehen. Das mit dem Server auf dem der Schlüssel für eine sichere Identifizierung hinterlegt wird, erklären wir im Abschnitt. "Schlüssel zertifizieren".Auf euerem eigenen Rechner sind nun alle wichtigen Einstellungen erledigt. Dem sicheren Versandt der Emails steht nun nichts mehr im Wege. Alle euere Mails werden nun automatisch signiert, wenn ihr eine Email verschlüsseln wollt, müsst ihr vor dem Versenden in der mittleren! Menüleiste unter "OpenPGP" einfach einen Hacken vor "Encrypt Message" machen und beim Versenden noch den öffentlichen Schlüssel des Empfängers wählen. --Tobias Eichelbrönner 13:42, 28. Apr 2006 (CEST) --BenediktWildenhain 13:30, 30. Apr 2006 (CEST)