Testberichte und Erfahrungen zum GnuPG

Erfahrungsberichte von Nutzern, nicht verifiziert.

Erfahrungsberichte zum GnuPG

• k killermieze

  Privacy first ..!

  • Pro Privatsphäre
  • Kontra ..
  • Empfehlung Ja

  Fazit Heute will ich mich mal an ein Thema heranwagen, mit dem ich mich selbst erst seit kurzem beschäftige, der Email-Verschlüsselung. Auf der einen Seite will ich mich über den Sinn oder Unsinn auslassen, auf der anderen Seite möchte ich das Prinzip und das Programm welches dahintersteht beschreiben.

  1) Was bedeutet eigentlich GnuPG oder PGP?
  PGP bedeutet Pretty Good Privacy. Es ist ein Prinzip, emails zu verschlüsseln, um sie vor fremden Augen zu schützen. GnuPG,ein weiteres Programm bedeutet Privacy Guard.
  
  2) Ich bin kein Spion, warum sollte ich meine emails verschlüsseln?
  Eine erste Antwort auf diese Frage, und für mich die wichtigste, es ist einfach! Man muss sich nicht grossartig einlesen oder beschäftigen, na ja, ein wenig schon.
  
  Und, diese Frage verursacht eine Gegenfrage. Warum habe ich Vorhänge vor meinen Fenstern, warum schliesse ich ab und verwende einen Briefumschlag anstatt einer Postkarte? Weil ich, wie jeder andere auch, Privatsphäre will, nicht nur das, nein, wir haben auch ein Recht auf Privatsphäre. Jedem sollte es in diversen Magazinen schon einmal unter die Augen gekommen sein, emails zu verschicken ist so wie Postkarten zu verschicken. Jeder kann sie mitlesen, und auch verändern. Natürlich, wenn ich im Urlaub sitze, schreibe ich eine Postkarte mit Grüssen, und dann ist es mir egal, ob sie jemand liest oder nicht. Aber schreiben wir nur Urlaubsgrüsse? Nein.
  
  Klar ist, dass in der Wirtschaft, in Firmen etc emails verschlüsselt werden müssen, sei es vor Betriebsgeheimnissen oder als Schutz vor Spionage. Aber schliesst das eine „private“ Verschlüsselung aus? Ich denke nicht. Ich persönlich möchte nicht, dass jemand meine emails liest, egal was darin steht.
  
  Aber es gibt noch einen weiteren Grund, PGP zu verwenden. Er mag anfänglich ein wenig abgedreht klingen, ist aber schlüssig. Man sollte es schaffen, dass die Masse PGP-Schlüssel verwendet, damit es nicht verboten werden kann. Wieso das? Man will es kaum glauben, aber es gibt Länder in denen Kryptographie „für jedermann“ verboten ist. Nein, das ist (war) nicht nur der Irak, und es ist auch nicht nur Japan, sogar unsere Nachbarn, sogar in Frankreich ist das Verschlüsseln verboten. Man stelle sich vor, morgen kommt ein Gesetz heraus, welches uns verbietet Vorhänge an die Fenster zu hängen, natürlich nur damit es für die Polizei kein Problem wäre im Bedarfsfall die Wohnung zu observieren? Es mag ein wenig übertrieben klingen, aber dennoch sollten wir alle auch etwas für unsere Privatsphäre tun, gerade im Bereich des Internets, da es hier sowieso kaum, oder keine Privatsphäre gibt.
  
  3) Was für ein Prinzip steht hinter GnuPG/PGP?
  
  Haben wir uns bisher über die Gründe, das Warum unterhalten, steigen wir direkt ein in die Funktion, die hinter GnuPG/PGP steht. Zuerst, wie kann es anders sein, benötigt man einen Schlüssel, nicht nur das, sondern sogar ein Schlüsselpaar. Man generiert am Anfang also ein Schlüsselpaar, einen öffentlichen, und einen geheimen Schlüssel. Dies ist das sogenannte Public/Privacy-Key-Verfahren.
  Dann muss man sich nur noch darum kümmern, dass der Öffentliche Schlüssel den Weg zu dem Empfänger findet. Man kann ihm den Schlüssel einfach per Datenträger oder sonst wie zukommen lassen, oder kann sie auf einen GnuPG-Server hochladen. Somit hat jeder Zugriff auf den public key. Nun kommen wir zum Keysigning. Dabei wird der public key des Gegenübers in seinem eigenen Privacy key signiert, es entsteht ein sogenanntes Web of Trust.
  Mit dem signierten public key werden emails (oder auch Daten oder Volumen) verschlüsselt, die email wird losgeschickt und durch den privacy key des Gegenübers entschlüsselt. Also, der public ist zum Verschlüsseln, der privacy zum Entschlüsseln. Oder anders, der public ist öffentlich, für jedermann, der privacy ist nur für einen selbst gedacht. Und das wäre auch schon alles.
  
  4) Wie funktioniert das Programm?
  
  Dies möchte ich an einem Programm, eben dem GnuPG-Kommandozeilentool (Linux) erläutern. Vorneweg, es gibt diese Programme für jedes Betriebssystem. Für Windows mit grafischer Oberfläche, und für Linux für die Kommandozeile, was die meisten Funktionen bietet, und mit dem Gnu-Privacy-Assistent auch als grafische Oberfläche. Auch werden die Programme oft in Emailprogramme eingelassen.
  Nach Installation muss, wie oben beschrieben, erst ein Key generiert werden. Dies geschieht mit dem Befehl gpg –gen-key. Somit hat man ein neues Schlüsselpaar. Damit den Schlüssel andere erhalten können, wird er als ASCII-Text geschrieben und verteilt – gpg –export – Name > public_key. Zur Sicherheit kann man noch einen Fingerprint erstellen. Und schon kann es losgehen mit der Kryptographie für jedermann.
  
  5) Fazit
  
  Zuerst zu dem Programm. Die grafische Oberfläche bietet viele Hilfen und eine gute Übersicht, ist aber von den Funktionen her eingeschränkter als die Kommandozeilenfunktion. Sich Einzulesen ist kein Problem, das Internet ist voller guter Anleitungen. Am Anfang entsteht ein minimaler Aufwand, danach läuft die Verschlüsselung nebenher. Zur Sicherheit kann ich nur soviel sagen, dass es sicher ist ;-) aber nicht 100%. Nur wer macht sich die Mühe das zu entschlüsseln?

  Mehr erfahren
• MOFFt

  WER KANN MEINE MAILS LESEN?

  • Pro freie Alternative zu PGP, auf vielen Betriebssystemen erhältlich, Schutz der mails vor Dritten
  • Kontra bedarf einiges an Einarbeitungszeit
  • Empfehlung Ja

  Eine Frage dessen Antwort jetzt wahrscheinlich einige erschrecken wird ... im Prinzip JEDER (sofern er das Wissen besitzt mails abzufangen), den die mail selbst geht als Klartext durch die Weiten des Internets und kann somit von jedem gelesen werden.
  Doch es gibt Abhilfe mit GnuPG, von dem dieser Bericht handelt!
  
  =ALLGEMEINES
  
  Wen interessieren schon meine mails, werden sich viele fragen. Nun ja - wahrscheinlich sind nicht viele interessante Inhalte für Dritte dabei, aber abgesehen davon dass ich es einfach nicht will das meine mails auch andere lesen können, braucht man nur kurz nachzudenken und findet einige Mailinhalte die sicherlich kein Dritter bekommen sollte ...
  Du verschickst zb. in Form eine Frage Informationen über deine Umgebung/IPs usw., die einem möglichen Angreifer schon nützliche Informationen bieten können. Du möchtest einem Freund Zugangscodes zu deinem Computer übersenden, die ganz gewiss kein anderer erhalten sollte. Du versendest deine Visa-Nummer oder sogar PIN-Codes (was zugegeben sowieso nie gemacht werden darf/sollte) ... man sieht es gibt genügend Gründe, warum man seine Mailinhalte vor anderen schützen möchte.
  
  Die einzige mir bekannte Möglichkeit ist die mails nicht mehr als Klartext zu verschicken, sondern sie zu verschlüsseln/codieren. Zwar können die mails immer noch abgefangen werden, aber der Dritte erhält nur wirren Zahlen/Zifferncode den er nicht entschlüsseln kann ...
  
  =GnuPG
  
  Vielleicht hat schon der ein oder anderer von PGP gelesen oder gehört ... PGP steht für Pretty Good Privacy und dient eben zum Verschlüsseln von mails. PGP stammt meines Wissens nach von Amerika und es haften Lizensen/Patente darauf, die sich ein privater sicherlich nicht leisten möchte (man muss das Programm kaufen)
  So wurden weitere Varianten GPG bzw. GnuPG entwickelt (The GNU Privacy Guard). Lt homepage www.gnupg.org ist GnuPG somit eine freie Lösung, die PGP vollkommen ersetzt. Frei kann GnuPG nur sein, da es die patentierten IDEA Algorithmen nicht verwendet und erblickte im Sept. 1999 als Version 1.0.0 die Bits der Datenwelt.
  
  Mittlerweile ist Version 1.2.x aktuell und für eine Reihe von Betriebssystemen verfügbar.
  Natürlich unter Linux (wo es eigentlich bei jeder aktuellen Distribution als vorkonfiguriertes Paket dabei sein sollte), FreeBSD, OpenBSD, NetBSD, Windows (95-2000) und MacOS X.
  
  Ich verwende hier GnuPG 1.2.1 unter Debian woody (wobei ich mir die neuere Version nachinstalliert hatte, da woody standardmässig eine ältere verwendet, die neuere keys nicht kannte)
  
  Die Installation gestaltet sich erwartungsgemäß sehr einfach mit den jeweiligen Paketen, ich denke auch unter Windows u.a. ist es kein Problem GnuPG zu installieren. Etwas heikler wird da schon die Anwendung ...
  
  =FUNKTION/EINDRUCK
  
  Die Hilfeseite bzw. man-page von gpg ist ellenlang, dementsprechend anstrengend ist auch das erste Einarbeiten in die Materie bzw. gpg. Es gibt gute HowTOs, die relativ einfach erklären wie man mit gpg mails ver- bzw. entschlüsselt.
  In der Praxis sieht es so aus, dass man gpg in sein Mailprogramm miteinbindet, das dann die Ver- bzw. Entschlüsselung für einen übernimmt. Natürlich kann man den Befehl auch in der Konsole auf einen verschlüsselten Text anwenden, oder ihn für einen Freund verschlüsseln.
  
  Bevor man gpg jedoch anwenden kann, muss man sich erst einmal ein eigenes Schlüsselpaar erzeugen, auf dem das ganze Prinzip von gpg/pgp basiert.
  Mit gpg --gen-key kann man ein solches Schlüsselpaar erzeugen, man durchläuft einige Fragen wie stark die Verschlüsselung sein soll (je besser, desto langsamer) für welche email Adresse das Paar gelten soll, ein geheimes Passwort u.a., wobei immer genügend Information bzw. eine vernünftige Voreinstellung vorhanden ist.
  Somit erhält man einen sogn. secret key, der fix im eigenen Verzeichnis gespeichert wird (den man sich zusätzlich auch auf Diskette sichern sollte) und den kein anderer erhalten darf. Weiters erzeugt man so einen public (also öffentlichen) key, den man für alle frei verfügbar auf einen keyserver legen, ihn einmalig an seinen Mailpartner per Diskette weitergeben oder als Signatur an seine (unverschlüsselten) mails anhängen kann.
  
  Hat auch der Mailpartner diesen Prozess durchlaufen bzw. beide deren öffentliche Keys ausgetauscht (die man per gpg in seinen digitalen Schlüsselbund dazuhängt) kann man ab nun mails für genau diesen Partner mit dessen public key verschlüsseln und NUR ER kann diese mail mit seinem eigenen secret key entschlüsseln bzw. lesen. Signiert man die mail auch noch, kann sich der Partner auch sicher sein dass die mail vom richtigen Gegenüber stammt und nicht gefälscht ist.
  
  Ohne jetzt im obigen Text konkrete Befehlsketten eingebaut zu haben, merkt man sicherlich dass die Thematik keine einfache ist. Zwar gibt es mittlerweile auch schon grafische GUIs als Unterstützung zum Erzeugen von Schlüssel bzw. Verwalten seines Schlüsselbundes doch den Hintergrund der Verschlüsselung muss man sich erst erarbeiten.
  Zum zweiten ist gpg/pgp leider noch viel zu wenig verbreitet, vor allem bei den home-usern. Kaum einer macht sich die Mühe seine mails zu verschlüsseln oder zumind. die Möglichkeit anzubieten ihm eine verschlüsselte mail zu schicken (dh. Erzeugen und Veröffentlichen von Public-keys) ... wahrscheinlich weil auch kaum einer weiss, wie leicht man mails abfangen/lesen kann.
  
  Ich persönlich nutze gpg auch nur mit wenigen email-Partnern (die ausschließlich Linux verwenden), versuche doch immer wieder auch einen public key von Partnern zu erfragen mit denen ich öfter email-Verkehr habe.
  Ich denke mit zunehmender Anzahl an Fake-mails und Missbrauch fremder Adressen wird zumindest das Signieren immer wichtiger, sicherlich wird es aber noch einige Zeit dauern bis sich so nützliche tools wie gpg/pgp flächendeckend verbreitet haben.
  Auf jeden Fall vertraue ich offenen Möglichkeiten wie gpg um ein Vielfaches mehr, wie zukünftigen Vorhaben alla Longhorn (wo Microsoft die User-Daten verschlüsseln will)
  
  =ZUSAMMENFASSUNG
  
  Ich hoffe der Bericht war nicht zu verwirrend, ich habe versucht die Thematik so einfach wie möglich darzustellen ... ein richtiger Profi bin ich zugegeben auch nicht auf dem Gebiet, aber ein Anwender im Home-Bereich. Und genau das sollte nun vielleicht auch der ein oder andere unter Euch werden - zumindest mal ein Reinschnuppern und probieren kann nicht schaden.
  
  Somit wünsche ich allen private mails ... und Dank fürs Lesen --- heute schon geMOFFt?

  Mehr erfahren