Verwendest Du eMail Verschlüsselung oder digitale Signaturen/Zertifikate? (02/2010)

[meru]

Das hat doch damit nichts zutun.

mfg Meru

 

[da_jones]

Ich krieg die Krise: Mit jedem (Minor-)Update von iOS faselt His Steveness was von mehr Sicherheit für Firmenkunden, blablabla … und?!? Kein S/MIME. Keine Spur. Was sollen das denn bitte für Firmenkunden sein? Mich würde es echt wundern, wenn noch keiner der Großabnehmer da eine Anfrage gestellt hätte.

Naja, ich fülle weiterhin das Feedbackformular bei Apple aus. Die Hoffnung stirbt zuletzt.

 

[meru]

was schreibt Ihr denn in das Feedbackformular rein?
Mein Englisch ist so was von jämmerlich das ich mich nicht traue was zu schreiben.

mfg Meru

 

[stk]

schreibs in deutsch - das kommt an!

 

[bluejay]

Boah, F**k. Hab's schon wieder vergessen. Wie bekommt man nochmal seine PGP/GPG-Schlüssel am einfachsten von seinem Altrechner auf einen neuen übertragen?
Mail 4.4 (1082), GPGMail-Bundle 1.3.1, MacGPG 2.0.16.
Bin dankbar für jeden Tip.

 

[Zeisel]

Installiere Thunderbird und das Plugin Enigmail. Die mit GPG Schlüsselbund erstellten Schlüssel werden auch in Enigmail angezeigt, da es wie GPG Schlüsselbund nur ein Frontend ist.

Öffne in Thunderbird "Schlüsselbund verwalten..." im Menü "OpenPGP"


Wähle Deinen Schlüssel aus und öffne "Exportieren..." im Menü "Datei"


Wähle "Geheime Schlüssel exportieren"


Einfacher ist sicher eine Lösung mittels Terminal, aber die kenne ich nicht, ich bevorzuge grafische Frontends.

Boah, F**k.

Ohne diese Einleitung hätte ich Dir sicher sofort geantwortet ...

 

[bluejay]

@Zeisel: Danke! Hat wunderbar funktioniert. Habe es zwar nicht mit Thunderbird/Enigmail gemacht, aber mit GPG Schlüsselbund ist die Vorgehensweise ja die gleiche.

Schönen 1. Advent.

 

[SilentCry]

Alles einsatzbereit, wird aber trotzdem nicht genutzt, weil keiner mitmacht...

So ähnlich geht es mir auch.

 

[SilentCry]

So, ich habe jetzt den ganzen Thread durchgelesen. Warum? Ich habe mir fest vorgenommen diese letzte Hürde zu nehmen und nicht nur bei mir (wieder) GPG einzurichten sondern vor allem auch alle meine wichtigen Kontakte dazu zu motivieren, das zu tun. Gegenwärtig eignet sich im Neofaschismus unverschlüsselte E-Mail nur zum Austausch von Belanglosigkeiten, nicht einmal mehr irgendeine auch nur nebensächliche Gefühlsregung darf man austauschen, man weiß ja nie, welcher dreckige Sauhund in Trenchcoat mitliest und welche Motivation er dabei verfolgt. Eigentlich nutze ich kaum noch Mails jenseits der Firma.
So, nach diesem Ausflug in die deprimierende Realität, wollte ich GPG (www.gpg.com) noch mal ansehen. Aber, oh Erstaunen, seit Symatec die übernommen hat kann man so Programme wie "PGP Desktop" nicht mehr kaufen. Gefühlte hundert Trilliarden "Norton Computerdestabilisatoren" sogar in 360 Grad (das ist dann wohl die Körpertemperatur des gestressten Anwenders) kann man erwerben aber PGP... Fehlanzeige. Händler darf man suchen, das sind ausnahmslos B2B-Buden, die scheren sich um einen Endkunden so wie das türkische Militär um einen kurdischen Flüchtling.

GnuPG kann ich keinem erklären; da fragen mich 9 von 10 ob ich frontal gegen einen Holzpfosten gelaufen bin, zwei Mal.

Und dieses Zertifikate... da scheine ich ein Verständnisproblem zu haben. Generell würde es ja reichen, die E-Mail-Adresse zu verifizieren, ich will ja nicht wissen ob [email protected] wirklich der Besitzer von Garfield ist sondern nur sicher gehen dass der Kumpel von letzter Nacht in der Bar mit der Adresse auch Absender der Mail ist bzw. nur er die Mail lesen kann, wenn diese Adresse auf seiner Visitenkarte steht. Nur... wenn ich so ein "Trustcenter" dieses Zertifikat generieren lassen, generieren die nicht auch die Keys? Und wenn das so ist, was ist das Ganze dann wert? Nichts. Die Schergen des Neofaschismus haben doch garantiert Zugriff auf diese Center und die verschlüsselten Mails sowieso gespeichert, d.h. was ist ein Private Key wert, der auch nur irgendwann auch nur einmal woanders war als nur und ausschließlich bei MIR?

Was bleibt also? Verschlüsselte Containerfiles schicken?

 

[naich]

Nur... wenn ich so ein "Trustcenter" dieses Zertifikat generieren lassen, generieren die nicht auch die Keys?

Die Keys werden, soweit ich weiß, lokal im Browser generiert. Den privaten Key behältst du, der öffentliche Key wird hochgeladen (wie es bei public Key Crypto gedacht ist).

 

[SilentCry]

Das wäre fein. Kann diese Vermutung verifiziert werden?

 

[naich]

Als ich mein Key-Paar generiert habe, hat ein Firefox-Fenster den Vorgang angezeigt. Auch die FAQ beschreibt dies so: http://www.trustcenter.de/support/faq.htm#faq2

Natürlich hat das immer noch nix zu sagen, am besten ist es wohl man generiert die Keys selber: https://www.awxcnx.de/handbuch_32g.htm (auch wenn der Link veraltet scheint, ich glaube nicht dass 3DES heute die richtige Wahl mehr ist).
Ich hab das aber nicht ausprobiert und weiß auch nicht ob die kostenlose Trustcenter-Variante dieses Verfahren unterstützt.

Wäre schön wenn sich jemand, der sich mehr auskennt dazu äußern würde.

 

[Zeisel]

... Nur... wenn ich so ein "Trustcenter" dieses Zertifikat generieren lassen, generieren die nicht auch die Keys?

Die Schlüssel werden auf Deinem Rechner erzeugt. Nutzt Du dazu Safari, liegen sie anschließend im Schlüsselbund. Nutzt Du Firefox, sind sie unter Einstellungen-Erweitert-Zertifikate zu finden. Im letzteren Fall musst Du es exportieren, um es in Mail (Schlüsselbund) oder Thunderbird nutzen (importieren) zu können. Für den Export musst du ein (möglichst sicheres) Kennwort vergeben - das exportierte Zertifikat nebst öffentlichem und privatem Schlüssel (PKCS12-Datei) kannst Du dann noch zusätzlich sichern oder auf andere Rechnern portieren.

Leider ist den meisten entweder egal oder nicht bewusst, dass unverschlüsselte E-Mails von vielen mit gelesen werden (können), und das sogar voll automatisiert (Scannen nach Stichwörtern). Vielleicht, weil sie selbst die E-Mails von anderen nicht lesen können? Es keinen "Postboten" in herkömmlichen Sinne gibt? Einige glauben es auch schlicht nicht. Paranoia ist noch am ehesten der Titel, den ich bekomme, wenn ich jemandem Verschlüsselung nahe lege. Vielen ist das auch einfach suspekt, weil sie nicht wissen, wie das funktioniert, da existiert eine sehr große Hemmschwelle.

Der Header mit Absender, Empfänger und Betreff wird nicht verschlüsselt, daher am besten unverfängliche Betreffs wählen. Bei S/MIME werden auch Datei-Anhänge mit verschlüsselt - bei GnuPG/PGP nur mit der Erweiterung (Open)PGP-MIME, standardmäßig wird bei GnuPG/PGP nur der (unformatiert) Text verschlüsselt.

S/MIME ist nach meinem Geschmack einfacher zu handhaben - bis auf die Zertifikate, die von einer Zertifizierungsstelle bezogen werden müssen. Auch ist nach einem System-Update GnuPG oft längere Zeit nicht verfügbar (jedenfalls unter OS X), während S/MIME in Mail und anderen gängigen Programmen integriert ist - auch Outlook (express) unter Windows kommt damit zurecht, Thunderbird selbstredend.

Nachtrag: Hier gibt es das (für privat vollkommen ausreichende) kostenlose Zertifikat von TC TrustCenter:
http://www.trustcenter.de/products/tc_internet_id.htm

 

[pingelich]

Hi!

Hab mir jetzt alle 4 Seiten durchgelesen und hoffe nichts überlesen zu haben.

Ich nutze Apple Mail. Ich selbst nutze ein Zertifikat von Trustcenter und kann signierte wie auch verschlüsselte Mails senden. Der Empfänger kann sie auch entschlüsseln (Verschlüsselt mit Empfänger PublicKey). Allerdings kann ich mit Mail keine mit meinem PublicKey verschlüsselten Mails entschlüsseln. Die Mail schaut halt so aus:

Kann mir da jemand helfen? E-Mailadresse ist gleich der wie im Zertifikat (wie u.a. Groß-/Kleinschreibung). Name des Absender ist auch gleich.

 

[Zeisel]

Hat der Absender vielleicht einen noch gültigen öffentlichen Schlüssel, dessen privates Pendant Du nicht (mehr) hast?

 

[pingelich]

Nein, das Zertifikat wurde dem Empfänger erstmals ausgeteilt.

Edit:
Habe mir in einer VM jetzt ein Outlook installiert und dazu noch gleich ein Zertifikat von VeriSign (60 Tage Test). Auch hier kann ich verschlüsselt an das Outlook senden, umgekehrt gehts nicht.

 

[Zeisel]

Ist der Schlüssel vielleicht defekt? Dieses Problem hatte ich bislang nicht, kann daher wenig dazu sagen.

Versuche es mit einem neuen Zertifikat.

Sollte das der Fehler gewesen sein, müssen Deine Kontakte Dein altes Zertifikat möglichst löschen. Und Du solltest es sperren.

 

[SilentCry]

OK. Ich habe jetzt ausgiebig darüber meditiert. Da der private Schlüssel auf meinem Rechner erzeugt wird und diesen niemals verlässt ist die S/MIME-Methode mit Zertifikaten die Wahl der Stunde. Die halbgare und technisch nicht unterstützte Methode von GnuPG mit Apple-Mail ist mir unsympathisch. ICH könnte ja ggf. damit leben, dass ich mich vor jedem Update informiere, ob Mail dann auch noch mit GnuPG geht aber beispielsweise meine Eltern kann ich ebensowenig dazu verdonnern wie meine Bekannten. Und einen Dauersupportjob ala "Hey, du - mein Mail geht nicht mehr verschlüsseln tun mit dem PehGeh-Zeugs, das du mir da eingeredet hast, was mach ich jetzt oder kommst du vorbei und richtest es?" will ich mir nicht antun.

Ich glaube, ich werde am WE das einrichten, genau mitschreiben samt Screenshots und dann per PDF meinen Leuten eine Anleitung zur Verfügung stellen.

 

[Zeisel]

Die halbgare und technisch nicht unterstützte Methode von GnuPG mit Apple-Mail ist mir unsympathisch.

Mit Thunderbird gibt es diese Probleme nicht. Daher (nicht nur daher) verwende ich beide Programme parallel (IMAP). Ich habe Kontakte, die ausschließlich PGP/GnuPG verwenden, denen würde ich mich sonst sperren. Thunderbird kann seit (einem Jahr etwa?) das Adressbuch von OS X verwenden und ist somit einigermaßen in das System OS X integriert.

Prinzipiell finde ich für den privaten Austausch GnuPG sympathischer, da quelloffen. Die Gültigkeit der Schlüssel kann beliebig festgelegt werden - von einem Tag bis unbegrenzt.

Für die Signierung von E-Mails an dritte finde ich S/MIME besser, da die erforderlichen Root-Zertifikate (mal abgesehen von CAcert) der gängigen Zertifizierungsstellen bereits in den gängigen Anwendungen (Mail, Outlook (express) und Thunderbird als Beispiele) enthalten sind. Mit schicke ich oft einen Hinweis mit, dass die E-Mail signiert ist und auf Wunsch auch verschlüsselt werden kann, um Neugier zu wecken was das denn ist und wozu gut und so weiter.

Um jemanden an das Thema heran zu führen finde ich S/MIME ebenfalls geeigneter.

Ich glaube, ich werde am WE das einrichten, genau mitschreiben samt Screenshots und dann per PDF meinen Leuten eine Anleitung zur Verfügung stellen.

Anleitungen gibt es im Netz zu Hauf, da brauchst Du im Prinzip nichts eigenes zu erstellen.

Nachtrag:
3 Seiten, die ich auf die Schnelle fand:
Für den Mac:
http://www.apfelwiki.de/Main/E-Mail-ZertifikateInMailVerwenden
Auch für Windows und Linux:
http://www.thunderbird-mail.de/wiki/Mailverschlüsselung_mit_S/MIME
Allgemein mit vielen weiteren Links:
http://www.swisslife-weboffice.de/funktionen/toolbar/hilfe/emailencryption.html

 

[gbyte]

Angesichts des Erstellungsdatum diesen Threads, würde ich es begrüßen wenn eine neue Umfrage für dieses Jahr gestartet wird. Mich würde interessieren ob eventuell eine höhere Beteiligung an dieser stattfindet und wie die Lager nun nach einem weiteren Jahr aufgeteilt sind.

Ich persönlich habe beide Versionen (S/MIME und GnuPG/PGP) lange Zeit eingesetzt und getestet, im privaten so wie im geschäftlichen Umfeld. Für Menschen die dieses Thema mit einem Schmunzeln abtun und eine gewisse Paranoia dahinter vermuten, da sie ja nichts zu verbergen hätten, sind beide Versionen schon "zu viel" um sich darüber zu informieren. Auf der geschäftlichen Ebene ist es dann doch S/MIME, welches einen höheren Anteil hält, besonders in militärischen Einrichtungen.

Mein Favorit ist jedoch GnuPG geworden und es ist auch das momentan einzige Signatur-/Verschlüsselungs-Verfahren das ich privat und firmenweit einsetze.

Gruß,

GByte