Nachdem ich ja schon in einem Screencast Verschlüsselung in Kubuntu vorgestellt habe, möchte ich mich in diesem Blog-Eintrag der Verschlüsselung unter Windows widmen. Da es bedeutend schwieriger mit Windows ist, hab ich auf einen Screencast verzichtet.
Warum überhaupt Verschlüsselung
Nun für Verschlüsselung gibt es viele gute Gründe. Der wichtigste ist meiner Meinung: “E-Mails sind wie Postkarten”. Man muss sich das klar machen: eine E-Mail wird nicht in einen verschlossenen Briefumschlag gesteckt und verschickt. Nein sie wird offen wie eine Postkarte verschickt. Das heißt so wie der Briefträger oder jeder, der die Postkarte beim Transport in die Finger bekommt, die Postkarte lesen kann, so kann auch jeder eine E-Mail lesen. Das bedeutet jedes Telekommunikationsunternehmen, jeder Provider, jeder Staat über deren Netze oder Server, die E-Mail gelangt, diese lesen. Gerade der Punkt Staat sollte einen hellhörig werden lassen, da dies auch sehr leicht Industriespionage erlaubt. Wie bei einer Postkarte sieht man auch nicht, ob und wer eine E-Mail heimlich mitgelesen hat. Daher: vertrauliche Information gehören NIEMALS in eine E-Mail!
Warum überhaupt Digitale Unterschriften?
Es gibt auch einen guten Grund Verschlüsselung zum digitalen Unterschreiben von E-Mails zu verwenden. Jeder dürfte es durch SPAM kennen: Absenderadresse einer E-Mail darf frei gewählt werden. Zum Beweis ein Auszug aus meinem Log-File (natürlich verbiete ich so etwas):
Dec 1 01:18:39 v32201 postfix/smtpd[3558]: NOQUEUE: reject: RCPT from unknown[122.169.46.58]: 554 5.7.1 <x@martin-graesslin.com>: Sender address rejected: Access denied; from=<x@martin-graesslin.com> to=<internet@martin-graesslin.com> proto=SMTP helo=<ABTS-mum-Dynamic-058.46.169.122.airtelbroadband.in>
Zur Erklärung: Hier versucht jemand mir eine E-Mail von der Adresse x@martin-graesslin.com zu senden. Die Domain gehört mir, also dürfte eigentlich nur ich so etwas machen. Daher verbiete ich es auch.
Nun ihr könntet nun denken, dass das so gut ist. Der Server blockt einen “illegalen” Zustellungsversuch. Aber sobald man an den Sicherheitsvorkehrungen vorbei ist, darf man machen was man will. So kann man durchaus zu Beginn in dem so genannten “Envelope” echte Adressen verwenden, in der eigentlichen E-Mail aber die gefälschten Adressen. Auf diese Art und Weise lassen sich auch große Provider wie Web.de oder GMX überlisten. Wer sich nicht auskennt, wird den Trick niemals bemerken.
Nun ihr könntet immer noch meinen, dass das alles Quatsch ist. Daher stellt euch folgendes vor: Deine Freundin bekommt eine E-Mail von dir, dass du mit ihr Schluss machst. Du hast die E-Mail aber nie geschrieben. Wie willst du ihr das noch erklären?
Digitale Unterschriften verhindern solche Probleme. Bei einer digitalen Unterschrift wird ein eindeutiger Wert der Nachricht errechnet und mit eurem privaten Schlüssel verschlüsselt und an die Nachricht angehängt. Der Empfänger kann den verschlüsselten Wert mit dem öffentlichen Schlüssel entschlüsseln und mit dem selbst errechneten Wert vergleichen. Stimmen die Werte überein, kann der Empfänger sich sicher sein, dass die Nachricht tatsächlich vom Absender stammt und nicht mehr während des Transports verändert wurde. Das alles macht natürlich das E-Mail Programm automatisch und ist wirklich simpel.
Und Windows beherrscht diese Technik nicht?
Doch natürlich beherrscht Windows diese Technik und bringt auch alles mit was man zum Verschlüsseln von E-Mails braucht. Auch Thunderbird bringt alles wichtige mit. Jedoch beherrschen eigentlich alle kommerzielle Produkte (ja ich sehe Mozilla Programme als kommerziell an) nur den Standard S/MIME. Dieser Standard verwendet die gleiche Technik wie SSL/TLS und kann daher als ausreichend sicher angesehen werden. Der Haken an S/MIME sind die so genannten Zertifikate. Eine Authority stellt einem ein Zertifikat aus, das man nun zum Unterschreiben und Verschlüsseln verwenden kann. Spielt man selber die Authority, sieht niemand das Zertifikat als vertrauenswürdig an. Nimmt man das Zertifikat einer anerkannten Authority (e.g. Verisign) muss man viel Geld bezahlen und Dritte hatten Zugang zu diesen sensiblen Daten, die die eigene Identität beweisen soll. Das man diesen Authorities nicht unbedingt trauen kann, zeigt diese kleine Geschichte (wer die Geschichte nicht glaubt, sollte mal in Windows unter “Nicht vertrauenswürdige Herausgeber” schauen). Microsoft ist übrigens der Meinung das wir ganz vielen Firmen vertrauen können (wahrscheinlich weil jemand ihnen Geld gezahlt hat). Die Liste kann man folgendermaßen abrufen:
- Outlook Express öffnen
- Extras->Optionen öffnen
- Reiter Sicherheit wählen
- Digitale IDs klicken
- Reiter Vertrauenswürdige Stammzertifizierungsstellen wählen
Und hier sieht man auch den ganzen Haken bei der Sache: eine Firma schreibt mir vor, wem ich vertrauen kann und wem nicht. Eigentlich will ich selber entscheiden wem ich vertrauen kann.
Wie sieht nun die Alternative aus?
Die Alternative ist OpenPGP. PGP steht für “Pretty Good Privacy”. Die Technik ist sehr ähnlich zu S/MIME, jedoch gibt es keine Authorities, die Zertifikate ausstellen. Jeder stellt sein Zertifikat selber aus. Das Vertrauen kommt hier aus einem Web of Trust. D.h. ich als Person A vertraue Person B, weil ich sie persönlich kenne. Wenn Person B Person C vertraut, kann ich Person C auch vertrauen, weil Person B sagt, dass er Person Cs Schlüssel sorgfältig geprüft habe und ich Person B vertraue. Diese Technik wir bei Linux sehr stark eingesetzt. So wird z.B. bei Ubuntu jedes Paket vor der Installation über den Schlüssel überprüft. Bei Windows wird dieses über S/MIME Zertifikate bei Windows-Updates gemacht.
Wie kann ich dies nun für meine E-Mails einsetzen?
Für Mozilla Thunderbird gibt es eine Erweiterung Enigmail, die es ermöglicht OpenPGP in Thunderbird zu verwenden. Die Erweiterung ist sehr vollständig. Man kann damit Schlüssel erzeugen, fremde Schlüssel importieren und verwalten, Mails signieren und verschlüsseln. Signaturen überprüfen und verschlüsselte E-Mails entschlüsseln. Ein komplettes Frontend für GnuPG. Übrigens GnuPG muss man sich auch noch installieren. Das sollte aber auch kein Problem sein, hier der Download-Link: ftp://ftp.gnupg.org/gcrypt/binary/gnupg-w32cli-1.4.7.exe
Ach macht euch das Leben einfacher und installiert euch auch das deutsche Language-Pack für Enigmail.
Ich möchte auch meinen Chat verschlüsseln!
Natürlich gilt für Chats das selbe wie für Mails. Mit Ausnahme von Skype und XMPP läuft die Kommunikation unverschlüsselt ab. Bei Skype weiß man nicht wer mitlesen darf, bei XMPP läuft die Verschlüsselung nur bis zum ersten Knotenpunkt garantiert verschlüsselt, vorausgesetzt man hat SSL/TLS aktiviert. Also besteht auch hier ein Bedarf der Ende-zu-Ende Verschlüsselung. Dafür gibt es etwas ganz tolles: Off the Record Messaging ICQ oder MSN Hotmail können das natürlich nicht. Aber es gibt einen hervorragenden Multi-Messenger Client aus dem GNOME Projekt, der auch unter Windows läuft: Pidgin. (Das erste mal, dass ich öffentlich eine Arbeit von GNOME lobe – als KDE Anhänger eine Rarität). Für Pidgin gibt es ein Plugin namens Pidgin-OTR. Mit diesem Plugin wird automatisch ein verschlüsselter Chat aufgebaut, sobald der Gesprächsteilnehmer ebenfalls OTR aktiviert hat. Meine Wenigkeit benutzt OTR. Natürlich müsste es auch irgendwie möglich sein die OpenPGP Zertifikate zu verwenden, aber da ich Pidgin nicht verwende, weiß ich nicht wie das geht.
Ich weiß der Artikel ist lang, aber ich hoffe, ich konnte jemanden dazu überreden, seine Sicherheit ein wenig zu erhöhen. Übrigens Pidgin nervt nicht mit Werbung und kann eigentlich alles was die kommerziellen Produkte auch können. Also werft die nervenden Programme über Bord 😉
