Verwendest Du eMail Verschlüsselung oder digitale Signaturen?

[philz]

Hab das gerade mit dem web.de Account ausprobiert und meinen Beitrag editiert.
Hat sich wohl gerade zeitlich überschnitten.

Wie kann ich denn meinen privaten Schlüssel meines Zertifikats aus dem Schlüsselbund sichern?

Außerdem ist mir aufgefallen, dass man wohl den heruntergeladenen Schlüssel aus dem Firefox löschen sollte, sonst könnte ja jeder, der kurzzeitig Zugriff auf den Rechner bzw. Firefox hat, diesen privaten Schlüssel entwenden.

 

[Nomen Nescio]

Für den Mac z.B. muss man sich die Version 1.4.6 von GnuPG selbst kompilieren, möchte man nicht eine Version kleiner als 1.4.6 benutzen, die wohl Sicherheitsmängel aufweist.
Gerade bei einem solchem Thema finde ich Einfachheit und Nachvollziehbarkeit unabdingbar, aber irgendwie scheint das niemand so richtig hinzubekommen. Oder wie seht ihr das?

Die Version 1.4.6 kann man bei Benjamin Donnachie herunterladen.

 

[Hilarious]

Hab das gerade mit dem web.de Account ausprobiert und meinen Beitrag editiert.
Hat sich wohl gerade zeitlich überschnitten.

Wie kann ich denn meinen privaten Schlüssel meines Zertifikats aus dem Schlüsselbund sichern?

Außerdem ist mir aufgefallen, dass man wohl den heruntergeladenen Schlüssel aus dem Firefox löschen sollte, sonst könnte ja jeder, der kurzzeitig Zugriff auf den Rechner bzw. Firefox hat, diesen privaten Schlüssel entwenden.

Zusätzlich zum Schlüsselbund hast Du natürlich jederzeit die Möglichkeit, bei Deiner CA (zum Beispiel thawte), einen neuen Schlüssel anzufordern und den alten zu widerrufen.

 

[philz]

Dann brauche ich nur noch ein paar Notare...

 

[Cyrics]

ich verwende keine Verschlüsselung, weil ich mich mit diesem Thema schlichtweg nicht beschäftigt habe.
Meine Post etc. ist eigentlich das Letzte, dass ich anfangen werde zu verschlüsseln, obwohl es recht sinnvoll wäre. Aber eure Postkarten und Briefe schreibt ihr ja auch nicht nach Dijkstra oder Engima-Chiffrierung.
Das der Staat alle unsere Mail filtert etc., ist genauso absurd. Ich spreche den staatlichen Behörden jegliche Kompetenz ab. Allein mit den Vorschlägen über den Bundes-Trojaner etc. haben sich diese "hochausgebildeten" Kriminialitätsbekämpfer etc. einmal mehr wieder lächerlich gemacht.

Vor wem sollte ich mich also schützen? Ich denke vor dem WebMail-Anbieter über den man verschickt, oder dem Typen, der am Exchange-Server sitzt.
Da ich mich gezielt bei dem Webmail-Anbieter angemeldet hab, zeigt zumindest mein Vertrauen in ihn. Sollte dieses mal erschüttert werden durch eine Meldung, dass Maiils vorsätzlich verändert wurden oder Inhalte an staatliche Behörden übermittelt wurden, dann haben sie mich das letzte mal gesehen und mein Heim-Server muss selbst dann als E-Mail-Server herhalten.

Ist das Rechtfertigung genug?
Man bedenke, dass es genug Statistiken gibt, die belegen, dass mit der versendeten Menge von Mails, aber auch Blog-Einträgen, Foren-Einträge etc. es einfach nicht möglich ist diese Fülle zu analysieren und auszuwerten.

PS: ich verwende eindeutig zu oft "etc.". Ich bitte um Nachsicht Ich werde mich bessern...

 

[Sigur]

ich benutze keiner verschlüsselung, weil ich keine ahnung davon habe.

wenn hier jemand mal ein nettes tutorial dafür schreiben könnte, würde ich meine mails eventuell auch verschlüsseln.

 

[Hilarious]

ich benutze keiner verschlüsselung, weil ich keine ahnung davon habe.

wenn hier jemand mal ein nettes tutorial dafür schreiben könnte, würde ich meine mails eventuell auch verschlüsseln.

Danke, Sigur, dass Du uns ganz bald mit einem von Dir erstellten How-To beglücken wirst; hier ein paar Links für Deine Recherche:

Links, die Google so hergibt:
Joar.com: Using encryption and digital signatures in Mail
MacDevcenter: How to Set Up Encrypted Mail on Mac OS X
Wikipedia: S/MIME
ix/Wirres.net: mails verschlüsseln

 

[Sigur]

Danke, Sigur, dass Du uns ganz bald mit einem von Dir erstellten How-To beglücken wirst; hier ein paar Links für Deine Recherche:

Links, die Google so hergibt:
Joar.com: Using encryption and digital signatures in Mail
MacDevcenter: How to Set Up Encrypted Mail on Mac OS X
Wikipedia: S/MIME
ix/Wirres.net: mails verschlüsseln

sry, aber ich sprech leider gar kein englisch, da verstehe ich nur bahnhoft, das muss wohl jemand anderes erledigen...

 

[Hilarious]

sry, aber ich sprech leider gar kein englisch, da verstehe ich nur bahnhoft, das muss wohl jemand anderes erledigen...

Faule Tomate! Der letzte Link bietet einen kurzen deutschen Text.

 

[Herr Sin]

Sollte dieses mal erschüttert werden durch eine Meldung, dass Maiils vorsätzlich verändert wurden oder Inhalte an staatliche Behörden übermittelt wurden ...

Ich habe mal neulich etwas vom ChaosComputerClub gehört (weiß aber echt nicht mehr welche Sendung oder Beitrag), wo es darum ging, dass an einer Uni zwei Studenten im Rahmen ihrer Diplomarbeit den Server manipuliert haben. Und zwar im Wissen ihres Professors. Es ging darum, wie die Studenten reagieren, wenn ihre Webseiten und Mails manipuliert werden. Sie haben über Monate (!) alle Webseiten, welche durch Uni-Rechner aufgerufen wurden manipuliert. Und zwar haben sie zB. "Gerhard Schröder" durch "Helmut Kohl" ersetzt. Oder andere lustigen Sachen. Zahlen verdreht, Wörter gelöscht/vertauscht, ... Es hat sich die ganze Zeit keiner (!) beschwert oder gemeldet.

Da kannst mal sehen, dass die Leute alles glauben, was sie auf ihrem Bildschirm (Mail, Webseiten, ...) sehen.

Ich hoffe, ich habe das so wiedergegeben, wie ich es in Erinnerung habe. Passend zum Thema gibt es auch das Chaosradio 111.

 

[MaChris]

Nachdem ich den Thread nun länger beobachtet habe, habe ich nun auch mein Voting abgegeben: Ich verwende (noch) keine eMail-Verschlüsselung.

Was mich bisher von einer eMail-Verschlüsselung abgehalten hat, waren häufig Fragen bei der praktischen Nutzung.

Zunächst steht doch da mal die Frage, welches Verfahren (X.509, S/Mime, PGP nebst dessen OpenSource-Ableger etc.) geeignet erscheint bzw. eine hohe Verbreitung und Akzeptanz hat. Wenn ich hier auf das falsche Verfahren setze, das nur eine geringe Verbreitung hat, werde ich die Verschlüsselung meiner eMails irgendwann wieder sein lassen, wenn ich merke, dass ich bzw. meine Gegenüber damit nicht zurecht kommen.

Mit der Auswahl eines Verfahrens ist häufig auch die Wahl betreffend der Software gefallen. Gegebenenfalls gibt es je nach gewähltem Verfahren eine kostenpflichtige Lösung und evtl. sogar noch eine OpenSource-Variante. Welche davon sollte man nehmen? Es gibt Gründe, die eine Wahl auf die kostenpflichtige Software fallen lassen und genauso gute Gründe für die freie Version. Letztlich wird dann entweder der Geldbeutel oder eine geworfene Münze entscheiden.

Ist die Frage nach dem Verfahren und der Software gefallen, steht man mal mehr, mal weniger vor dem Problem der Einrichtung, der Schlüsselerzeugung, Austausch, Zertifizierung etc. Die nächste Hürde, wenngleich ebenfalls überwindbar.

Nach dem ersten Stolz, es endlich geschafft zu haben, folgt eine gewisse Ernüchterung. Aus dem Freundes-/Bekannten-/Kollegenkreis interessiert sich kaum einer für eMail-Verschlüsselung. Die eigene Überzeugungsarbeit fruchtet nicht so recht und man steht wieder alleine da. Man hat zwar mit dem einen oder anderen aus einem Forum oder Webseite seinen individuellen Proof-of-Concept gemacht und man weiß nun, dass und wie es funktioniert, aber keiner macht mit.

Hinzu kommt der praktische Einsatz im täglichen Leben. Wie bindet sich die Software in das eigene Betriebssystem, den favorisierten eMail-Client ein und wie werden die verschlüsselten eMails gespeichert? Werden die eMails nur verschlüsselt gespeichert (eine separate unverschlüsselte Archivierung macht keinen Sinn, denn da kann man die Verschlüsselung von vornherein lassen), hat man wiederum das Problem des Aufwands, eine gesuchte eMail zu finden (Spotlight findet die [verschlüsselten] Inhalte ja nicht). Dann macht man unzählige, in Frage kommende Mails auf, stellt fest, das war es nicht und sucht weiter und zweifelt womöglich seine Entscheidung, eMails zu verschlüsseln, erstmals an.

Ferner stellt sich die Frage, was mit den verschlüsselten Daten / eMails passiert, wenn man die Software aktualisiert oder auf eine andere Software umsattelt oder gar das Verfahren wechselt. Ist man da nicht in einer gewissen Sackgasse? Muss man nicht die alte Software aufheben, weil man alte eMails mit einer anderen Software verschlüsselt hat, welche die neue Software nicht mehr öffnen kann?

Ich möchte nicht falsch verstanden werden. Angesichts der öffentlichen Diskussion über Bundestrojaner, Onlinedurchsuchungen, dem Recht auf informationelle Selbstbestimmung etc. sehe ich eine Notwendigkeit, sich damit auseinander zu setzen und mein Interesse an eMail-Verschlüsselung wurde auch nicht erst durch die jüngsten Ereignisse geweckt.

Aber mich - evtl. auch andere in diesem sehr geschätzten Forum - interessiert, wie die kleineren und größeren Hürden im täglichen Einsatz der eMail-Verschlüsselung gelöst wurden.

Ich bin auf Eure Meinungen und Rückmeldungen sehr gespannt und freue mich darauf.

 

[Philipp007]

Es wäre sehr schön, wenn Apple eine Verschlüsselungsfunktion für Mail in Leopard implementieren würden.
Momentan werde ich mir keine Mail-Verschlüsselung oder so was zulegen, da es sehr benutzerunfreundlich ist.
Was glaubt ihr, was ist die einfachste Methode um etwas zu verschlüsseln, ist es wirklich diese public und private key Methode?

 

[kasei]

Es wäre sehr schön, wenn Apple eine Verschlüsselungsfunktion für Mail in Leopard implementieren würden.
Momentan werde ich mir keine Mail-Verschlüsselung oder so was zulegen, da es sehr benutzerunfreundlich ist.
Was glaubt ihr, was ist die einfachste Methode um etwas zu verschlüsseln, ist es wirklich diese public und private key Methode?

Nein, S/MIME, und Apple Mail unterstützt S/MIME doch schon in der aktuellen Version...

Kasei

 

[kasei]

Werden die eMails nur verschlüsselt gespeichert (eine separate unverschlüsselte Archivierung macht keinen Sinn, denn da kann man die Verschlüsselung von vornherein lassen)

Verschlüsselung dient der Schutzes der E-Mail als Mitteilung während dem Transport von Absender zu Empfänger (die übrigen E-Mail-Inhalte können sowieso nicht verschlüsselt werden). Insofern spricht nichts dagegen, verschlüsselt gesendete/empfange E-Mail im Klartext zu speichern, denn dies fällt sowieso in den Bereich des allgemeinen Schutzes des eigenen Systems. Und was man im Klartext speichert, kann man später auch wieder lesen, während man ein Passwort, einen Schlüssel oder ein Zertifikat vergisst/verliert/usw.

Kasei

 

[pepi]

@skueper
Ich glaube, daß es für Dich aber sehr wohl interessant ist sobald Deine eMails von anderen manipuliert werden und weder Du noch der Empfänger dies feststellen können. Wenn aus "Sie haben den Job, kommen Sie am MO um 9 Uhr zu uns" ein "Danke für Ihre Bewerbung, die Stelle ist bereits besetzt" wird hat dies vielleicht weitreichende Folgen. Umgekehrt könnte das noch schlimmer sein, wenn aufgrund einer manipulierten Nachricht jemand seinen Job verliert oder gar strafrechtliche Konsequenzen drohen. Bei einem handgeschriebenen Brief ist eine Manipulation zwar nicht ausgeschlossen, aber doch schwieriger zu bewerkstelligen und eher einfach zu entdecken. Ein paar Buchstaben an neuralgischer Stelle in einem eMail ausgebessert... fällt keine auf, es sei denn er verwendet eine digitale Signatur und/oder Verschlüsselung.

@Philipp007,
Apples Mail.app unterstützt S/MIME Verschlüsselung bereits seit Mac OS X 10.3 (Panther), also seit 23. Oktober 2003.

@kasei & Philipp007
Bei S/MIME handelt es sich in der Tat um sog. "Public Key Kryptographie" wo also ein Schlüsselpärchen verwendet wird.



Zum Thema wie man seine Freunde und Bekannten oder auch Arbeitskollegen dazu bewegen kann sich dafür zu interessieren ist wie so oft mit gutem Beispiel voranzugehen. Ich signiere so gut wie alle meine eMails digital. Das bedeutet, daß meine Empfänger auch immer sehen, daß meine Mails signiert wurden. Mail.app zeigt dies beispielsweise sehr hübsch an. Auch andere Mailprogramme tun das.
Falls jemand tatsächlich mit einem uralten Mailprogramm unterwegs ist welches das nicht kann, sieht man dort zumindest noch das .p7s Attachment nach dem dann auch potentiell gefragt wird.
Ich werde inzwischen häufiger danach gefragt wie man denn so eine Signatur in sein Mail bekommen kann so wie das bei meinen Mails immer drinnen ist. Man kann also durchaus Interesse wecken, so wie das auch in diesem Thread der Fall ist.

Ich gebe aber durchaus zu, daß es noch viel einfacher werden muß so ein Schlüsselpärchen und ein Zertifikat zu bekommen und einzusetzen. Die Handhabung am Mac ist ja im realen Betrieb beispiellos einfach und praktisch.
Gruß Pepi

 

[kasei]

@kasei & Philipp007
Bei S/MIME handelt es sich in der Tat um sog. "Public Key Kryptographie" wo also ein Schlüsselpärchen verwendet wird.

Ja, das stimmt natürlich, allerdings muss man das Prinzip mit den beiden Schlüsseln für die Nutzung von S/MIME nicht verstehen. Daran scheitern bei OpenPGP ja leider schon viele…

Kasei

 

[kasei]

P.S.: Pepi, diese Notargeschichte kann ich noch nicht. Gibt es eine Möglichkeit, Notare in der eigenen Umgebung zu finden, damit einem diese identifizieren können?

Kasei

 

[Nomen Nescio]

P.S.: Pepi, diese Notargeschichte kann ich noch nicht. Gibt es eine Möglichkeit, Notare in der eigenen Umgebung zu finden, damit einem diese identifizieren können?

Die "Notare" sind einfach Thawtes Modell des Web-of-trust.
https://www.thawte.com/cgi/personal/wot/directory.exe?node=1

CAcert.org funktioniert ebenfalls nach dem System der Punktevergabe.

 

[kasei]

Die "Notare" sind einfach Thawtes Modell des Web-of-trust.
https://www.thawte.com/cgi/personal/wot/directory.exe?node=1

CAcert.org funktioniert ebenfalls nach dem System der Punktevergabe.

Ja, die das Modell von Thawte funktioniert, weiss ich mittlerweile, aber wie finde ich Notare, die mich identifizieren können?

CAcert.org kann ich nicht empfehlen, da diese CA häufig nicht anerkannt wird und man in der Folge Fehlermeldungen wegklicken muss.

Kasei

 

[Apfel-Stefan]

Ich weiß gar nicht genau wie das geht mit dem Ver- und Entschlüsseln! Sonst bin ich echt vorbildlich was IT- Sicherheit angeht!