Normales Thema Public-Key EMail-Verschlüsselung (Gelesen: 4.949 mal)
doppelstern
Ex-Mitglied


Public-Key EMail-Verschlüsselung
19.06.07 um 01:25:33
Beitrag drucken Beitrag drucken  
EMail-Verschlüsselung

EMails werden im Klartext, das heisst unverschlüsselt übertragen.
Personen, die sich illegal Zugang auf einen der Mailserver verschaffen
oder deine EMails auf dem Transportweg zum Empfänger abfangen,
können also mitlesen und deine EMails natürlich auch manipulieren.
Verschlüssele deshalb deine EMails, damit sie nur für die Personen
lesbar sind, für die sie auch bestimmt sind.


Mit dieser FAQ möchte ich dir die sicherste Methode der EMailverschlüsselung
via "Public-Key" nahelegen, und dir bei der Installation der dafür benötigten Freeware helfen.
In dem zur FAQ gehörigen Diskussions-Thread kannst du dich zu dieser Thematik äussern oder Fragen stellen.
Bitte lese vor einer Installation auch die Beiträge dieses Diskussions-Threads.
Den Link dazu findest du am Ende dieses Beitrags.

                                                                                                                                                                       

Für die kostenlose EMailverschlüsselung gibt es ein als Freeware erhältliches "OpenSource-Programmpaket"
(Gpg4win 1.1.0) bei http://www.gpg4win.org/index-de.html
Die Mailtexte werden hierbei einfach über ein im Systray befindliches Programm (WinPT)
in die Zwischenablage kopiert und dort Ver- oder Entschlüsselt.

Die als pdf-Dateien beiliegenden Anleitungen der deutschsprachigen Programme
sind recht ausführlich und sehr verständlich formuliert, so das sich auch Neulinge der Cryptografie
schnell zurechtfinden.

Leider fehlen jedoch auf der obigen Seite die Informationen darüber, wie sich das heruntergeladene
Programmpaket auf die Checksumme hin prüfen lässt - was in diesem Fall besonders wichtig ist,
da es sich hier um eine Sicherheitssoftware handelt!
Darum beschreibe ich zunächst einmal die genaue Vorgehensweise zur überprüfung der Checksumme.

Zunächst lädst du dir das aktuellste Programmpaket - derzeit ist das "gpg4win-1.1.0.exe" von dieser Seite herunter:
http://www.gpg4win.org/index-de.html
Sollte der Download zu lange dauern oder stocken, dann benutze den von gpg4win.org empfohlenen Alternativ-Link:
http://ftp.no.gpg4win.org/pub/gpg4win/
Hier bis etwa zur Mitte runterscrollen, bis zum Link: "gpg4win-1.1.0.exe  24-May-2007 22:04  7.9M".

Damit möglichst sichergestellt ist, das die eben heruntergeladene Datei fehlerfrei ist und nicht manipuliert wurde,
sollte die Checksumme der Datei überprüft werden. Hierfür benötigst du ein kleines Programm mit dem Namen: "sha1sum.exe".
Dieses Programm befindet sich in der gezippten Datei "md5-shasum.zip"
und lässt sich hier herunterladen: http://hp.kairaven.de/pgp/gpg/gpg3.html

Nachträglicher Hinweis:
Mit speziellen Programmen geht das überprüfen der Checksumme auch deutlich einfacher
als wie folgt beschrieben. Bitte lese dbzgl. die Beiträge im Diskussions-Thread.

Um nun die Checksumme zu prüfen müssen sich beide Programme ("gpg4win-1.1.0.exe" und "sha1sum.exe")
in ein und den selben Ordner befinden! Entpacke also die "md5-shasum.zip" und kopiere alle Programme in
ein neu erstelltes Verzeichnis mit dem Namen "NeuerOrdner".
Wichtig: Zwischen "Neuer" und "Ordner" darf sich kein Leerzeichen befinden!
Diesen Ordner kopierst du nun nach C.

Zur Prüfung der Checksumme startest du nun die Eingabekonsole.
Klicke dazu auf "Start" und dann auf "Ausführen...".
Tippe in die Zeile "cmd" ein (ohne Anführungsstriche) und klicke auf "OK".
Es öffnet sich die Eingabekonsole (statt Klaus, steht bei dir natürlich z.B. dein Name)



Hier nun exakt folgendes eintippen (beachte auch die Leerzeichen. Die Anführungsstriche natürlich weglassen,
und falls du dich vertippt hast, benutze die "Backward-Taste" um jeweils ein Zeichen zurück zu steppen.)
Gebe ein:

"CD C:\NeuerOrdner"



und drücke die Enter-Taste.
Es sollte nun eine Zeile tiefer folgendes angezeigt werden:



Sollte nun nicht wie oben im Bild zu sehen "C:\NeuerOrdner>" in der nachsten Zeile angezeigt werden
sondern eine Fehlermeldung, dann wiederhole die Eingabe.  

Jetzt das Kommando zum ausführen der "sha1sum.exe" eingeben, welche die Checksumme von "gpg4win-1.1.0.exe" ermittelt.
Tippe also noch folgendes ein:

"sha1sum.exe gpg4win-1.1.0.exe"



und drücke die Enter-Taste.
Es solllte nun wie im nächsten Bild zu sehen, die Checksumme hinter dem Gleichheitszeichen angezeigt werden.



Diese lange Zeichenfolge vergleichst du nun mit der Zeichenfolge
auf dieser Seite: http://www.gpg4win.org/package-integrity-de.html
(gleich oben, der erste Eintrag unter: "SHA1 Prüfsummen" - gpg4win-1.1.0.exe).

Sind sie identisch ist alles ok, wenn nicht ist entweder beim Download was schiefgelaufen oder die Datei wurde möglicherweise
manipuliert. Versuche in diesem Fall einen erneuten Download der "gpg4win-1.1.0.exe".
  
Zum Seitenanfang
 
IP gespeichert
 
doppelstern
Ex-Mitglied


Re: Public-Key EMail-Verschlüsselung
Antwort #1 - 23.06.07 um 14:59:29
Beitrag drucken Beitrag drucken  
Wenn du "Mozilla Thunderbird" oder "Microsoft Outlook" benutzt, lässt sich der Schritt über die Zwischenablage umgehen
indem du dir ein Plugin installierst. So lassen sich die Ver- und Entlschlüsselungen über Buttons im Mailprogramm starten.
Leider treten bei dem kostenlosen Plugin (Enigmail OpenPGP) für Thunderbird derzeit gelegentlich Fehler in der
Schlüsselverwaltung auf, wenn es in Kombination mit dem Programmpaket "Gpg4win 1.1.0" eingesetzt wird.

Aus diesem Grund ist es ratsam, sich vorerst nur das Verschlüsselungsprogramm "GnuPG 1.4.8" zu installieren,
"GnuPG 1.4.8" im Verbund mit dem Plugin "Enigmail OpenPGP" funktioniert problemlos.

Das Verschlüsselungsprogramm:"GnuPG 1.4.8"
ist zu bekommen auf dieser Seite: http://gnupg.org/download/index.de.html
Hier bis zum Abschnitt: Binärdateien (Executables) und den Zeilen:
Es gibt auch eine Version für MS-Windows. Das entsprechende Kommandozeilen-Werkzeug kommt mit einem grafischen Installer.
- GnuPG 1.4.8 kompiliert für Microsoft Windows.

scrollen. Der Download erfolgt dort auf der rechten Seite über den Link: FTP.

Das Plugin: "Enigmail, Version 0.95.1.20070607" (in Deutsch) für Mozilla Thunderbird
ist zu bekommen auf dieser Seite: http://www.erweiterungen.de/detail/Enigmail/
(der Download befindet sich gleich auf der rechten Seite.  Für die Thunderbird-Version 2.0.0 oder höher ist es der mittlere Link.)

Als erstes muss "GnuPG 1.4.8" installiert werden.
Einfach auf weiter... weiter, und fertig.

Das Plugin für Thunderbird wird über "Extras > Add-ons..." installiert.
Kopiere das heruntergeladene Plugin (Enigmail_0.95.1_tb_sm_de.xpi) in das Thunderbird Hauptverzeichnis.
Nun über "Extras > Add-ons..." installieren.

Nach der Installation des Plugins klickst du auf "Mail Verfassen" und es öffnet sich der "OpenPGP-Assistent",
welcher dich durch die Grundeinstellungen führt. Hier einfach alles so belassen wie vorgegeben und auf "Weiter" klicken.
Als vorletzten Schritt der Assistentenführung wirst du noch nach deiner Passphrase gefragt. Hier tippst du dein Passwortsatz ein.
Da du mit dem Programm sowieso noch in der Testphase bist reicht es zunächst aus, hier nur ein kurzes Wort einzugeben.
Ganz zum Schluss wirst du noch gefragt, ob du eine Sicherheitskopie (Widerrufungszertifikat) speichern möchtest.
Dies kannst du zunächst (wegen der Testphase) verneinen.
Alle Einstellungen werden später nach der Testphase sowieso erneuert.


An dieser Stelle gibt es nun noch ein kleines Problem:

Zwar gibt es zwei schöne und ausführliche Handbücher
"Gpg4win für Anfänger" und "Gpg4win für Durchblicker" die alles ganz toll erklären,
jedoch sind diese mehr oder weniger auf das Programmpaket "Gpg4win 1.1.0" zugeschnitten.
Da wir hier aber nur ein Programm und das PlugIn installiert haben, wird das lesen und befolgen
der in den Hanbüchern stehenden chronologischen Informationen wohl etwas schwieriger sein.

Ich bin nun so vorgegangen, und habe mir zunächst nur das Programmpaket "Gpg4win 1.1.0" installiert.
Dazu habe ich die beiliegenden die Handbücher durchgearbeitet und konnte gleich alles in der Praxis ausprobieren.
Auf diese Weise kapiert man alles ziemlich flott.

Danach habe ich "Gpg4win 1.1.0" wieder deinstalliert, bzw. mein Image zurückgespielt,
und mir nur das oben erwähnte Programm "GnuPG 1.4.8" und das Thunderbird-Plugin "Enigmail, Version 0.95.1.20070607" installiert.
Die Installation, Konfiguration und Bedienung war nun aufgrund des zuvor gelernten sehr einfach.

Zwar könnte ich jetzt theoretisch noch auf die Bedienung im Detail eingehen, aber aufgrund der
existierenden Handbücher in dem zugleich auch noch das nötige Grundwissen vermittelt wird,
halte ich es für weniger angebracht, hier doppelt zu moppeln - zumal es verständlicher als in diesen
beiden Handbüchern wohl kaum zu machen ist.

Übrigens lässt sich bei dem Verschlüsselungs-Komplettpaket "Gpg4win 1.1.0" nur eine maximale Schlüssellänge
von 2048 Bit einstellen, während bei der anderen Variante mit dem Thunderbird-Plungin und "GnuPG 1.4.8",
eine Schlüssellänge von bis zu 4096 Bit einstellbar ist.

Was es noch zu bedenken gibt:
Bzgl. der Veröffentlichung von "Public-Keys" auf sog. "Key-Servern".
Einmal auf "Key-Servern" veröffentlichte (und von diesen weitergeleitete) "Public-Keys" lassen sich dort nicht wieder löschen!
Ein gefundenes Fressen für Spammer, da mit dem "Public-Key" auch immer die eigene eMail-Adresse öffentlich gemacht wird.
Es sollte hierfür also am besten vorher ein separates und jederzeit verzichtbares neues E-Mailkonto eingerichtet werden.

Und da es hier gerade um das verschlüsseln von Texten geht:
Auch private Chats die über Messenger geführt werden lassen sich verschlüsseln.
Hierfür eignet sich die Freeware "Simp Lite", downloadbar von der Herstellerseite: http://www.secway.fr/  
"Simp Lite" wird für folgende Messenger angeboten: MSN, AIM, ICQ , Yahoo, Trillian und Jabber/Google-Talk.  
Verwendet wird hierbei die RSA-Key-Verschlüsselung mit einer Schlüssellänge von wahlweise 1024 oder 2048 Bit.  
Damit das ganze funktioniert müssen beide Gesprächsteilnehmer "Simp Lite" installiert haben.  
Chats werden dabei nach wie vor und wie gewohnt, über die Fenster der jeweiligen Messenger geführt.  
Die Daten laufen jedoch im Hintergrund über "Simp Lite" und werden dabei verschlüsselt.  
"Simp Lite" erkennt automatisch, wenn der andere Gesprächsteilnehmer über kein "Simp Lite" verfügt,  
und sendet die Daten dann ganz normal, so das man auf jedem Fall verstanden wird.  
 
Für den Multi-Messenger "Trillian" gibt es keinen separaten Download.  
Es muss "Simp Lite for ICQ/AIM" heruntergeladen werden. In der Configuration lässt sich dann u.A. auch Trillian auswählen.  
"Simp Lite" sendet die Daten übrigens nicht über einen speziellen Server.
  
Zum Seitenanfang
 
IP gespeichert
 
doppelstern
Ex-Mitglied


Re: Public-Key EMail-Verschlüsselung
Antwort #2 - 23.06.07 um 15:03:30
Beitrag drucken Beitrag drucken  
  
Zum Seitenanfang
 
IP gespeichert
 
 
  « Übersicht ‹ Forum Nach oben