Emails und Privatsphäre

Hallo!
Ich habe krankheitsbedingt im Moment Zeit, mich mit dem Computer zu
beschäftigen und mir ist bei der Lektüre verschiedener Seiten bewußt
geworden, wie wenig privat so eine email ist, wenn sie durchs Netz
geschoben wird. Im Grunde ist eine Postkarte geheim dagegen!
Prinzipiell hat man zwar nichts zu verbergen, aber so ganz ohne
Privatsphäre...

Deshalb habe ich mir jetzt OpenPGP (GPG, Verschlüsselungsprogramm) als
Erweiterung für Thunderbird (das beste Mail-Programm!!) installiert und
möchte auch andere zur Benutzung anregen. Im Grunde kein Problem, wenn man's verstanden hat.

Das Prinzip ist einfach und schon seit den Anfängen von Pretty Good
Privacy (ist nicht das selbe wie OpenPGP!) vielen bekannt: man erstellt
einen Schlüssel (öffentlich), den alle bekommen, um Nachrichten für
einen zu verschlüsseln. Mit diesem öffentlichen Schlüssel kann man die
Nachricht aber nicht mehr ENTschlüsseln. Dafür hat der "Herausgeber" den
passenden privaten Teil des Schlüssels, der gleichzeitig erstellt, aber
nicht weitergegeben wird. So ist gewährleistet, dass nur der gewünschte
Empfänger die Nachricht lesen kann. Der öffentliche Schlüssel wird dann
noch auf einen Schlüssel-Server hinterlegt, so dass jeder, der den
passenden öffentlichen Schlüssel zu einer Adresse sucht, ihn dort finden
kann (kann die Software).

Gleichzeitig kann man seiner Nachricht mit seinem privaten Schlüssel
eine einmalige Signatur (digitale Unterschrift) verpassen, so dass der
Empfänger (mit Hilfe des öffentlichen Schlüssels) sicher sein kann, dass
die Nachricht auch tatsächlich von der entsprechenden Person stammt.
Damit ist auch klar, dass dieses System davon lebt, dass jeder sich ein
Schlüsselpaar erstellt (oder auch mehrere!, z.B. für verschiedene
Adressen)und weitergibt.

Die Sicherheit dieser Schlüssel lebt von der Garantie, dass ich auch
wirklich der tatsächliche Herausgeber bin, deshalb sollte man Schlüssel,
denen man absolut vertraut (und nur solche!) mit seinem eigenen
signieren, um anderen die Einschätzung zu erleichtern. Am besten
übergibt man den ersten Schlüssel persönlich... (Paranoia lässt grüssen!)
Einführung und Anleitungen unter www.equipmente.de
Mein öffentlicher Schlüssel befindet sich schon auf den Key-Servern...

Gruß, T. Keller

Hallo!
Naja, der begrenzende Faktor ist ganz offensichtlich wirklich die Macht der Gewohnheit, bzw. die Bequemlichkeit der Anwender. Man muss eben viel Überzeugungsarbeit in seinem kommunikativen Umfeld leisten. Ehrlich gesagt fürchte ich, dass es genau daran auch bei mir scheitern wird
Die Tatsache, dass es doch ein paar Tage gedauert hat, bis sich jemand für den Thread interessiert, spricht auch dafür...

Kurzversion zu den vielen Schlüsseln:
A: öffentlicher Schlüssel
B: privater Schlüssel

Die Verschlüsselungs-Software erzeugt beide in einem Arbeitsgang.
Schlüssel A ist für alle, die einem etwas codiertes zukommen lassen wollen. Das geht mit jeglicher Art von Daten, eben auch für Emails. Damit kann man nur verschlüsseln, aber nichts entschlüsseln. Dieser Schlüssel wird auf einem der öffentlichen Key-Server hinterlegt, die jedem zugänglich sind.

Schlüssel B wird niemandem weitergegeben, da man damit (und der Passphrase) alles entschlüsseln kann, was mit A verschlüsselt wurde.

Eine weitere Funktion ist die digitale Unterschrift eines Dokuments. Diese geht wiederum nur mit B!
Jeder, der von mir eine Nachricht bekommt, kann so mit Hilfe von A überprüfen ob die Nachricht auch von mir "unterschrieben" wurde. Dafür muss die Nachricht nicht verschlüsselt werden. Sie bekommt nur eine Signatur.

Ich glaube, das waren doch schon wieder ziemlich viele Schlüssel...

Grundsätzlich denke ich, die Menschen würden sofort anfangen, diese Möglichkeit zu nutzen, wenn jedem klar wäre, dass alles, auch jede Datei, die ich per email versende, für jeden Interessierten zugänglich ist. Aber es braucht eben für alles, was (wenn auch nur wenig) mehr Aufwand darstellt, einen gewissen Leidens- oder Handlungsdruck...

Gruß, T.K.

Zitat

heißt daß, daß ich meine Mails nur online lesen kann, weil sonst der Ent-Schlüssel fehlt?

Nein, denn den ENT-Schlüssel (privater Schlüssel) hast NUR Du in Deinem Schlüssel-Verzeichnis!

Du solltest dem Schlüssel eine existierende Emai (die mit dr Du Ihn zu benutzen vorhast) zuordnen, damit derjenige, der ihn sich vom Server holt weiß wonach er suchen soll. Darüber hinaus gibt es Menschen, die mehrere Schlüssel für mehrere Adressen haben, etc. ...

Zitat

Den Sinn einer digitalen Signatur verstehe ich zwar, aber für den Praxisgebrauch ist das ziemlich langweilig - ich kann nicht feststellen, ob meine E-Mail-Partner, denen ich sensible Mails schicken will (Warenbestellungen o.ä.), auch PGP benutzen.

Genau da liegt das oben schon angesprochene Problem. Wobei Du jemandem, der keinen Schlüssel hat logischerweise auch nichts verschlüsseltes schicken kannst (...kann es sein, dass Du das verdreht hast? )

Toem:
Die bereits genannten Stolpersteine / Schwierigkeiten sind natürlich noch ein echtes Handicap, geht mir ähnlich (Mix aus allen Varianten der Email-Abfrage). Ich denke, über kurz oder lang wird sich jemand der Integration in die Software auf dem Palm annehmen. Aber die Web-Frontends der Email-Provider sind da natürlich etwas schwieriger. Eine sichere und halbwegs unkomplizierte Lösung sehe ich noch nicht (wo lege ich z.B. meinen privaten Schlüssel sicher ab?).

Gruß, T.K.