Grundsätze zur E-Mail Verschlüsselung

Reguläre Email and Privatsphäre

Wird eine unverschlüsselte Email verschickt ist sein Inhalt für jeden Sichtbar. Die E-Mail ist dann wie eine Postkarte: jeder der Zugriff aus diese hat kann sie Lesen.

Um den Text unleserlich zu machen müsst ihr ihn Verschlüsseln. Nur der gewollte Empfänger wird in der Lage sein ihn entschlüsseln, alle anderen sehen nur Kauderwelsch.

Verschlüsselung mit einem öffentlichen Schlüssel ist ein ganz spezieller Fall. Die Funktionsweise ist die Kombination von 2 Schlüsseln:

Die beiden bilden ein Schlüsselpaar.

Der Private befindet sich versteckt auf eurem Computer und dient der Verschlüsselung. Der Öffentliche hingegen, ist zum Entschlüsseln und für jeden der euch selbst eine Verschlüsselte Mail senden möchte.

E-Mails werden mit dem öffentlichen Schlüssel versendet

Das Programm des Absenders benutzt euren öffentlichen Schlüssel in Kombination mit dem Privaten des Absenders um diese zu Verschlüsseln.

Verschlüsselte Mails empfangen

Erhaltet ihr eine verschlüsselte Nachricht müsst ihr sie zunächst Entschlüsseln. Das Verschlüsseln einer Nachricht mit dem Öffentlichen funktioniert nur dann wenn man im Besitz des richtigen Privaten ist. Deswegen ist es wichtig den Privaten Schlüssel versteckt bei sich zu behalten um sicher zu gehen dass er nicht in falsche Hände gerät (oder irgendwelchen anderen ausser den eigenen).

Der öffentliche Schlüssel muss dem richtigen Empfänger gehören

Ein kritischer Punkt mit dem Öffentlichen zu Verschlüsseln ist die Zuweisung des Schlüssels.

Die Verschlüsselung von Mails mit dem Öffentlichen ist nur dann wirklich sicher wenn der Absender der Verschlüsselten Nachricht sicher sein dann dass der Öffentliche dem richtigen Empfänger zugewiesen ist. Dritte könnten einen öffentlichen Schlüssel mit dem Namen des Empfängers erstellen sie dem Absender geben, der den Schlüssel verwendet, um wichtige Informationen in verschlüsselter Form zu senden. Die verschlüsselte Nachricht somit wieder abgefangen werden, und da sie mit ihrem öffentlichen Schlüssel erzeugt wurde, diese ohne Probleme mit ihrem Privaten Schlüssel wieder zu entschlüsseln und die wichtigen Informationen preis geben.

Deshalb ist es zwingend erforderlich, dass ein öffentlicher Schlüssel entweder an Dich persönlich gegeben oder von einer Zertifizierungsstelle zugelassen wird.(Das CA-Modell ist unbrauchbar für diesen Zweck.)

Netz des Vertrauens

Das 'Web of Trust' Konzept ist vom PGP Entwickler Phil Zimmermann im Jahr 1992 in der Anleitung für die PGP Version 2.0:

Im Laufe der Zeit werden sich Schlüssel von anderen die ihr als Vertrauenswürdig haltet ansammeln. Jeder wählt diejenigen selbst aus, denen er Vertrauen möchte. Nach und nach sammeln sich viele Schlüssel an und werden verteilt, erhalten mehrere Zertifikate auf ihren Schlüssel etc. Dadurch entsteht ein Dezentrales Fehler-Tolerantes Netz in dem viele Öffentliche Schlüssel vertrauenswürdig sind.

Für weitere Informationen über Web of Trust, bei Problemen oder wie man eine solches aufbauen kann unter http://www.cryptnet.net/fdp/crypto/keysigning_party/en/keysigning_party.html

Signieren von vertrauenswürdigen Kontakten

Wenn öffentliche Schlüssel mit vertrauten Personen getauscht werden, könnt ihr ganz Sicher sein mit wem ihr es zu tun habt. Zum 'Signieren' (Unterzeichnen) von anderen Schlüsseln wird der eigene Schlüssel verwendet. Dies Hilft dabei, das Netz des Vertrauens aufzubauen und beseitigt Probleme von 'Mann in der Mitte' Zugriffen oder das Abfangen und Entschlüsseln der Nachrichten durch Dritte.

Software Lösungen

PGP ist das Original Verschlüsselungs Paket. PGP steht für Pretty Good Privacy. PGP ist ein Privates Unternehmen das zu Symantec gehört und ist ein Produkt dass durch Beiträge finanziert wird. Die kostenlose Version davon ist GPG (GnuPrivacyGuard), und ist für die meisten Betriebssysteme verfügbar. Beide basieren auf dem OpenPGP Standard und sind Kompatibel.

Gnu Privacy Guard

GnuPG ist das GNU Projekt, die komplette und freie Implementierung des OpenPGP Standards im RFC4880 Format. GnuPG erlaubt euch Daten und Nachrichten zu Verschlüsseln und zu Signieren, eine vielseitige Schlüsselverwaltung und Zugriffsmöglichkeiten für alle arten von öffentlichen Schlüsselverzeichnissen. GnuPG, besser bekannt als GPG, ist ein Kommandozeilen-Werkzueg mit der Fähigkeit zur Kombination mit anderen Programmen. Viele Frontend-Anwendungen und Bibliotheken sind verfügbar. Version 2 von GnuPG unterstützt S/MIME.

Das EnigMail Projekt

Enigmail ist eine Sicherheits Erweiterung für Mozilla Thunderbird und Seamonkey. Es ermöglicht E-Mails die mit dem OpenPGP Standart Signiert oder Verschlüsselt sind zu Empfangen oder zu Versenden. Senden und empfangen verschlüsselter E-Mails sind mit Enigmail super einfach. Beim ersten Starten werdet ihr durch die Grundlagen für das Konfguieren begleitet und es steht ein Leitfaden für neue Nutzer zur Verfügung in dem die richtige Handhabung von OpenPGP erklärt wird. Enigmail ist für jedes System geeignet für das Mozilla Produkte verfügbar sind.

EnigMail Schnellstart Leitfaden

Claws Email

Claws Mail ist ein benutzerfreundliches, platzsparendes, und schnelles E-Mail Programm für Windows und Linux Variationen. Es enthält das GPGME Plugin und ist die ready-to-go Lösung. Das Aussehen und die Schnittstellen sind ähnlich den bekannteren Mailing-Programmen. Gut für neue Nutzer ebenso wie für Profis. Nahezu alle Befehle sind mit der Tastatur aufrufbar. Die Nachrichten werden im Standard MH Format gehandhabt, welche schnellen Zugriff und Daten-Sicherheit erlaubt. Es ist im stande E-Mails von anderen Programmen zu Importieren und zu Exportieren. Ein ganzer haufen Extras wie RSS, Kalender, oder Laptop LED Einstellungen werden als Plugins angeboten.

Gpg4win

Gpg4win läuft auf Windows XP, Vista und 7. Sowohl 32 als auch 64bit Systeme werden unterstützt. Das Outlook Plugin GpgOL verträgt sich mit Microsoft Outlook 2003 und 2007. Outlook 2010 ist leider nicht Kompatibel.

GnuPGk - Windows Shell GUI für GPG

Ein wie GnuPG aussehendes GUI geschrieben in C#. Es ist Kompatibel mit PGP und stellt sich als nützliches Werkzeug für Ent-und Verschlüsselung raus. Eine nützliche Shell-Erweiterung ist integriert um mit rechtsklick zu Verschlüsseln als auch zu Entschlüsseln.

Tragbares PGP

Portable PGP ist ein komplettes, leichtgewichtiges, auf Java basierendes, kostenloses PGP Werkzeug. Erlaubt die Entschlüsselung, Verschlüsselung, Unterzeichnung und Nachweis für Text und Dateien mit einer schönen und absolut übersichtlichen Oberfläche. Die Handhabung ist sehr einfach und beinhaltet alles benötigte für die PGP Kryptographie.
Ausführbar unter Oracle Java 7, Windows 7 x64 und Ubuntu (x64) OpenJDK. Für den USB Stick.

GPG Tools - Ein komplett Set für Macs, das Apple Mail integriert

Benutzt GPG Suite um Dateien oder Nachrichten zu Entschlüsseln, Verschlüsseln, Unterzeichnen und Verifizieren und ihr könnt den GPG Schlüsselbund mit ein paar Klicks verwalten. Erfahrt die ganze Kraft von GPG dazu noch Kinderleicht in der Handhabung. Für OSX 10.6+.

Wenn ihr GPG Tools und das Enigmail Plugin downloadet, benutzt idealerweise entweder Apple Mail oder Mozilla Mail (Thunderbird, Seamonkey).

Schnellstart Leitfaden

->Verschlüsseln auf einem bereits bestehenden E-Mail Account: Thunderbird mit Enigmail; Mac Mail mit GPGTools; Outlook mit GPG4Win.

->Für Windows oder Linux: nehmt Thunderbird mit dem Enigmail Plugin, oder Claws Mail mit eingebundenen GPGME.

->Für Mac: Installiere GPG Tools, dann nutzt Apple Mail, oder Thunderbird mit dem Enigmail Plugin.

Weitere Informationen im Inhalt und für ein Rundgang über Thunderbird/Enigmail/GPG besucht bitte Security in-a-box.

Den GPG Schlüssel so sicher wie nur möglich Einstellen.

Nutzt was die NSA benutzt! Von einem Artikel aus theregister.co.uk.

Zusätzliche Programme

iPGMail - PGP für iOS

iPGMail ist eine iPhone/iPad App zum Senden von PGP verschlüsselten Nachrichten.

oPenGP -

oPenGP ist eine Lösung zur Unterstützung für OpenPGP Standard (RFC 4880) auf dem iOS Gerät. Voll Kompatibel mit GPG & PGP® Desktop Software.

Android Privacy Guard (APG) - ein Android GPG Client

Auszug aus der Website: "Zur Zeit gibt es keine Verschlüsselung für Android mit Öffentlichem Schlüssel, für manche von uns ist dies jedoch Wichtig. APG versucht diese Lücke zu schliessen, mit einigen neuen, kürzlich hinzugefügten Funktionen. Hoffentlich wird APG eine voll Funktionsfähige OpenGPG Umsetzung, das den GPG oder PGP Kalibern gewachsen ist." APG läuft unter K-9 Mail.

Countermail

Countermail ist ein Swedischer Webmail Provider mit integrierter GPG Unterstützung. Mails werden auf dem PC Verschlüsselt bevor sie versendet werden, und andersrum genauso. Akzeptieren Bitcoins. Extrem Sicher, Schutz gegen man-in-the-middle (MITM) Angriffe, USB Schlüssel Option.

Shazzlemail - Privatsphärenschutz und Überwachungsresistenter Sicherheits E-Mail Service.

ShazzleMail ist eine kostenlose Smartphone (iOS und Android) App die dir erlaubt Private E-Mails zu jedem aus der Kontaktliste zu schicken. Ihr könnt ShazzleMail ebenso auf dem Laptop oder Desktop PC mit einem Mail-Clienten verwenden der POP/SMTP unterstützt, inclusive Microsoft Outlook. ShazzleMail sendet jegliche Kommunikation über eine sichere Verbindung, und speichert die E-Mail Lokal- und nicht auf einer Cloud. Der Firmensitz befindet sich in Braintree, Massachusetts, US.

Cryptocat

Sicheres Web Chatten.

SafetyJabber

Jabber Client mit integrierter PGP Verschlüsselung für Windows, Mac, und iOS. Eine kostenlose Version steht zum Download bereit.

GPG mit Gmail und anderen Mail Providern Kombinieren

Es gibt keine Plugings die GPG innerhalb von Webmail unterstützen die auf dem neuesten Stand, Unterstützt oder richtig Sicher sind. Jedes Plugin basiert auf einer Webmail Lösung wo man den Text eingibt und einen Knopf drückt um die Nachricht zu Verschlüsseln ist Nutzlos. Dies wird nicht empfohlen. Wenn ihr Webmail benutzt und eine sichere Verschlüsselung benötigt müsst ihr zunächst die Nachricht in Notepad oder einem anderen Text Editor eingeben, mit GPG auf ASCII-Code verschlüsseln, und danach erst in das Eingabefeld einfügen.

Ausländische Geheimdienst Organisationenen nutzen das Internet um versteckt und klammheimlich zu Kommunizieren ohne erkannt zu werden, und ihr könnt das auch. Glaubt nicht dass die NSA oder DOJ übermächtig ist. Sie haben keine Superkräfte und können bezwungen werden.