[ndeath]

Hallo und servus zusammen,

ich hab mir letztens Enigmail (OpenGnuPG) in meinen TB integriert und es tatsächlich zum Laufen gebracht.
Jedoch stellen sich für mich ein paar Fragen, die ich nicht ohne weiteres beantworten konnte.

1. Was muss ich machen, dass ein (bestimmter) Empfänger meine Email entschlüsseln kann? Braucht der Empfänger auch Enigmail und Thunderbird oder kann der das auch mit z.B. Outlook oder Sylpheed entschlüsseln. Geht das auch ohne Emailprogramm - also über Weboberfläche z.B. über GMX?

2. Wahrscheinlich durch 1. beantwortet. Aufwelche Weise bekommt der Empfänger den von mir verwendeten Schlüssel?

3. Was bringt es, wenn ich den öffentlichen Schlüssel an meine Mail anhänge?

4. Wo ist der Schlüssel abgespeichert? Auf der Festplatte?


Vielen Dank mal im voraus

[Beavis]

Ich versuche mal deine Fragen zu beantworten, auch wenn ich in der Praxis selber noch nicht viel Erfahrung sammeln konnte, weil sich keiner in meinem Umkreis wirklich um E-Mail-Verschlüsselung kümmert

Zitat

1. Was muss ich machen, dass ein (bestimmter) Empfänger meine Email entschlüsseln kann? Braucht der Empfänger auch Enigmail und Thunderbird oder kann der das auch mit z.B. Outlook oder Sylpheed entschlüsseln. Geht das auch ohne Emailprogramm - also über Weboberfläche z.B. über GMX?

Also es wird natürlich einfacher sein, wenn der Gegenüber auch Thunderbird und Enigmail nutzt, aber es sollten auch äquivalente Programmlösungen gehen, also wenn es z.B. auch PGP-Plugins für Outlook oder die anderen Clients gibt.

Da aber asymmetrisch verschlüsselt wird, benötigst du den öffentlichen Schlüssel des Partners, dem du verschlüsselte E-Mails schicken willst und entschlüsseln kann er diese mit seinem privaten Schlüssel (öffentlicher + privater Schlüssel ergeben ein sogenanntes Schlüsselpaar ) Und wer dir eine E-Mail verschlüsselt schreiben will, braucht eben dann deinen öffentlichen Schlüssel.

Zu den Webmailern: Es müsste gehen, zumindest habe ich von einer Extension beim Firefox gehört (FireGPG)

Zitat

2. Wahrscheinlich durch 1. beantwortet. Aufwelche Weise bekommt der Empfänger den von mir
verwendeten Schlüssel?

Du kannst ihm den Schlüssel z.B. per E-Mail schicken, wobei ich meine, dass das nicht immer ganz sicher sei. Am sichersten wäre wohl ein privates Treffen und du nimmst deinen Key auf einem USB-Stick mit Oder du lädst deinen Schlüssel auf einen der öffentlichen Keyservern, wobei ich mich da noch nicht so gut auskenne.

Zitat

3. Was bringt es, wenn ich den öffentlichen Schlüssel an meine Mail anhänge?

Siehe oben, es könnte manchmal riskant sein.

Zitat

4. Wo ist der Schlüssel abgespeichert? Auf der Festplatte?

Also bei Gpg4win ist er auf der Festplatte abgespeichert (sonst wohl auch^^) und verwalten kannst du die Schlüssel z.B. mit WinPT.

mfG
Beavis

[ndeath]

Danke erstmal, sehr ausführlich *yippie*

Also - ob ich das auch verstanden habe. Um eine von mir verschlüsselte Email zu entschlüsseln, braucht der Empfänger den öffentlichen Schlüssel. Jeder der diesen hat, kann also meine Emails lesen. Daher habe ich mich auch gewundert, warum man den öffentlich Schlüssel an die Email anhängen kann, da ja der Sinn der Verschlüsselung ad absurdum geführt würde.

Das bedeutet, dass die Sicherheit der Verschlüsselung mit der "Geheimhaltung" des öffentlichen Schlüssels steht und fällt!?

Zitat (Beavis: 12.01.2008, 18:47)

Da aber asymmetrisch verschlüsselt wird, benötigst du den öffentlichen Schlüssel des Partners, dem du verschlüsselte E-Mails schicken willst und entschlüsseln kann er diese mit seinem privaten Schlüssel (öffentlicher + privater Schlüssel ergeben ein sogenanntes Schlüsselpaar ) Und wer dir eine E-Mail verschlüsselt schreiben will, braucht eben dann deinen öffentlichen Schlüssel.

D.h. ich und mein "Partner" (der Esel nennt sich zuerst) brauchen beide jeweils ein eigenes Schlüselpaar? Ich brauche seinen öffentlichen, um seine Email lesen zu können und mein Partner braucht meinen öffentlichen, dass er meine Emails lesen kann - weil: das Schlüsselpaar ist einer speziellen Emailadresse zugeordnet!? Richtig?
-> ist das das was du mit assymetrisch meinst?


Wenn ich meinen Schlüssel bzw. nur den öffentlichen Teil davon auf einen Schlüsselserver hochlade, wer kommt dann an diesen heran?

Neue Frage
Was ist eine Passphrase?

Danke

Dieser Beitrag wurde von ndeath bearbeitet: 12. Januar 2008 - 19:11

[Beavis]

Nein, du hast mich falsch verstanden. Bei der asymmetrischen Verschlüsselung besitzt jeder ein Schlüsselpaar, welches aus einem privaten und einen öffentlichen Schlüssel besteht. Am wichtigsten ist der private Schlüssel, den man wie seinen Augapfel hüten sollte. Denn dieser wird benötigt, um verschlüsselten Text wieder entschlüsseln zu können. Und hier kommt der öffentliche Schlüssel ins Spiel. An sich ist es nicht schlimm, dass jemand deinen öffentlichen Schlüssel besitzt, mit dem kann man Texte zwar verschlüsseln, aber lesen kannst nur du sie, da der private Schlüssel zum Entschlüsseln gebraucht wird.

Ein Beispiel:

Ich möchte dir eine verschlüsselte E-Mail schreiben. Dafür benötige ich deinen öffentlichen Schlüssel, damit du meine E-Mail an dich, welche mit deinem öffentlichen Schlüssel verschlüsselt wird, wieder mit deinem privaten Schlüssel entschlüsseln kann. Das ist das was ich mit asymmetrisch meine. Genauso bräuchtest du meinen öffentlichen Schlüssel, damit du mir Texte schreiben kannst und nur ich allein kann sie mit meinem privaten Key wieder lesen (deshalb muss man auf diesen sehr gut aufpassen). Vielleicht habe ich mich oben etwas ungünstig ausgedrückt, hoffe aber, dass das jetzt verständlicher ist.

Achja, eine Passphrase ist eigentlich das gleiche wie Passwort Als du dein Schlüsselpaar erstellt hast bzw. erstellen wirst, wird man nach einem Passwort gefragt. Dieses brauchst du später um eben die E-Mails, die mit deinem öffentlichen Schlüssel verschlüsselt sind, wieder entschlüsseln zu können und da wird nach der Passphrase gefragt.

Du solltest aber für die Passphrase wirklich ein sicheres Passwort verwenden, denn wenn man es erraten kann oder sonst es schnell bruten (knacken) kann, ist die Verschlüsselung wirklich nicht sinnvoll bzw. sicher.

mfG
Beavis

[ndeath]

Okay! Ich glaube das hab ich so weit verstanden.

Kurzfassung zum Überprüfen

Ich verschlüssele DIR mit DEINEM öffentlichen Schlüssel eine Email, die nur DU entschlüsseln kannst, da DU alleine den Private Key hast/ haben solltest .

Anderstrum: Wenn ich mit meinem Key eine Email verschlüssele und versende, ist das für die Katz, weil diese niemand entschlüsseln kann, weil nur ich den Private Key habe und der Empfänger nicht/ keine Möglichkeit hat diese zu entschlüsseln.

Daher wäre ist es aber auch kein Problem den Public Key per Email zu versenden, da mit diesem nur verschlüsselt wird aber nicht entschüsselt. Clever das!!

Mit dem Public Key gebe ich also allen anderen die Möglichkeit MIR verschlüsselte Nachrichten zu versenden - die auch nur ich lesen kann.

Super! Das hört sich logisch an! Könnte stimmen. Right?

Danke!

Dieser Beitrag wurde von ndeath bearbeitet: 12. Januar 2008 - 20:29

[Beavis]

Stimmt, bis auf eine Kleinigkeit

Der private Schlüssel ist sehr wichtig, den muss man schützen, aber im Notfall, wenn jemand an diesen rankommt muss er auch deine Passphrase kennen und wenn du hier ein sehr langes kompliziertes Passwort verwendest, kann man sich wenigstens noch in soweit sicher fühlen, dass man E-Mails/Texte nicht entschlüsseln kann ohne die Passphrase. Der Rest stimmt aber. Aber deswegen muss man halt auch immer die anderen dazu bringen, die gleichen Vorkehrungen zu treffen und vielen scheint das zu kompliziert ohne verwenden nur ne billige Passphrase, was dich wieder "in Gefahr" bringen würde. Das ist aber alles sehr theoretisch

Aber eben aus diesem genannten Grund konnte ich selber noch nicht sehr viel Praxiserfahrung machen, habe mich aber ein wenig mit der Theorie auseinander gesetzt.

Hoffe damit sind deine Fragen er-/geklärt

//edit: Gern geschehen, freut mich geholfen zu haben!

mfG
Beavis

Dieser Beitrag wurde von Beavis bearbeitet: 12. Januar 2008 - 21:51

[ndeath]

Okay Beavis! Das war mal ein sehr produktiver Thread!
Könnte öfters so sein! Vielen Dank!!


Merci Beavis und schönen Abend allen Lesern die sich an unserer Konversation laben oder sich über meine Fragen totlachen!

Doch noch ne Frage...

Dieses oben erwähnt WinPT - ist das nicht sogar Teil des Enigmail?

Mir scheint die Oberfläche und der Funktionsumfang des WinPT dort enthalten zu sein unter dem Menupunkt "Schlüsselverwaltung".

Dieser Beitrag wurde von Urne bearbeitet: 13. Januar 2008 - 01:04

[Beavis]

Da "weißt" du sogar mehr als ich, ja, sollte auch zur Verwaltung der Schlüssel reichen. Ich selber hatte mir immer Gpg4win installiert und dabei halt immer WinPT mitinstalliert. Wie gesagt, so sollte es natürlich auch funktionieren

mfG
Beavis

[Vagabund]

Nur so am Rande weil Du ja Gnupg installiert hast. Dieses kannst Du nämlich in Verbindung mit der kleinen aber feinen Software GPGee (integriert sich ins Windows-Menü) dazu verwenden auf gleichem Wege Dateien zu Ver- und Entschlüsseln (auch symmetrisch, also ohne Schlüssel, nur Passwort).

Gruß
Michael

[ndeath]

Guten Tag nachmals

heute morgen im Bett kam mir noch eine Idee bzw. eine Frage. Jetzt hab ich ein wenig Zeit zum schreiben.

Und zwar gibt es ja auch die Möglichkeit Emails zu signieren/ unterschreiben.

Ich formuliere mal meine Gedanken:
Das funktioniert wohl auch mit diesem Schlüsselpaar - nur genau umgekehrt.

Ich "unterschreibe" mit dem Private Key und der Empfänger kann mit meinem Public Key prüfen, ob unterwegs an meiner Email rumgepfuscht wurde - sprich ob da drin steht was ich auch geschrieben hab oder ob diese tatsächlich von mir stammt. [stimmts?]

Z.B. kann man das machen mit den in Outlook verwendeten Zertifikaten (die m.E. aber nicht ganz billig sind). Diese Zertifikate sind wohl äquivalent zu den auch in Thunderbird implementierten S/MIME (auch wenn sie in Outlook anders heißen) [stimmts?].

Damit wären also S/MIME und GPG (bzw. PGP) verschiedene "Verfahren" um Emails zu verschlüsseln/ signieren (die meines Wissens nicht kompatibel sind) - aber im Endeffekt dasselbe tun, nur dass man diesen S/MIME Zertifikaten mehr trauen kann als GPG!?

Wäre nett wenn mir jemand sagen könnte, ob ich auf dem Holzweg bin oder ob das so einigermaßen hinhaut...

Danke!

Zitat (Vagabund: 13.01.2008, 12:50)

Nur so am Rande weil Du ja Gnupg installiert hast. Dieses kannst Du nämlich in Verbindung mit der kleinen aber feinen Software GPGee (integriert sich ins Windows-Menü) dazu verwenden auf gleichem Wege Dateien zu Ver- und Entschlüsseln (auch symmetrisch, also ohne Schlüssel, nur Passwort).

Gute Sache! Danke:)
Das wäre das nächste gewesen, worum ich mich gekümmert hätte!
-> quasi Gedankenübertragung


Edit: Scheint so, also wäre das ganz oben von Beavis zitierte GPG4Win eine Sammlung aller wichtigen Tools die ungefähr alles das leisten, was ich suche! Habs nur wegen dem GPGee entdeckt was darin wohl auch integriert ist.

Edit 2: Bei GPG4Win ist ein erklassiges Handbuch dabei, mit dem jeder Noob alles versteht was nicht zu verstehen war und noch mehr!

...für Einsteiger
...für Durchblicker

Dieser Beitrag wurde von ndeath bearbeitet: 13. Januar 2008 - 15:55