Anfängerfragen

Vielleicht nochmal als einfache Merkhilfe:
- Derjenige der will das er verschlüsselte e-Mail erhält muß aktiv werden indem er sich ein Zertifikat/Key besorgt und das Zertifikat an jede verschickte Mail dranhängt. D.h. der Empfänger bietet an, der Sender muß es nutzen damit es funktioniert.
- Andere Verfahren wie TLS/POP3S VPN etc. decken nur ein Teil der Strecke ab, dazwischen sind Lücken in denen die e-Mail wie bisher auch als Klartext vorliegt.
- Sicherheit ist niemals ein "no-Brainer". Man kann ja auch nicht autofahren ohne mitzudenken weil man ja ABS zur Sicherheit hat (obwohl es bei manchen so aussieht als würden sie es versuchen

Gruß

Andreas

Richtig. Mail ist store-and-forward d.h. eine mail läuft möglicherweise über viele Server bis sie ihr Ziel erreicht hat. Mit SMTP-TLS sicherst du nur die Strecke bis zu dem Eingangsrelay deines Providers. Dort liegt die Mail dann im Klartext vor. Danach wird sie weiter geleitet, entweder wieder über SMTP-TLS oder auch (eher) nur über SMTP bis zum Provider des Empfängers. Dort liegt die e-Mail als Klartext in der Mailbox bis der Empfänger die Mail z.B. per POP3-SSL abholt.

Mit S/MIME oder PGP interessiert dich das ganze nur deshalb, weil du zum Provider trotzdem TLS/SSL verwenden solltest, um deine Zugangsdaten zu schützen. Der Inhalt ist damit auf dem ganzen Weg bis zum Empfänger nicht einsehbar und auch nicht von Geheimdiensten zu knacken.
Mailprovider müssen übrigens seit einiger Zeit eine Schnittstelle für Behörden-Zugriff vorhalten:
http://de.wikipedia.org/wiki/E-Mail-%C3%9Cberwachung

Hallo Andreas,

du hast das perfekt erklärt.
Der (private) Nutzer muss es wollen, oder die Firma muss es anordnen. Leider ist es so, dass dieses selbst in Firmen mit eigentlich schutzwürdiger Kommunikation von den Verantwortlichen oftmals immer noch nicht erkannt wird. Manchmal komme ich mir vor, als ob ich mit dem Kopf gegen eine Wand renne ... .
Was Firmen betrifft, da helfen manchmal die teilweise veröffentlichten Informationen sehr bekannter dt. Firmen, denen riesige Projekte flöten gingen, weil die entsprechenden Dokumente abgefangen wurden und die Konkurrenz dadurch Vorteile in den Verhandlungen hatte. Es ging wohl um schnelle Züge ... .
Bei der Argumentation mit privaten Nutzern (Tenor: Ich habe ja nichts zu verbergen ...) hilft mir ungewollt ein prominenter dt. Rollstuhlfahrer, der sich hinsichtlich der totalen Überwachung bzw. des Generalverdachtes unseres Volkes große Verdienste erworben hat. Ich habe festgestellt, dass danach das Interesse am Schutz der Privatsphäre deutlich gestiegen ist. Und das, obwohl auch ich privat eigentlich auch nichts wirklich zu verbergen habe. Es geht mir einfach ums Prinzip! (Früher gab es mal ein "Postgeheimnis".)

SH21:
Da du dich anscheinend doch noch damit befassen willst, hier gern die Antworten:
1.) TLS/SSL wurde von mir in mehreren Beiträgen ausführlich behandelt. Bitte Forensuche benutzen.
2.) Ja, Bei deinem Provider liegt die Nachricht wieder unverschlüsselt vor. Sie wird bei Bedarf dort "ausgeleitet". Die Provider müssen die entsprechenden Schnittstellen vorhalten. Einen echten Schutz gibt es nur, wenn die Mails wirklich "end to end" verschlüsselt sind. (Und natürlich auch nur dann, wenn "Wolfgang" nicht schon bei Absender und/oder Empfänger seinen Trojaner installiert hat. Aber hier scheinen die Kosten wohl derart hoch zu sein, dass er das nicht einfach so bei Hinz und Kunz machen kann. Und gesetzlich soll es ja auch nicht ganz so einfach sein, aber Gesetze kann man ja verändern oder "anpassen" ... .)

MfG Peter

TOR als Anonymisierung und die elektronische Signatur mit einem für die qualifizierte el. Signatur zulässigen Zertifikat (+ Kartenleser + Programme) schließen sich von der Aufgabe her einander aus.

Durch die Registrierung (= Personenidentifizierung) garantieren wir, dass das Zertifikat eindeutig einer Person zuzuordnen ist. Nur so macht ja eine elektronische Unterschrift Sinn. Und gernau das ist der Unterschied zu den so genannten "Kostnix-Zertifikaten", bei denen keine Personenidentifizierung stattfindet. Denn genau diese ist es, was ein "richtiges" Zertifikat teuer macht. Selbstverständlich ist die Signatur genau so sicher, wenn bei bekannten Absendern der Hashwert des Zertifikates auf anderem Wege (=> Telefon) ausgetauscht und verglichen wurde. Dann kann man auch einer per Kostnix-Zertifikat signierten Nachricht das volle Vertrauen schenken!

Die Sicherheit durch die Verschlüsselung ist bei beiden Zertifikatsarten prinzipiell die gleiche. Die Unterschiede liegen hier nur in der Art, wie die Zufallszahlen für die Schlüssel erzeugt werden. Aber das führt hier zu weit und ist für die Masse der Vorgänge kaum relevant.

Fazit:
1.) Eine Anonymität im Internet gibt es nicht wirklich. Es ist mit entsprechendem Aufwand immer möglich, den Absender zu identifizieren.
2.) Jede Verschlüsselung lässt sich irgend wann einmal brechen. Zwar sind die üblichen und heute genutzen Algorithmen sicher gegen kryptologische (= mathematische) Angriffe, aber der brute-force-Angriff führt (außer beim one time pad) immer zum Ziel. Die Frage ist hier nur, mit welchem Aufwand und in welcher Zeit. Genaue Zahlen gibt es nicht, aber wir sprechen von Jahren oder Jahrzehnten Aufwand an einer Großrechenanlage. => Nachricht ist nichts mehr wert, selbst wenn es nur Monate dauern würde.
3.) Es wird sich also wohl niemand mehr die Mühe machen, eine abgefangene Nachricht gewaltsam zu entschlüsseln. Lohnt sich einfach nicht mehr. Und genau dafür möchte "Wolfgang" seinen direkten Zugang an den Quellen der Nachricht oder beim Empfänger haben. Damit er dort life mitlesen oder auch mithören (=> Skype) kann. Nennt sich "Quellen-Telekommunikations-Überwachung". Wer weiß, vielleicht haben wir - genau so wie die Provider - diese Schnittstellen alle schon eingebaut bekommen? ("Nofalls müssen wir dafür das Grundgesetz ändern ...")

NB: Habe ich "Wolfgang" heute schon gegrüßt?

MfG Peter

Was war nochmal die Frage?
Wir hoppeln hier munter durch Vertraulichkeit, Anonymität und Authentizität gewürzt mit Fälschungssicherheit. Was wird den nun benötigt und in welchem Umfeld. Falls es noch nicht klar geworden ist: Manche dieser Sachen schließen sich auch gegenseitig aus...

Welche Frage?
:nixweiss:

Welches Programm benötige ich von GNUPG um Enigmail nutzen zu können?