Signierung mail mit PGP bzw. S/MIME

Hallo PGP-Thunder,

Zitat von PGP-Thunder

und dann unter meinem Namen emails mit Virus versandt!

Ja, dann ist eine digitale Signatur der richtige Schritt. Deine Mailpartner können dann von Dir stammende E-Mails auch als solche erkennen.

Zitat von PGP-Thunder

In 99,9 % aller Fälle nutzt das nichts, da er/sie kein PGP hat.

Ich dachte mir schon (siehe Nachtrag zu Deinem vorherigen Faden Public Key im Test mit adele), dass Du bei Deinen Mailpartnern auf Hindernisse stoßen würdest. Damit stehst Du nicht allein da.

Zitat von PGP-Thunder

Kann es sein, dass beim Einsatz von S/MIME die Identität automatisch in Klarschrift angezeigt wird, da ein Zertifikat vorliegt?

Du vermutest schon insofern richtig, dass Empfänger ohne GPG + Einigmail nichts mit Deinen Schlüsseln anfangen können. Bei S/MIME ist das etwas anders. Die Installation einer zusätzlichen Software ist hier nicht nötig, weil der zugehörige Code bereits im TB oder auch im Outlook integriert ist.

Ganz ohne Mitwirkung der Mailpartner geht es aber auch bei S/MIME nicht. So wie bei GPG Dein öffentlicher Schlüssel importiert werden muss, benötigen die Empfänger im Falle von S/MIME Dein Zertifikat und ggf. das des Herausgebers (der Zertifizierungsstelle, CA). Beiden müssen sie das Vertrauen aussprechen.
Wenn der Herausgeber dem TB nicht bereits bekannt ist, muss dessen Zertifikat einmalig von Hand importiert werden. Deines bekommen sie, wie Du schon vermutest hast, "automatisch" über Deine digitale Signatur. Das klingt jetzt vielleicht etwas kompliziert, ist aber erfahrungsgemäß für viele deutlich einfacher als GPG und Enigmail zu installieren, sich selbst Schlüssel zu erzeugen usw. .

Wenn Du E-Mails nicht nur signieren sondern auch verschlüsseln möchtest, benötigen Deine Mailpartner auch ein eigenes Zertifikat.
Solche Zertifikate gibt es von offiziellen Herausgebern in verschiedenen Klassen, kosten aber meistens etwas Geld. Ob es noch kostenlose Zertifikate gibt, weiß ich nicht. Dazu können vielleicht andere mehr sagen. Vielleicht kannst Du sogar eines von Posteo bekommen, als Teil Deines Kontos dort? Würde mich nicht wundern.

Wenn es nur um einen kleinen Kreis von Dir bekannten Empfängern geht, kannst Du auch selbst als Herausgeber tätig werden und entsprechende Zertifikate für Dich und Deine Partner erzeugen. Das geht z.B. mit dem Programm xca, erfordert aber etwas Einlesen in die Thematik. Ich würde es mal so sagen: Für Deine Mailpartner wird es dann deutlich einfacher, für Dich allerdings etwas aufwendiger - aber nur beim ersten mal.

Schau mal im TB unter Einstellungen -> Erweitert -> Tab Zertifikate -> Button Zertifikate. Dort kannst Du neben eigene und bereits importierten Zertifikaten unter Zertifizierungsstellen auch sehen, welche Herausgeber dem TB von Haus bekannt sind. Dort würde dann bei Deinen Mailpartnern auch Deine CA erscheinen.

Peter Lehmann betreibt schon länger so eine Privat-CA und kann sicher mit Links zu Anleitungen oder mit Templates weiterhelfen. Aber Du kannst gern etwas mit xca experimentieren. So schlimm ist es nicht. Ich habe das vor ein paar Monaten ebenfalls gemacht und eine handvoll Zertifikate für den Familien- und Freundeskreis erstellt. Die Resonanz war die, dass es einfacher zu handhaben ist als GPG/Enigmail. (Und trotzdem versenden sie die meisten E-Mails nach wie vor unverschlüsselt.)

Du solltest ebenfalls berücksichtigen, dass Deine Partner einen Mailclient wir den TB oder Outlook benötigen. Webclients können weder mit S/MIME noch mit GPG etwas anfangen. Für Smartphones gibt es entsprechende Apps.

Bedenke auch, dass, im Gegensatz zu GPG, S/MIME verschlüsselte E-Mails nicht aus dem TB heraus unverschlüsselt gespeichert werden können. Das sehen manche als Vorteil andere als Nachteil an.

Gruß

Susanne

Hallo,
mrb: man sollte sich gut informieren, welcher Firma man vertrauen möchte. Bei Wikipedia findet man etwas zu der israelischen Firma StartSSL.
Bei Comodo (erwähnt in dem bei dir (graba) verlinkten Artikel , gab es ja bekanntlich ein größeres Sicherheitsproblem, womit die Firma für mich erledigt ist. Weitere Beispiele finden sich leicht...
Ich hoffe eher auf Mozilla und die EFF.
Grüße, muzel

Hallo muzel,

Mozilla und die EFF zielen doch in erster Linie auf Serverzertifikate. Hast Du Informationen, ob die auch S/MIME-taugliche Zertifikate planen? Ich habe nicht den Eindruck, dass sie an E-Mail noch sonderlich interessiert seien.
Solange sich die Anzahl der Mailpartner, die bereit sind E-Mails zu verschlüsseln, weiterhin in einem so kleinen Rahmen bewegt, ist mir persönlich der Weg über selbst erstellte Zertifikate bzw. Schlüssel der liebste.

Gruß

Susanne

Hallo Peter,
ganz pessimistisch gesehen, könnte man es also eigentlich aufgeben, wirklich sicher verschlüsselte Nachrichten auszutauschen, außer mittels Geheimtinte und Brieftauben
Der Normal-User hat chinesische Hardware, die verwanzt sein kann, ein Windows oder Apple-OS, das es vermutlich ist, oder auch ein Linux, bei dem die Sicherheitslücken theoretisch schnell gefunden werden, praktisch aber jahrelang vor sich hin gammeln.
Man bräuchte Open Hardware und Open Source, auch für offensichtlich nötige Krypto-Hardware.
Damit sind alle Normalanwender aus dem Rennen, und auch Pseudoexperten wie du und ich werden den Aufwand nicht betreiben. Der Trend geht ja auch eher zu den allgegenwärtigen Mobiltelefonen und Tablets, wo jede Eingabe vermutlich in Echtzeit bei G00gle & Co. und parallel dazu bei den "Diensten" landet, und wo sowohl die Installation von Verschlüsselungs-Software als auch die Eingabe von sicheren Passwörtern extrem unkomfortabel sind.
Susanne: ich hab den Artikel wohl zu schnell überflogen, von S/Mime war nicht die Rede... Ich war einfach der Meinung, ein Trustcenter könnte alle Sorten von Zertifikaten ausstellen.
Gruß, muzel

Hallo,

Zitat von Peter_Lehmann

Noch immer (wir schreiben bald 2015!) werden bei S/MIME SHA-1 und 3DES angewandt.

Zu diesem Punkt scheint sich etwas zu tun. David Cooper hat in bug 1018259 "Thunderbird should stop using SHA-1 when signing email messages" einen Fix gebaut. Ziel ist TB 36. Ironischerweise gibt es noch Diskussionen, weil Outlook unter xp nicht mit SHA-2 klarkommt.

Zitat von mrb

Irgendwo müsste eigentlich dort auch ein Haken sein.

Ich sehe darin für mich keinen Haken. Natürlich ist ein solches Modell nicht für den großen Maßstab gedacht. Man würde sonst wie bei GPG wohl zu einer Art web of trust übergehen müssen. Für mich überwiegen die Vorteile: keine Kosten und völlige Kontrolle über die eigenen Zertifikate, wie bei GPG.

Die nicht wirklichen zufälligen Zufallszahlen stören mich auch weniger. GPG ist diesbezüglich etwas besser aufgestellt, denn es verlangt beim Generieren der Schlüssel einen menschlichen Zufallsgenerator (Mausbewegungen). Das erschwert einen mathematischen Angriff, schützt aber natürlich nicht, wenn Hard- oder Softwareware bereits ab Werk eine Backdoor haben sollten.

Soweit es mein Privatleben betrifft, geht es mir vor allem um den Schutz vor Betrügern und kommerziellen Datenschnüfflern, weniger um die fast allmächtigen staatlichen Dienste.
Diese "Marktforscher" verdienen viele Milliarden und können bereits Metadaten über uns auswerten, dass einem ganz übel wird. Die müssen nicht auch noch die Inhalte zum Lesen bekommen.

Wie viele regelmäßige Mailpartner mag der durchschnittliche Deutsche privat haben? Vielleicht so um die 20? Wenn von denen wiederum jeder nur 10 zusätzliche Mailpartner hat wächst die Zahl der insgesamt nötigen Zertifikate zwar exponentiell an. Für den einzelnen würde es aber lediglich bedeuten, dass er im Schnitt mit etwa 20 importierten Zertifikaten aus seinem Freundeskreis klar käme. Das wäre für den Benutzer ein Aufwand von wenigen Minuten und auch für den Betreiber der privaten CA gut zu handhaben. Nur leider schert es kaum jemanden.

Also ihr lieben Mitleser dort draußen, ihr kennt ja das Sprichwort: Steter Tropfen ... .

Wenn jeder von euch, der sich zutraut für seinen Freundeskreis Zertifikate zu erstellen, nur ein paar Mitspieler gewinnt, wäre schon viel gewonnen. Selbst, wenn die Zertifikate am Ende nur zum Signieren benutzt werden, so wäre zumindest ein weiterer Schritt im Kampf gegen Viren und Co. getan.
Für die Benutzer ist die Installation eurer Zertifikates sehr einfach. Und da ja angeblich jeder ein jeden über nur ein paar Ecken kennt, würden am Ende auch meine lieben Leut plötzlich nicht nur von mir auf dieses Thema angesprochen werden und die euren nicht nur euch.

Gruß

Susanne

Hallo PGP-Thunder,

hast Du dem Herausgegeberzertifikat das Vertrauen ausgesprochen? Falls noch nicht, hole das zunächst nach und teste nochmals.

Zitat von PGP-Thunder

Mein browser (Firefox) hat bei der Übernahme des Zertifikats verhindert, dass cross site scripting zum Zuge kommt (ist bei mir so eingestellt).

Die Fehlermeldung kommt mir etwas merkwürdig vor. Ich kann jetzt aber nicht sagen, ob dieses Blockieren möglicherweise dazu haben könnte, dass das Zertifikat nicht ordentlich erstellt wurde. Ich habe das Sicherheitsmodul des Firefox schon seit Jahren nicht mehr zur Erzeugung von Zertifikaten benutzt. Damals hatte ich ein kostenloses Zertifikate von Thawte. Später habe ich GPG benutzt und inzwischen erstelle ich mir die Zertifikate mit xca selbst. Das geht dann komplett ohne Firefox.

Wo und wie hast Du Einstellungen zum Verhindern von XSS vorgenommen? Im Firefox selbst kenne ich dazu keine Einstellung, die über in der Bedienoberfläche zu erreichen wäre. Verwendest Du eine Erweiterung wie NoScript?
Meines Wissens hat der FF standardmäßig eine Funktion integriert, die das Ausführen von Code verhindert, der von einer anderen als der aufgerufenen Domain kommt. Das kann XSS zwar nicht komplett verhindern (XSS betrifft zunächst eh den Webserver und nicht den Client), aber es schützt den Client, falls der Webserver von XSS betroffen ist und die bösen Scripte von einer anderen Domain nachgeladen werden sollen. Diese Sicherheitsfunktion lässt sich aber soweit ich weiß nicht so ohne weiteres abschalten. Ich nehme daher an, Du meinst etwas anderes?

Gruß

Susanne