Kryptographie in der IT - Empfehlungen zu Verschlüsselung und Verfahren

Der Artikel stammt aus 2016 und diesbezüglich nicht mehr ganz up-to-date. Das Gerangel um Curve25519 ist noch nicht beendet, aber es sieht ganz gut aus.

Zitat

Seit 2014 bemüht sich die Kryptographie-Arbeitsgruppe der Internet Engineering Task Force (IETF) um die Standardisierung neuer elliptischer Kurven für asymmetrische Kryptographie im Internet. Curve25519 gilt als vielversprechendster Kandidat für die Standardisierung einer elliptischen Kurve, welche die vom National Institute of Standards and Technology (NIST) standardisierten Kurven ablösen sollen.[6] Diese sind in Verruf geraten, da sie von der National Security Agency (NSA) aus unerklärten Ausgangsdaten abgeleitet wurden und eine Hintertür nicht ausgeschlossen werden kann. Außer mehr Transparenz soll sie auch bei der Implementierung weniger fehleranfällig sein.[8]

aus https://de.wikipedia.org/wiki/Curve25519

Zitat

Das SafeCurves-Projekt von Bernstein hat mit den sicheren, akademischen Kurven Curve25519 (bzw. Ed25519), Ed448-Goldilocks und E-521 inzwischen einen De-facto-Standard geschaffen. Die staatlichen Kurven haben das Vertrauen der führenden Kryptographen verloren, da die Kurvenwahl nicht vollständig transparent nachvollziehbar ist[19] und somit eine ähnliche kleptographische Hintertür wie bei Dual_EC_DRBG oder eine sonstige Hintertür nicht sicher ausgeschlossen werden kann.

aus https://de.wikipedia.org/wiki/Elliptic_Curve_Cryptography

Ich habe mir gerade erst kürzlich neue Schlüssel erstellt und dabei auf die Kurve 25519 gesetzt. Mach' doch einfach mit!

Über Enigmail hatte ich es nicht probiert. Aus den Fehlermeldungen kann ich auch nur das lesen, was dort steht. Der Schlüssel konnte aufgrund eines invaliden Flags nicht erstellt werden. Das ist ein vielleicht ein Fall für das Forum von Enigmail?

Ich habe meine neuen Schlüssel über die Konsole erstellt. Dass musste ich schon allein deshalb, weil ich mir diesmal einen Off-Line-Key erstellen wollte. Das war eigentlich mein Hauptziel. Ich habe dann die Gelegenheit genutzt und habe auch gleich ECC-Schlüssel erstellt. Ich hatte mich auch gewundert, dass die Curve nicht unter Option 9 angeboten wird. Aber ebenso wie du habe ich sie am Ende doch gefunden.

Ich stimme dir absolut zu. Verschlüsselung mit GnuPG einzurichten ist alles andere als einfach. Da muss man sich nicht wundern, dass es so wenig Verbreitung findet.

Ich musste mich bei meinem Vorhaben immer wieder ziemlich konzentrieren und überlegen, ob das überhaupt alles so passt, wie ich es mir ausgedacht hatte. Ich war mir auch unsicher, wie Enigmail sich im Detail verhält.

Andererseits gibt es Anleitungen, mit denen sich tatsächlich auch ein Laie Enigmail/GnuPG in einer halben Stunde einrichten kann. Noch einfacher ist der Weg über Mailvelope, wie GMX und Web.de es anbieten und natürlich mittels p≡p.

Man muss dazu nicht verstehen, wie Verschlüsselung funktioniert.

Ich würde sagen pEp-en kann fast ein jeder. Kompliziert wird es erst, wenn man Sonderwünsche hat und vom Standard abweicht.

Ganz nett übrigens: Innerhalb weniger Tage, nachdem ich die neuen Schlüssel verteilt hatte, habe ich von zwei Bekannten ebenfalls neue Schlüssel erhalten. Die haben die Gelegenheit auch beim Schopf gepackt und sich Off-Line-Schlüssel mit ECC-Subkeys erstellt.

Derzeit ist ja Emotet in aller Munde, weil dadurch auch in Deutschland große Schäden angerichtet wurden und bestimmt auch weiterhin werden. Siehe beispielsweise https://www.heise.de/security/artik…le-4243695.html

Was Emotet u.a. so gefährlich macht, ist dass die Mails täuschend echt gemacht sind. Sie scheinen von einem Kollegen oder Bekannten zu kommen, die Anrede stimmt usw. usw. . Da passiert es dann doch einigen, dass sie die Fälschung nicht sofort bemerken.

Als Gedankenanregung ...

Kryptographie kann auch hier helfen. Man muss nicht verschlüsseln. Es genügt eine digitale Signatur des Absenders. Dadurch wird beim Empfang sofort angezeigt, ob der Absender gefälscht wurde oder nicht.

Ich habe mir deshalb schon vor Jahren angewöhnt, eine selbst erstellte S/MIME-Signatur an meine Mails anzuhängen.

Obwohl ich GPG bevorzuge, benutze ich hier S/MIME. Und zwar deshalb, weil es bei vielen Mailprogrammen, darunter Outlook und Thunderbird, gleich dabei ist.

Der Empfänger muss nichts installieren und sieht dennoch gleich, ob die Mail wirklich von mir ist. Er kann sich gar nicht dagegen wehren.

Für private Zwecke genügt ein selbst oder von Bekannten erstelltes Zertifikat oder auch ein kostenloses von einer Zert-Stelle. Die Hemmschwelle ist nach meiner Erfahrung viel geringer als bei der Verschlüsselung, wohl auch, weil dazu keine Fachkenntnis nötig ist.