CLT 2011: E-Mail-Verschlüsselung mit GPG

E-Mail-Verschlüsselung mit GPG. Von der Key-Erzeugung zur verschlüsselten E-Mail. Chemnitzer Linux-Tage 2011. 19.März 2011 | Vortrag

Public Key Private Key Public Key Web of Trust E-Mail signieren E-Mail verschlüsseln Schlüssel signieren Key Server Schlüsselbund Key Signing Party Private Key Schlüssel signieren Key Server Key Signing Party E-Mail verschlüsseln Web of Trust Schlüsselbund E-Mail signieren ???

Verschlüsselungsverfahren
Symmetrische Verschlüsselung
Zum Ver- und Entschlüsseln wird der gleiche Schlüssel genutzt
Hohe Anzahl benötigter Schlüssel (1 pro Paar)
Problem des Schlüsselaustausches

Asymmetrische Verschlüsselung
Verschlüsselung mit Public Key
Entschlüsselung mit Private Key
Geringere Anzahl benötigter Keys (1 pro Person)
Austausch von Schlüsseln vereinfacht

Hybride Verschlüsselung
Nachricht wird mit Zufallsschlüssel symmetrisch verschlüsselt
Schlüssel wird asymmetrisch verschlüsselt und mitgeliefert

E-Mails verschlüsseln Absender Empfänger
Absender verschlüsselt mit Public Key des Empfängers
Empfänger entschlüsselt mit eigenem Private Key
Empfänger muss Private Key besitzen
Absender muss Public Key des Empfängers haben

E-Mails signieren Absender Empfänger
Absender signiert mit eigenem Private Key
Empfänger verifiziert mit Public Key des Absenders
Absender muss Private Key besitzen
Empfänger muss Public Key des Absenders haben

Was braucht man für gesicherte E-Mail?
Beide Teilnehmer der E-Mail-Kommunikation müssen einen Key besitzen
Veröffentlicht wird nur der Public Key!
Private Key muss geheim bleiben!
Eigener Private Key durch „Mantra“ geschützt
„Mantra“ ist die „Schwachstelle des Systems“, kann aber beliebig lang sein

Verwaltung von Schlüsseln
Verwaltung der Keys im Schlüsselbund
Steuerung über Kommandozeile oder grafische Tools
Besteht aus
Eigenem Schlüssel (privat und öffentlich)
Fremden Schlüsseln (öffentliche)
Angaben zu Vertrauen und Gültigkeit

Einen Key erzeugen
Kommandozeile mit gpg
gpg --gen-key
Schritt-für-Schritt geführte Erzeugung des Keys
Grafische Tools, z.B. KGpg

Was dann?
Schlüssel selbst signieren, um Echtheit des Schlüssels sicherzustellen
gpg --edit-key Key-ID sign

Was dann?
Widerrufsurkunde erstellen
gpg --output revoke.asc --gen-revoke Key-ID

Was dann?
Key exportieren
gpg --armor --export Key-ID

Was dann?
Key exportieren
Fingerprint und Key-ID bekannt machen

Einen Key veröffentlichen
Persönliche Weitergabe
Veröffentlichung auf eigener Homepage, als Text oder Download
Auf Key-Servern, z.B.
wwwkeys.de.pgp.net
wwwkeys.eu.pgp.net
gpg-keyserver.de
Die Keyserver synchronisieren sich untereinander!

Andere Keys suchen, finden und importieren
Suche nach Key-ID oder nach Namen auf Keyservern
Direkter Import von persönlich erhaltenen oder von Webseiten importierten Keys
gpg --search-keys Key-ID
gpg --recv-keys Key-ID
gpg --import Key-File

Das „Web of Trust“
Importierte Schlüssel können signiert werden
Jedem Schlüssel kann eine (Eigentümer-)Vertrauensstufe zugewiesen werden:
Unbekannt (q)
Kein Vertrauen (n)
Teilweises Vertrauen (m)
Volles Vertrauen (f)
Davon abhängig ist das Vertrauen in den Schlüssel selbst
Vertrauen ist vollständig, wenn
Der Schlüssel selbst oder
Von einem Schlüssel vollsten Vertrauens oder
Von min. 3 Schlüsseln teilweisen Vertrauens unterzeichnet wurde und
Die so entstandene Kette nicht zu lang ist (5 Schritte)

Das „Web of Trust“
K
C
J
I
A
ICH
E
F
G
D
B
H
m
f
n
m
m
m
f

Andere Keys signieren
Wichtig! Eigentümer authentifizieren
Über Fingerprint
Über Ausweisdokumente
z.B. bei Key-Signing-Partys
Signierten Key an Eigentümer zurückgeben
Veröffentlichung sollte durch Eigentümer selbst erfolgen!

Signatur durch CAcert
Voraussetzungen:
eigenes CAcert-Zertifikat
mindestens 50 Assurance Points
Namen im Schlüssel und im Cacert-Zertifikat müssen überein stimmen!
(Quelle: http://wiki.cacert.org/PgpSigning)

E-Mails verschlüsseln und signieren
Text auf Kommandozeile verschlüsseln und als E-Mail versenden
Verschiedene Hilfsprogramme zur Signierung und Verschlüsselung, z.B.
Kmail / Kontact (KDE) -> Kgpg
Gnome -> Seahorse
Thunderbird -> enigmail
Div. Webmailer -> Browser Add-Ons, wie FireGPG für Firefox
Entwicklung eingestellt ----------------------------

Fragen? Anmerkungen? Danke für die Aufmerksamkeit! Folien bei Slideshare http://www.slideshare.net/birgithuesken

Fragen und Antworten nach dem Vortrag
Mein Key ist abgelaufen. Kann ich trotzdem doch E-Mails damit entschlüsseln? Ja, das geht. Der Key kann immer noch zu Entschlüsselung genutzt werden. Was nicht mehr geht, ist die Verschlüsselung mit dem Public Key und die Signierung mit dem Private Key. Es können nach Ablauf des Schlüssels also keine neuen Verschlüsselungen durchgeführt werden
Mein Key läuft ab, hat aber viele wertvolle Signaturen. Kann ich die retten, in dem ich meinen neuen Key mit dem alten unterschreibe? Nein, das geht nicht. Man kann aber den Key editiert und das Ablaufdatum ändern.

Fragen und Antworten nach dem Vortrag
Kann ich einen Key, für den ich keine Widerrufsurkunde habe, den ich aber aus verschiedenen Gründen nicht mehr nutzen kann, von Keyservern entfernen lassen? Nein, aus zwei Gründen: 1. Ich muss den Betreibern der Keyserver nachweisen können, dass ich wirklich der Eigentümer des Keys bin. Und das genau geht mit der Widerrufsurkunde. 2. Einmal veröffentlichte Keys werden nicht von den Servern gelöscht, weil sie ja prinzipiell für die Signatur von anderen Keys verwendet worden sein können. Wird der Key jetzt gelöscht, ist die Signatur nicht mehr nachvollziehbar. Aus diesem Grunde werden übrigens auch widerrufene Keys nicht von den Server gelöscht, sondern nur als „widerrufen“ gekennzeichnet! Dieses Vorgehen sorgt zwar für „Karteileichen“ auf den Keyservern, der Nachteil ist aber nicht so groß wie die ggf. massenweise Erzeugung nicht mehr zuzuordnender Signaturen!

Impressum Birgit Hüsken HS Niederrhein KIS – IT Servicemanagement Reinarzstr.49 47805 Krefeld E-Mail birgit.huesken@hs-niederrhein.de Tel. +49-2151-822-3225 Fax +49-2151-822-85-3225

CLT 2011: E-Mail-Verschlüsselung mit GPG

by Birgit Hüsken on Mar 19, 2011

Accessibility

Upload Details

Usage Rights

Statistics

CLT 2011: E-Mail-Verschlüsselung mit GPG — Presentation Transcript