LinuxUser Spuren im Netz verwischen, Kommunikation absichern (Vorschau)

E-Mail-Verschlüsselung
Schwerpunkt
ten heute erhältlichen E-Mail-
Clients bereits native S/​MIME-
Unterstützung, während man PGP
oft nachrüsten muss.
S/​MIME ist als MIME-Erweiterung
konzipiert und definiert dazu
zwei zusätzliche Content- Typen:
Multipart/​Signed zum Signieren
einer Mail und Multipart/​Encrypted
zum Verschlüsseln. Im Gegensatz
zu (Open)PGP benötigt
S/​MIME auf dem X.509-Standard
basierende Zertifikate.
Die Anhänger beider Lager streiten
seit Jahrzehnten, welche Lösung
die bessere ist. Dass besser
nicht zwangsläufig praktikabler
bedeutet, ist einer der Gründe dafür,
dass sich inzwischen die meisten
Firmen und Anwender aufgrund
der einfacheren Handhabbarkeit
für OpenPGP entscheiden.
Zwar garantieren beide Verfahren
gute Sicherheit, und auch die Verfügbarkeit
der notwendigen Frontends
kann nicht mehr als Argument
für oder gegen PGP oder
S/MIME herhalten. Die Flexibilität
der PKI spricht aber für PGP.
PGP-PKI
Das A und O der Praktikabilität bei
der E-Mail-Verschlüsselung stellt
ein effizientes Verfahren zum Verteilen
der Schlüssel dar. OpenPGP
nutzt dazu (bei PGP spricht man
nicht von Zertifikaten) eine Public-
Key-Infrastruktur. Der Begriff
kennzeichnet in der Kryptologie ein
System, das digitale Zertifikate ausstellen,
verteilen und prüfen kann.
Im Gegensatz zu S/​MIME verwendet
OpenPGP jedoch keine
X.509-Zertifikate. Seine PKI besteht
aus einem öffentlich zugänglichen
System zum Verteilen von
Schlüsseln auf Basis von
HTTP-Schlüsselservern. Ein
wesentlicher Vorteil gegenüber
S/​MIME: Die (Open)PGP-Anwender-Gemeinde
hat im Verbund
Pgp.net sowie mit Servern der Anbieter
von OpenPGP-Software (wie
etwa Keyserver.de) über die Jahre
eine recht gut synchronisierte PKI
geschaffen. In der X.509-Welt ist
das bis heute nicht der Fall.
Bei den Schlüsselservern der PGP-
PKI handelt es sich um gewöhnliche
Datenbanken mit einer
HTTP-Schnittstelle, welche es Benutzern
erlaubt, Schlüssel abzuliefern
oder nach diesen zu suchen.
Der Schlüssel-Server antwortet
mit einer HTML-Seite, die
der Nutzer entweder manuell
oder – mithilfe der Verschlüsselungssoftware
– automatisch auswertet.
Ein HTTP-Keyserver lässt
sich im Gegensatz zu einer X.509-
PKI relativ einfach aufsetzen und
verursacht wenig Wartungsaufwand
– unter anderem, weil das
System im Gegensatz X.509-Architektur
nicht hierarchisch aufgebaut
ist, was Konsequenzen für
die Schlüsselbeglaubigung hat.
S/​MIME-PKI
Bei X.509-Schlüsseln handelt es
sich um lupenreine Zertifikate, die
ausschließlich durch eine Zertifizierungstelle
(Certificate Authority,
CA) ausgestellt werden und die
das System in einem X.500-konformen
LDAP-Verzeichnisdienst
speichert. Letzterer sieht eine
streng hierarchische Struktur vor,
die zwingend eine vertrauenswürdige
Instanz als CA benötigt.
Prinzipiell stellt ein LDAP-Verzeichnisdienst
tatsächlich die bessere
Lösung zum Speichern von
Zertifikaten dar, unter anderem,
weil er sich einfacher replizieren
lässt. HTTP-Keyserver, wie Open-
PGP sie nutzt, benötigen dagegen
einen eigenen Replikationsmechanismus,
nebst zugehöriger Konzepte
für Hochverfügbarkeit und
Backups. Allerdings ist es aus Sicherheitsgründen
problematisch,
LDAP-Verzeichnisdienste externen
Partnern zugänglich zu machen:
Ein LDAP-Dienst ist nicht
Proxy-fähig und benötigt einen eigenen
TCP-Port in der Firewall.
Ein weiteres Problem für die Verbreitung
einer X.509-PKI besteht
darin, dass nur offizielle Zertifizierungsstellen
und Organisationen
entsprechende Zertifikate
ausstellen können. Ein X.509-Zertifikat
enthält als Nachweis der
Gültigkeit einen öffentlichen
Schlüssel, eine User-ID und eine
Unterschrift. Daneben vergibt die
CA für jedes X.509-Zertifikat außer
der Unterschrift noch weitere
Teile, wie einen Distin guished
Name und eine Seriennummer.
Die in der Regel kommerziellen
CAs lassen sich den Aufwand für
A Auch Thunderbird enthält von Haus aus Unterstützung für S/​MIME, sodass
Sie hierzu keine Erweiterung installieren müssen.
Glossar
MIME: Multipurpose Internet
Mail Extensions.
Erweiterungen des Internetstandards
RFC822,
der das Datenformat
von E-Mails definiert.
MIME ermöglicht es,
zwischen Sender und
Empfänger Informationen
über den Typ der
übermittelten Daten
auszutauschen und eine
entsprechende Zeichencodierung
festzulegen.
X.509: Standard der
Internationalen Fernmelde-Union
(ITU-T) für
eine Public-Key-Infrastruktur
zum Erstellen
digitaler Zertifikate.
LDAP: Lightweight Directory
Access Protocol
(RFC4510/​4511).
Dieses Client/​Server-
Protokoll für IP-Netzwerke
erlaubt das Abfragen
und Modifizieren
von Informationen eines
Verzeichnisdienstes (einer
im Netzwerk verteilten,
hierarchischen Datenbank).
www.linux-user.de
11 | 11 21