Sichere Kommunikation

Hier sollten ein paar Anleitungen oder Links zu GnuPG und dem "web of trust" hin, da danach oft gefragt wurde. Werde ich (sirveillance) in den nächsten Tagen machen.

Motivation

Die Verschlüsselung mittels GnuPG/PGP ist sehr sinnvoll, da dadurch keinerlei Rückschlüsse auf den Inhalt der Mails gemacht werden können. Damit dies aber etwas bringt, sollten möglichst viele Leute ihre Mails verschlüsseln, was im Moment leider noch nicht der Fall ist. Durch Verschlüsselung wird zwar der Inhalt geheim gehalten, jedoch ist weiter nachvollziehbar, wer mit wem kommuniziert. Deshalb ist Verschlüsselung zwar eine wichtige Sache, aber sie hilft nicht gegen die Vorratsdatenspeicherung, bei der erstmal "nur" Verbindungsdaten gespeichert werden sollen. Aber auch soweit darf es nicht kommen.

Warum wir GnuPG/PGP brauchen? Klar, einerseits wegen der Überwachung. Aber wichtiger ist in dem Fall einer politischen Initiative die Überprüfbarkeit der Identität.

Wir müssen damit rechnen, dass es Menschen gibt, die diese Initiative misbilligen und evtl. sogar sabotieren wollen. Dies kann man z.B. erreichen, indem man Zwietracht durch gefälschte E-Mails, Forenbeiträge, etc. säht und so eine Organisation zersplittert. Darum brauchen wir überprüfbare Identitäten. Diese Identitäten können auch Pseudonyme sein - wichtig ist, dass man überprüfen kann, dass alle Beiträge dieses Pseudonyms von derselben Person kommen.

Beim Einsatz von GnuPG/PGP oder ähnlichen Verfahren muß man besonders darauf achten, daß der eigene Rechner "sauber" bleibt, denn wenn jemand mißbräuchlich den eigenen Schlüssel verwendet, ist mit Problemen zu rechnen, da solch ein Mißbrauch meist schwer nachweisbar und der Inhaber des Schlüssels hier in der Nachweispflicht ist (Umkehrung der Beweislast).

Links

E-Mail verschlüsseln, signieren

Es gibt grundsätzlich zwei verschiedene Methoden um Emails zu verschlüsseln: PGP/GPG und S/MIME. Die Schlüssel sind zueinander inkompatibel, d.h. PGP/GPG funktioniert nicht mit S/MIME und vice versa.

1. Methode PGP/GPG

• Enigmail - Erweiterung für Thunderbird, das zu Firefox gehörige Mailprogramm. Die deutschsprachige Seite enthält weitere Links und Informationen.
• www.biglumber.com - Hier kann man Leute aus der Nähe finden, die bereit sind, Schlüssel zu unterschreiben.
• WinPT - ein Softwarepaket, das Verschlüsselung von Dateien und über die Zwischenablage erlaubt. Beinhaltet auch ein Programm zur Schlüssel-Verwaltung. Das geht prinzipiell mit jedem Mailprogramm.
• Anleitung der Uni Köln
• GnuPG Anleitung - auch "Der Große Bruder" hat eine Anleitung parat.
• Crypto CD - Eine CD mit der benötigten Software und einfachen Anleitungen. Auch zum online lesen verfügbar!
• Anleitung zu PGP/GPG - Die Raven Hompage, eine "Institution" in Sachen Kryptographie.
• Anonym im Internet - E-Mail Verschlüsselung mit GnuPG und S/MIME für Thunderbird, anonyme E-Mails schreiben mit Quicksiver und Mixmaster, anonym Surfen mit Firefox.
• GnuPG unter Mac OS X - E-Mail Verschlüsselung und mehr mit GnuPG unter OS X
• CACert.org - Eine freie Organisation, die es sich zur Aufgabe gemacht hat, jedermann die verschlüsselte Kommunikation in einem "Web of Trust" (WOT) zu ermöglichen. Signiert PGP/GPG Schlüssel

Wenn jemand Links zu einfacheren Anleitungen über das Web Of Trust kennt - bitte eintragen!

2. Methode S/MIME

• Enigmail - Erweiterung für Thunderbird, das zu Firefox gehörige Mailprogramm. Die deutschsprachige Seite enthält weitere Links und Informationen.
• CACert.org - Eine freie Organisation, die es sich zur Aufgabe gemacht hat, jedermann die verschlüsselte Kommunikation in einem "Web of Trust" (WOT) zu ermöglichen. Signiert S/MIME Zertifikate.

anonym im web

• tor - software, die die vorratsdatenspeicherung aushebelt
• Java_Anon_Proxy - so was ähnliches

Hilfe

Sicherheit erfordert meistens auch Verständnis der zu benutzenden Systeme. Es kann nie schaden, einen erfahrenen Anwender um Rat zu fragen. Z.B. in unserem Chat, per Mail, etc.

Oft sind die Leute, die sich z.B. unter www.biglumber.com eintragen auch motiviert, andere zu überzeugen und evtl. zu helfen. Nachfragen kann sicher nicht schaden.

Schlüssel unterschreiben

Schlüssel sollte man nur unterschreiben, wenn man die Zugehörigkeit von Identität und Schlüssel sehr genau überprüft hat. (Von Angesicht zu Angesicht)

Ein Beispiel für die Vorraussetzungen eines gegenseitigen Schlüsselunterschreibens gibts z.B. hier.

Wenn man sich nur relativ sicher ist, aber nicht "dafür gerade stehen will", unterschreibt man einen Schlüssel nur lokal (nicht exportierbar). So wird verhindert, dass andere sich auf die Unterschrift verlassen.