5 Zwei Wege, ein Ziel: OpenPGP & S/MIME

Inhalt

5 Zwei Wege, ein Ziel: OpenPGP & S/MIME

Sie haben gesehen, wie wichtig der „Umschlag“ um Ihre E-Mail ist und wie man ihn mit den Mitteln der modernen Informationstechnologie bereitstellt: ein Brieftresor, in den jedermann verschlüsselte Mails legen kann, die nur Sie als Besitzer des Brieftresors entschlüsseln können. Es ist unmöglich, die Verschlüsselung zu knacken, solange der private Schlüssel zum „Tresor“ Ihr Geheimnis bleibt.

Allerdings: Wenn man genauer darüber nachdenkt, gibt es noch ein zweites Problem. Weiter oben haben Sie gelesen, dass man - im Gegensatz zur Geheimschlüssel-Methode - den Briefpartner nicht persönlich treffen muss, damit er eine geheime Nachricht übermitteln kann. Wie kann man dann aber sicher sein, dass er auch tatsächlich derjenige ist, für den er sich ausgibt? Beim E-Mail-Verkehr kennen Sie in den seltensten Fällen alle Ihre Briefpartner persönlich - und wer sich wirklich hinter einer E-Mail-Adresse verbirgt, kann man nicht ohne Weiteres feststellen. Also muss nicht nur die Geheimhaltung der Nachricht gewährleistet sein, sondern auch die Identität des Absenders - die Authentizität.

Irgendjemand muss also beglaubigen, dass die Person, die Ihnen geheime Nachrichten schicken will, auch tatsächlich echt ist. Im Alltagsleben dient zu dieser „Authentisierung“ ein Ausweis, eine Unterschrift oder eine Urkunde, die von einer Behörde oder einem Notar beglaubigt wurde. Die Berechtigung zur Beglaubigung bezieht diese Institution von einer übergeordneten Behörde und letztendlich vom Gesetzgeber. Anders betrachtet, handelt es sich um eine Vertrauenskette, die sich von „oben“ nach „unten“ verzweigt: man spricht von einem „hierarchischen Vertrauenskonzept“.

Dieses Konzept findet sich bei Gpg4win oder anderen E-Mail-Verschlüsselungsprogrammen fast spiegelbildlich in S/MIME wieder. Dazu kommt OpenPGP, ein weiteres Konzept, das so nur im Internet funktioniert. S/MIME und OpenPGP haben beide die gleiche Aufgabe: das Verschlüsseln und Signieren von Daten. Beide benutzen die bereits bekannte Public-Key-Methode. Es gibt zwar einige wichtige Unterschiede, aber letztlich bietet keiner der Standards einen allgemeinen Vorteil gegenüber dem anderen. Deshalb können Sie mit Gpg4win beide Verfahren einsetzen.

Die Entsprechung des hierarchischen Vertrauenskonzepts hat den schönen Namen „Secure / Multipurpose Internet Mail Extension“ oder S/MIME. Mit S/MIME müssen Sie Ihren öffentlichen Schlüssel von einer dazu berechtigten Organisation beglaubigen lassen, bevor er wirklich nutzbar wird. Das Zertifikat dieser Organisation wurde wiederum mit dem Zertifikat einer höher stehenden Organisation beglaubigt, usw. - bis man zu einem sogenannten Wurzelzertifikat kommt. Diese hierarchische Vertrauenskette hat meist drei Glieder: das Wurzelzertifikat, das Zertifikat des Zertifikatsausstellers (auch CA für Certificate Authority genannt) und schließlich Ihr eigenes, das Anwenderzertifikat.

Als zweite, alternative, nicht kompatible Methode der Beglaubigung dient der Standard OpenPGP, der keine Vertrauenshierarchie aufbaut, sondern ein „Netz des Vertrauens“ (Web of Trust). Das Web of Trust bildet die Grundstruktur des nicht hierarchischen Internets und seiner Nutzer nach. Vertraut zum Beispiel der Teilnehmer B dem Teilnehmer A, könnte B auch dem öffentlichen Schlüssel des ihm selbst unbekannten Teilnehmers C vertrauen, wenn dieser Schlüssel durch A beglaubigt wurde.

Mit OpenPGP besteht also die Möglichkeit, ohne die Beglaubigung einer höheren Stelle verschlüsselte Daten und E-Mails auszutauschen. Es reicht aus, wenn Sie der E-Mail-Adresse und dem dazugehörigen Zertifikat Ihres Kommunikationspartners vertrauen.

Ob nun mit einer Vertrauenshierarchie oder einem Web of Trust - die Authentisierung des Absenders ist mindestens ebenso wichtig wie der Schutz der Nachricht. Im weiteren Verlauf dieses Kompendiums kommen wir auf diese wichtige Sicherheitsmaßnahme noch einmal zurück. Im Moment sollte Ihnen dieser Kenntnisstand ausreichen, um Gpg4win zu installieren und die folgenden Kapitel zu verstehen:

• Beide Verfahren - OpenPGP und S/MIME - bieten die notwendige Sicherheit.
• Die Verfahren sind nicht kompatibel miteinander. Sie bieten zwei alternative Methoden zur Authentisierung Ihrer geheimen Kommunikation. Man sagt somit, sie sind nicht interoperabel.
• Gpg4win ermöglicht die bequeme parallele Nutzung beider Verfahren - Sie müssen sich aber bei jeder Verschlüsselung/Signierung für eines der beiden entscheiden.

Kapitel 7 dieses Kompendiums zur Erzeugung des Schlüsselpaares verzweigt sich aus diesem Grund zu beiden Methoden. Am Ende von Kapitel 7 fließen die Informationen wieder zusammen.

5 Zwei Wege, ein Ziel: OpenPGP & S/MIME

Inhalt