GPG: Einschränkung WebMail und Schutz der Schlüssel?

Hallo erstmal, bin ja grade erst reingestolpert!

Nach 10 Jahren Internet habe ich langsam keine Lust mehr auf GMX und Co. Daher bin ich nun stolzer Besitzer eines eMail Kontos inkl. Domain bei Host Europe und wollte nun auch gleich mal ein privates GPG Projekt starten. Aber zuerst mal: was bringt's mir und was kostet's?

Einschränkungen sehe ich in erster Linie darin, dass WebMail bei GPG Mails nicht mehr funktioniert. Wenn ich verschlüsselte Mails lesen möchte, muss ich einen meiner PCs dabei haben, man ist unflexibler. Das bringt mich zum zweiten Teil meines Problems. Je mehr PCs ich habe und je mehr Software ich benutze, desto größer ist das Risiko, dass mein privater Schlüssel jemandem offenbart werden könnte. Den privaten Schlüssel zu verlieren bedeutet wiederum alle bis dato an mich adressierten Nachrichten wären lesbar (wenn man sie denn hat). Außerdem bedeutet es großen Aufwand, denn ein neuer Schlüssel muss verteilt werden. Das gilt es also zu verhindern.

In meinen Augen hat man immer den Kompromiss zwischen Flexibilität und Sicherheit. Am einen, sicheren Ende steht eine einsame (OpenBSD?) Box zu Hause, die nur zum Mails lesen und empfangen genutzt wird. Extrem unpraktisch. Auf der anderen, flexiblen Seite könnte ich mir neben all meinen PCs mit Mail Clients inkl. Schlüsseln einen eigenen Mailserver vorstellen, der meinen privaten Schlüssel hält und mir damit über SSL ein WebMail anbietet. Sehr flexibel, aber nicht mehr so sicher, außerdem aufwändiger einzurichten und zu warten. Dazwischen kann man sich noch andere Szenarien denken.

Fragen:
1) Wie handhabt ihr diesen Kompromiss? Was ist euch wichtiger? Wie benutzt ihr GPG?
2) Gibt es Tricks, wie man Flexibilität gewinnen kann, ohne an Sicherheit zu verlieren?
3) Könnt ihr mir Software oder komplette Setups empfehlen?

Hi tyrell,

und willkommen im Forum!
Zuerst einmal finde ich es sehr gut, dass du dir Gedanken über die Wahrung deiner Privatsphäre machst!

Also ich benutze grundsätzlich einen Mailclient und kein Webmail <grusel>, weshalb ich bei entsprechenden Diskussionen im Netz hinter diesem Wort auch einen kleinen Anhang setze ... .
Warum du "keine Lust mehr auf GMX und Co." mehr hast, kann ich allerdings weniger verstehen, denn die Mailserver jedes mit bekannten Providers kannst du mit POP3/IMAP und SMTP bedienen, also mit einem Mailclient nutzen.

Ich habe mich aus vielen Gründen für die Nutzung von Thunderbird entschlossen. Aber Mailclients gibt es ja viele, jeder hat seine Vor- und Nachteile, und Gewohnheiten sowie persönliche Vorlieben spielen natürlich auch eine große Rolle.
Für mich entscheidend war zum einen die fast grenzenlose Erweiterbarkeit des an sich spartanischen Clients, und natürlich auch, dass die beiden üblichen Verfahren der Mailverschlüsselung bereits gut implementiert (=> S/MIME) bzw. mit einem Add-on schnell und komfortabel nachzurüsten (=> GnuPG mit "Enigmail") sind. Und natürlich auch, dass ich den TB als portable Version stets und ständig auf dem USB-Stick mit mir herumtragen und bei Bedarf an fremden (leider nur) WinDOSen nutzen kann.
Selbstverständlich nutze ich ausschließlich IMAP, habe ich die Kalender auf einem WebDAV-Server gespeichert und die Adressen sowie die public Keys ("Zertifikate") meiner Mailpartner hole ich von meinem LDAP-Server.

Ich selbst bin von GnuPG schon ein paar Jahre weg (habe PGP unter DOS seit Version 2.6.? genutzt!) und nutze jetzt ausschließlich S/MIME. Über die Gründe dafür, sowie die Vor- und Nachteile beider Verfahren will ich hier an dieser Stelle aber keine Diskussion anfangen, da dieses hier [OT] wäre. Ausreichend sicher sind beide.

Meine wichtigsten Schlüssel befinden sich auf Chipkarte. Da brauche ich mir keine Gedanken machen. Und für "Pillepalle-Mail" nutze ich Softwarezertifikate => welche selbstverständlich jährlich gewechselt werden. Ja, das ist so Usus im professionellen Bereich! Es ist aber bei S/MIME auch kein Problem, denn eine signierte Mail von mir, und mein Mailpartner kann mir wieder verschlüsselt schreiben.

HTH
MfG Peter

Hallo Peter,

das Setup hört sich erstmal aufwändig an. Wie muss ich mir das mit der Chipkarte vorstellen? Hast du deine private keys auf einer Art EC Karte?

Bei GMX stören mich hauptsächlich die Werbemails und eine eigene Domain find' ich auch schöner.

Du hast mich mit S/MIME noch auf etwas aufmerksam gemacht, was ich schon verdrängt hatte. Ideal wäre ja beides zu nutzen, um mit möglichst vielen anderen Usern kompatibel zu sein.

tyrell schrieb:

das Setup hört sich erstmal aufwändig an.

Zum Vergrößern anklicken....

Naja, die Installation eines Mailclients ist nun mal aufwändiger, als mit dem Browser auf den Link für das Webmail <grusel> zu klicken ... .
Du kannst dich aber gern auf der in meiner Signatur verlinkten Seite informieren. In der Anleitung findest du auch einen längeren Beitrag zur Mailverschlüsselung und el. Signatur.

Wie muss ich mir das mit der Chipkarte vorstellen? Hast du deine private keys auf einer Art EC Karte?

Zum Vergrößern anklicken....

Es gibt Firmen, die nennen sich "TrustCenter". Ich kenne zufällig eines davon sehr gut ... .
Und dort kann man, selbstverständlich gegen entsprechende Löhnung, eine derartige Karte bekommen.
Ja, dort ist das Schlüsselpaar und eine ganze Menge an sonstigen Daten drauf. Das nennt sich X.509-Zertifikat. Die privaten Schlüssel werden durch den kryptologischen Rauschgenerator auf der Chipkarte erzeugt, sind durch einen PIN mit max. 3 Fehlversuchen gesichert und es gibt ggw. keine praktikable Lösung, um diesen Schlüssel von der Karte zu lesen. Eine derartige evaluierte (zugelassene) Prozessorchipkarte gilt deswegen weltweit als das sicherste Speichermedium für kryptologische Langzeitgeheimnisse. Die zu entschlüsselnden Daten (der symm. Sessionkey) bzw. der Hashwert für die Signatur müssen zur Karte gebracht werden um auf dem kryptologischen Coprozessor der Karte entschlüsselt bzw. bei der Signatur verschlüsselt zu werden.

Bei GMX stören mich hauptsächlich die Werbemails und eine eigene Domain find' ich auch schöner.

Zum Vergrößern anklicken....

Nun, von "irgendwas" müssen auch die Provider bei ihren zahlungsunwilligen Kostnix-Kunden leben. In der heutigen "Geiz ist geil-Welt" sind viele Menschen nicht bereit für entsprechende Leistung zu bezahlen. Also müssen sie die Werbung schlucken. Ich bin bereit, für entsprechende Leistung auch meinen Obulus zu löhnen (wie du ja auch). "Schönheit" ist da eigentlich Nebensache. Leistung (Speicherplatz, Möglichkeiten wie IMAP, Anzahl der Konten, Reaktionszeiten und auch der Aufwand den der Provider für die Sicherheit der Daten seiner Kunden betreibt) zählt.

Du hast mich mit S/MIME noch auf etwas aufmerksam gemacht, was ich schon verdrängt hatte. Ideal wäre ja beides zu nutzen, um mit möglichst vielen anderen Usern kompatibel zu sein.

Zum Vergrößern anklicken....

Niemand hindert dich daran ... .
Noch dürfen wir unsere Mails verschlüsseln.

MfG Peter

Von diesen Crypto-Karten hat uns ein Professor mal erzählt. Sie wären auch für z.B. EC Karten / Kreditkarten geeignet und sicherer als aktuelle Chipkarten, jedoch zu teuer. Wenn du deinen E-Mail Client auf dem USB Stick mit dir trägst, sind die privaten Schlüssel dann dort drauf oder hast du das Chipkarten-Lesegerät auch noch dabei? Eine meiner Fragen war ja, wie man seine Keys möglichst gut schützen kann. Ein Laptop ist schnell verloren oder geklaut, alternativ kommt jemand über eine Sicherheitslücke auf meinen PC. Eine meiner Fragen war ja, wie man seine Keys möglichst gut schützen kann, ohne da jetzt eine dedizierte eMail Kiste zu Hause zu haben... (Wer etwas paranoid ist, nutzt PGP/GPG/..., wer etwas paranoider ist, stellt vorher solche Fragen Werden die Keys beispielsweise verschlüsselt auf der Platte gelagert und sind nur durch Passworteingabe zugänglich?

Leider gehöre ich auch zu der Kategorie derjenigen, deren Kontakte primär Win based arbeiten. Ich hatte mal GPG aufgesetzt und konfiguriert aber dann bei einer OS Neuinstallation wg mangelnder Nutzung weggelassen. Einmal hätte ich es gebraucht - als ich Kontozugangsdaten nach China verschicken musste - aber habe dann das Sicherheitsproblem anders gelöst.
Ehlich gesagt sind meine eMails nicht sonderlich tiefsinnig. Profile zu Leuten kann man per Internet mittlerweile ja sehr schön erstellen - aber meines Wissens nach sind da eMails als Basis ausgeschlossen und wirklich nur in Sonderfällen für bestimmte Personen sicht- und lesbar.
Für sicherheitsrelevante eMail mit Zugangsdaten zu Accounts usw macht es Sinn - aber ansonsten sehe ich für OttoNormalVerbraucher keinen need und für mich ein 'nice to have'.

Dass man eMail Verschlüsselung in 99,9% der Fälle nicht braucht, weil die Nachricht nicht abgefangen wurde oder sie einfach nicht wichtig ist, weiß ich. Es geht mir dabei unter anderem auch darum, es einfach zu nutzen, damit andere es auch tun. Bei z.B. Ärzten oder Anwälten wäre es nämlich ganz schön, wenn die sich mal mit PGP & Co beschäftigen würden.