E-Mail-Verschlüsselung mit PGP

PGP: Vertrauenssache ohne CA

Anders bei PGP (Pretty Goo Privacy). Während der S/MIME-Standard ab 1995 von einem Konsortium von Herstellern entwickelt wurde, geht PGP auf das Engagement seines Erfinders Phil Zimmermann zurück, der die Quellen von Beginn an im Jahr 1991 offen legte, mit der Folge, dass die von PGP verwendete PKI heute weit verbreitet und einfach zugänglich ist. Allerdings enthalten die meisten E-Mail-Clients von Haus aus nur native Unterstützung für S/MIME; während PGP meist nachzurüsten ist. PGP und S/MIME funktionieren zwar ähnlich und verwenden neben zum Teil identischen Verschlüsselungs-Algorithmen (z. B. RSA) beide ein hybrides Verschlüsselungsverfahren, sind aber nicht kompatibel und können auch keine signierten oder verschlüsselten Nachrichten austauschen.

Zum Verschlüsseln einer MailMail benötigten man neben dem eigenen geheimen Schlüssel den öffentlichen Schlüssel des Kommunikationspartners und dieser zum Entschlüsseln neben seinem privaten Key den öffentlichen Schlüssel des Senders. Da der Sender die Mail auch mit dem öffentlichen Schlüssel des Empfängers kodiert, ist auch nur dieser zusammen mit seinem privaten Key in der Lage, diese zu entschlüsseln. Daher ist es gefahrlos und problemlos möglich, den eigenen öffentlichen Schlüssel gleich mitzusenden oder auf einen Schlüsselserver zu laden. Alles zu Mail auf CIO.de

Vorteile von PGP

Der entscheidende Vorteil von PGP besteht neben den Kosten (bei OpenPGP, beziehungsweise GnuPG) darin, dass keine zentrale CA erforderlich ist, weil Nutzer die Schlüssel anderer Nutzer (bei PGP spricht man von Schlüsseln, statt Zertifikaten) untereinander beglaubigen können. Je mehr PGP-Nutzer dem eigenen öffentlichen Schlüssel vertrauen, desto höher seine Reputation. (Open)PGP nutzt zum Verteilen der Schlüssel nämlich eine Public-Key-Infrastruktur (PKI), bei der Schlüsselserver zum Verteilen der öffentlichen Schlüssel der Nutzer eine zentrale Rolle spielen.

Die Schlüsselserver der PGP-PKI sind gewöhnliche Datenbanken mit einer HTTP-Schnittstelle, die es Nutzern ermöglicht, ihre öffentlichen Schlüssel hochzuladen oder nach Schlüsseln zu suchen. Ein HTTP-basierter Keyserver lässt sich im Gegensatz zu einer X.509-CA relativ einfach aufzusetzen und verursacht nur wenig Wartungsaufwand, unter anderem weil das System im Gegensatz X.509-Architektur nicht hierarchisch aufgebaut ist.

Fazit

Die Technik des Verschlüsselns von E-Mails via PGP mit öffentlichen und privaten (geheimen) Schlüsseln ist an sich einfach. Die Krux ist nur, dass man nicht einseitig verschlüsseln kann, weil man gerade Lust dazu hat. Eine vorherige Verständigung mit dem Kommunikationspartner ist auf die eine oder andere Weise unerlässlich. Und wenn der Andere gerade keine Lust hat, sich mit PGP zu befassen und ein Schlüsselpaar zu generieren, stockt der Prozess und die guten Vorsätze bleiben in der Warteschlange.