| Funktion: | Es gibt prinzipiell
zwei Grundfunktionen von PGP (=Pretty Good Privacy):
Erstens kann der Inhalt einer eMail oder auch einer Datei "unsichtbar" gemacht werden, Zweitens kann Text oder auch eine Datei "signiert" werden. Veränderungen würden sofort erkannt. |
| Warum? | Es mag sicherlich nicht nötig sein, jede Mail gleich zu signieren und zu verschlüsseln. Aber zur Übertragung von vertraulichen Daten (Kreditkartennummern, Passwörtern, Adressen, Bestelldaten u.s.w.) benutzt man im Internet ja auch "sichere" (das heißt verschlüsselte) Seiten. So sollte man beim mailen auch vorgehen. Merkwürdigerweise ist einem Grossteil der Internetbenutzer gar nicht klar, dass eMails auf ihrem Weg durchs Netz von jedem Techniker an den Servern direkt eingesehen werden können. Wenn Sie Ihrem Kumpel also per eMail mitteilen, dass der Schlüssel zum Blumengießen unter dem zweiten Stein neben der Waschküche liegt und Ihr Mailprogramm auch gleich brav Ihren Absender mit Strasse und Postleitzahl anhängt, dann sollten Sie diese eMail verschlüsseln. |
| Woher? | Im Internet sind unzählige Server mit unzähligen Freeware-Versionen von PGP für fast alle Rechnerplattformen verfügbar. Auch Bezahlversionen für Firmen sind erhältlich. Die vielen Versionen sind teils aus Gründen der Weiterentwicklung entstanden. Ein weiterer Grund ist, dass mit der ersten Veröffentlichung ein in den USA patentierter Algorithmus verwendet wurde. Auch fallen Kryptisierungsprogramme in den USA unter das Waffenexportverbot. Mit mehreren Kniffen wurden diese Beschränkungen umgangen. |
| Wie? | Will man PGP benutzen, muss man sich für eine Version entscheiden. Es gibt prinzipiell zwei Arten von Schlüsseln: Den alten RSA-Schlüssel (dessen Patent mittlerweile auch ausgelaufen ist) und den in den neueren Versionen verwendeten Diffie/Hellman- Schlüssel. Manche können auch beide verwenden. Leider gab es einmal einen Programm-GAU: Die neuen Keys konnten dabei so manipuliert werden, dass unbemerkt entschlüsselbare Kopieen erstellt wurden. Die schon ziemlich alte Version 2.6.3i gilt als sicher. Außerdem gibt es dazu auch ein deutsches Sprachmodul. Die Anwendung arbeitet unter DOS, kann aber mit kleinen Zusatzprogrammen auch grafisch bedient werden. |
| Genauer bitte... | Mit dem Programm wird ein Schlüsselpaar generiert: Ein "öffentlicher" Schlüssel und ein "privater" Schlüssel. Der öffentliche Schlüssel ist z.B. über die internationalen PGP-Keyserver für Jedermann abrufbar, wenn Sie diesen dorthin übertragen haben. Jeder kann nun mit diesem Schlüssel Nachrichten oder Dateien verschlüsseln. Aber nur der Inhaber des zugehörigen privaten Schlüssels kann den Inhalt wieder sichtbar machen. Dabei ist der private Schlüssel zusätzlich noch mit einem Passwort gesichert. |
| Ist das sicher? | Ja. Das System gilt derzeit als praktisch unknackbar, wenn mindestens 1000-bit große Schlüssel generiert werden. Jedenfalls wäre der Aufwand (mehrere Superrechner und mehrere Mathematiker benötigen mehrere Wochen oder Monate) nicht gerechtfertigt, nur um zu wissen, wann Ihr Kumpel die Blumen gießen soll...denn geknackt wäre dann nur EINE Nachricht, nicht etwa der private Schlüssel! Daher ist es wichtig, den privaten Schlüssel sorgsam aufzubewahren und mit einem großen Passwort (30 Zeichen und mehr) zu sichern. Eingeschleuste Spähprogramme sind allerdings eine realistische Möglichkeit, an Schlüssel und Passwort zu kommen! Firewall und Virenscanner wären schon sinnvoll, wenn viel gesurft wird. Auch macht es Sinn, den privaten Schlüssel auf Diskette und nicht auf der Festplatte zu speichern (ausreichend viele Backup-Kopien erstellen! Verlorene Schlüssel sind nicht wiederherstellbar!!) . |
| Aber Achtung! | Überprüfen Sie sorgfältig und regelmäßig, ob Ihr Programm und Ihr "Schlüsselbund" gültig ist. PGP bietet hierzu umfangreiche Werkzeuge. Beispielsweise müssen bei neuen Schlüsseln Typ, Größe, ID-Nummer, Name und Fingerprint stimmen. Auch auf den internationalen Keyservern (Suchwort "PGP+Keyserver") können die Schlüssel abgerufen werden, wenn der Nutzer diese(n) dorthin hochgeladen hat. Und den Fingerprint sollte man auf separatem Weg (per Telefon, Brief oder persönlich) kontrollieren. Danach kann man den Schlüssel selbst "beglaubigen". Auch offizielle Zertifizierungsstellen können Beglaubigungen ausstellen. |
| Und.... | ...als MS-WINDOWS-Nutzer sollten Sie auf Outlook-Express verzichten. Zusammen mit dem ohnehin katastrophal unsicheren Microsoft-Betriebssystem stellt es ein echtes Risiko dar, um sich Trojaner und Backdoor-Spähprogramme zu fangen. Pegasus Mail z.B. ist eine gute Alternative. |
| Das war's. | Wer mehr Infos will: Suchmaschine anwerfen und staunen. Das Netz ist brechend voll von Infos über Kryptisierung/Verschlüsselung. Nochmals mein Tipp: Die alte Version 2.6.3ia (deutsch) für MS-DOS ist klein und trotzdem extrem leistungsfähig. Vor allem beschränkt sie sich auf die wesentlichen Funktionen und wurde von unzähligen Mathematikern und Kryptologen getestet, da der Source-Code dazu komplett veröffentlicht wurde. In neueren Versionen wurden bereits Sicherheitslücken entdeckt. |
| Ein Link: | Umfangreiche und kompetente Abhandlung in deutscher Sprache |