1x1 der Verschlüsselung und Signierung

Verschlüsseln und Signieren für "Nicht-Techniker". Es ist gar nicht so einfach, wenn Sie einer klar aufgebauten Argumentationskette folgen können:

  • Verschlüsseln ist wichtig
    Ansonsten könnten Sie sich auch den Briefumschlag, Vorhänge, getönte Scheiben etwas sparen. Es gibt Informationen, die sollen nur berechtigte Personen sehen können.
  • Signieren ist nicht weniger wichtig
    Über eine digitale Signatur kann der Empfänger sicherstellen, dass der Absender nicht gefälscht ist. So lässt sich Phishing etc. deutlich erschweren.
  • Einige Verschlüsselungen gehen schon Bordmitteln
    Um einfach nur Informationen zu schützen können Sie schon heute diese mit einem Kennwort schützen. Das kann ein ZIP-Archiv mit Kennwort sein oder selbst Office3-Programme wie Word, Excel und Co können Dokumente schützen. Selbst das Windows Dateisystem NTFS kenne eine Verschlüsselung (EFS) und mit Bitlocker können bestimmte Windows Versionen die komplette Festplatte verschlüsseln.

Dabei handelt es sich aber immer um eine "symmetrische" Verschlüsselung, d.h. das Kennwort zum Schützen und das Kennwort zum Sichtbarmachen ist identisch. Wenn Sie so eine Information an jemand anderes senden, muss dieser das gleiche Kennwort haben. Das ist aus mehreren Gründen ein Nachteil

  • Viele Kennworte
    Wenn Sie unterschiedliche Informationen an mehrere Personen senden, dann brauchen Sie genau genommen für jeden Partner ein eigenes Kennwort. Das ist nicht wirklich handhabbar
  • Kennwort übermitteln
    Zudem muss der Partner das Kennwort auch "wissen". Wie übertragen Sie dieses Kennwort sicher zum Partner ?
  • Sicherheit und Länge des Kennworts
    Bei einem PC reicht ein relativ kurzes Kennwort, denn nach ein paar Fehlversuchen wird das Konto für einige Zeit "gesperrt". Bei einer Datei kann man ganz viele Versuche ohne echte Bremse durchprobieren.

Dann haben drei findige Leute (Rivest, Shamir und Adleman = RSA) eine besondere Formel entwickelt. Dazu benötigt man ein Schlüsselpaar, die sich jeder einmal selbst errechnet. Große Primzahlen und Zufall spielen eine Rolle, damit jeder ein möglichst individuelle einmaliges Schlüsselpaar bekommt. Das System ist besonders weil:

  • Aufsperr- und Zusperr-Schlüssel
    Eine Information, die mit dem einen Schlüssel "verrechnet" wird, kann nur mit dem anderen Schlüssel wieder zurückgerechnet werden. Das ist was einmalige, weil man damit einen Schlüssel für sich behalten kann, aber den anderen öffentlich machen darf.
  • Schlüssel nicht voneinander ableitbar
    Wenn man einen Schlüssel kennt, kann man aktuell nicht den dazugehörigen Partner errechnen. Das ist wichtig, damit niemand von dem öffentlichen Schlüssel auf den zweiten privaten Schlüssel schließen kann.

Interessant wird das nun, wenn beide Kommunikationspartner ihr Schlüsselpaar haben und die öffentlichen Schlüssel ausgetauscht haben.

  • Verschlüsseln
    Wenn Benutzer 1 eine Information sicher zu Benutzer 2 übertragen will, dann kann er diese einfach mit dem öffentlichen Schlüssel von Benutzer 2 "codieren". Benutzer 2 ist der einzige, der mit seinem privaten Gegenstück des Schlüssels die Information wieder lesbar machen kann.
  • Signieren
    Zum Signieren nutzt der Versender seinen
  • Verschlüsseln und Signieren
    Das ist dann einfache die Kombination beider Verfahren.

Damit sollten Sie nun auch verstanden haben, wer neben einem kompatiblen Mailprogramme noch etwas beisteuern muss:

  • signierten Versand
    Hier braucht der Sender ein Schlüsselpaar. Wenn ich etwas signieren will, dann verschlüssle ich eine Prüfsumme über die zu sendende Information und hänge sie mit an. Sie können dann auch eine Prüfsumme rechnen und die angehängte Prüfsumme mit meinem öffentlichen Schlüssel entschlüsseln und vergleichen.
  • verschlüsselter Versand
    Damit sie als Versender eine Information verschlüsseln können, müssen Sie zuerst den "öffentlichen Schlüssel" des Empfängers bekommen.
    Wenn ich an sie verschlüsseln will, dann verrechne ich die Information einfach mit ihrem öffentlichen Schlüssel. Und schon sind sie die einzige Person, die das wieder lesen kann.

Und da kommen nun auch die Zertifikate ins Spiel. Als Absender müssen sie ja sicher sein, dass der öffentliche Schlüssel eines Empfängers auch korrekt und gültig ist. Sonst würden Sie eine Information ja mit einem falschen Schlüssel verschlüsseln und jemand anderes könnte die Mail dann doch lesen. Daher verteilen die Teilnehmer ihre öffentlichen Schlüssel nicht einfach als Zahlencode, sondern packen diese in eine Datei, die mehrere Bausteine enthält:

  • Public Key
    Der ist natürlich wichtig und da niemand 2048bit abtippen will, ist ein gemeinsamer Standard hier schon angenehm.
  • Mailadresse des Inhabers
    Damit können Sie den öffentlichen Schlüssel einer Mailadresse zuordnen
  • Signatur durch eine Zertifizierungsstelle
    Eine Zertifizierungsstelle kann diese Kombination digital unterschreiben, so dass sie nicht weiter nachfragen müssen
  • Gültigkeitsdauer
    Technisch können die ihr Schlüsselpaar bis zum Lebensende nutzen. Das ist sogar ratsam. Aber die "Beglaubigung" sollten nicht endlos sein, sondern muss immer wieder erneuert werden. Das ist quasi ein Verfallsdatum, nach der niemand mehr diesem Zertifikat vertrauen sollte
  • Rückrufadresse
    Damit ein Schlüsselpaar aber auch vorher schon als "ungültig", weil z.B. gestohlen, erklärt werden kann, hinterlegt die Zertifizierungsstelle eine Webadresse, über die ihr Client auch zwischenzeitlich mal nachfragen kann, ob das Zertifikat noch gültig ist.

Natürlich stehen in dem Zertifikat noch weitere Informationen, z.B. den verwendeten Hash-Algorithmus u.a., was aber zu technisch wäre. Soweit mein kleines 1x1 für Verschlüsselung und Signierung. Weitergehende Informationen finden Sie auf den anderen Seiten in diesem Bereich.

Damit bleibt dann nur die Frage, wie Sie an die Zertifikate ihrer Kommunikationspartner kommen. Auch hier gibt es mehrere Wege:

  • Anlage einer signierten Mail
    Der einfachste Weg ist der Versand einer signierten Mail an den Partner. Die meisten Programme können die Mail nicht nur signieren, sondern hängen auch das Zertifikat direkt mit dazu. So kann der Empfänger das Zertifikat nach einer Prüfung (Ausstellende Zertifizierungsstelle, Gültigkeitsdatum, Rückrufliste) diese gleich z.B.: in den eigenen Kontakten speichern und zum Verschlüsseln verwenden
  • Verzeichnisdienste
    Es gibt verschiedene "Key-Server" im Internet, bei denen Anwender ihr Zertifikat "hochladen" können und andere Anwender dieses herunter laden. Das Problem ist hier natürlich, dass es keine organisierte Umgebung gibt, d.h. beide müssen die gleichen Server nutzen, um vorab die Zertifikate zu erhalten.
  • Andere Verfahren
    Denkbar sind auch Wege die Zertifikate z.B.: bei einem Service zu hinterlegen und im DNS darauf zu verweisen oder die Zertifikate direkt im DNS zu hinterlegen. In Verbindung mit DNSSEC könnte auch einfach der Schlüssel alleine hinterlegt werden. Hier stehen wir aber auch erst am Anfang einer Entwicklung.

Der Einsatz von SMIME und Co ist also nur daher so schwer, weil die Kommunikationspartner sich erst passende Schlüssel erstellen und einen davon zertifizieren lassen, dann den zertifizierten Schlüssel allen Kommunikationspartnern bereitstellen und beim Versand auch nutzen müssen.

Weitere Links