Private und öffentliche Schlüssel

Die folgenden Erläuterungen sind absichtlich "einfach" gehalten und sind daher nicht vollständig.

Natürlich könnte Sie auch einfach ihre Nachricht mit einem Kennwort schützen und dieses z.B. per Telefon dem Empfänger mitteilen, damit dieser die Mail lesen kann. Dies bezeichnet man als "symmetrisches" Verfahren, da beide Seiten den gleichen Schlüssel verwenden. Dies ist natürlich nicht hilfreich, das der Austausch des Kennworts umständlich und unsicher ist. Aber es gibt ein Verfahren, welches zwei Schlüssel generiert die direkt miteinander verbunden sind. Wird eine Information mit dem einen Schlüssel verschlüsselt, dann kann diese nur mit dem anderen Schlüssel wieder entschlüsselt werden (RSA-Verfahren.

Nachricht * Schlüssel-Teil1 = CryptNachricht

CryptNachricht * SchlüsselTeil2 = Nachricht

Dabei ist es nicht möglich von einem Schlüssel auf den anderen Schlüssel zu schließen. Dies ist ein asymmetrisches Verfahren und wird oft auch als "Private Key / Public Key" bezeichnet. für die Erzeugung dieses Schlüssels benötigt man Primzahlen und je größer diese Zahlen sind, desto mehr Schlüsse kann man erzeugen und umso schwieriger wird es, das Schlüsselpaar zu ermitteln.

Das Prinzip beruht also darauf, das sich jeder Teilnehmer solch ein "Schlüsselpaar" errechnet und einen Schlüssel davon "öffentlich" macht und den anderen Teil wirklich "sicher" aufbewahrt. Nun kann sich natürlich jeder als "Frank Carius" ausgeben und einen Schlüssel als "meinen" ausgeben. Damit solch eine Fälschung nicht möglich ist, muss der Schlüssel von einer vertrauenswürdigen Zertifizierungsstelle "beglaubigt" werden. Das kann z.B. Verisign aber auch ihre eigene CA sein. Das Ergebnis ist ein öffentlicher Schlüssel, welcher von einer Zertifizierungsstellt überprüft wird und überall veröffentlicht werden kann. Weil das ungefährlich ist, finden Sie hier zwei Zertifikate. (Gültig bis 16. Jun 2009)

Zertifikat für
frank.carius_netatwork.de-trustcenter20080616.cer

Zertifikat für
frank-carius.de-trustcenter20080616.cer

Diese Zertifikate sind "nur zum Spielen" und nicht für gewerbliche Kommunikation gedacht. Wenn Sie in ihrem Outlook einen Kontakt für mich anlegen, können Sie die Zertifikate dort einbinden.

 Ab diesem Moment können Sie Nachrichten an mich verschlüsselt senden. Ich bin dann die einzige Person, die diese Nachrichten lesen kann. Nicht mal ein Stellvertreter oder Administrator kommt an den Inhalt. (Allerdings auch kein Virenscanner etc. In Zukunft wird vermutlich eine verschlüsselte Mail nur angenommen, wenn diese auch von ihnen signiert wurde. Ein Virus, Spammer oder Phisher wird sicher nicht seine Identität durch eine qualifizierte Signatur verraten.

Aktuell ist bei allen Verfahren aber noch das "veröffentlichen" ein Problem, da es noch keine etablierten Wege für Verzeichnisserver, Keyserver etc. gibt. Zwar gibt es entsprechende Produkte und Firmen, die so etwas anbiete, aber aktuell ist es das beste, wenn Sie ihr Zertifikat an ausgehende Nachrichten anhängen. Dann hat zumindest ihr Kommunikationspartner ihre Zertifikate.

Eine Mail an viele Empfänger und Verteiler

Dass die Welt nicht ganz so einfach ist, erkennen Sie bei einer Mail an zwei und mehr Empfänger. Sie müssten daher die Mail ja für jeden Empfänger einzeln verschlüsseln und versenden. Das ist natürlich nicht sinnvoll, wenn Sie nun jede Mail mehrfach verschlüsseln müssten. Auch kostet die Verschlüsselung nach dem RSA-Verfahren sehr viel CPU-Leistung. Daher wird in der Regeln das Dokument oder die Mail mit einem symmetrischen Verfahren (DES oder 3DES) verschlüsselt, für das der Schlüssel aus einer Zufallszahl besteht. Diese Zufallszahl ist für die Entschlüsselung wieder erforderlich und wird ihrerseits nun mit dem Public Key jedes Empfängers verschlüsselt und beigefügt. Das verschlüsselte Objekt besteht dann aus dem Dokument selbst und einer Liste von je Empfänger verschlüsselten Keys.

Der Empfänger als auch der Versendet kann genau eines der gelben Felder mit seinem private Key öffnen und den Schlüssel zum Entschlüsseln der eigentlichen Nachrichten erhalten. So muss eine Mail an viele Personen nur einmal verschlüsselt werden. Allerdings wird die Mail für jeden Empfänger entsprechend um einen Schlüsselkontainer erweitert.

Eine Mail an einen Verteiler kann aber nicht verschlüsselt werden, da ein Verteiler keinen Public Key hat. Hier muss das Mailprogramme dann selbst die Empfänger des Verteilers einzeln auflösen und behandeln, als wenn Sie jeden Empfänger individuell eingegeben hätten.

Verschlüsseln und Werbung

Je einfacher der Prozess des Verschlüsselns wird, z.B.: indem jeder Empfänger seinen öffentlichen Schl����������ssel auch über eine öffentliche Schnittstelle oder einen Verzeichnisserver bereit stellt, desto schneller werden natürlich auch Viren und kommerzielle Versender (MSXFAQ.DE - Spam und UCE) anfangen, die Mails zu verschlüsseln. Der große Vorteil für diese Absender besteht darin, dass alle Schutzmechanismen auf dem Übertragungsweg und dem PC ausgehebelt werden und erst auf dem PC selbst, auf dem der Anwender die Mail entschlüsselt und anschaut, eine Schutzsoftware den Inhalt erkennen kann.

Eine Filterung vor dem Postfach funktioniert nur dann, wenn der Empfänger seinen privaten Schlüssel ebenfalls der Filter und Schutzlösung überlässt, so dass diese die Mail ebenfalls entschlüsseln kann. Das schwächt natürlich das Prinzip der Verschlüsselung.

Diese Lücke kann man natürlich verkleinern, wenn man fordert, dass jede verschlüsselte Mail auch vom  Absender signiert ist. Ein Spammer oder Virus werden ihre wahre Identität nicht per Signatur verraten wollen. Allerdings bedeutet dies, dass es nicht mehr so einfach ist, eine verschlüsselte Mail zu senden, weil dann auch der Absender ein Zertifikat benötigt.

Praktischer Einsatz von S/MIME.

Ich sende schon seit Jahren JEDE Mail digital signiert. Erschreckend ist, dass fast keiner die Möglichkeit nutzt, mir damit verschlüsselt zu senden. Und noch weniger mit fragen, was das denn überhaupt bedeutet. Insofern kann ich ohne umschweife sagen, dass das Thema "verschlüsseln" oder zumindest "signieren" bei weitem noch nicht breit bekannt ist und nur ein Bruchteil von Personen die vorhandenen Möglichkeiten tatsächlich nutzt.

Nur einmal hatte ich einen AHA-Effekt: Ich hab per Mail mein Finanzamt angeschrieben und die Dame meinte später am Telefon, dass Sie meine Mail erhalten hat aber die drei Seiten danach nicht "verstanden" hat. Der Workflow läuft derart, dass die "Poststelle" jede Mail "ausdruckt" und dann über die gewöhnliche Hauspost verteilt.

Windows Mail

Wenn Sie z.B. Vista als Client nutzen und mit Windows Mail ihre Nachrichten per POP3/IMAP4 abholen, dann wird er bei der ersten signierten Mail ihnen einen Hinweisbildschirm anzeigen:

Hinweis auf signierte Mail

Er erkennt die signierte Mail und sagt hier, dass die Signatur korrekt ist. Da sieht man später auch oben rechts an dem Siegel.

Weitere Links