-Verschlüsselung für den privaten Gebrauch

Transkript

1 -Verschlüsselung für den privaten Gebrauch by Ralf Winkler, July 2013 Thunderbird is covered by the trademark policies of Mozilla

2 Inhaltsverzeichnis Verschiedene Szenarien zur bildlichen Darstellung der Problematik Szenario 1: Unverschlüsselte s, der Versand von Postkarten Szenario 2: Vom Provider verschlüsselte s, Unterlagen im Briefumschlag (inkl. Zusatzinformationen) Szenario 3: Vom Absender verschlüsselte s, der persönliche Brief PROs und CONs der Verschlüsselung PGP vs. S/MIME Einsatz von S/MIME unter Mozilla Thunderbird Erstellung eines eigenen Schlüssels Integration (Einbindung) des Schlüsselpaares in Thunderbird Austausch des öffentlichen Schlüssels ( public key ) mit Empfängern Einbindung von öffentlichen Schlüsseln auf der Empfängerseite Import des Herstellerzertifikates von Mail-Providern (falls notwendig) Versand von verschlüsselten Mails / Entschlüsseln von empfangenen Mails Disclaimer

3 Szenario 1: Unverschlüsselte s, der Versand von Postkarten Ausgangssituation : Der linke obere Absender möchte an den rechten mittleren Empfänger eine Postkarte aus dem Urlaub versenden. Die Übermittlung erfolgt über einen Nachbar, der so freundlich ist die Karte zum Briefkasten zu bringen. Von dort wird die Post über verschiedene Postbedienstete an den Zielort geliefert. Dort nimmt wiederum einen Nachbarn die gesamte Post entgegen und verteilt sie an die jeweiligen Empfänger. 1. Die Absender auf der linken Seite übergeben Ihre Postkarten an den Nachbar (rotes Hemd). 2. Der Nachbar wirft die Postkarten in einen Briefkasten, der vom Postboten (grünes Hemd) geleert wird. 3. Dieser Postbote übergibt es der Zentrale (gelbes Hemd), die die postinterne Verteilung übernimmt. 4. Die Zentrale übergibt es dem Postboten vor Ort (türkisenes Hemd). 5. Der Postbote übergibt es dem Nachbar des Empfängers (blaues Hemd). 6. Der Nachbar übergibt die Postkarten an die jeweiligen Empfänger auf der rechten Seite. Jeder, der die Postkarten in Händen hält (Beteiligte der Schritte 1-6), kann den Inhalt der Karten -ohne zutun -lesen

4 Szenario 2: Vom Provider verschlüsselte s, Unterlagen im Briefumschlag Ausgangssituation : Der linke obere Absender möchte seine Steuererklärung an den rechten mittleren Sachbearbeiter des Finanzamts versenden. Er bittet den Steuerberater die Unterlagen in einen Briefumschlag zu stecken, bevor dieser die die Dokumente zum Briefkasten bringt. Im Finanzamt öffnet die Poststelle den Umschlag und leitet die Unterlagen an den Sachbearbeiter weiter. 1. Die Absender auf der linken Seite übergeben Ihre Unterlagen an den Steuerberater. 2. Der Steuerberater sichtet die Unterlagen, verpackt sie in einen Umschlag und wirft diesen in einen Briefkasten. 3. Dieser Postbote leerten den Briefkasten und übergibt den verschlossenen Umschlag der Zentrale. 4. Die Zentrale übergibt es dem Postboten vor Ort. 5. Der Postbote übergibt es dem Poststelle des Finanzamts, die den Umschlag öffnet. 6. Die Unterlagen werden an den jeweiligen Sachbearbeiter übergeben. Nur der Absender, der Steuerberater, die Finanzamts- Poststelle und der Sachbearbeiter können den Inhalt der Unterlagen lesen. Postbedienstete sehen nur einen verschlossenen Umschlag Die Betreiber der Server (Provider) für eingehenden und ausgehenden s ver-/entpacken die Unterlagen in durch einen verschlüsselten Umschlag, der durch einen zuvor ausgetauschten Schlüssel gesichert ist. 6

5 Zusatzinformationen zu Szenario 2 Bei einigen Providern kann auch der Weg vom Absender zum Eingangs-Mailserver bzw. vom Ausgangs-Mailserver zum Empfänger oftmals verschlüsselt werden. Dies geschieht durch den Einsatz spezieller Kanäle, sogenannter Transport-Control-Protocol-Ports(TCP Ports). Hierbei werden folgende Einstellungen verwendet: SMTP = Simple Mail Transfer Protocol SMTPS(Port 587, oder veralteter Port 465) anstelle SMTP (Port 25) IMAP = Internet Message Access Protocol IMPAS(Port 993) anstelle IMAP (Port 143) POP3 = Post Office Protocol ver. 3 POP3S(Port 995) anstelle POP3 (Port 110) Bei dieser Technik wird zwischen den jeweiligen Parteien (Absender zum Eingangs-Mailserver bzw. Ausgangs- Mailserver zum Empfänger) eine Verschlüsselung eingesetzt, die ähnlich auch bei Internetseiten von Banken oder Online-Shops (z.b. Amazon) eingesetzt wird und dort durch die Adressspezifikation HTTPS (Hypertext Transfer Protocol over TLS/SSL) zu erkennen ist. Da der Einsatz jedoch zum einen von der Unterstützung der -Programme auf beiden Seiten (Absender und Empfänger), als auch von der Unterstützung durch die jeweiligen Mailserver abhängig ist und dies vom Absender -zumindest auf der Empfängerseite -weder geprüft, noch erzwungen werden kann, wird dieser Spezialfall nicht weiter verfolgt.

6 Szenario 3: Vom Absender verschlüsselte s, der persönliche Brief Ausgangssituation : Der linke obere Absender möchte an seinen rechten mittleren Bekannten einen Brief mit ganz persönlichen Zeilen versenden. Die Übermittlung erfolgt über einen Nachbar, der so freundlich ist den Brief zum Briefkasten zu bringen. Von dort wird die Post über verschiedene Postbedienstete an den Zielort geliefert. Dort nimmt wiederum einen Nachbarn alle Briefe entgegen und verteilt sie ungeöffnet an die jeweiligen Empfänger. 1. Die Absender auf der linken Seite verpackt seinen Brief in einen Umschlag und übergibt ihn an seinen Nachbarn. 2. Der Nachbar wirft den Brief in einen Briefkasten, der vom Postboten. 3. Dieser Postbote übergibt es der Zentrale, die die postinterne Verteilung übernimmt. 4. Die Zentrale übergibt es dem Postboten vor Ort. 5. Der Postbote übergibt es den Brief dem Nachbar des Brieffreundes. 6. Der Brieffreund öffnet den Brief und kann den Inhalt (Brief) lesen Der Absender verpackt die in einen persönlichen Umschlag, den der Empfänger nur mit einem dazu passenden Brieföffner entpacken kann Nur der Absender und der Empfänger können auf den Inhalt des Briefes zugreifen. Für alle anderen der Lieferkette ist nur ein verschlossener Umschlag sichtbar.

7 PROs und CONs der Verschlüsselung Wie in der vorangegangenen Szenarien aufgezeigt, entsteht durch die Verschlüsselung an der ein oder anderen Stelle ein Mehraufwand. Andererseits kann durch das jeweilige Verschlüsselung auch der Kreis derer eingegrenzt werden, die ohne Zutun (= kriminelle Energie durch unerlaubtes Öffnen des Umschlags ) Kenntnis vom Inhalt erlangen können. Unverschlüsselte s, der Versand von Postkarten + Kein Aufwand auf Seiten des Absender bzw. Empfängers oder bei den Providern Vom Provider verschlüsselte E- Mails, Unterlagen im Umschlag + Kein Zugriff unbefugter Dritter, die sich Zugang innerhalb der Lieferkette ( Postbedienstete ) erschleichen, ist ungehindert möglich Vom Absender verschlüsselte E- Mails, der persönliche Brief + Kein Zugriff unbefugter Dritter von Anfang bis Ende ungehindert möglich + Mehraufwand für Verschlüsselung durch Provider nicht zwingend notwendig (aber durchaus möglich für maximale Sicherheitserhöhung) Alle Beteiligten können ungehindert den Inhalt der lesen Zugriff unbefugter Dritter, die sich Zugang zur Lieferkette erschleichen, ist ungehindert möglich Zugriffe unbefugter Dritter, während der Übermittlung zur Lieferkette ( Nachbar auf dem Weg zum Briefkasten ) ist weiterhin ungehindert möglich Zusatzkosten durch Verschlüsselungstechnik (z.b. Kosten für TSL/SSL-Zertifikate etc.) auf Seiten der Provider mögliche Umlage auf den Endverbraucher ( Porto ) Maximaler Aufwand auf Absender / Empfängerseite, da vorab ein Schlüsselaustausch stattfinden muss. Kommunikation mit Empfängern ohne Absenderschlüsselinformation nicht mehr möglich

8 PGP vs. S/MIME Grundsätzlich existieren zwei weitverbreitete Verschlüsselungsmethoden im Internet: PGP = Pretty Good Privacy S/MIME = Secure Multipurpose Internet Mail Extensions S/MIME und PGP haben beide die gleiche Aufgabe: das Verschlüsseln und Signieren von Daten. Es gibt zwar einige wichtige Unterschiede, aber letztlich bietet keiner der Standards einen allgemeinen Vorteil gegenüber dem anderen. Grundsätzlich basieren beide Verschlüsselungsarten auf einem eigenen Schlüssel (dem sogennaten private key ), den nur der Absender benötigt und auch keinemanderen zur Verfügung stellen soll/darf und dem öffentlichen Schlüssel ( public key ), den alle Empänger, die mit dem Absender kommunizieren wollen, brauchen. WICHTIG:Beide Verschlüsselungsarten können auch parallel installiert werden, jedoch arbeiten beide Verschlüsselungstechniken unterschiedlich und können sich somit nicht gegenseitig ersetzen: Somit kann eine PGP verschlüsselte nur von einem Empfänger entschlüsselt werden, der auch über den öffentlichen PGP-Schlüssel des Absenders verfügt. Ebenso kann eine S/MIME verschlüsselte nur von einem Empfänger entschlüsselt werden, der auch über den öffentlichen S/MIME-Schlüssel des Absenders verfügt. Weiterführende teilweise (sehr) technische Informationen sind u.a. unter folgenden Links zu finden:

9 Einsatz von S/MIME unter Mozilla Thunderbird Der Einsatz von S/MIME bedarf ein paar weniger Schritte, die hier (exemplarisch unter Verwendung des programmes Thunderbird von Mozilla ( ) näher beschrieben werden sollen. Ein zentraler Bestandteil der Verschlüsselung ist die sogenannte Zertifizierungsstelle, die das Schlüsselpaar ( private key und public key ) zur Verfügung stellt. In meinem persönlichen Fall hat sich der Einsatz von InstantSSL ( als sehr gut und preiswert weil kostenlos erwiesen. Ein weiterer kostenloser Service wird von TC Trustcenter unter dem Namen TC Internet ID (vormals TC Express ) angeboten ( wurde allerdings von mir (noch) nicht getestet.

10 Erstellung eines eigenen Schlüssels 1. Unter kostenloses Zertifikat bestellen. 2. InstantSSL schickt dabei an die angegebene -Adresse eine Antwortmail, die einen Link enthält. Durch Klicken auf diesen Link in der Antwortmail wird das Zertifikat automatisch im Internet Explorer installiert. 3. Nun Internet Explorer starten und über die Menüpunkte Extras -> Internetoptionen in die Einstellungen gehen. 4. Dort auf die Registerkarte Inhalte wechseln. 5. Anschließend auf die Schaltflächen Zertifikate klicken 6. Hier auf die Registerkarte Eigene Zertifikate wechseln. a. Nun das neue Zertifikat auswählen erkennbar an Ausgestellt von COMODO Client Authentication -, auf Exportieren klicken und dem Assistenten folgen. b. Ja, mit privatem Schlüssel exportieren auswählen. c. Privater Informationsaustausch PKCS #12(.PFX) auswählen. d. Wenn möglich, alle Zertifikate im Zertifizierungspfad einbeziehen anhaken. e. Passwort vergeben, bestätigen UND irgendwo (sicher) notieren. f. Abschließend die Datei (z.b. als InstantSSL-Private-Key.pfx ) speichern. Ab sofort liegen alle notwendigen Informationen vor, um diese in ein -Programm integrieren zu können. Hinweis für Anwender von Microsoft Outlook: Hier ist keine weitere Integration notwendig, da MS Outlook direkt mit den Einstellungen des Internet Explorers arbeitet.

11 Integration (Einbindung) des Schlüsselpaares in Thunderbird Nachfolgend ist das -Programm (hier Thunderbird) für die Nutzung des eigenen Zertifikats vorzubereiten. 1. Das Programm Thunderbird installieren falls noch nicht vorhanden. (Hierzu unter Google Thunderbird suchen und den Links zu Mozilla folgen.) 2. Nun Thunderbird starten und das -Konto anlegen falls noch nicht geschehen. 3. Anschließend über die Menüpunkte Extras -> Konten-Einstellungen -> S/MIME-Sicherheit in die Einstellungen gehen. 4. Zertifikate verwalten anklicken. 5. Auf Ihre Zertifikate wechseln. 6. Die PFX-Datei aus der vorhergehenden Folie importieren. 7. Fenster vom Zertifikat-Manager schließen 8. Eigene Zertifikate für Digitale Signatur und Verschlüssel auswählen. Ab sofort liegen alle notwendigen Informationen vor, um digital signierte und verschlüsselte s verschicken zu können. HINWEIS: Noch können keine verschlüsselten Mails, jedoch bereits signierte Mails (zum Austausch der für die Verschlüsselung notwenigen public keys ) versendet werden. Nach erfolgreichem Austausch der public keys funktioniert auch das Verschlüsseln. Weiterführende teilweise (sehr) technische Informationen sind u.a. unter folgendem Link zu finden:

12 Austausch des öffentlichen Schlüssels ( public key ) mit Empfängern Anschließend müssen noch die public keys zwischen beiden Seiten ausgetauscht werden. Das Versenden des eigenen public key erfolgt anhand einer signierten Mail: 1. Dazu eine neue Mail an den Empfänger verfassen. 2. In der oberen Symbolleiste auf den Pfeil hinter dem S/MIME Symbol klicken und Nachricht unterschreiben auswählen 3. Nun die Mail versenden. Im Gegenzug versendet der Empfänger eine seinerseits signierte Mail.Beim Empfang der Mail können zwei Symbole angezeigt werden: Die Signatur wird als vertrauenswürdig eingestuft. Beim Öffnen der Mail wird der public key automatisch importiert. Die kann wie folgt geprüft werden: Extras -> Konten-Einstellungen -> S/MIME-Sicherheit -> Zertifikate verwalten -> Personen. Hier sollte der -Partner mit seinem Zertifikat aufgelistet sein. Die Signatur wird als nichtvertrauenswürdig eingestuft. (Näheres siehe Folie Import des Herstellerzertifikates von Mail-Providern (falls notwendig) ) Im Falle eines erfolgreichen Imports des Zertifikats liegen ab sofort alle notwendigen Informationen vor, um auch verschlüsselte s verschicken zu können.

13 Import des Herstellerzertifikates von Mail-Providern (falls notwendig) (1/2) Im Falle, dass ein Empfänger als nichtvertrauenswürdig eingestuft wird, liegt dies in der Regel an einem fehlenden Herstellerzertifikates des jeweiligen Mail-Providers (z.b. web.de). Dieses übergeordnete Herstellerzertifikat muss pro Mail-Provider (z.b. web.de) einmalig vorhanden und als vertrauenswürdig eingestuft sein, um mit irgendeiner -Adresse dieses Providers verschlüsselt kommunizieren zu können. Nach erfolgreichem Import des Herstellerzertifikates werden alleempfängerzertifikate dieses Mail-Providers als vertrauenswürdig eingestuft. Hierzu ist zunächst festzustellen, welches Herstellerzertifikat nicht vertrauenswürdig ist. Durch klicken auf das Signatursymbol öffnet sich ein Fenster mit nachstehenden Informationen. (Hier ist der Eintrag im rot markierten Kreis zu beachten -Adr. Name

14 Import des Herstellerzertifikates von Mail-Providern (falls notwendig) (2/2) Nachdem das nichtvertrauenswürdige Herstellerzertifikat identifiziert wurde, ist dieses (in der Regel als Root Certificate oder CA ( ) Certificate benannte ) Zertifikat ausfindig zu machen und vom jeweiligen Trustcenter herunterzuladen. Hier kann es leider zu erheblichen Suchaktionen bei Google & Co kommen, aber leider habe ich dafür auch noch nicht die easy going Lösung gefunden. (Für web.de gibt es aber dafür einen Link unter (Für Updates bin ich dankbar per Mail informiert zu werden: ralf.winkler@ymail.com) Nach dem erfolgreichen Download des Zertifikats kann dieses über Extras -> Konten- Einstellungen -> S/MIME-Sicherheit -> Zertifikate verwalten -> Zertifizierungsstellen importiert werden. Dabei sind folgende Einstellungen zu prüfen / vorzunehmen: Danach sind die Schritte, wie in der Folie Austausch des öffentlichen Schlüssels ( public key ) mit Empfängern noch zu prüfen / zu vollziehen.

15 Versand von verschlüsselten Mails / Entschlüsseln von empfangenen Mails Wenn Ihr nun bis hierher gekommen seid, dann steht der Verschlüsselung nichts mehr im Wege. Ihr könnt nun s verschlüsseln, bevor Ihr sie versendet. Verschlüsselte s von Euren Partner empfangen und lesen. Das Versenden von verschlüsselten s wird eingeleitet durch die entsprechende Anwahl über die obere Symbolleiste auf den Pfeil hinter dem S/MIME Symbol und Anwahl von Nachricht verschlüsseln. Das Entschlüsseln von s bekannter -Partner erfolgt automatisch durch Öffnen der . Dabei wird der bekannte (vorher importierte) vertrauenswürdige public key des Absenders verwendet. That s it. Nothing more. Stay save and clean.

16 Disclaimer Diese Präsentation dient ausschließlich Informationszwecken und stellt keine Aufforderung zum zwingenden Einsatz dar. Alle Aussagen geben die aktuelle Einschätzung des Verfassers wieder und spiegeln nicht zwangsweise den letzten Stand der Technik bzw. Einsatzmöglichkeiten einzelner Mail-Provider wieder. Diese dargestellte Lösung erhebt keinen Anspruch auf Vollständigkeit und Richtigkeit und dient lediglich als Orientierung. Der Inhalt des Dokuments wurde vom Verfasser nach besten Wissen und Gewissen verfasst. Dennoch übernimmt der Verfasser keinerlei Haftung für Schäden, die durch den Einsatz dieses Dokumentes entstehen. HINWEIS: Der hier beschriebene Weg enthält nur ein kostenloses Class-1-Certificate, das gemäß Literatur wie folgt kommentiert wird und keinen 100% Schutz bedeuten. Aber Besser einen guten wenn nicht 100%igen Schutz, als gar keinen. : Class 1-Zertifikate bestätigen, dass die angegebene -Adresse existiert und der Besitzer des zugehörigen öffentlichen Schlüssels Zugriff auf diese -Adresse hat. Sie stellen damit nur einen sehr geringen Nachweis der Identität dar. Da keine Überprüfung anhand von Unterlagen stattfindet, können Class 1-Zertifikate (Express- Zertifikat) binnen weniger Minuten ausgestellt und an den Kunden ausgeliefert werden. Sie sind ideal für private Nutzer, die erste Schritte auf dem Weg zur sicheren Internet-Kommunikation gehen wollen und den Umgang mit verschlüsselter ausprobieren möchten Untermeitingen, 15. Juli 2013