Sichere -Kommunikation zur datenschutz nord GmbH Merkblatt

Transkript

1 April 2011 Sichere -Kommunikation zur datenschutz nord GmbH Merkblatt 1. Einleitung s lassen sich mit geringen Kenntnissen auf dem Weg durch die elektronischen Netze leicht mitlesen oder verändern. Daher ist das Verschlüsseln Ihrer s - gerade bei vertrauenswürdigen Inhalten sehr wichtig. Aus diesem Grund möchten wir Ihnen mit diesem Dokument einen kleinen Überblick verschaffen, wie Sie möglichst einfach vertraulich mit der datenschutz nord GmbH per kommunizieren können. Dazu schlagen wir vor, dass weit verbreitete GnuPG-Verfahren (GNU Privacy Guard) zu nutzen, wobei nach Absprache natürlich auch andere kryptographische Verfahren zur sicheren Kommunikation möglich sind. GnuPG ist ein asymmetrisches Verfahren und wurde als freie Alternative zum bekannten Quasi-Standard PGP (Pretty Good Privacy) entwickelt. GnuPG stellt in diesem Kontext die Grundlage zum Ver- und Entschlüsseln von s und Dateien mit asymmetrischem Kryptoverfahren bereit. Um Dateien und s mit GnuPG verschlüsseln zu können, möchten wir Ihnen hier zwei einfache, kostenlose Programme vorstellen: --- Gpg4win ein Softwarepaket, dass die Kernkomponenten zur Ver- und Entschlüsselung von Dateien unter Windows beinhaltet, vgl. Abschnitt Enigmail ein Add-on für Mozilla Thunderbird, das zusätzlich zu Gpg4win installiert werden muss, um direkte -Verschlüsselung in Thunderbird zu ermöglichen, vgl. Abschnitt 4 In diesem Dokument werden die beiden Programme und ihre Installation, Konfiguration und Nutzung erläutert. Im Anhang finden Sie weitere Informationen über den praktischen Einsatz von asymmetrischer Kryptographie. Bitte beachten Sie: Das Paket Gpg4win enthält ein Plug-In namens GpgOL, das die Verschlüsselung von s direkt in Outlook 2003 und 2007 erlaubt. Aufgrund diverser Einschränkungen (bspw. keine Unterstützung von Exchange-Servern) verzichten wir auf die Nutzung dieses Plug-Ins und empfehlen stattdessen die Nutzung von GpgEX, dass Verschlüsselung unabhängig vom verwendeten -Clienten ermöglicht, vgl. Abschnitt 3.

2 2. Gpg4win Gpg4win ist ein Paket freier Kryptografiesoftware, die das einfache Ver- und Entschlüssen sowie Signieren von Dateien und s unter Windows erlaubt. Die Software ist kompatibel mit Windows 2000, XP, Vista und 7 (32bit und 64bit). Neben der eigentlichen Verschlüsselungssoftware GnuPG enthält das Paket unter anderem den Schlüsselmanager Kleopatra sowie GpgEX, eine Erweiterung des Windows Explorers zum einfachen Ver- und Entschlüsseln. Die Installation ist auch Voraussetzung für die Nutzung von -Verschlüsselung in Mozilla Thunderbird über das Plug-In Enigmail. 2.1 Installation und Konfiguration von Gpg4win Das Installationspaket Gpg4win ist in der aktuellen Version auf der Projekthomepage erhältlich: Nach dem Download bitte die Installation starten hierzu werden Administratorrechte benötigt. Bei der Selektion der Programmteile sollten ausgewählt werden: --- GnuPG (Pflicht) der Kern der Verschlüsselungssoftware --- Kleopatra eine Software zum Verwalten der Schlüssel --- GpgEX Verschlüsselung von Dateien direkt in Windows Detaillierte Hilfestellungen für die Installation finden sich im Gpg4win- Kompendium 1 online. Nach der Installation von Gpg4win starten Sie bitte über das Windows Startmenü die Schlüsselverwaltung Kleopatra. 1 Seite 2

3 2.1.1 Erstellen eines eigenen Schlüsselpaares Zur sicheren Kommunikation wird zuerst ein eigenes Schlüsselpaar benötigt. Dieses besteht aus dem öffentlichen Schlüssel (kann gefahrlos publik gemacht werden) und dem privaten Schlüssel (darf nur dem Besitzer bekannt sein). In Kleopatra wird über das Menü Datei der Punkt Neues Zertifikat aufgerufen und dort die Option Persönliches OpenPGP-Schlüsselpaar erzeugen gewählt. Im nun gestarteten Assistenten bitte den eigenen Namen und die -Adresse eintragen. Die erweiterten Einstellungen können auf den Standardwerten belassen werden. Anschließend durch Klick auf Weiter bestätigen. Im nächsten Fenster werden die Daten nochmals bestätigt, die Schlüsselerstellung beginnt dann durch Klick auf Schlüssel erzeugen. Während der Schlüssel erzeugt wird, erscheint ein Fenster zur Eingabe des Passworts. Diese wird zur Benutzung des privaten Schlüssels benötigt und sollte entsprechend sicher gewählt werden. Ein Passwort von mindestens 16 Zeichen, die Klein- und Großbuchstaben sowie Zahlen und Sonderzeichen enthält, sollte ausreichend sicher sein. Nach kurzer Zeit sind die Schlüssel erfolgreich erstellt. An dieser Stelle sollte auf jeden Fall die Möglichkeit genutzt werden, eine Sicherheitskopie des privaten Schlüssels zu erstellen und diese auf einem externen Medium (USB-Stick o.ä.) zu sichern! Import unseres öffentlichen Schlüssels Der öffentliche Schlüssel der datenschutz nord GmbH kann auf unserer Homepage unter Kontakt heruntergeladen werden. Nachdem die Datei auf dem eigenen Computer gespeichert wurde, wird in Kleopatra im Menü Datei der Punkt Zertifikate importieren gewählt und im erscheinenden Dialog die gerade heruntergeladene Datei ausgewählt. Damit sind alle notwendigen Vorbereitungen zum erfolgreichen verschlüsselten Versand von Daten an uns abgeschlossen! Seite 3

4 3. Nutzung von GpgEX GpgEX ist eine Erweiterung für Windows, die das Ver- und Entschlüsseln von Dateien direkt in Windows möglich macht. Voraussetzung ist die erfolgreiche Durchführung der unter und erläuterten Schritte. Eine mit GpgEX verschlüsselte Datei kann auf jedem gewünschten Weg einem Kommunikationspartner übermittelt werden , USB-Stick o.ä. 3.1 Verschlüsseln einer Datei Zum Verschlüsseln einer Datei unter Windows reicht es aus, diese mittels Rechtsklick anzuwählen (z.b. auf dem Desktop) und im Kontextmenü den Punkt Signieren und verschlüsseln auszuwählen. Der nächste Bildschirm wird mit Weiter bestätigt. Daraufhin erscheint die Auswahl der Zielschlüssel also die Schlüssel der Personen, die die Datei später entschlüsseln können sollen. Hier ist es wichtig, auch den eigenen Schlüssel zu wählen, wenn man die Datei später selbst auch entschlüsseln können möchte! Seite 4

5 Nach der Auswahl bestätigen Sie mit Weiter daraufhin beginnt der Verschlüsselungsprozess. Sobald dieser beendet ist, kann das Fenster geschloßen werden und es findet sich eine Datei mit dem Dateinamen der zu verschlüsselnden Datei und einem angehängten.gpg im gleichen Verzeichnis. Diese Datei kann nun auf jedem beliebigen Weg sicher an den Empfänger übermittelt werden. 3.2 Entschlüsseln einer Datei Wenn Sie eine verschlüsselte Datei erhalten, kann das Entschlüsseln auf ähnlichem Weg wie unter 3.1 erfolgen. Klicken sie die Datei rechts an und wählen im Kontextmenü Entschlüsseln und überprüfen. Bestätigen Sie den ersten Dialog mit einem Klick auf Entschlüsseln, daraufhin fordert Sie eine Dialogbox zur Eingabe Ihres Passworts auf. Die entschlüsselte Datei wird daraufhin im selben Ordner wie die Originaldatei abgelegt. Seite 5

6 4. Mozilla Thunderbird mit Enigmail Um mit dem -Client Mozilla Thunderbird das Ver- und Entschlüsseln von s mit GnuPG zu ermöglichen, wird die Erweiterung Enigmail für Thunderbird benötigt. Die Installation von Gpg4win ist für die Nutzung von Enigmail Voraussetzung! 4.1 Installation von Enigmail Enigmail ist auf kostenlos verfügbar. Achtung: Falls Mozilla Firefox benutzt wird, muss die Datei mit Rechtsklick -> Ziel speichern unter gespeichert werden, da der Browser sonst versucht, diese Erweiterung für Firefox zu installieren. Nachdem die Datei heruntergeladen wurde, muss diese noch in Thunderbird installiert werden. Dazu wird das Programm falls nicht bereits erfolgt gestartet und in Menü Extras der Punkt Add-ons ausgewählt. Es öffnet sich das Fenster Add-ons : Seite 6

7 Nachdem Sie auf Installieren geklickt haben, öffnet sich ein Fenster, in dem Sie aufgefordert werden, die zuvor heruntergeladene.xpi-datei zu suchen. Nachdem Sie die Datei gewählt und auf Öffnen geklickt haben, öffnet sich ein weiteres Fenster, in dem Sie gefragt werden, ob Sie diese Erweiterung installieren möchten. Sobald auf Installieren geklickt wurde, wird Enigmail in der Liste Installation aufgelistet und Thunderbird weist auf einen notwendigen Neustart des -Clients hin, den Sie auch durchführen sollten um die Installation abzuschließen. Nach dem Neustart von Thunderbird erscheint das neue Menü OpenPGP. Die Installation ist somit abgeschlossen. Das Erweiterungs-Fenster sollte nach der Installation von Enigmail so aussehen: Seite 7

8 4.2 Nutzung von Enigmail Enigmail benutzt die gleichen Schlüssel, die auch Kleopatra verwendet. Zum Erzeugen und Importieren bitte die Schritte bzw befolgen Eine verschlüsseln Zum Ausprobieren wird nun eine neue verfasst. Zum Verschlüsseln dieser bitte auf den Button OpenPGP klicken. Dann öffnet sich ein kleines Fenster, in dem drei Optionen zur Auswahl stehen. Da die Nachricht verschlüsselt abgeschickt werden soll, wird die Option Nachricht verschlüsseln ausgewählt. Optional: Damit Ihr Kommunikationspartner sicher sein kann, dass die auch wirklich von Ihnen stammt, können Sie zusätzlich die Option Nachricht unterschreiben auswählen. PGP/MIME verwenden bleibt deaktiviert. Danach auf OK klicken. Seite 8

9 Nun leuchten in der unteren rechten Ecke des Fensters ein grüner Stift und ein grüner Schlüssel. Fährt man mit der Maus über die Symbole, wird beim Stift Nachricht wird unterschrieben und beim Schlüssel Nachricht wird verschlüsselt angezeigt. Anschließend kann die Nachricht versendet werden Eine verschlüsselte entschlüsseln Wenn Sie eine verschlüsselte erhalten haben und diese nun entschlüsseln möchten, werden Sie beim Anklicken der Nachricht von Thunderbird aufgefordert, Ihr Passwort einzugeben. Hierbei handelt es sich um das private Passwort, welches beim Erzeugen des eigenen Schlüssels eingegeben wurde. Bei Eingabe eines falschen Passworts wird die nicht entschlüsselt; in diesem Fall wird von Enigmail angezeigt: 5. Schlüssel der datenschutz nord GmbH Auf den Internetseiten der datenschutz nord GmbH finden Sie unter Kontakt unsere Kontaktdaten inklusive dem PGP-Schlüssel. Internet: Seite 9

10 A Anhang: Kleiner Exkurs zum Thema Verschlüsselung Verschlüsselungssysteme unterscheidet man generell in symmetrische und asymmetrische Verfahren. Der namensgebende Unterschied besteht darin, dass bei symmetrischen Verfahren derselbe Schlüssel für die Verschlüsselung und die Entschlüsselung verwendet wird. Beide Vorgänge sind daher in gewissem Sinne symmetrisch zueinander. Asymmetrische Verfahren besitzen dagegen ein Schlüsselpaar. Verschlüsselt man eine Nachricht mit dem einen Schlüssel dieses Paares, so lässt sie sich nicht mit demselben Schlüssel wieder dechiffrieren. Dies ist ausschließlich mit dem zweiten Schlüssel dieses Paares möglich. Hierbei sind die Rollen der beiden Schlüssel theoretisch beliebig vertauschbar. In der Praxis aber bestimmt man einen Schlüssel als privaten Schlüssel (private key). Dieser wird geheim gehalten. Den anderen bezeichnet man als öffentlichen Schlüssel (public key) und gibt diesen an seine Kommunikationspartner weiter. Die Kommunikation in der Praxis Wenn Sie Ihrem Kommunikationspartner eine verschlüsselte senden möchten, verschlüsseln Sie diese mit seinem öffentlichen Schlüssel. Dieses Chiffre ist nun ausschließlich mit dem zweiten Schlüssel aus dem entsprechenden Schlüsselpaar zu entschlüsseln. Dieser zweite Schlüssel ist sein private key, den nur er kennt. Die aktuell verwendeten Kryptoverfahren die asymmetrischen Verfahren RSA, DSA und ElGamal sowie die Hashfunktionen SHA-256, SHA-384 und SHA-512 sind für mindestens 1976 Bit besser noch 2048 Bit lange Schlüssel gegenwärtig als sicher zu erachten, so dass es praktisch nicht möglich ist, aus dem öffentlichen Schlüssel Ihren privaten zu berechnen oder eine verschlüsselte zu entschlüsseln. Darüber hinaus kann man die GnuPG-Schlüssel verwenden, um eine digital zu signieren. Auf diese Weise kann man die Authentizität und die Integrität einer überprüfen. Hierfür wird mit einer sogenannten Hashfunktion eine Prüfsumme über den Inhalt der gebildet und diese mit dem private key verschlüsselt. Der Empfänger, der im Besitz des öffentlichen Schlüssels ist, kann die verschlüsselte Prüfsumme entschlüsseln. Hierdurch wird Ihre Identität verifiziert, da nur Sie im Besitz des privaten Schlüssels in der Lage waren, die Prüfsumme mit diesem Schlüssel zu verschlüsseln. Außerdem kann der Empfänger nun ebenfalls die Prüfsumme über den Inhalt der generieren und mit der von Ihnen verschlüsselten Prüfsumme vergleichen. Auf diese Weise wird überprüft, dass der Inhalt der nicht manipuliert worden ist. Um die Herkunft eines öffentlichen Schlüssels überprüfen zu können, bedient man sich eines sogenannten fingerprint (Fingerabdruck). Dies ist ein Hashwert über den öffentlichen Schlüssel. Dieser fingerprint ist deutlich kürzer als der Schlüssel selbst und lässt sich daher leicht z. B. telefonisch mitteilen und abgleichen. Eine Alternative sind die sogenannten Zertifikate, in denen eine vertrauenswürdige Instanz die Verbindung von öffentlichem Schlüssel zum Schlüsselinhaber bestätigt. Seite 10

11 Für die sichere Kommunikation ist damit der öffentliche Schlüssel des jeweiligen Empfängers notwendig. Der Austausch der öffentlichen Schlüssel lässt sich auf verschiedene Weise realisieren. So kann dies z.b. über s erfolgen oder über persönlichen Austausch auf einem Datenträger beispielsweise einem USB-Stick. Außerdem gibt es sogenannte Schlüsselserver, die die Möglichkeit bieten, seinen eigenen öffentlichen Schlüssel abzulegen, so dass jeder auf diesen Zugriff hat. Kurze Übersicht Zum Verschlüsseln einer verwenden Sie den öffentlichen Schlüssel Ihres Kommunikationspartners. Ausschließlich dieser ist in der Lage, die Nachricht zu entschlüsseln. Auf diese Weise ist eine vertrauliche Kommunikation möglich. Zum Signieren von s verwenden Sie Ihren eigenen privaten Schlüssel. Ihr Kommunikationspartner, der im Besitz Ihres öffentlichen Schlüssels ist, kann die Integrität und die Authentizität der überprüfen. Grundsätzlich ist dabei wichtig, dass Sie sicherstellen, dass der Schlüssel tatsächlich zum behaupteten Kommunikationspartner gehört: Die Authentizität stellen Sie beispielsweise dadurch fest, dass der Schlüssel durch einen anderen Schlüssel, dem Sie vertrauen, signiert wurde, oder dass Sie mit Ihrem Kommunikationspartner den fingerprint telefonisch abgleichen. Seite 11