Haupt Software So schützen Sie Ihre E-Mails mit PGP-Verschlüsselung auf Ihrem Mac
Software

So schützen Sie Ihre E-Mails mit PGP-Verschlüsselung auf Ihrem Mac

DurchGlenn Fleischmann,Leitender Mitarbeiter, 1. März 2015 19:11 PST Schlüssel Thinkstock DutchScenery/Thinkstock

In unserer letzten Folge von Private I habe ich die Grundlagen der Public-Key-Kryptografie (PK) erklärt, einer Methode, Nachrichten so zu verschlüsseln, dass nur jemand, der einen bestimmten Schlüssel besitzt, entschlüsseln kann, ohne dass dieser Schlüssel jemals öffentlich bekannt gegeben oder geteilt werden muss . Es ist ein effektives System, für das keine theoretischen Exploits bekannt sind, und derzeit bereitgestellte Implementierungen gelten als robust.



Und um es noch einmal zusammenzufassen: Der Clou beim Public-Key-Ansatz ist, dass Sie zwei komplementäre Schlüssel haben, einen öffentlichen und einen privaten. Der öffentliche Schlüssel kann frei verteilt werden. Alles, was von einer anderen Person mit dem öffentlichen Schlüssel verschlüsselt wurde, kann nur durch Zugriff auf den entsprechenden privaten Schlüssel entschlüsselt werden. Und ein privater Schlüssel kann verwendet werden, um eine Textkette oder ein Dokument zu signieren, um mathematisch zu beweisen, dass nur der Besitzer des privaten Schlüssels ihn hätte signieren können.

Aber es fehlen zwei Teile, die es den Benutzern von Mac, iOS und anderen Plattformen ermöglichen würden, PK zu nutzen. Der erste ist pragmatisch: Sender und Empfänger benötigen kompatible Softwaretools oder Plugins, vorzugsweise integriert in Apps, damit der Aufwand gering ist. Der zweite ist existenziell: Woher wissen Sie ohne vorherige Absprache, wie zum Beispiel ein persönliches Treffen oder ein Telefonat, dass der öffentliche Schlüssel einer Person vorgeblich ist? Genau genommen der Schlüssel dieser Person?





Der einfachste Weg, beide Probleme zu lösen, besteht darin, ein proprietäres End-to-End-Ökosystem zu verwenden, aber das bringt uns mehr oder weniger zurück zu iMessage oder ähnlichem. Stiller Kreis bietet eine der besten Optionen für die Einbettung von Public-Key-Kryptografie, wenn Sie alle Personen, mit denen Sie kommunizieren müssen, davon überzeugen können, sich anzumelden. Es beginnt bei 10 USD pro Monat für unbegrenzten Text, Anrufe, Video-Chat und Dateiübertragungen unter seinen Benutzer. Die Messaging- und Anrufoptionen des Dienstes erhielten 7 von 7 Punkten in der Electronic Frontier Foundation Scorecard für sicheres Messaging .

PGP auf dem Mac

Aber die meisten von uns leben nicht in einem ummauerten Garten, und einer der Gründer des Unternehmens, Phil Zimmermann, war vor fast 25 Jahren dafür verantwortlich, die Public-Key-Kryptographie in das zu verwandeln, was er PGP nannte, für Pretty Good Privacy. (Wie PGP funktioniert, wird in Teil 1 beschrieben.)



E-Mail an Jason in Mail senden

Wenn Sie eine Nachricht in Mail an einen Empfänger verfassen, dessen Schlüssel sich in Ihrem lokalen GPG-Schlüsselbund befindet, kann das Schlosssymbol angeklickt werden, um die Nachricht beim Senden zu verschlüsseln.

PGP ist für den Mac verfügbar über GPGTools , eine Version der freien Software GPG (GNU Privacy Guard). Sie können damit ein Verzeichnis mit den öffentlichen Schlüsseln anderer Personen erstellen und gleichzeitig Verschlüsselung, Entschlüsselung, Signierung und Überprüfung durchführen. (PGP ist eine Marke und wurde von GPG geprägt, um sie zu umgehen, aber Sie werden oft sehen, dass PGP allgemein verwendet wird, um auf diese Methode der Verwendung öffentlicher Schlüssel zu verweisen.)

Die EFF hat sehr schöne Schritt-für-Schritt-Anleitungen für die Installation von GPGTools, damit es direkt mit Apple Mail oder Mozilla Thunderbird für E-Mail verwendet werden kann; Die Werkzeuge sind auch über das Dienstmenü der Anwendung überall dort verfügbar, wo Sie Text bearbeiten oder auswählen können. GPGTools ist derzeit kostenlos, plant jedoch, irgendwann eine sehr geringe Gebühr für sein E-Mail-Plug-in zu erheben, um die Entwicklungskosten zu decken.

E-Mail an Jason verschlüsselt gesendet

Die gesendete Nachricht wird im Postfach Gesendet als verschlüsselt angezeigt und muss entschlüsselt werden, um wie in diesem Fenster angezeigt zu werden.

wie kann man alte textnachrichten abrufen

Die EFF-Anweisungen führen Sie durch die Erstellung Ihres eigenen öffentlichen/privaten Schlüssels im GPG-Schlüsselbund. Um GPGTools mit E-Mail zu verwenden, muss Ihr Schlüssel dieselbe E-Mail-Adresse haben wie die Rücksendeadresse, von der aus Sie verschlüsselte Nachrichten senden möchten. Sobald Sie einen Schlüssel haben, können Sie einen Schlüssel auf einen Schlüsselserver hochladen, indem Sie Ihren Schlüssel auswählen und Schlüssel > Öffentlichen Schlüssel an Schlüsselserver senden wählen. Dadurch kann Ihr Schlüssel anhand Ihres Namens und Ihrer E-Mail-Adresse in einem PGP-Verzeichnis durchsucht werden. Ein Schlüssel hat einen zugehörigen Fingerabdruck, eine kryptografische Transformation des öffentlichen Schlüssels, die viel kürzer ist, auf die ich gleich eingehen werde.

Wenn Sie eine E-Mail in Mail verfassen, nachdem Sie die Installation und Schlüsselerstellung durchlaufen haben, haben Sie jetzt zwei neue Symbole in der Betreffzeile, solange das sendende Konto mit einem von Ihnen erstellten öffentlichen Schlüssel übereinstimmt. Das blaue Starburst-Häkchen zeigt an, dass Ihre ausgehende E-Mail mit Ihrem privaten Schlüssel signiert wird, sodass andere überprüfen können, ob sie bei der Übertragung unverändert geblieben ist, solange sie Ihren öffentlichen Schlüssel haben. Und Sie können auf das Schlosssymbol klicken, wenn alle Empfänger in den Adressfeldern öffentliche Schlüssel im GPG-Schlüsselbund gespeichert haben.

(Beachten Sie, dass PGP-verschlüsselte E-Mails den Inhalt der Nachricht schützen, nicht jedoch die Betreffzeile oder die Metadaten: die Routing-Informationen und andere Details, die in den E-Mail-Headern gespeichert sind und die einen großen Teil der Analyse durch die NSA und andere Regierungen ausmachten. ' Sicherheitsbehörden, um Muster zu erkennen.)

entsperre meinen schlüssel

GPG Tools fordert Sie bei Bedarf auf, die Passphrase des Schlüssels einzugeben, und hält ihn 10 Minuten lang mit einer Standardeinstellung, die geändert werden kann, entsperrt.

Beim Senden einer solchen Nachricht werden Sie zur Eingabe Ihrer Passphrase aufgefordert. Ich speichere meine Passphrase in 1Password, damit ich sie schnell aufrufen kann. Wenn Sie vorhaben, es zu tippen, machen Sie es mit einem einzigen Satzzeichen zu etwas Langem und Einprägsamem, wie Aus dem Standbild des ! Nacht – dies ist aufgrund der Länge und der Tatsache, dass der Satz niemals in einem englischen Text für die Worthäufigkeitsanalyse auftauchen würde, im Wesentlichen unknackbar.

Jetzt müssen Ihre Empfänger natürlich dasselbe Verfahren durchlaufen oder eine andere kompatible PGP-Software verwenden. Symantec macht immer noch PGP, obwohl es auf dem Mac nur mit Microsoft Outlook funktioniert. Es gibt andere Implementierungen von GPG für andere Plattformen. Und einige mobile Apps können mit PGP-verschlüsselten Dokumenten und E-Mails umgehen. (Ich habe nach einer PGP iOS-App gesucht, die die Anforderungen erfüllt, und die aktuelle Produktpalette weist eine Reihe von Einschränkungen auf. Ich werde dies weiter untersuchen, wenn sich diese Situation ändert.)

So sehen Sie Nachrichten in icloud
in bbedit verschlüsseln

Das Menü Dienste bietet Zugriff auf alle GPGTools (unter dem Namen OpenPGP) in jeder Texteinfügung oder -auswahl.

Wenn GPGTools installiert ist, können Sie auch alle anderen Operationen im PGP-Stil über das Menü Dienste ausführen. Wenn ich dies beispielsweise in BBEdit verfasse, kann ich BBEdit > Dienste > Meinen Fingerabdruck einfügen auswählen (das ist 53F4 9E97 2652 4E2F 2993 4611 BB54 A24B EDD1 8384). Ich kann auch verschlüsseln, signieren, verifizieren und so weiter.

Kontrolle der Schlüssel

Aber kommen wir zum existenziellen Problem. Sie haben einen Schlüssel, der mit Ihrer E-Mail-Adresse verknüpft ist, und Sie senden den öffentlichen Schlüssel an einen Schlüsselserver. Wie kann jemand sicher sein, dass es Ihr Schlüssel ist? Wenn sie Ihnen eine E-Mail an die Adresse senden, wurde Ihre E-Mail möglicherweise manipuliert und die Nachricht wird abgefangen und beantwortet, ohne dass Sie jemals davon erfahren. Eine Methode zum Validieren eines Schlüssels besteht darin, jemanden anzurufen, da die Wahrscheinlichkeit, dass ein Man-in-the-Middle wissen, dass Sie den Anruf getätigt haben, nahezu null ist, ihn abfängt und in Echtzeit den Fingerabdruck eines falschen Schlüssels ausspricht. Sobald Sie einen Schlüssel per Sprache oder persönlich mit seinem Fingerabdruck verifiziert haben, sind Sie bereit.

Der Grund, warum ich mir jedoch so sicher bin, dass Public-Key-Messaging an Popularität gewinnen könnte, liegt an Keybase.io , derzeit ein kostenloser Public-Key-Dienst, der nur auf Einladung zugänglich ist und der Schlüssel verwaltet und Verschlüsselungsaufgaben im Browser oder über Befehlszeilentools erledigt – der aber auch substanzielle und nützliche Möglichkeiten bietet, Ihren öffentlichen Schlüssel zur Zufriedenheit anderer zu validieren.

keybase.io-Popup mit öffentlichem Schlüssel

Das Popup-Fenster mit öffentlichem Schlüssel in Keybase.io zeigt die Details eines Benutzers zum Exportieren oder Bestätigen an.

Besuch mein Profil auf Keybase.io , und Sie sehen, dass ich mich auf verschiedene Weise verifiziert habe. Ich habe einen Tweet mit einem von Keybase bereitgestellten Code gepostet, einen Eintrag in mein Github-Repository gepostet, einen speziellen Nur-Text-DNS-Eintrag hinzugefügt und eine Datei auf meine Website hochgeladen. Dies ist wahrscheinlich ein guter Satz von Vektoren, den keine andere Person unbemerkt entführen können sollte.

Das Schöne an Keybase ist, dass es, wenn es außerhalb seiner Phase nur für Einladungen expandiert, einen gemeinsamen Ort für Leute bietet, um Schlüssel hochzuladen oder neue zu generieren und sich gleichzeitig zu validieren. Obwohl Keybase keine Keyserver-Software betreibt (aus verschiedenen Gründen, obskur oder aus anderen Gründen), können Sie auf den Schlüssel eines beliebigen Profils klicken und ein Fenster öffnen, in dem Sie den öffentlichen Schlüssel dieser Person speichern oder kopieren können.

Mit dem GPG-Schlüsselbund können Sie einen öffentlichen Schlüssel in das Hauptfenster einfügen oder die Datei mit dem öffentlichen Schlüssel importieren. Dann können Sie diesen Schlüssel sofort mit dem Fingerabdruck auf der Site im selben Popup-Fenster bestätigen.

Nichts davon ist, sagen wir, einfach. Aber es erfordert auch nicht das Maß an Optimierung und Komplexität der vergangenen Jahre. Nach der Einrichtung können Sie mit anderen Personen, die PGP verwenden, verschlüsselte E-Mails senden und empfangen, indem Sie sich einfach die Passphrase Ihres Schlüssels merken oder abrufen. Und damit sind wir der zuverlässig verschlüsselten Kommunikation auf Abruf viel näher als bisher.