GnuPG: Einleitung
Aus Wikibooks
Der GNU Privacy Guard („Privacy“ im Sinne von „Datenschutz“, „Privatsphäre“ oder „Briefgeheimnis“; „Guard“ entspricht „Schutz“, „Wache“ oder „Wächter“) kann, wie der Name vermuten lässt, Informationen und Daten vor Fremden durch Verschlüsselung schützen.
Ebenso lassen sich damit Daten signieren (unterschreiben), wodurch man sie später auf Integrität und Urheberschaft hin überprüfen kann. Das bedeutet, dass man prüfen kann, ob die Daten nach dem Signieren durch den tatsächlichen Autor von jemand anderem verändert wurden oder nicht.
Sehr oft wird GnuPG zum Verschlüsseln und Signieren von E-Mails benutzt, und da E-Mail ein anschauliches Beispiel ist, bezieht sich dieses Buch im Folgenden auch oftmals auf sie.
[Bearbeiten] Warum verschlüsseln?
In vielen Unternehmen spielt Verschlüsselung schon lange eine Rolle zur Wahrung von Geschäftsgeheimnissen oder zum Datenschutz der Mitarbeiter. Dagegen soll es in so manchem Unternehmen auch vorkommen, dass für das Unternehmen überlebensnotwendige Daten oder eine Kunden- oder Personaldatenbank (mit Adressen, Gehältern, etc.) unverschlüsselt per E-Mail übertragen werden. Vielleicht ein Grund, warum das deutsche Bundeswirtschaftsministerium GnuPG im Jahr 2001 sogar finanziell gefördert hat.
Auch im privaten Leben hat man Geheimnisse, die man wahren will. Sei es die PIN der EC-Karte oder die liebevolle E-Mail der aktuellen Affäre. Viele Menschen meinen, dass sie nichts zu verbergen haben und es ihnen nichts ausmacht, wenn z.B. ihre E-Mails von Fremden oder Bekannten mitgelesen werden. Jedoch wurde das Briefgeheimnis nicht umsonst im Grundgesetz der BRD als unverletzlich verankert (…auch wenn diese Unverletzbarkeit im Abschnitt 2 des Artikels wieder beschränkt wird). Viele sind sich auch einfach nicht bewusst, dass ihre E-Mails oft über mehrere Server wandern, bevor sie am Ziel sind, und man somit diesen vielen Serverbetreibern indirekt blind vertraut. Im Grunde entspricht eine E-Mail einer Postkarte: der Postbote kann sie lesen, und auch jemand, der mit etwas Geschick in Ihren Briefkasten schaut. Wer es nicht glaubt, soll sich einfach mal Programme wie tcpdump oder wireshark anschauen.
Unter dem Aspekt der drohenden Vorratsdatenspeicherung kommt dem Verschlüsseln von E-Mails noch mehr Bedeutung zu. Zwar dürfen Daten, die Aufschluss über den Inhalt einer Kommunikation geben, nicht gespeichert werden, jedoch ist bei E-Mails der Inhalt der Nachricht mit den Verbindungsdaten auf Protokollebene vermischt, eine Trennung somit kaum möglich (siehe auch Fragen und Fakten zur Vorratsspeicherung von Telefon- und Internetdaten).
[Bearbeiten] Warum signieren?
Schon mal Spam erhalten, worin Sie selbst angeblich der Absender waren? In den From:-Header einer E-Mail lässt sich mit etwas Fachwissen alles schreiben, d.h. jeder könnte sich als Sie ausgeben. Das ist in der Regel nicht zu verhindern, aber man kann solche E-Mails entkräften, indem man seine echten E-Mails konsequent signiert. Diese Signatur nachzuahmen ist ohne Ihren privaten Schlüssel geradezu unmöglich.
Ein anderes Beispiel ist, wenn jemand in den Besitz ihres Passwortes für ihren E-Mailaccount gelangt, möglicherweise ein Kollege oder eine verflossene Liebe. Schreibt dann jemand von ihrem Account aus E-Mails, die ihnen in Beruf oder Privatleben nicht gerade zum Vorteil gereichen, so können sie auch diese E-Mails entkräften, da sie ja nicht signiert sind.
Als Autor von Software möchte man sich auch nichts Schlechtes nachsagen lassen. Was aber, wenn die neue Version von FooXY Daten aus dem Home-Verzeichnis löscht, einen ausspioniert oder Ähnliches? Da könnte ein Cracker am Werk gewesen sein und FooXY entsprechend verändert haben. Dazu bedarf es nicht mal eines Crackers: Gerade Open-Source-Software wird ziemlich vielfältig auf Spiegeln im Internet verteilt. So gibt sich jemand böswillig als inoffizieller Spiegel aus, bietet aber eine fehlerhafte Version des Programms zum Download an. Verhindern lässt sich das nicht unbedingt, aber wenn der Autor seine herunterladbaren Dateien signiert, kann jeder überprüfen, ob die Dateien in dieser Form wirklich von diesem Autor sind. Auch bei nicht-freier Software spielt das eine Rolle, denn auch hier besteht die Möglichkeit, dass die Programmdateien von Zweitanbietern mit Viren verseucht werden.
Es ist nicht nur möglich, seine Dateien und E-Mails zu signieren, sondern auch Schlüssel zu signieren. Hiermit bestätigt man die reale Existenz und die korrekte Identität einer Person. So ist es geradezu sinnvoll, dies zu tun, denn man verhindert Man-in-the-Middle-Attacken, bei denen sich ein Angreifer mit seinem öffentlichem Schlüssel als Kommunikationspartner ausgibt. Auf der Basis der zertifizierten Schlüssel entsteht ein Vertrauensnetz, englisch: „Web of Trust“. Im Kapitel GnuPG: Netz des Vertrauens erfahren Sie näheres zum „Web of Trust“.
