Sicher kommunizieren mit GnuPG, Kgpg und KMail

Verschlusssache

von Martin Loschwitz

---

Wer sicher über das Internet kommunizieren möchte, braucht gute Verschlüsselungs-Software. Wir stellen GnuPG vor und zeigen, wie Sie damit geheime E-Mails versenden.

---

Elektronische Mails sind wie Postkarten -- jeder kann sie lesen. Dieser Vergleich trifft sehr genau zu: An der Zustellung einer einfachen E-Mail sind oft fünf oder mehr Mail-Server beteiligt. In der Regel laufen die privaten, geschäftlichen und sonstigen vertraulichen Nachrichten ohne jeden Schutz im Klartext von Server zu Server -- wer einen dieser Rechner kontrolliert oder unterwegs den Datenverkehr belauscht, kann alles mitlesen.

Möchten Sie sicher gehen, dass Ihre Mail wirklich nur der gewünschte Empfänger zu Gesicht bekommt, ist heute GnuPG (GNU Privacy Guard) das Mittel der Wahl. Das Programm hat unter Linux Phil Zimmermanns PGP abgelöst ("Pretty Good Privacy" -- etwa "ziemlich gute Privatsphäre"). Der Amerikaner veröffentliche 1991 seine Aufsehen erregende Software, die Kryptographie für Jedermann zugänglich machte (siehe Kasten "Das PGP-Prinzip").

Das PGP-Prinzip

In den Neunzigern war das Veröffentlichen von kryptographischer Software ein politisch und juristisch sehr gewagtes Unterfangen. Heute sind die PGP-Techniken anerkannte Basis für sichere und vertrauliche Kommunikation im Internet. Das Verfahren fußt auf der so genannten "Public Key"-Verschlüsselung: Jeder Teilnehmer generiert sein eigenes Schlüsselpaar, bestehend aus öffentlichem und privatem (geheimen) Schlüssel. Abb. 1: Beim Schützen von geheimen Botschaften verwendet der Absender den öffentlichen Schlüssel des Empfängers. Nur noch B kann die Nachricht entschlüsseln, weil nur er den geheimen Gegenschlüssel besitzt. Vertrauliche Mail Möchte A seiner Freundin B eine geheime Mail senden, verschlüsselt A die Mail mit dem öffentlichen Schlüssel von B. Anschließend kann nur noch B mit ihrem privaten Schlüssel die Mail entschlüsseln (Abbildung 1). Privater und öffentlicher Schlüssel gehören fest zusammen. Das Verfahren funktioniert auch umgekehrt: B kann ihre Nachrichten mit ihrem eigenen privaten Schlüssel digital unterschreiben (signieren). Weil nur sie den privaten Schlüssel kennt, kann jeder Empfänger mit dem öffentlichen Schlüssel von B überprüfen, ob die Mail wirklich von B stammt. Allerdings muss A in beiden Fällen wissen, dass er den korrekten Schlüssel von B erwischt hat und nicht auf einen Scherzkeks hereinfällt, der sich genauso nennt wie die Freundin. Daher können PGP- und GnuPG-Benutzer ihre öffentlichen Schlüssel untereinander signieren: A unterzeichnet mit seinem privaten Schlüssel den Schlüssel von B und versichert damit, dass er die Identität von B überprüft hat und weiß, dass der Schlüssel auch wirklich B gehört. Wenn ein Dritter C der Aussage von A vertraut, weiß auch er, dass der Schlüssel von B keine Fälschung ist. Vertrauensnetz Aus diesen gegenseitigen Unterzeichnungen (auch Signaturen genannt) erwächst ein Vertrauensnetz (Web of Trust). Weltweit treffen sich Teilnehmer des Netzwerks, prüfen gegenseitig ihre Identität und signieren ihre Schlüssel. Das Beste am Vertrauensnetz ist, dass jeder Interessierte mitmachen darf. Viel braucht es dazu nicht: Ein Schlüsselpaar und die passende Einstellung des Mail-Programms genügen, um sicher Mails zu empfangen und zu versenden. Der Artikel zeigt, wie Sie Kgpg und KMail dazu einrichten.

Aber bitte mit Farbe

GnuPG selbst arbeitet zwar auf der Kommandozeile, mit der Konsole kommen Sie trotzdem nicht in Berührung: Das KDE-Projekt schickt Kgpg ins Rennen -- das Programm passt sich nahtlos in KDE ein. Mit ihm verwalten Sie einfach und effizient Ihre GnuPG-Einstellungen. Die Bedienung ist intuitiv und simpel.

Bevor Sie GnuPG und Kgpg verwenden, müssen die Tools zuerst auf die Platte. Bei Suse Linux ist nach der Grundinstallation bereits alles vorhanden. Mandrake Linux 10.2 patzt leider und installiert nicht alles -- einige Pakete fehlen in der Standardausgabe sogar auf CD. Dem helfen Sie nach, indem Sie die fehlenden Pakete von der Heft-CD nachinstallieren. Anschließend ist auch Mandrake Linux bereit für das Netz des Vertrauens.

Erste Schritte in Kgpg

Starten Sie Kgpg. Das geht immer mit dem Schnellstarter [Alt-F2] gefolgt von kgpg. Unter Suse Linux finden Sie das Programm auch im Startmenü unter Dienstprogramme / KGpg. Mandrake Linux versteckt es unter System / Einstellungen / Sonstiges / KGpg. Nach dem ersten Start sehen Sie den Konfigurationsassistenten.

1. Die ersten beiden Fenster quittieren Sie mit Klicks auf Weiter.

2. Beim dritten Dialog setzen Sie ein Kreuz vor Reißwolf auf Arbeitsfläche installieren und bestätigen mit Weiter.

3. Beim letzten Dialog müssen Sie nichts ändern, Sie bestätigen mit Abschließen.

Nun startet Kgpg mit seinem Hauptfenster und einem weiteren Dialog, mit dem Sie ein neues Schlüsselpaar generieren (Abbildung 2).

1. Im Feld Name tragen Sie Ihren vollständigen Namen ein,

2. bei E-Mail Ihre komplette Mail-Adresse. Sie ist das beste Mittel, um Sie eindeutig zu identifizieren -- Menschen gleichen Namens wird es sicher geben, aber die Mail-Adresse ist einmalig.

3. Im Feld Kommentar können Sie einen beliebigen Kommentar eintragen, achten Sie aber darauf, dass dieser später überall auftaucht, wo Sie den Schlüssel benutzen. Ein alter Spitzname an dieser Stelle stellt sich vielleicht nach ein paar Jahren als echtes Ärgernis heraus.

Abb. 2: Beim Erzeugen eines Schlüssels können Sie Ihre Daten frei eingeben. Dass Sie nicht geflunkert haben, müssen andere Benutzer erst im Vertrauensnetz bestätigen.

4. Im Feld Gültig bis legen Sie fest, ob der Schlüssel nach dem hier festgelegten Zeitraum von Ihnen erneuert werden muss, oder ob er permanent gültig bleibt. Meist ist es einfacher, hier kein Gültigkeitsdatum einzutragen.

5. Die Schlüsselgröße legt fest, wie sicher er ist. 1024 Bit ist ein passender Grundwert, wer auf Nummer sicher gehen möchte, verwendet 2048 -- besonders auf langsamen PCs werden das Erstellen des Schlüssels und seine Verwendung dann aber recht lange dauern.

6. Beim Algorithmus sollten Sie die Voreinstellung DSA & ElGamal nicht verändern.

Geheim, geheim ...

Nun fordert Kgpg Sie auf, das Passwort für den Zugriff auf den neuen privaten Schlüssel einzugeben. Dieser Schritt ist kritisch, achten Sie darauf, kein zu einfaches Passwort zu verwenden. Kombinieren Sie Groß- und Kleinbuchstaben, auch Sonderzeichen wie die Raute sind erlaubt. Sie müssen das Passwort in beide Felder eingeben, damit das Programm sicher ist, dass Sie sich nicht vertippt haben.

Auf keinen Fall sollte das Passwort für Dritte aus dem Stegreif erratbar sein, denn wer Ihr Passwort kennt und dazu Ihren privaten Schlüssel klaut, kann allerlei Unfug anstellen: Verschlüsselte Mails knacken und Mails fälschen, die dann scheinbar von Ihnen signiert wurden. Wie sicher das Passwort ist, zeigt Suse Linux 9.3 mit einem Sicherheitsbalken unter den zwei Eingabefeldern.

Wenn Sie Ihre Eingabe bestätigen, erscheint ein kleines Fenster, das den Fortschritt der Schlüsselgenerierung zeigt. Danach gelangen Sie zum Schlussdialog, in dem Sie die Möglichkeit haben, ein Sperrzertifikat zu generieren.

Die Geister, die ich rief

Nur mit dem Sperrzertifikat ist es jederzeit möglich, Ihren Schlüssel zu entwerten (ihn zurückzurufen). Wenn zum Beispiel jemand in Ihren Rechner einbricht und Ihren Schlüssel stiehlt, dann ist das eine Gefahr für das Vertrauensnetz, weil sich ein Schlüssel in fremden Händen befindet -- wenn der Angreifer zusätzlich Ihr Passwort errät, kann er falsche Signaturen ausstellen (siehe Kasten "Das PGP-Prinzip").

Kreuzen Sie also die Option Speichern unter an und legen Sie fest, wo Kgpg das Sperrzertifikat (englisch "revocation certificate") ablegt. Bestätigen Sie mit Weiter, Kgpg fordert Sie dann auf, für den soeben generierten Schlüssel das Passwort einzugeben -- der Dialog nennt das Passwort hier allerdings "Mantra". Anschließend sehen Sie das (noch) leere Kgpg-Fenster (Abbildung 4).

Abb. 3: Zu jedem Schlüsselpaar sollten Sie ein Sperrzertifikat aufbewahren, mit dem Sie im Ernstfall den öffentlichen Schlüssel für ungültig erklären.

Abb. 4: So sieht Kgpg nach dem ersten Start aus, es zeigt nur den neu generierten Schlüssel (zweite Zeile) und einen weiteren Schlüssel, den der Benutzer aus dem Netz importiert hat.

Wer, wie, wo

Kgpg ist sehr einfach aufgebaut. Der wichtigste Teil ist das große Hauptfenster in der Mitte. Dort sehen Sie momentan nur Ihren Schlüssel. Sobald Sie aber weitere Schlüssel aus dem Netz importieren, erscheinen die ebenfalls in der Liste.

Ein Hinweis zum neuen Schlüssel: In Ihrem Home-Verzeichnis sehen Sie im Ordner .gnupg (der Punkt vor dem Namen ist wichtig!) viele neue Dateien, darunter auch eine namens secring.gpg. Sichern Sie das komplette Verzeichnis sowie das Sperrzertifikat, das Sie im letzten Schritt der Schlüsseleinrichtung generiert haben, auf CD oder Diskette und deponieren Sie diese an einem möglichst sicheren Ort. Achten Sie außerdem penibel darauf, dass keine fremden Personen Zugriff auf Ihren Rechner und damit Ihren Schlüssel erhalten.

Schlüssel signieren

Bevor Sie verschlüsselte Mails mit KMail verschicken, praktizieren Sie lieber einige Trockenübungen um sich in die Materie einzufinden. Im Idealfall lassen Sie Ihren Schlüssel erst von Ihren Kommunikationspartnern signieren und unterscheiben im Gegenzug auch deren Schlüssel. Allerdings müssen Sie dazu sicherstellen, dass Sie nur korrekte Schlüssel akzeptieren:

• Sie sollten sich persönlich treffen oder -- bei guten Bekannten -- wenigstens miteinander telefonieren.
• Wenn Sie sich nicht gut kennen, sollten Sie ein amtliches Dokument wie den Personalausweis oder den Führerschein prüfen.
• Um den aus dem Netz importierten Schlüssel mit dem Original Ihres Partners zu vergleichen, verwenden Sie den Fingerabdruck des Schlüssels.

Beim Fingerabdruck (zu sehen in Abbildung 3) handelt es sich um eine fälschungssichere, aber viel einfachere Darstellung des deutlich längeren Schlüsselmaterials. Achten Sie darauf, wirklich jede Stelle zu vergleichen.

Altmodisch, aber sicher

Während der etwas altmodisch anmutenden Prozedur importieren Sie in Kgpg den Schlüssel Ihres Gegenübers über Datei / Schlüsselserverdialog. Geben Sie in die Suchmaske die Schlüsselkennung (Key-ID) ein, die Ihnen der Partner mitteilt. In der Auswahlliste (Abbildung 5) bei Schlüsselserver wählen Sie einen beliebigen Server. Über Importieren holen Sie den gefundenen Schlüssel schließlich auf die Platte.

Abb. 5: Beim Importieren eines Schlüssels in Kgpg geben Sie die Schlüsselkennung vor (Eingabezeile am unteren Rand). Das Programm sucht auf einem Schlüssel-Server nach passenden Einträgen.

Der importierte Schlüssel taucht fortan im Hauptfenster auf. Mit folgenden Schritten signieren Sie ihn (das Prüfen vorher nicht vergessen!):

1. Wählen Sie den zu signierenden Schlüssel aus.

2. Klicken Sie im Kontextmenü auf den Eintrag Schlüssel signieren.

3. Quittieren Sie den folgenden Dialog mit Weiter.

4. Danach öffnet sich ein Terminal-Fenster. Dort geben Sie [J] gefolgt von [Eingabe] ein; der Schlüssel Ihres Gegenübers ist danach signiert.

Es schadet nicht, von Zeit zu Zeit den Menüpunkt Ansicht / Liste Aktualisieren aufzurufen. Dann gleicht Kgpg die Schlüssel in Ihrer Liste mit denen auf dem Schlüssel-Server neu ab, und Sie sind wieder auf dem neuesten Stand.

KMail und GnuPG verketten

Weil KMail und Kgpg KDE-Applikationen sind, die intern dieselbe Infrastruktur verwenden, ist die Verbindung der beiden Programme meisterhaft. Wenn Sie KMail neu starten, ist ein Großteil der notwendigen Konfiguration schon geschehen. Sie sollten aber die Funktion zum automatischen Signieren von Mails zusätzlich zu den Standardeinstellungen aktivieren. Danach signiert KMail automatisch alle Mails, die Sie versenden -- so kann später jeder Empfänger die Herkunft Ihrer Mails prüfen.

1. Klicken Sie in KMail auf Einstellungen / KMail einrichten und wählen Sie Sicherheit.

2. Im Reiter Nachrichten erstellen setzen Sie einen Haken vor Nachrichten automatisch signieren. Speichern Sie die Konfigurationsänderung ab.

3. Nun müssen Sie noch Ihrem KMail-Benutzerzugang den entsprechenden GnuPG-Schlüssel zuweisen. Klicken Sie im Einrichten-Dialog links auf Identitäten, wählen Sie das Konto aus, das Sie zum Postversand in KMail benutzen und klicken Sie auf Ändern.

4. Wählen Sie nun den Reiter Kryptographie, klicken Sie auf Ändern neben dem ersten sowie neben dem zweiten Feld und wählen Sie aus der Liste den eben generierten Schlüssel (Abbildung 6).

5. Bestätigen Sie die Einstellungen und kehren Sie zu KMail zurück.

Abb. 6: Im Kryptographie-Dialog von KMail legen Sie fest, welchen Schlüssel das Programm zum Signieren von Mails verwendet.

Geheim

Wenn Sie nun eine neue E-Mail schreiben, sehen Sie in der Symbolleiste ein goldenes Schloss. Klicken Sie darauf, nachdem Sie eine E-Mail fertiggestellt haben, um die Nachricht für den Empfänger zu verschlüsseln. Beachten Sie dabei aber, dass Sie den Schlüssel, mit dem Sie die Mail verschlüsseln wollen, vorher in Kgpg importieren müssen. Wie das geht ist oben beschrieben. KMail setzt Sie noch vor eine weitere Hürde: Es gibt einen Schlüssel erst zum Verschlüsseln frei, wenn Sie ihn signiert haben.

Das Versenden der Mail funktioniert anschließend fast wie gewohnt. Neu ist, dass ein GnuPG-Fenster erscheint. In diesem Fenster wählen Sie aus, mit welchem Schlüssel KMail die Nachricht verschlüsselt (Abbildung 3).

Abb. 7: Vor dem Absenden einer Mail fragt KMail, welchen Schlüssel es für das Verschlüsseln der E-Mail verwenden soll.

Fremdgehen

GnuPG ist nicht auf Linux beschränkt. Das deutsche BSI (Bundesamt für Sicherheit in der Informationstechnik) weist auf seiner Website ausdrücklich auf das freie Projekt GNU PP hin, das GnuPG über verschiedene Anwendungen auch für Windows zugänglich macht. Zu diesen Anwendungen gehört zum Beispiel der bekannte Mail-Client Thunderbird, der dank GNU PP ein eingebautes GnuPG-Modul besitzt. So müssen Ihre Freunde oder Kollegen, die weiter mit Windows arbeiten, auch nicht auf GnuPG verzichten.

Zum Abschluss noch ein Sicherheitshinweis: Sollten Sie den Verdacht haben, dass Ihr privater GnuPG-Schlüssel in fremde Hände geraten sein könnte, zögern Sie nicht, Ihr Sperrzertifikat anzuwenden. Im Anschluss müssen Sie zwar einen neuen Schlüssel generieren, aber nur so hält das Vertrauensnetz -- und darauf wollen Sie sich ja verlassen. (fjl)

Infos

[1] Die Projektseite von GnuPG: http://www.gnupg.de/index.html.de [2] KGPG-Artikel: Andrea Müller, "Digitales Schlüsselbrett", EasyLinux 09/2003, S. 21 ff, http://www.easylinux.de/2003/09/021-gpg-kgpg/ [3] KMail-Artikel: Andrea Müller, "Post unter Verschluss", , EasyLinux 09/2003, S. 26 f, http://www.easylinux.de/2003/09/026-gpg-kmail/

Dieser Online-Artikel kann Links enthalten, die auf nicht mehr vorhandene Seiten verweisen. Wir ändern solche "broken links" nur in wenigen Ausnahmefällen. Der Online-Artikel soll möglichst unverändert der gedruckten Fassung entsprechen.