Quelltext der Seite Diskussion:Verschlüsselung von Emails. Das Beispiel USA verlangt Entschlüsselung

'''Verschlüsselung von E-Mails'''

Seitdem es die Möglichkeit gibt, Mitteilungen schriftlich weiterzuleiten, besteht auch der Wunsch, vertrauliche Nachrichten nur dem Adressaten zukommen zu lassen. In der Vergangenheit gab es unzählige Versuche und zum Teil auch sehr fantasievoll gestaltete Veränderungen von Inhalten, um auf dem Weg zum Empfänger unentdeckt zu bleiben. Zu erwähnen wären Geheimschriften unter Verwendung von fremden Alphabeten, z. B.  Mit griechischen oder hebräischen Buchstaben, Vertauschen von Buchstaben,  Zahlengeheimschriften, Kreuz- und Zeichenalphabeten. Die kurioseste soll wohl die gewesen sein, bei der man Sklaven die Kopfhaare abrasierte, eine Botschaft auf die Kopfhaut tätowierte und erst  nachdem die Haare nachgewachsen waren, zum Ziel losschickte. 

Beim heutigen Instantmessaging werden alle Informationen sowohl im Fest- als auch im Mobil-Netz schneller, umfangreicher und öffentlicher. Hinzu kommt die stetig wachsende globale Teilnehmerzahl. Niemand macht sich Gedanken darüber, dass schriftliche Mitteilungen von  Dritten mitgelesen, auswertet und auch verfälscht werden können.

Eine Verschlüsselung einer schriftlichen Mitteilung (auch Chiffrierung oder Codierung) genannt, ist unerlässlich. Sie  bedeutet, dass der Absender die Schrift von einer leserlichen in eine unleserliche verändert, die wiederum vom Empfänger in eine leserliche umgewandelt werden muss. Es sind Absprachen der Ver- und Entschlüsselung, bzw. kompatible Software-Programme, notwendig.

Inhaltsverzeichnis

1. Ziele der Verschlüsselung
2. Wer benötigt Verschlüsselung?
3. Verschlüsselungsarten
4. Welche Software nimmt man? 


 1.  Ziele der Verschlüsselung sind:

Vertraulichkeit. Unbefugte sollten weder Einsicht noch Zugriff auf
           den Inhalt der Nachricht erhalten.

Integrität. Eine Manipulation der Übermittlung muss verhindert werden.

Authentizität. Die Identität des Absenders muss nachprüfbar und
fälschungssicher sein.  

Verbindlichkeit. Der Erzeuger einer Nachricht darf  nicht in der Lage sein,
           seine Urheberschaft zu bestreiten, sie muss sich nachweisen lassen.
          
Stichwort-Fischen. Abfangen und Sammeln von Stichworten soll
           abgewendet werden.



2.  Wer benötigt Verschlüsselung?

Unerlässlich sind  Verschlüsselungen für Institutionen, die vom Gesetzgeber zum       Datenschutz verpflichtet sind, z. B. Finanzämter, Banken. Aber auch Unternehmen, die
Industrie- oder auch andere Spionage verhindern wollen und Personen, die ihre Privat-
sphäre wahren möchten. Außerdem jeder, der das Abfangen von Stichworten für Werbezwecke und Erstellen von Persönlichkeitsprofilen – wofür auch immer – abwehren möchten. Somit dürfte es jeden angehen, der am elektronischen Schriftwechsel teilnimmt.

3.  Verschlüsselungsarten

Nachfolgend sind nur die wichtigsten schriftlichen Informationsverschlüsselungen                       aufgezeigt, die auch für den privaten Gebrauch in Frage kommen.

Kryptografie (von grch. kryptós: verborgen und gráphein: schreiben) ist die Lehre von der Verschlüsselung von Informationen. Man unterscheidet zwischen der symmetrischen und der asymmetrischen Form.

Symmetrische Methode
Das einfachste Vorgehen war das Ersetzen oder Verschieben von Buchstaben in einem Schriftstück. Inzwischen gibt es durchaus wesentlich kompliziertere Formen. Hierzu zählen die Stromchiffren, z. B.  A5 (GSM) oder RC6 und die Blockchiffren. Die bekannteste Blockchiffre ist das AES-Verfahren = Advanced Encryption             Standard. Hier wird der Rijndael-Algorithmus verwendet, der ganze Blöcke in unterschiedlichen Längen mit mehreren Durchgängen verschlüsselt. Der Begriff setzt sich aus zwei Nachnamen zusammen: Vincent Rijmen und Joan Daemen.

Beim AES-Verfahren wird die Blockgröße 128-bit verwendet. Zum Einsatz kommt es u. a. für WirelessLAN, IP-Telefonie, Skype, komprimierte Dateiarchive, wie Zip und RAR. AES wird aber auch in den Verschlüsselungssystemen PGP und GnuPG zugrunde gelegt. 

Nimmt man symmetrische Algorithmen, so reicht ein geheimer Schlüssel für die Ver- und Entschlüsselung. Dieser geheime Schlüssel muss auf einem sicheren Weg dem Kommunikationspartner übergeben werden. Und da liegt die Schwierigkeit zum einen. Eine sichere Weitergabe der Decodierung geht nur bei  einer persönlichen Übergabe. Bei mehreren Teilnehmern wird das allein schon zum Problem. Da heute sogar  weltweit und im Sofortmodus kommuniziert wird, ist diese Aufgabe unlösbar. Der andere springende Punkt ist der, dass immer neue Entschlüsselungs-Programme für symmetrische Verfahren  generiert werden und man nicht sicher gehen kann, ob der gerade benutzte noch eine Sicherheit bietet.

Vorteil der symmetrischen Verschlüsselung ist, dass die Ausführung schnell erfolgen kann und für den Computer nur ein geringer Speicherverbrauch benötigt wird. Nachteil ist der Austausch des geheimen Schlüssels.  
 



Asymmetrische Methode
Bei diesem System erhält jeder Teilnehmer  ein sich ergänzendes Schlüsselpaar, und zwar einen öffentlichen Schlüssel (Public Key) und einen privaten/geheimen Schlüssel (Privat Key). Mit dem öffentlichen wird nur verschlüsselt und mit dem privaten wird nur entschlüsselt. Der Public Key basiert auf dem Privat Key, und es ist schwer,  ihn so einfach nachzuvollziehen. Er kann deswegen ruhig öffentlich per E-Mail verteilt werden. 

Als einer der wichtigsten asymmetrischen Verfahren – und hier als Beispiel dargestellt – gilt der RSA . Rivest, Shamir und Adleman haben bereits 1977 einen Algorithmus entwickelt, der auf einer Einwegfunktion beruht und bis heute gültig ist.

Das funktioniert so: Es werden Primzahlen multipliziert:


     Faktor     x       Faktor
     5 7 1 1     x      2 3 1 1

Private Key
zum
Entschlüsseln
           =
           =
Produkt
1 3 1 9  8 1 2 1

Public Key
zum
Verschlüsseln


Eine einfache Multiplikation. Aber im Umkehrschluss ist es sehr schwierig, das Produkt in die richten Faktoren zu zerlegen:

Produkt
2 4 1 1 7 9 8 3

Public Key
zum
Verschlüsseln   
           =
           =
  Faktor     x       Faktor
?         x         ?

Private Key
zum
Entschlüsseln


Nur der entsprechende Privat Key besitzt die passenden Einzelfaktoren zum Entschlüsseln. Es  liegt auf der Hand, dass die Entschlüsslung immer schwieriger und zeitaufwändiger wird, je größer das Produkt ist. Das noch nicht in Faktoren zerlegte Produkt des RSA-896 enthält 270 Ziffern.

Vorteil der asymmetrischen Verschlüsselung ist, dass jeder Teilnehmer nur den privaten Schlüssel bei sich geheim halten muss. Alle anderen Teilnehmer erhalten ausschließlich den öffentlichen Schlüssel. Beim asymmetrischen Verfahren sind auch keine Passwörter nötig.

Ein großer Nachteil dagegen liegt aber in der Tatsache, dass das asymmetrische Verfahren eine wesentlich größere Speicherkapazität im Computer benötigt und zusätzlich noch sehr langsam arbeitet. Außerdem auch darin, dass wenn eine vertrauliche Nachricht an verschiedene Empfänger verteilt werden soll, diese jeweils nur einzeln mit dem  jeweiligen öffentlichen Schlüssel des Adressaten geschehen kann.        

Hybride Kryptografie
Um die Vorteile der symmetrischen und der  asymmetrischen Kryptografie zu nutzen, kombiniert man beide zu hybriden Verschlüsselungssystemen. Zum Beispiel wird für den eigentlichen Informationstransfer eine symmetrische Verschlüsselung erzeugt und für den Austausch der Schlüssel ein asymmetrisches Verfahren benötigt.

Public-Key-Infrakstruktur (PKI)
Auch mit dem doppelten Boden  der hybriden Vorgehensweise ist aber eine absolute Sicherheit der Datenübertragung immer noch nicht  gegeben. Es besteht die Möglichkeit, dass Unberechtigte den öffentlichen Schlüssel abfangen und vielleicht missbrauchen. Das zu verhindern ist erreichbar mit der sogenannten Public-Key-Infrastruktur, einer Zertifizierungsstelle (CA – Certificat Authority), die in der Lage ist, die jeweiligen privaten und öffentlichen Schlüssel den Teilnehmern fest zuzuordnen, zu versenden und zu prüfen. Die entsprechenden Benutzer erhalten von so einer  Beglaubigungsinstitution als Bestätigung digitale Zertifikate, mit denen somit Authentifizierung und Integrität gewährleistet sind. Der zu übermittelnde Text muss natürlich noch zusätzlich verschlüsselt werden, da er sonst im Klartest übermittelt wird.

Öffentliche Einrichtungen oder auch die Bundesnetzagentur können solche Zertifizierungsstellen sein, zu denen das T-TeleSec Trust Center der Deutschen Telekom und das Signtrust Center der Deutschen Post gehören. Einige Software-Programme bieten diesen Service direkt mit an.

Unterschied zwischen digitaler und elektronischer Signatur
Diese Begriffe sollte man nicht verwechseln. Die digitale Signatur deckt den eigentlichen zu verschlüsselnden (kryptografischen) Teil ab. Hingegen ist die elektronische Signatur ein rechtlicher Begriff. Sie wird Dateien hinzugefügt und mit ihnen verknüpft zum Zwecke der Authentifizierung. 


4.   Welche Software nimmt man?

Es gibt sehr viele unterschiedliche Programme mit zunehmender Tendenz. Das Bundesamt für Sicherheit und Informationstechnik (BSI) weist auf seiner Internetseite auf die drei folgenden Software-Programme hin: 

PGP (Pretty Good Privacy), bedeutet etwa: „Ziemlich gute Privatsphäre“. Die                       
   Verschlüsselung erfolgt mit dem hybriden Verfahren. Authentifizierungs-Optionen
sind vorhanden.  - Kostenpflichtig 

Gpg4win (Gnu Privacy für Windows). Die Entwicklung dieser Software wurde vom
    Bundeswirtschaftsministerium und vom Bundesinnenministerium im Rahmen der 
    Aktion „Sicherheit im Netz“ unterstützt. Zertifizierung ist inbegriffen. - Kostenfrei

Diese beiden Programme sind für Windows, Linux und MacOS geeignet und untereinander kompatibel.

CrypTool ist ein  E-Learning-Programm, mit dem man Ver- und  Entschlüsselung-
    en erlernen und vornehmen kann.  Es ist für Windows geeignet. - Kostenfrei

Eine weitere Software, die für Mozilla Thunderbird  und Seamonkey infrage kommt,
    ist Enigmail (von Enigma und E-Mail). Diese Anwendung stellt selbst nur die Ober-
    fläche. Zusätzlich muss GnuPG installiert werden, die die eigentliche hybride Ver-
    und Entschlüsselung vornimmt. - Kostenfrei

Die kostenpflichtigen Verschlüsselungsprogramme haben generell den Vorteil, dass sie komfortabler sind in der Einrichtung und in der Anwendung. Viele Funktionen sind automatisiert. Unterstützung bei der Installation, Aufrüstung, Updates und Kundenservice gehören meistens dazu. Ein großer Nachteil ist, dass sie verhältnismäßig teuer sind. 

Die kostenfreien Software-Programme ziehen inzwischen nach und bieten auch eine ganz gute Sicherheit.  Jeder muss für sich entscheiden, welchen Standard und welche Hilfen er benötigt.

Um beim Herunterladen von E-Mail-Verschlüsselungs-Software  aktuelle Versionen zu erhalten, sollten diese am besten direkt beim Hersteller, bei Bundesämtern und Bundesministerien,  oder bei bekannten Computer-Zeitschriften bezogen werden. Man sollte unbedingt darauf achten, dass Updates die Versionen  auf dem neuesten Stand halten. Auch ein Programm in deutscher Sprache kann große Vorteile haben.


Abschließend betrachtet, ist eine „Unlesbarmachung“ der gesamten elektronischen Post heutzutage unumgänglich. Die Anwendung im privaten Bereich ist allerdings noch sehr gering, da die Problematik nicht ausreichend und flächendeckend bekannt ist. Hinzu kommt die Unsicherheit mit verschiedenen, zum Teil auch mit nicht kompatiblen Systemen, die eher ein  technisches Verständnis voraussetzen. Bei steigender Teilnehmerzahl würde sich aber auch der Umgang damit vereinfachen und normalisieren.

Wünschenswert für die Zukunft wäre allerdings  eine einfache, sichere und kostenlose Verschlüsselungstechnik, die automatisch beim Erwerb von allen elektronischen Nachrichten-Verteilungssystemen installiert werden würde und auch von Laien leicht zu handhaben wäre. 

Kiwi / 10.10.10


Quellen: 
 www.bsi.bund.de
www.bsi-fuer-buerger.de
http://www.rsa.com/rsalabs/node.asp?id=3723
www.tecchannel.de/kommunikation/e-mail/401384/sichere_e_mail/index3.html
www.heise.de/security/artikel/Harte-Nuesse-Verschluesselungsverfahren-und-ihre-Anwendungen
www.ci-d.de/Downloads/Diplomarbeit_-_C2C_Integritaetsnachweis.pdf

Zertifizierungs-Möglichkeiten:
Deutsche Post:         www.deutschepost.de  → Trustcenter 
Deutsche Telecom:   www.telesec.de/pks/bestellung_signaturpaket.html