Verschlüsselt Ihr Eure eMails?

[asg]

Eines noch: Stellt ein Ablaufdatum für euren Key ein!
Das erspart euch jede Menge Ärger, falls ihr mal den Key verlieren solltet bzw. wenn ihr GnuPG später doch noch verwenden wollt. Ihr könnt es jeder Zeit verlängern!

Oder gleich, nach dem erstellen eines keys ohne Ablaufdatum, einen revoke key erstellen mit welchem man den key jederzeit widerrufen kann.

 

[asg]

Für alle die zu faul sind bezgl. Verschlüsselung, oder welche es in einem Unternehmen nicht jedem Benutzer erklären möchten (vom einrichten ganz zu schweigen), der sollte sich das Produkt von Zertificon ansehen: http://www.zertificon.de/
Zentrale Verschlüsselung und Entschlüsselung von Mails (PGP/GPG und S/MIME) für alle Benutzer. Damit muss man am Client des Benutzers nichts einstellen. Funktioniert tadellos und ohne Probleme.
Ähnliches gibt es von anderen Unternehmen.

 

[Kamikaze]

Auch mit revoke ist es empfehlenswert den key mit einem Verfallsdatum auszustatten. Von einem meiner Accounts gibt es einen alten Key, von dem ich den Private Key und den Revoke Key verloren habe. Und der hat unbegrenzte haltbarkeit, wird also ewig auf den Servern rumgammeln.

 

[menuhin]

Ich würde gerne verschlüsseln aber die Leute die ich real kenne schicken nicht mal ne mail und mal soll nur jemanden verschlüsselt verschicken wenn es sehr wichtige Infos gibt wie Konto Informationen da soll man verschlüsseln aber normale mails wenn mann nichts zu verbergen hat braucht man nicht zu machen.

 

[Kamikaze]

Ich würde am liebsten alle meine E-Mails verschlüsseln. Egal wie trivial die Information in der E-Mail ist sie geht nur den Empfänger etwas an.

Unter der Vorraussetzung, dass es Hardware zum Knacken gibt und diese auch von Geheimdiensten im großen Maßstab eingesetzt wird, finde ich alles gut, was sinnlos rechenzeit bei denen Kostet. Wenn die ihre Rechenzeit verschwenden um Geburtstagsglückwünsche oder die Verabredung zu 'nem Bier zu entschlüsseln ist das für mich aktiver Kampf für meine Grundrechte.

 

[dark_angel]

Ich sehe es genau so wie Kamikaze.

Selbst benutze ich auch OpenPGP, jedoch habe ich nur 3 Leute in meinem Adressbuch, welche es ebenfalls benutzen.

Jedoch ist es wirklich nicht leicht sein Umfeld davon zu überzeugen seine Mails zu verschlüsseln. Selbst bei wichtigen Sachen (Passwörter etc.) denken zu viele Leute an den elektronischen Brief und nicht an die elektronische Postkarte. Deswegen wird es in naher Zukunft wohl eher wenig Leute geben, die ihre Mails verschlüsselt versenden.

 

[Amin]

Hätte man es damals nicht eMail sondern ePostcard nennen sollen.

 

[menuhin]

Ich würde auch alles verschlüsseln es geht keinen an was ich schreibe aber gpg oder pgp hat sich nicht durchgesetzt , die leute die ich kenne sind froh mails beantworten gar nicht zu sprechen von verschlüsseln.Wenn ich jemandem mein Konto schicken soll dann würde ich verlangen das er ein key hat (erstellt) und wir diesen key per telefon austauschen (fingerprint) und dann die mail verschlüsselt zu schicken aber für normale mails ist der aufand ist zu gross.

 

[bsdagent]

Hi

Bei CAcert kann sich jeder kostenlos ein E-Mail Zertifikat erstellen lassen .

Gruss
bsdagent

P.S. Informationen über CAcert auf Wikipedia .

 

[menuhin]

Mann kann sich auch gpg sogar unter Windows installieren aber keiner macht es.

 

[Kamikaze]

Ich hab's damals gemacht, als ich noch Windows verwendet habe.

 

[Daemotron]

Hi

Bei CAcert kann sich jeder kostenlos ein E-Mail Zertifikat erstellen lassen .

Gruss
bsdagent

P.S. Informationen über CAcert auf Wikipedia .

Da gibt es noch diverse weitere, die das anbieten. Aber wie ich den bisherigen Antworten entnehme, werden E-Mails nur selten verschlüsselt, und wenn dann per OpenPGP und nicht per S/MIME. Ein solches Zertifikat ist also eher weniger nutzbringend (trotzdem mag ich CACert - für meine Server-Zertifikate ). Zertifikate mit ihrer Zentralinstanz eignen sich IMHO auch eher für Unternehmen. Bei entsprechender Größe lohnt es durchaus, eine eigene CA einzurichten...

Was mich bei CACert übrigens am meisten nervt: kein einziges OpenSource-Projekt hat das CACert Root Certificate in seinen Trusted CAs drin - egal ob Mozilla, Sylpheed, ... dafür jede Menge kommerzieller CA-Betreiber

 

[Athaba]

Passt zwar nicht ganz zum Thema, aber ich versuche auch sonstigen Traffic zu verschlüsseln: bsdforen.de nur mit HTTPS, OTR fürm IM (wenn da jemand sagt, dass das großer Aufwand sei, dann lügt er!), Versuche Leute dazu zu bringen von IRC auf SILC umzusteigen (da ist das mit dem "besitzen" von Nicks auch einfacher) und nebenbei Verwendung von verschlüsselten Protokollen für die Übertragung von Daten und zur Kommunikation. CSpace, Freenet, Gnunet, MUTE, WASTEng, Syndie .. Das Meiste ist auch gleich anonym und bietet auch sonst jede Menge Vorteile geegenüber den derzeit meist genutzten Protokollen.

Einen Vorteil würde der Umstieg von Gruppen/Freundeskreisen auf OpenPGP oder S/MIME noch bringen: Man kann damit sehr einfach einen Spamfilter bauen. Auch wenn Nachrichten nur signiert werden.

 

[menuhin]

@Athaba
Was heisst hier ich Lüge, stell dir du muss einem noob deine Kontodaten schicken,der ist froh wenn er die mail beantworten kann und verschicken kann also du musst ihm sagen o.k erstell jetzt einen key mit openpgp, dann am telefon sagt er dir den fingerprint und soll er den key per mail verschicken, des weitere kennst du, ich würde gerne verschlüsseln nur wenn ich wüsste das man automatsich beim anlegen von user ein key angelegt wird und der mensch ist fähig damit umzugehen.Na gut man kann grafische Tools dafür haben und das müsst als algemeinheit gelten nur jetzt ist gpg nur für it leute vorbehalten.Den htpps benutze ich auch obwohl bei bsdforen manchmal hackt dann wechselt automatisch in http.Deshlab meine ich ist für mich der Aufand zu gross, wenn du mir sagen würdest schick mir mail verschüsselt mach ich sofort weil ich davon ausegehe das du dich auch damit auskennst.

 

[nakal]

Ich verschlüssele auf jeden Fall. Außerdem sollte man Mails schon signieren. Sie haben dann für mich einen höheren Stellenwert als ein Brief oder ein Fax mit einfacher handschriftlicher Signatur.

Was mich erschreckt ist, dass viele Leute meinen, dass Verschlüsselung aufwendig ist. Das ist über ein Drittel hier! Ich verstehe das nicht. Sind das Verständnisprobleme über die Technologie? Sind das fehlende Frontends (das kann ich mir allerdings nicht vorstellen)? Ist das die Schwierigkeit, es in den Mail-Client einzubinden? Nervt die Passworteingabe beim Abschicken jeder E-Mail?

Anmerkung: Ich habe hier die Annahme gemacht, dass wer nicht verschlüsselt, der signiert auch nicht.

 

[Daemotron]

Also wenn wirklich die Werkzeuge das Problem sind, hier mal ein paar, mit denen selbst DAUs es hinbekommen sollten, ihren Mail-Verkehr mit GPG zu verschlüsseln:

Unter *BSD/Linux/Solaris:

• GPA (Schlüsselverwaltung)
• pinentry (Wird von vielen Anwendungen benötigt, um die Passphrase abzufragen)
• Mozilla Thunderbird + Enigmail-Plugin
• Sylpheed (alternativer MUA mit GnuPG-Unterstützung)
• Claws Mail (noch ein alternativer MUA mit GPG-Unterstützung)

Wenn Ihr es mal mit Windows-Usern zu tun habt, gibt's auch für die eine brauchbare Lösung: Gpg4win bringt neben GPG und GPG2 auch Claws Mail, WinPT und Plugins für Outlook und den Windows Explorer mit. Ist außerdem auch komplett in deutsch übersetzt und bringt auch eine leicht verständliche Einsteiger-Doku mit => Ausreden gibt's da wohl keine mehr. Thunderbird mit Enigmail läuft ebenfalls unter Windows. Was daran schwierig zu bedienen sein soll, will sich mir einfach nicht erschließen. Und in der allergrößten Not kann man immer noch S/MIME einsetzen - CAcert und auch viele kommerzielle CA-Betreiber bieten für den Hausgebrauch kostenlose Zertifikate an, und das funktioniert ohne weitere Plugins mit den unter Windows gängisten MUAs (Outlook, OE, Thunderbird).

 

[Athaba]

@Athaba
Was heisst hier ich Lüge

Bitte schau dir den Satz nochmal an. Ich habe davon geredet, dass jeder mit OTR umgehen kann. Installieren, aktivieren und fertig.

Wenn man will kann man auch noch den Fingerprint bestätigen (z.b. mittels abschreiben und beim RL-Treffen geben oder mittels Telefon). Aber wenn es keinen mächtigen Marvin gibt reicht es auch ohne Fingerprint.

HTTPS (clientseitig) kann auch jeder verwenden.

 

[menuhin]

O.K, Meine Meinung emails zu verschlüsseln bleibt dem fortgestrittene User aber keinem DAU es gibt Grafische Tools die man installieren kann klar aber für DAUs dir müssen schon vorinstalliert sein wenn man von den verlangen würde gib mal dein fingerprint da müsste man sie dirch die menus leiten sogar dann würden schimpfen und sagen das es kompliziert ist.

 

[Amin]

Ich muss menuhin zustimmen, es ist nicht einfach einem DAU zu verklickern, das er seine Mails verschlüsseln muss. Selbst ich als Nicht-DAU tuhe mich schwer. Nicht weil ich es vielleicht nicht hinbekommen würde, aber die Hürde sich mit einem weiteren Thema auseinander zu setzen, hindert mich bisher daran.

In einem vorherigen Post von mir habe ich schon HTTPS angesprochen. Wer würde denn HTTPS beim Online-Banking benutzen, wenn man das als User selber einrichten müsste? So gut wie niemand! Online-Banking wäre wahrscheinlich eine Nische.

Warum kann eMail-Verschlüsselung nicht so einfach funktionieren wie HTTPS???

@Ogion! Deine Tools-Auflistung ist der lebende Beweis dafür, das es zu kompliziert ist, das sich das Thema durchsetzt. Alleine das du Tools nennen MUSST, macht die Sache nicht Mainstreamkonform. Stell dir mal vor, man müsste für HTTPS auch erstmal Tools installieren und einrichten. Aber die Browser bringen das alles out-of-the-box gleich mit. Ich muss als User nichts machen, es funktioniert einfach.

Warum bringen eigentlich Clients wie Thunderbird das nicht gleich mit? Wo doch gerade OpenSource-Tools bei sowas Vorreiter sein wollen? Diese Frage muss man einfach provokativ stellen dürfen.

 

[Endorphine]

Warum bringen eigentlich Clients wie Thunderbird das nicht gleich mit? Wo doch gerade OpenSource-Tools bei sowas Vorreiter sein wollen? Diese Frage muss man einfach provokativ stellen dürfen.

Ich denke das ist ein Henne-Ei Problem. Da so gut wie niemand verschlüsselte E-Mails empfangen kann besteht auch so gut wie kein Bedarf, die Funktion endlich richtig in TB zu integrieren und TB dadurch fetter zu machen. Und die Nachfrage kann natürlich erst entstehen, wenn viele Leute unproblematisch verschlüsselte E-Mail empfangen können.

Meiner Meinung nach sind aber nicht nur die E-Mail Cliententwickler gefragt. Ich denke dass die große Masse wohl langsam aber sicher nur noch Web-Mail nutzt, zumindest im privaten Einsatz. Wenn z. B. GMX und Gmail mal eine brauchbare und einfache Funktion zum Empfang (der erste Schritt) und im zweiten Schritt zum Senden von verschlüsselten Mails hätten, wäre schon viel erreicht. Aber solange ich selbst auf Gmail noch per default nach dem Login wieder von HTTPS zu HTTP umgeleitet werde (HTTPS kostet ja massig Rechenzeit, Hilfe...), sind da erstmal ganz andere Baustellen zu lösen.

Und dann könnte man sich wieder um den Standard zanken, welcher es nun sein soll. S/MIME, oder doch lieber PGP?

Und im Unternehmenseinsatz ist es aus praktisch-technischen Gründen wieder unerwünscht, eine end-to-end Verschlüsselung zu haben. Weil man möchte ja Spam und Malware Server-seitig ausfiltern. Wenn aber Spam/Malware verschlüsselt daherkommt, kann man da wenig machen. Also müsste der Verschlüsselungs-Endpunkt im Mailserver liegen, was dann auch wieder nicht jedermann gefällt. Und wenn Schlüssel verlorengehen, dann raucht's auch, weil es gesetzliche Bestimmungen gibt, Geschäftsbriefe (wozu E-Mails auch zählen) 10 Jahre oder so aufzuheben. Man stelle sich mal vor, da gehen ein paar Schlüssel verloren...

 

[Kamikaze]

Nervt die Passworteingabe beim Abschicken jeder E-Mail?

Ich bin dazu übergegangen meine Schlüssel ohne Passwort anzulegen, denn die Eingabe ist extrem nervig. Die Sicherheit muss ich eben daraus gewinnen, dass niemand Zugriff auf den privaten Schlüssel bekommt.

 

[bsdagent]

Hi

Und wenn Schlüssel verlorengehen, dann raucht's auch, weil es gesetzliche Bestimmungen gibt, Geschäftsbriefe (wozu E-Mails auch zählen) 10 Jahre oder so aufzuheben. Man stelle sich mal vor, da gehen ein paar Schlüssel verloren...

Verstehe ich nicht , wieso machst du dann kein Backup deines Schlüssels?
Oder lässt du deine Plaintext Geschäftsbriefe auch Backup frei und wartest bis die Platte durchbrennt?

Gruss
bsdagent

 

[Athaba]

Gut, aber jeder der was von sich hält ist kein DAU ;-)
Jeder, der seinen Verkehr verschlüsseln WILL kann es.
Jeder, der sich nicht auskennt sollte sich nicht darauf verlassen, dass es eine Software "einfach so" für ihn tut.
Jeder der das tut, hat keinen Grund E-Mails (oder anderen Traffic) _wirklich sicher_ zu verschlüsseln.

 

[Endorphine]

Verstehe ich nicht , wieso machst du dann kein Backup deines Schlüssels?
Oder lässt du deine Plaintext Geschäftsbriefe auch Backup frei und wartest bis die Platte durchbrennt?

Mit mir hat das gar nichts zu tun, ich schreibe über die Problematik als Ganzes. Ich argumentiere auch nicht gegen Mail-Verschlüsselung, sondern will nur ein paar Gründe aufzeigen, warum es sich nicht durchsetzt.

Das ist nunmal ein Grundproblem von Verschlüsselung von Daten und warum sie sich nicht in der Breite durchsetzt. Kommen irgendwie (nochmal: ich schreibe hier nicht über mich...) die Schlüssel abhanden, gibt's ein Problem. Klartextdaten kann man immer noch irgendwie selbst aus Fragmenten wiedergewinnen, bei Schlüsseltext hat man ohne den Schlüssel ein großes Problem.

Bei E-Mail Verschlüsselung ist ja in der Regel gemeint, die eigentlichen Nutzdaten zu verschlüsseln und zu zignieren. Bei HTTPS wird nur der Transport abgesichert. Wenn man Nutzdaten verschlüsselt holt man sich aber wieder ganz andere Probleme in's Haus. Im privaten Einsatz ist das alles noch recht einfach und lustig, die große Masse ist aber eher geschäftlicher Einsatz und da kommen dann einige weitere Fragestellungen hinzu, die es im Endeffekt momentan verhindern, dass sich irgendeine Form von E-Mail Verschlüsselung irgendwie durchsetzen kann.

Ich würde wenn dann zuerst bei den großen Mail-Anwendern ansetzen: große Webmail-Provider, Geschäfts-Email. Wenn da irgendwer anfängt eine einfach zu bedienende Infrastruktur zu schaffen könnte es losgehen. Privat zu versuchen, in der Wüste mit einem Glas Wasser in der Hand eine Oase zu schaffen wird wohl nicht wirklich zu etwas führen.

 

[xbit]

Ich bin dazu übergegangen meine Schlüssel ohne Passwort anzulegen, denn die Eingabe ist extrem nervig. Die Sicherheit muss ich eben daraus gewinnen, dass niemand Zugriff auf den privaten Schlüssel bekommt.

Also mit der Verwendung von pinentry wird das sehr vereinfacht. Der fragt dann nur zB alle Stunde (oder was man so einstellt) die Passphrase ab. Soweit ich das gesehen habe, sind bei einer GNOME Umgebung auch alle notwendigen Tools vorhande. Ich vermute, dass es bei KDE aehnlich sein wird.

Natuerlich kommt etwas Aufwand hinzu, wenn man das nutzen moechte. Und es ist sicherlich auch nicht so einfach wie HTTPS, aber ein VPN einzurichten, halte ich fuer aufwaendiger.

Ich sehe das auch so, dass die Mail Programme (auch WebMail) hier die entsprechende Anbindung gleich mitbringen sollten. Wobei ich auch schon in einer grossen Firma, GPG Verschluesselung und Outlook zusammen gesehen habe. Es scheint also zu funktionieren.