Login
Newsletter
Werbung

Thema: kinko.me-Crowdkampagne: Einfache E-Mail-Verschlüsselung

12 Kommentar(e) || Alle anzeigen ||  RSS || Kommentieren
Kommentare von Lesern spiegeln nicht unbedingt die Meinung der Redaktion wider.
0
Von Nur ein Leser am Di, 2. September 2014 um 12:27 #

Das klingt soweit ja ganz gut und durchaus nach einem praktikablen Ansatz.

Nur, wie kann die Box "alle" emails verschlüsseln?

Entweder benutze ich S/MIME und benötige ein Zertifikat von einer Zertifizierungsstelle. Das kann man vertrauenswürdig finden, oder auch nicht. Ich halte das für eine Notlösung. Wenn der Empfänger verschlüsselt antworten will, muss er ebenfalls ein Zertifikat haben und es auch verwenden, sonst hebelt er das Prinzip aus.

Oder ich benutze PGP/GnuPG, dann kann ich nur verschlüsseln, wenn meine Empfänger dies ebenfalls unterstützen und ich ihren öffentlichen Schlüssel habe. Das halte ich für vertrauenswürdig.
Bleibt nur leider eine Tatsache: Fast niemand unterstützt das. Ich persönlich weise seit ca. einem Jahr (also seit Snowden) in meiner email-Signatur darauf hin, dass ich Verschlüsselung nach GnuPG unterstütze und meinen öffentlichen Schlüssel gerne zur Verfügung stelle. Steht unter allen privaten und geschäftlichen Mails.
Ratet mal, wie viele Anfragen bezüglich Verschlüsselung ich bisher hatte? Keine einzige. Und DAS ist das Problem mit der Umsetzung von Verschlüsselung - die Faulheit und Gleichgültigkeit der meisten Anwender.

  • 0
    Von Bolitho am Di, 2. September 2014 um 12:38 #

    Und DAS ist das Problem mit der Umsetzung von Verschlüsselung - die Faulheit und Gleichgültigkeit der meisten Anwender.
    Sehe ich auch so :up:

    (Dennoch ist so eine Box für kleine Unternehmen sicherlich interessant, da somit separate Einstellungen am Arbeitsplatzrechner entfallen)

    0
    Von BB am Di, 2. September 2014 um 13:23 #

    Für den Otto Normalbürger ist es schlicht nicht zumutbar, ein zertifikat zu generieren, zu installieren zu verwenden weiter zu leiten und dann noch zu unterscheiden für welche Anwendungsfälle mails verschlüsselt werden können und wann nicht - whoooot??

    Sicher ist es ja! Aber nicht zumutbar. Da muss ein eiziger knopf sein: "ja ich will alle meine Mails wenn möglich verschlüsseln!". Der ganze Rest muss 100% vollautomatisch geschehen - alles andere ist unzumutbar.

    Alles was es braucht, ist ein Mailclient (Oder Thunderbird Plugin) das automatisch:
    - Zertifikat erstellt und installiert
    - Herausfindet ob der Empfänger Verschlüsselung unterstützt oder nicht,
    - Bei bedarf den Schlüssel automatisch übermittelt.
    - automatisch verschlüsselt.

    Das wäre zwar weniger sicher, als der Status quo, dafür aber zumutbar.

    • 0
      Von Nur ein Leser am Di, 2. September 2014 um 13:54 #

      An so ein Plugin bzw. diese Funktionalität habe ich auch schon gedacht.

      Ich sehe da einen gravierenden Nachteil: Wenn ich eine email an 20 Empfänger schreibe und es dann an die eine Hälfte verschlüsselt und an die andere Hälfte unverschlüsselt gesendet wird, ist es eigentlich schon sinnlos.

      Denn wenn jemand meine Kommunikation überwacht, hat er in diesem Moment den Inhalt der Nachricht. Unverschlüsselt. Streng genommen kann ich mir die Verschlüsselung der anderen Hälfte dann sparen.

      Der positive Effekt, den so ein Plugin hätte, wäre die Generierung und Bereitstellung von PGP-Schlüsseln. Im Laufe der Zeit würden dann tatsächlich sehr viele Menschen verschlüsselt erreichbar sein - wenn, ja wenn genügend Leute genau dieses Plugin nutzen.

      Aber auch da sehe ich leider wenig Hoffnung. Denn Leuten, die in dieser Hinsicht eine "einfache" Lösung wollen, ist es egal, wie die "App" funktioniert, denn sie wollen sich ja nicht mit den Grundlagen beschäftigen.
      Also bietet wieder jeder Dahergelaufene eine "supersichere" Verschlüsselungs-App für email und Chat an, von denen 90% Closed Source sind, kein PGP verwenden und die Schlüssel irgendwo speichern. Und die Leute benutzen so einen Kram, weil es ja "einfach" sein soll.

      0
      Von tomkater68 am Mi, 3. September 2014 um 10:47 #

      Ich werde nie verstehen, was an gpg --gen-key unzumutbar sein soll.

    0
    Von Hm am Di, 2. September 2014 um 16:09 #


    Entweder benutze ich S/MIME und benötige ein Zertifikat von einer Zertifizierungsstelle. Das kann man vertrauenswürdig finden, oder auch nicht. Ich halte das für eine Notlösung. Wenn der Empfänger verschlüsselt antworten will, muss er ebenfalls ein Zertifikat haben und es auch verwenden, sonst hebelt er das Prinzip aus.

    Oder ich benutze PGP/GnuPG, dann kann ich nur verschlüsseln, wenn meine Empfänger dies ebenfalls unterstützen und ich ihren öffentlichen Schlüssel habe. Das halte ich für vertrauenswürdig.

    Du hast da was missverstanden, dass Prinzip ist in beiden Fällen dasselbe: Ich verschlüssele mit dem öffentlichen Schlüssel/Zertifikat des Empfängers, der entschlüsselt mit seinem privaten.

    Und da kapiere ich auch die Funktion dieser Box nicht, wenn ich jemandem eine verschlüsselte Mail schicken will, muss ich entweder dessen Schlüssel/Zertifikat haben oder vor dem verschlüsseln bekommen. D.h. diese Box müsste das für mich erledigen?

    Und wenn ich eine Mail als verschlüsselt abschicke, an jemand, der gar keine Verschlüsselung eingerichtet hat?

    Und beim entschlüsseln: Mein privater Schlüssel/Zertifikat muss auf der Box liegen?

    • 0
      Von Nur ein Leser am Di, 2. September 2014 um 16:36 #

      Ja, Du hast recht, da habe ich mich mit dem Funktionsprinzip vertan.

      Also, mein Punkt bzgl. S/MIME ist dennoch: Alle Kommunikationspartner benötigen ein "offizielles" Zertifikat, das von dritter Stelle verifiziert wird. Also muss ich nicht nur meinem Kommunikationspartner, sondern auch noch der Zertifizierungsstelle vertrauen . Das tue ich nur bedingt, das PGP-Prinzip finde ich da einleuchtender.

      Die Punkte bezüglich der Box verstehe ich so:
      - Man generiert sich ein Schlüsselpaar, das liegt auf der Box. (Oder man hinterlegt ein bestehendes)
      - Die benötigten öffentlichen Schlüssel der Kommunikationspartner braucht man meines Erachtens natürlich. Wie hier die Beschaffung erfolgen soll, weiß ich auch nicht. Ich kann mir nicht vorstellen, wie das automatisch gehen sollte (außer über eine Einbindung von öffentlichen Schlüsselservern, aber da ist ja auch nicht jeder drauf)

      Der Vorteil der Box liegt meines Erachtens nur darin, dass sie die ganze Verschlüsselung für viele User in einem Netz automatisieren kann.

    0
    Von ms123 am Mi, 3. September 2014 um 12:52 #

    Faulheit und Gleichgültigkeit
    Warum sollte ich was verschlüsseln, das ich nicht verbergen will?
    Ich tue das jetzt seit 20 Jahren und mir ist kein Schaden entstanden.

    Naja, die einen sind gleichgültig und die anderen haben einen Hang zur Paranoia.

    • 0
      Von Nur ein Leser am Fr, 5. September 2014 um 12:33 #

      Also, Du hast kein Problem mit unverschlüsselten emails. Das ist in Ordnung, ich will auch nicht prinzipiell JEDE email verschlüsseln.

      ABER so wie es im postalischen Bereich neben den offenen Postkarten auch verschlossene Briefe gibt (und einen Bedarf dafür, denn es gibt nunmal vertrauliche Informationen), sollte es auch im elektronischen Bereich diese Möglichkeit geben. Ich sehe einen Bedarf für Ende-zu-Ende verschlüsselte emails, z.B. für Behördenkommunikation oder geschäftliche Schreiben.

      Das scheitert aber bisher - und das ist der Kern meiner Kritik - an der Faulheit und Gleichgültigkeit der meisten Benutzer von email und das, obwohl es mit PGP seit mehr als 20 Jahren ein anerkanntes Verfahren gibt.
      Denn ohne gültiges Schlüsselpaar keine vertrauliche email.

      (Auch zu erwähnen ist der Dilettantismus der Behörden, die, statt ein anerkannten Verfahren zu unterstützen, sich lieber die pseudo-sichere DE-Mail ausgedacht haben und elektronische Ausweise als "Internet-ID" einführen).

    0
    Von cassiel am Fr, 5. September 2014 um 12:25 #

    > Fast niemand unterstützt das. Ich persönlich weise seit ca. einem
    > Jahr (also seit Snowden) in meiner email-Signatur darauf hin, dass ich
    > Verschlüsselung nach GnuPG unterstütze und meinen öffentlichen
    > Schlüssel gerne zur Verfügung stelle. Steht unter allen privaten und > geschäftlichen Mails.
    > Ratet mal, wie viele Anfragen bezüglich Verschlüsselung ich bisher
    > hatte? Keine einzige.

    Ich mache das schon seit mindestens 2004:
    ---
    Mail Encryption welcome! - Mail Verschlüsselung erwünscht!
    Ask for public key! - Öffentlicher Schlüssel auf Anfrage!
    ---
    Rat mal wieviele ich seitdem bekommen habe!

    Es ist aber nicht nur die Faulheit und Gleichgültigkeit der Anwender. GnuPG ist noch mit keinem Mailprogramm wirklich produktiv und skalierbar verwendbar. Es fehlt die Bürofunktionalität wie ich sie nenne, sprich: verschlüsselte Mails müssen sich in die üblichen Funktionalitäten eines MUA nahtlos eingliedern ohne die Besonderheiten außer Acht zu lassen d.h. es müssen z.B. ein- und ausgehende Mails unverschlüsselt im plain-text abgelegt werden können, aber mit einem Flag versehen werden, dass es sich hierbei um verschlüsselte Mails handelte. Nur mutt kann das bislang halbwegs allerdings ohne das Flag. Ich hab mir für meinen MUA claws-mail eigene Skripte geschrieben, die diese Funktionalität bringen.

    Am erstaunlichsten: mit einem SSL-verschlüsselten Web-Forum auf meinem Heimserver habe ich die besten praktischen Erfahrungen mit verschlüsselter Kommunikation gemacht. Da hatte kein Anwender ein Problem und es ist sogar Gruppen-Kommunikation problemlos möglich.

    • 0
      Von Kryptochef sei Mudder am Fr, 5. September 2014 um 18:53 #

      Geht mir genauso. Mittlerweile hänge ich den entsprechenden Eintrag zu einem key server an die Mails ran und signiere sie per S/Mime. Einfacher geht's für den Empfänger schon fast nicht mehr. Ausbeute bisher 0.0% mit einer einzigen halben Ausnahme: Mal Unterlagen bei Infineon angefragt; die kamen tatsächlich pgp Verschlüsselt an - das ZIP Archiv mit den PDFs; nicht die eMail. Und den Schlüssel habe ich einfach per mail geschickt, ohne Überprüfung, also irgendwie sinnlos.
      Vor ein paar Wochen waren wir bei einer Firma, die ein ICCD Gerät (~Smartcard im USB Stick) herstellt und vertickt. Die haben das volle "seit Snowden..."-Programm abgezogen. Aber auf die Frage, warum nicht wenigstens sie eMails signieren und/oder verschlüsseln bzw. anbieten, das zu tun kam nur im Bruston der Überzeugung: "Weil das mit den meisten eMail-Anbietern nicht geht". WTF. Total verständlich wenn die Mehrheit der Bevölkerung sich nicht darum kümmert - gibt ja auch tonnenweise Sachen, die ich nicht kann bzw mich nicht interessieren von denen andere sagen, dass das total wichtig ist und man das können muss und sich damit beschäftigen muss - nö, is einfach nicht und so ist es auch bei Kommunikation, Computern und Technik allgemein; muss man mit leben. Aber wenn selbst schon die angeblich Interessierten grandios versagen ...

Pro-Linux
Pro-Linux @Facebook
Neue Nachrichten
Werbung