Einfache Verschlüsselung von Webmail und PN in einem

Hallo

Nach den letzten Diskussionen um die Sicherheit von Kommunikation in Mails und in Privatnachrichten in jeglichen Foren, wollte ich hier kurz eine einfache Methode vorstellen, mit der man Ende-zu-Ende verschlüsselt kommunizieren kann.

Zunächst mal - warum ist Verschlüsselung nötig?

Alle Kommunikation die im Internet abläuft muss man grundsätzlich wie verschickte Postkarten betrachten. Jeder, der das Ding auf dem Weg in die Hand bekommt, kann den Inhalt lesen. Verwendet der Mailprovider verschlüsselte Kommunikation zwischen Client und Server, so können zumindest (wahrscheinlich) Dritte nicht mitlesen. Wohl aber der Mailprovider (also etwa T-Online, GMX, Google, etc.). Gleiches gilt für die Kommunikation in Foren, etwa auch co2air.de. Ich kann mit nicht vorstellen, dass hier einer der Administratoren die Absicht hat, private Nachrichten mitzulesen. Grundsätzlich kann das aber jeder Administrator in jedem Forum machen (auch wenn es umständlich ist, da man dafür die entsprechenden Nachrichten aus der Datenbank ausgraben muss). Abgesehen davon nutzen die meisten Foren (auch co2air.de) keine SSL-Verschlüsselung - so könnten auch Dritte die Nachrichten mitlesen.

Wer also sicher sein will, dass ausschließlich der/die beabsichtige/n Empfänger die Nachricht bekommen, der muss diese Ende-zu-Ende verschlüsseln.

Und das geht mittlerweile - auch in Foren - sehr einfach mittels PGP.

Dieses Schlüsselpaar-Verfahren funktioniert grob erklärt so: Jeder Kommunikationspartner hat einen Public Key (öffentlichen Schlüssel) und einen Private Key (Privaten Schlüssel). Möchte man nun jemand anderem eine verschlüsselte Nachricht schicken, so wird diese mit dessen Public Key verschlüsselt. Mit seinem Private Key und seinem Passwort kann nur er die Nachricht wieder entschlüsseln.

Daher hier exemplarisch die Anleitung für Google Chrome (es gibt die Erweiterung auch für Firefox) mit der Anwendung im PN Bereich von co2air.de:

Zunächst muss das Add-On Mailvelope (https://www.mailvelope.com/) installiert werden.

Anschließend fügt man co2air.de zur Liste der Seiten hinzu:

Anschließlich muss man (sofern noch nicht vorhanden) einen eigenen PGP-Schlüssel erstellen.

Hier kann man natürlich verschiedene Schlüssel für verschiedene Zwecke erstellen - etwa für das Forum unter dem Nicknamen oder für die Mails unter dem realen Namen.

Damit andere einem verschlüsselte Nachrichten schicken können, müssen sie den Public Key erhalten:

Meinen habe ich auf meine Profilseite gepackt, falls mir jemand was Vertrauliches schicken will:

Wie man hier sieht, erkennt Mailvelope direkt, dass es sich um einen Public Key handelt und bietet mittels einfachem Klick darauf an, diesen in den eigenen Schlüsselbund aufzunehmen.

Sobald man den Public Key des Kommunikationspartners kennt, kann man ihm eine Nachricht schreiben. Dazu geht man wie gewohnt ins PN-Menü, klickt jedoch hier die Mailvelope-Schaltfläche an, die neben dem Textfeld eingeblendet wird:

Im neu erscheinenden Fenster tippt man nun seine Nachricht ein und wählt hinterher aus, für wen sie verschlüsselt werden soll (hier zu Beispiel für mich):

Die fertig verschlüsselte Nachricht kann man dann direkt ins ursprüngliche PN-Feld einfügen lassen:

Der Empfänger der Nachricht sieht die Nachricht dann (mit installiertem Mailvelope Add-On) so:

Er muss dann nur noch auf die Nachricht klicken und wird nach seinem Passwort gefragt:

Nach der Eingabe kann er die Nachricht dann im Klartext lesen:

ggf. muss man die automatische Erkennung von Smileys abschalten, damit der verschlüsselte Text nicht durch deren Darstellung beschädigt wird

Exakt so kann man nun auch bei Webmailportal seines Mailproviders ver- und entschlüsseln.

Darüber hinaus kann man Nachrichten auch signieren. So kann der Empfänger sichergehen, dass die Nachricht unterwegs nicht verändert wurde und tatsächlich vom Absender stammt.

@ FunShooter.177: Es handelt sich hierbei um PGP auf Basis von OpenPGP.js

@ roterbaron74: Vertraulichkeit ist nicht konspirativ und gegen die Forenleitung hier habe ich absolut gar nichts! Ferner bin ich davon überzeugt dass hier niemand mitliest (zumindest niemand von Betreiberseite aus).

Es gibt Sachen, die ich nicht unverschlüsselt kommuniziere - etwa Passwörter oder Bankverbindungsdaten.

Meine Alltagskommunikation ist unverschlüsselt.

Zitat von Sparky

Brauchen wir das HIER?

Wäre das "wir" betont würde ich im Grunde (s.u.) "Nein" sagen.

Und "hier" - ja, wie überall im Internet. Eben immer dann, wenn vertrauliche Daten getauscht werden sollen. Das beginnt ja eben schon bei der Kommunikation mit dem Server - am besten noch aus einem öffentlichen WLAN (da kann jeglicher Netzwerkverkehr mitgeschnitten werden (Kommilitone haben mal die komplett unverschlüsselten Whatsapp-Nachrichten aus dem Universitätsnetzwerk gefiltert. Alles komplett lesbar...).

Wenn du mir nun etwa deine Bankdaten schicken wolltest (weil du vllt. ein Schnäppchen gefunden und für mich mitgekauft hast), dann werden die unverschlüsselt an den Server übermittelt. Hier (bei co2air) wäre eben der Kommunikationsweg unsicher (wie bei allen Foren ohne SSL). Ich kann mir nicht vorstellen, dass das Forum selbst interessant für irgendwelche "Hacker" wäre. Anders sieht es dann mit dem Mailprovider aus: Hier ist zwar die Kommunikation zum Server verschlüsselt, jedoch sind die Provider sicher auch beliebte Angriffsziele.

Zitat von FunShooter.177

und am ende ist mein kunde so verwirrt das eh nix mehr verstanden wird

Richtig. Und genau das ist der Pferdefuß der Verschlüsselung. Zu komplex. Deswegen hatte ich hier grade auf diese einfache Art hingewiesen. Wenn es einmal eingerichtet ist, ist es einfach.

Zitat von Arutha

Ich habe mich gegen Verschlüsselung endschieden .

Das kannst du heute gar nicht mehr Hast du jemals im Internet eingekauft oder Online-Banking gemacht?

Hier wirst du für die Abwicklung stets über https, sprich SSL-Verschlüsselte Verbindungen geleitet. Das kannst du gar nicht abschalten - sonst akzeptiert der Server deine Daten nämlich einfach nicht. Damit mag die Verbindung zwar sicher sein (auch wenn die NSA in ihren Präsentationen Smileys neben "SSL" malt), nicht unbedingt jedoch der Server. Jedoch ist großen Versandthäusern á la Amazon oder Banken zuzutrauen, dass sie ihre Systeme so sicher wie möglich machen.

Schon mal Spam an eine deiner Mailadressen bekommen, auch wenn diese nirgends öffentlich zu sehen ist? Dann heißt das nicht unbedingt, dass der Händler, bei dem du die mal eingegeben hast, sie verkauft hat - es kann schlicht und ergreifend sein, dass er seine Datenbanken schlecht bis gar nicht gesichert hat.

Zitat von Arutha

Warum soll ich mich verstecken, Ich bin im Recht. Die Schnüffler und Auswerter sollen sich verstecken, ihr Handeln ist unmoralisch und niederträchtig.

Wie gesagt - nicht NSA, BND, FSB etc. sind bei Bankverbindungen für den unbescholtenen Bürger das Problem, sondern Kriminelle, die diese Daten ausspähen.

Und von Moral darfst du in dem Zusammenhang nicht sprechen - das mag etwas sein, was du und ich haben - o.g. jedoch nicht

Du würdest deine Kreditkarteninformationen doch wohl nicht überall publik machen, oder? Jeder hat Geheimnisse - auch du :^)

Zitat von *Darkphoenix*

also wer den/die Key(s) dort hinterlegt, dem ist sowieso nicht mehr zu helfen.

Google bietet jetzt einen Passwortsafe an, der die Passwörter (notgedrungen) im Klartext speichert, damit man bequem alle Apps unter Android ohne separate Passworteingaben nutzen kann.

Ist natürlich total praktisch - leider auch total dämlich.

Eine derzeit vernünftige Lösung ist das unter Android leider immer noch umständliche Keepass.

Zitat von DonMalzbier

Ganz einfach und auch trotz Verschlüsselung immer sichtbar.

Nehme er das TOR-Netzwerk und ein Pseudonym ;^)

Im Alltag weiß mein Telefonprovider natürlich, mit wem ich telefoniere und wie lange. Und mein Internetprovider weiß, welche Seiten ich ansteuere.

Tarnkappen, wie oben in Form von TOR, sind derzeit oft umständlich und nicht alltagstauglich.

Insbesondere in Deutschland wird Überwachung groß geschrieben - deswegen haben wir hier wohl auch eines der schlechtesten öffentlichen Wifi-Netze der westlichen Welt.

Im Ausland habe ich bislang immer kostenfreie WLAN gefunden. Natürlich wird es hier mit der Datensicherheit problematisch, da man ja nicht weiß, wer mitlauscht. Ein VPN-Tunnel zur heimischen FitzBox etwa umgeht die Problematik aber. Kostenfrei.

Zitat von germi

denk mal an so Geschichten wie "Störerhaftung"

Ist mir bekannt Ich halte dies mittlerweile allerdings für einen vorgeschobenen Grund. Dieses Konstrukt gibt es in den größten Teilen der Welt nicht.

Man kann hierzulande aber auch Freifunkrouter hinstellen. Die tunneln die Verbindung via VPN nach Schweden, oder ein anderes aufgeklärteres Land.

Für kriminelle Machenschaften braucht es heute sicher kein offenes WLAN mehr.

Ein Bekannter wollte sein WLAN mit einem Kurzzeit-Mieter teilen. Da war man dann so verblieben, dass er dafür unterschrieben hat, keinen Unfug zu machen und andererseits FirtzBox-Seitig das Gast-WLAN auf "Surfen & Mailen" beschränkt wurde. Dadurch war dann die größte rechtliche Gefahrenquelle - das Filesharing - nicht verfügbar.