Partnerlinks:
Google

www.linux-club.de/ sehr aktives und kompetentes Board m. Fragen u. Antworten rund um Linux  |  www.linux-board.de/ privates Board m. Fragen u. Antworten rund um Linux  |  meybohm bei viando.de gute Tools - u.a. "Phase 5 / HTML Editor" mein Lieblings-HTML-Editor und "Proton" - guter Texteditor www.meybohm.de  |  Wunsch-Domain schon belegt? Hier finden Sie sie trotzdem!   |  Webhosting beim Testsieger 2007. www.greatnet.de  | 
Host Europe - World Class Internet Hosting
 

  Ein Pinguin-Logo    
news About Me linux referenz tips links downloads kontakt
 
News
About
Linux
Referenz
Tips
  Linux
  Sicherheit
  Perl
  Allround Server
  Fileserver Samba
  HTTP-Server
  Zope-Server
  SQL-Server
  Mail-Server
  Proxy_Server
  FAX-Server
  Netzwerk-Tools
  SMS-Tools
  Postscript
  MS Office
Links
Downloads
Kontakt

Besucher
seit 21.10.2002
 
Mein Gästebuch
 

Tips => Gnupg (1)

1. Einführung in Gnupg

1.1 Was ist Gnupg?

Gnupg heißt eigentlich gpg, ist ein kostenlos erhältliches und verwendbares Open-Source-Programm zum Verschlüsseln von Dateien. Es wurde zu einer Zeit, als das von Philip R. Zimmermann entwickelte PGP von einer freien Lizenz zu einer kommerziellen überging, vom letzten freien Dateibaum ab eigenständig von einer freien Entwicklergemeinschaft stetig weiterentwickelt. Führend dabei erwies sich Werner Koch, der mit seiner Firma g10code auch kommerziellen Support zu Gnupg anbietet.

Zur Zeit ist die Version 1.2.4 die aktuellste, stabile Version. Sie kann von der Homepage des Gnupg-Teams heruntergeladen werden. Dort finden sich auch jede Menge Infos rund um das Programm, Zusatz- bzw. Ergänzungstools und Programme sowie rund um das Thema Verschlüsselung.

Gnupg ist ein Kommandozeilentool. Es ist für Linux genauso wie für Windows, MacOS und viele andere Betriebssysteme verfügbar bzw. wird für diese anderen Systeme angepaßt und bereitgestellt.

1.2 Asynchrone Verschlüsselung mit Gnupg

Es arbeitet mit einem asynchronen Verschlüsselungsverfahren. Das heißt, dass der Sender und der Empfänger mit unterschiedlichen Schlüsseln arbeiten. Auf der einen Seite hat jeder Benutzer seinen eigenen privaten Schlüssel und einen öffentlichen Schlüssel.

Vorteile

Ein Vorteil des von Gnupg verwendeten asynchronen Verschlüsselungsverfahren ist, dass für eine gesicherte Kommunikation kein Geheimnis (Kennwort, geheimer Schlüssel o.ä.) auf sichere Art und Weise ausgetauscht werden muss.

Darüberhinaus ermöglicht dieses Verfahren die Benutzerinitiierte gesicherte Kontaktaufnahme ohne Beteiligung öffentlicher oder hoheitlich damit beauftragter Behörden oder Stellen.

Die Sicherheit und Vertraulichkeit ist durch Prüfung des "Fingerabdrucks" (Fingerprint) und durch Signieren des eigenen öffentlichen Schlüssels durch vertrauenswürdige Personen oder Stellen erreichbar. Speziell mit dem Mechanismus der gegenseitigen Signaturen ist der Aufbau eines "Web of Trust" (Netz des Vertrauens) ohne behördliche Mitwirkung möglich.

Der tägliche Abgleich der öffentlichen Schlüsselserver und die freie Verfügbarkeit dieser zur kosten- und anmeldungslosen Verwendung sind ein weiterer Baustein, die dieses Verschlüsselungsverfahren per se zur Verwendung durch die breite Masse favorisieren.

Auch heute schon kann man einen solchen Schlüssel durch die Vereinbarung in Verträgen als rechtsverbindliche Unterschrift anerkennen. Damit benötigt man noch keine digitale Signatur und kann auf elektronischem und sicherem Weg Informationen, Daten und rechtsverbindliche Willensbekundungen (Verträge, Bestellungen u.ä.) austauschen.

Man muss aber im Zweifelsfall (bei einem Rechtsstreit bei vermutetem Missbrauch und Anfechtung solcherart zustande gekommener Rechtsgeschäfte) die sichere Verwahrung und Benutzung des Schlüssels glaubhaft nachweisen können.

1.2.1 Privater Schlüssel

Wie der Name es schon sagt muss der private Schlüssel sicher verwahrt und vor fremden Zugriffen geschützt aufbewahrt werden. Zusätzliche Sicherheit bringt der Schutz dieses Schlüssels durch ein Passwort (bei Gnupg wird dafür oft das Synonym "Passphrase" verwendet; soll zeigen dass dies nicht ein einfaches, leicht zu erratendes Passwort sein soll), welches bei der Schlüsselerzeugung vergeben werden sollte und bei jeder Verwendung abgefragt wird.

Für den privaten Schlüssel eignet sich eine Diskette oder ein USB-Stick als Aufbewahrungsort. Hier ist dann aber das Problem der evtl. wechselnden Laufwerksbuchstaben auf verschiedenen Maschinen zu beachten.

1.2.2 Öffentlicher Schlüssel

Der öffentliche Schlüssel wird öffentlich gemacht, damit er für andere Benutzer, die ein von uns signiertes Dokument verifizieren oder uns eine verschlüsselte Nachricht zukommen lassen wollen, greifbar ist. Das kann die Veröffentlichung auf der Homepage sein und natürlich das Hinterlegen auf einem der öffentlichen Schlüsselserver im Internet.

1.2.3 Vertrauen in Gnupg-Schlüssel

Bei Veröffentlichung auf der Homepage sollte zusätzlich der Fingerprint des Schlüssels abrufbar sein. So kann der gegenüber ohne Kontaktaufnahme die Authentizität des heruntergeladenen Schlüssels prüfen. Hier muss man aber in regelmäßigen Abständen auf seiner HP die Richtigkeit dieses Fingerprints überprüfen.

Um vollkommen sicher zu gehen, dass dieser Schlüssel wirklich der ist, für den man ihn hält und dass er nicht verändert wurde, muss man mit dem Schlüsselinhaber Kontakt aufnehmen und sich den Fingerprint auf einem sicheren dritten Weg (Telefon, Fax) übermitteln lassen und diesen dann mit dem auf dem eigenen System angezeigten Fingerprint vergleichen.

Um in seinem eigenen öffentlichen Schlüsselbund erkennen zu können wie vertrauenswürdig die darin befindlichen Schlüssel sind, kann man ihnen verchiedene Vertrauensstufen (werden in der Trust-dB gespeichert) zuordnen.

Dazu gibt es den Owner-Trust (Besitzer-Vertrauen) und den Certificate-Trust (Vertrauen in die Korrektheit des Schlüssels). Der Owner-Trust drückt aus wie sehr man dem Eigentümer vertraut, dass er bei der Signatur anderer Schlüssel sorgfältig die Authentizität des Schlüsselbesitzers prüft.

Der Certificate-Trust zeigt wie genau man diesen einen Schlüssel auf Korrektheit und Authentizität geprüft hat und damit inwieweit man ihn für korrekt und vertrauenswürdig hält.

1.2.4 Web of Trust

Die gerade beschriebenen Vertrauensstufen (Trust) können zusammen mit der Verwendung von Signaturen ein relativ sicheres "Netz des Vertrauens" schaffen (Web of Trust).

Stellen Sie sich vor:
Sie haben einen Freund den sie für sehr vertrauenswürdig halten (oder auch ihren Netzwerkadmin, den Sie für die "Sicherheit in Person" halten;-) ). Dessen Signatur erhielten Sie und haben Sie auf ihre Korrektheit geprüft. Diesem Schlüssel haben Sie ein hohes Vertrauen bescheinigt.

Wenn Sie nun eine Nachricht erhalten, die von einem User mit einem Schlüssel unterschrieben wurde, an dem die Signatur des oben als vertrauenswürdig beschriebenen Freundes hängt, impliziert das ein gewisses Vertrauen in die Korrektheit auch dieses Schlüssels.

gpg_schluessel_vertrauen_schema_01.png, 18 kB

Somit kann in diesem Fall vorerst von der weiteren Überprüfung des Schlüssels abgesehen werden und es ist trotzdem eine einfache Vertrauensbasis vorhanden.


   
Gnupg (1)
Einführung
Was ist Gnupg
Asynchr. Verschl.
Priv. Schlüssel
Öffentl. Schlüssel
Vertrauen
Web of Trust
Gnupg (2)
Installation
Installation
von Nullify.org
von gnupg.org
Gnupg (3)
Anwendung
Syntax
Schlüssel erzeugen
Anzeigen
Exportieren
Importieren
Signieren
Schlüsselserver
 
©  09.09.2009  Heiko Teichmeier - Glauchau/Sa.