Was ist PGP?
PGP ist ein Programm, das Ihrer elektronischen Post eine Eigenschaft verleiht, die sie sonst nicht hätte: Vertraulichkeit. Dies wird durch Verschlüsselung Ihrer E-Mail erreicht, so dass sie von keiner anderen als der berechtigten Person gelesen werden kann. Im verschlüsselten Zustand sieht die Nachricht aus wie ein bedeutungsloses Durcheinander zufälliger Buchstaben. PGP hat seine Fähigkeit bewiesen, sogar den ausgeklügeltesten Analyseversuchen zu widerstehen. PGP kann auch verwendet werden, um eine digitale Signatur anzubringen, ohne die Nachricht zu verschlüsseln. Diese Funktion wird normalerweise in öffentlichen Newsbeiträgen verwendet, wo Sie nicht verstecken, was Sie zu sagen haben, sondern vielmehr Anderen erlauben willst, Ihre Urheberschaft zu überprüfen. Wenn die digitale Signatur erst einmal erzeugt ist, kann niemand mehr die Nachricht oder die Signatur verändern, ohne dass PGP die Manipulation entdeckt.
Während PGP leicht zu benutzen ist, hat es auch seine Tücken: Sie solltest Dich mit den verschiedenen Optionen in PGP gründlich vertraut machen, bevor Sie es für den Versand wirklich ernster Nachrichten verwenden. Zum Beispiel würde das Kommando "pgp -sat <Dateiname>" eine Nachricht nur unterschreiben, nicht verschlüsseln. Obwohl das Ergebnis aussieht, als sei es verschlüsselt, ist es das in Wirklichkeit nicht. Jeder auf der ganzen Welt könnte den originären Text zurückgewinnen.
Wieviel kostet PGP?
Nichts!
Einsatzgebiete PGPs
PGP ist ein Programm für die Verschlüsselung persönlicher Nachrichten. Richtig eingesetzt, schließt es die Möglichkeit, per E-Mail oder Diskette versandte Daten ohne Berechtigung zu entschlüsseln, weitgehend aus. Weiterhin ist es bestens dazu geeignet, Dateien elektronisch zu unterschreiben und sie damit vor unbemerkter Manipulation zu schützen - ganz ähnlich wie das inzwischen für Programme und "active content" auf WWW-Seiten von etlichen Betriebssystemen unterstützt wird. Es ist aber kaum dazu geeignet, Daten auf einem Computer in komfortabler Weise vor fremdem Zugriff zu schützen, das gezielte Ent- und Verschlüsseln einzelner Dateien bei Bedarf ist kompliziert und zeitraubend. Dies sollte bei der Verwendung von PGP beachtet werden.
Weiterhin bieten einige asymmetrische Verfahren die Möglichkeit, eine Nachricht zu "unterschreiben" ("digitale Unterschrift"). Hierzu kann der Absender einer Nachricht diese mit seinem privaten Signaturschlüssel codieren, und jeder Empfänger kann die Echtheit des Absenders mit dessen öffentlichem Signaturschlüssel prüfen. Gelingt dies, so ist die Nachricht mit dem privaten Schlüssel codiert, also unterschrieben worden. Die Absenderangabe ist dann echt. Das lässt sich jetzt nicht mehr gut mit der Briefkastenanalogie erklären; das Vorgehen entspricht mehr einem Schaukasten. Zettel, die im Schaukasten einer bestimmten Organisation hängen, sind dadurch von dieser Organisation legitimiert, denn ohne den Schlüssel zum Kasten kann niemand Zettel hineinhängen. Der öffentliche Teil des Signaturschlüssels ermöglicht es, den Kasten selbst zu prüfen und festzustellen, wer ihn verschlossen hat.
Verschlüsselung und digitale Unterschrift können natürlich miteinander kombiniert werden, um Briefgeheimnis und Authentizität des Absenders zu gewährleisten: Die Nachricht wird zunächst mit dem eigenen privaten Signaturschlüssel signiert und diese unterschriebene Nachricht anschließend mit dem öffentlichen Schlüssel der Empfängern codiert. Diese decodiert die Nachricht zunächst mit ihrem privaten Schlüssel und prüft anschließend mit dem öffentlichen Signaturschlüssel des Absenders die Unterschrift. PGP erledigt die einzelnen Schritte automatisch, ohne dass Sie sich um die Einzelheiten kümmern müssen.
Ist Verschlüsselung legal?
In einem Großteil der zivilisierten Welt ist Verschlüsselung entweder legal, oder sie wird zumindest toleriert. Trotzdem gibt es einige Länder, wo derartige Praktiken Sie vor ein Erschießungskommando bringen können! Machen Sie sich mit der Gesetzgebung in Deinem eigenen Land vertraut, bevor Sie PGP oder irgend eine andere Verschlüsselungssoftware benutzen. Einige der Länder, in denen Verschlüsselung illegal ist, sind Frankreich, der Iran, Russland und der Irak.
Die Installation von PGP 2.6.x
Die Installation von PGP für Windows
Wie generiert man einen Schlüssel?
Um Ihr eigenes Schlüsselpaar zu erzeugen, geben Sie folgenden Befehl ein:
2.6.x: pgp -kg
5.0 : pgpk +fastkeygenerator = 0 -g
Gnupg : gpg --gen-key
Menü: addkey
Nach der Eingabe dieses Befehls fragt PGP nach der Schlüsselgröße. PGP bietet einige mögliche Schlüsselgrößen als Auswahlmöglichkeiten an, 384 Bit "für den Hausgebrauch", 512 Bit "für normale Anwendungen" oder 1024 Bit "für militärische Sicherheit", Sie können aber auch direkt z.B. 1536 eingeben. Die Werte für die Schlüsselgrößen sind allerdings nur als Anhaltspunkte anzusehen. Je größer der Schlüssel ist, desto sicherer ist die Verschlüsselung, aber auch umso langsamer. Die meisten Anwender verwenden 2048 oder 1024 Bit.
GnuPG fragt zunächst, welche Sorte Schlüssel Sie verwenden möchten. Da PGP 5.x/6.x von den angebotenen Schlüsseln nur die Kombination DSA/ElGamal (und RSA, allerdings nicht in allen Programmversionen) unterstützen, ist diese Kombination empfehlenswert, um mit Anwendern dieser PGP-Versionen Nachrichten austauschen zu können.
Des weiteren haben Sie die Möglichkeit, Schlüssel mit begrenzter Gültigkeitsdauer zu erzeugen; das ist nicht nur für zeitlich begrenzte Projekte interessant, sondern auch für den besonders sicherheitsbewußten Einsatz zu empfehlen - wenn Sie die von Ihnen verwendeten Schlüssel regelmäßig wechseln, machen Sie einen Angriff schwerer und uninteressanter.
Der Schlüssel-Befehl addkey ist interessant, um an einen bestehenden (eigenen) Schlüssel einen neuen Teilschlüssel zu hängen, beispielsweise den Schlüssel, mit dem Sie in den nächsten sechs Monaten ausgehende Post unterschreiben wollen.
Anschließend möchte PGP eine User-ID wissen, d.h. einen Namen, der angibt, wem der Schlüssel eigentlich gehören soll. Vorzugsweise sollte der gesamte Name verwendet werden, da so weniger Verwechslungsmöglichkeiten entstehen. Es ist allgemeiner Usus, hinter dem Realnamen in <spitzen Klammern> eine E-Mail-Adresse anzugeben.
Verwendete Links:
http://www.uni-karlsruhe.de/Uni/CA