Frage zu PGP-Verschlüsselung

[FlightSimmer90]

Hallo,

ich habe mehrere E-Mail-Adressen und möchte gerne einen einzigen Key für diese nutzen.
Auf dem Android nutze ich hierfür OpenKeyChain und habe bei der Schlüsseleinrichtung mehrere meiner E-Mail Adressen unter Identitäten hinzugefügt.
Das heißt also, dass ich mit einem Schlüssel mehrere E-Mail-Adressen verschlüsseln kann oder?

Kann der Empfänger die anderen E-Mail-Adressen sehen die mit dem Key benutzt werden? Wird das irgendwo sichtbar?

Vielen Dank für die Hilfe!

Gruß

 

[snaxilian]

Fütterst du eine Suchmaschine mit "pgp see identities of key" dann findest du z.B. http://www.macfreek.nl/memory/Analysing_PGP_Identities oder https://stackoverflow.com/questions/22136029/how-to-display-gpg-key-details-without-importing-it

Anhand dessen sollte ersichtlich sein, wie man Infos der Keys auslesen kann.
Kannst ja ein neues System oder VM nehmen, kopierst den public key dahin und schaust ihn dir an was alles drin steht, dann hast du eine eindeutige Aussage.

Ach ja: Nicht vergessen hier Rückmeldung zu geben, egal ob positiv oder negativ für den nächsten, der ggf. eine ähnliche Frage hat.

 

[FlightSimmer90]

Okay, danke für die Antwort!

Also ist es am besten, dass ich unterschiedliche Schlüssel für meine E-Mail-Adressen nutzen sollte?
Also einen Schlüssel für Beruf und einen für private Kommunikation per Mail?

Gruß

 

[xxMuahdibxx]

Also einen Schlüssel für Beruf und einen für private Kommunikation per Mail?

Beruf und Privat sollte man so oder so trennen ;-)

Falls eines oder das andere Ziel von Angriffen ist, dann ist der andere noch geschützt oder womöglich noch unbekannt.

 

[FlightSimmer90]

@xxMuahdibxx

Das stimmt natürlich.
Werde das dann dementsprechend so machen.

Bin bei dem Thema PGP noch nicht so fit, weil es anfangs etwas kompliziert war zu verstehen.


Vielen Dank für die schnellen Antworten!

 

[BlubbsDE]

Nutzen den die andere Seiten bei der beruflichen Mailadresse PGP? Das ist doch sehr wenig verbreitet in der Businesswelt.

 

[FlightSimmer90]

@BlubbsDE

Welche Verschlüsselung wird denn standardmäßig angewandt, wenn man z.B. einen Mitarbeiter der Stadt per Mail kontaktieren möchte?
Die Hauptadresse unserer Stadt bietet eine DE-Mail-Adresse an, aber die Mitarbeiter im Index haben eine ganz normale @stadt.de und keine Info bzw. sehe keinen PGP Key.

Wie läuft das genau ab?
Möchte keine unverschlüsselte E-Mail verschicken.

Gruß

 

[xxMuahdibxx]

Naja da eine Stadt eine öffentliche Einrichtung ist wird sie schwer Emailadressen haben die komplett nur verschlüsselten Verkehr zulassen.

 

[FlightSimmer90]

Also kann man Dokumente nur unverschlüsselt an die Mitarbeiter der Stadt schicken? Das kann doch nicht sein oder?

 

[xxMuahdibxx]

Was erwartet die Stadt denn für "Verschlüsselte" Dokumente ?

Was steht bei denen drinnen wie Dokumente zu handhaben sind ?
Welche Verschlüsselung u.s.w.

Wenn du die richtige Mailadresse eingibst kommt das Dokument auch wo anders an?
Wenn ja kommt der Schlüssel ja auch wo anders an ...

Es bringt ja auch nichts etwas verschlüsseln zu wollen wenn der Adressat es gar nicht öffnen kann ... oder darf ... oder wie kommt er an den Schlüssel zum öffnen ?

Immerhin müsst ihr ja beide dann Zertifikate austauschen ..

Also wenn ist die Stadt dann der Ansprechpartner für dein "Problem" da die ja den einen Part übernehmen müssen.

 

[FlightSimmer90]

Die Rede ist von der PGP-Verschlüsselung.
Man erzeugt einen Key, diesen verschickt man direkt als Anhang mit zum Empfänger und mit diesem Key, der im Anhang liegt, kann die Mail samt Dokumente entschlüsselt werden.
So etwas ist doch heutzutage eigentlich Standard oder nicht? Oder warum liest man im Internet so viel darüber? Muss ja schon irgendwo angewendet werden.

Weißt du überhaupt wie PGP funktioniert?

 

[xxMuahdibxx]

du bestimmt ganz sicher besser ...

denn die Stadt hat dir bestimmt schon ihren "Schlüssel" geschickt das es auch klappt mit dem Verschlüsseln ;-)
Das erwähntest du sicher in einem deiner Posts ?

Ach ne die haben das nicht angegeben.

Ohne diese Key ... keine PGP Verschlüsselung.

 

[andy_m4]

Die Hauptadresse unserer Stadt bietet eine DE-Mail-Adresse an, aber die Mitarbeiter im Index haben eine ganz normale @stadt.de und keine Info bzw. sehe keinen PGP Key.

Das ist Digitalisierung in Deutschland und deckt sich mit meinen Erfahrungen. Eine DE-Mail-Adresse ist da schon das höchste der Gefühle. Und da erleb ich auch regelmäßig das es genau eine DE-Mail-Adresse gibt. Sozusagen als Sammeladresse.
Hier und da gibts noch Datenschutzbeauftragte die tatsächlich auch nen PGP-Schlüssel anbieten. Ansonsten ist das Angebot SEHR überschaubar.

Explizit nach Verschlüsselung fragen kann man sich auch sparen. Entweder geht das nicht oder man bekommt (bei nem engagierten Mitarbeiter) irgendwelche halbseidenen Vorschläge wie nen verschlüsseltes PDF zu schicken. Würde theoretisch auch gehen. Man kann denen ja das Zugangspasswort per Telefon sagen.
Ist alles nicht optimal und setzt auch voraus das der jeweilige Behördenmitarbeiter das auch mitmacht.

PGP wäre zwar besser, wirst Du aber in der Regel keinen Erfolg mit haben.

Man erzeugt einen Key, diesen verschickt man direkt als Anhang mit zum Empfänger und mit diesem Key, der im Anhang liegt, kann die Mail samt Dokumente entschlüsselt werden.

Das ist doch total schwachsinnig. JEder der die Mail abfängt kann dann das Dokument entschlüsseln.
Public-Private Key Verschlüsselung funktioniert so, das Du den Public-Key des Empfängers zum verschlüsseln nimmst und der Empfänger dann nur mit seinem privaten (geheimen) Key die Nachricht entschlüsseln kann.

Ergänzung (21. Januar 2021)

So etwas ist doch heutzutage eigentlich Standard oder nicht?

Naja. Bei denen die mit Computer zu tun haben schon (also insbesondere bei Open-Source Developer-Keys etc.). Im normalen Alltag (Behörden, Firmen) eher nicht.

 

[FlightSimmer90]

Sorry, da lag ich mit meiner Info wohl falsch.

Es ist einfach nur peinlich, dass das heutzutage bei den Behörden kein Standard ist und man nur unverschlüsselt sensible E-Mails verschicken kann.

 

[andy_m4]

Es ist einfach nur peinlich, dass das heutzutage bei den Behörden kein Standard ist und man nur unverschlüsselt sensible E-Mails verschicken kann.

Ursprünglich wollten sie ja mal DE-Mail dafür etablieren. Das kommt aber irgendwie nicht aus dem Quark. Was sogar noch verständlich ist. Weil Du da auch keine Ende-zu-Ende Verschlüsselung hast. bzw. nur optimal. In dem Du halt noch nen PGP drüber legst. Aber wenn Du dann eh PGP drüber legst, brauchst Du kein De-Mail mehr und kannst gleich eMail oder andere Kanäle verwenden.

 

[FlightSimmer90]

Ursprünglich wollten sie ja mal DE-Mail dafür etablieren. Das kommt aber irgendwie nicht aus dem Quark.

DE-Mail kann man doch auch über Web.de, GMX.de & Telekom nutzen oder?
Warum pochen die Behörden so sehr auf die DE-Mail während man PGP bei jedem Mailanbieter nutzen kann?
Ein 4096 Bit Key ist doch derzeit sicher genug oder etwa nicht? Wozu dann DE-Mail? Bestimmt wieder so eine Schnapsidee wie NetID...

 

[xxMuahdibxx]

Weil die DE-Mail verstehen ... was meinst du wieviele Personen in so einer Behörde sitzen die einen Computer eher noch wie eine verbesserte Schreibmaschine betrachten ... und auch nur so nutzen können ?

 

[FlightSimmer90]

@xxMuahdibxx

Hast Recht.
DE-Mail ist simpel aufgebaut und man muss sich als Laie nicht so sehr damit beschäftigen.
Nur blöd für die, die kein web.de, GMX.de etc. nutzen wollen.
Traurig...

 

[andy_m4]

Warum pochen die Behörden so sehr auf die DE-Mail während man PGP bei jedem Mailanbieter nutzen kann?

Naja. Einer der grundsätzlichen Schwächen bei PGP ist die mangelhafte Authentifizierung. Das man halt sicher weiß wem welcher Schlüssel gehört. Dafür gibts zwar auch im PGP-Umfeld Lösungen, aber in der Praxis funktionieren die nur begrenzt gut (es sei denn, man kennt sich aus; das tun aber viele halt nicht).
Zumindest das Problem löst DE-Mail.

Ein 4096 Bit Key ist doch derzeit sicher genug oder etwa nicht?

Bei DE-Mail gehts doch nicht primär um Sicherheit oder den Bürger. DE-Mail is/war hauptsächlich ein politisches Projekt. Und dann läuft es halt so, wie es bei politischen Projekten immer läuft.
Siehst Du doch schön an Sachen wie z.B. Stuttgart-21. Einen Bahnhof der exorbitant viel Geld kostet und dann weniger Kapazität hat als der Alte.
Oder, um beim Thema IT zu bleiben die ganze Chose rund um die Gesundheitskarte.

 

[snaxilian]

Es gibt ja noch andere DE-Mailprovider aber zum einen ist DE-Mail keine wirkliche Ende-zu-Ende-Verschlüsselung und zum anderen hat man als Privatperson gefühlt mehr Nach- als Vorteile dadurch.
Ja, DE-Mail ist eine Schnapsidee weil irgendwelche technisch ahnungslosen Leute den "Wirtschaftsstandort Deutschland" mit digitaler verschlüsselter Mail made in germany pushen wollten.

Ein Nachteil von PGP ist aber, dass die Mails zwar verschlüsselt sind aber nicht eindeutig die Identität geklärt ist. Nur weil du $Behörde was schickst, kann $Behörde nicht eindeutig verifizieren, dass DU wirklich DU bist. Das geht erst wenn per "web of trust" verifiziert ist, dass dein Key tatsächlich zu dir gehört.
Das Thema ist aber leider inzwischen mehr oder weniger tot, siehe: https://www.heise.de/security/artikel/PGP-Der-langsame-Tod-des-Web-of-Trust-4467052.html
Bei DE-Mail gibt's halt afaik vorher PostIdent oder ähnliches.

Ja, es ist traurig, dass viele Behörden etc. nicht flächendeckend(er) PGP oder S/MIME anbieten für die Kommunikation aber das Mailprotokoll ist halt auch historisch gewachsen.
Will man vertraulich und sicher (ergo verschlüsselt) Daten übermitteln muss man optional andere Wege gehen.
Eine Möglichkeit wäre ein entsprechend nur per https erreichbarer Webserver wo man die Daten ablegt und mit einem Passwort versieht (good old htaccess oder Lösungen wie nextcloud, owncloud, usw.) und schickt dem Empfänger den Link und das Kennwort auf einem anderen Wege.
Oder die Behörde bietet ggf. so etwas ähnliches an. Dann ist der gesamte Transportweg zwischen Sender und Empfänger ja verschlüsselt und die Daten an sich können unverschlüsselt übertragen werden.
Oder eben die zu versendenden Dokumente mit passendem Archiviertool (7zip, winrar, etc) verschlüsselt packen, dem Empfänger schicken und ebenfalls Kennwort auf alternativem Weg.

Stuttgart-21. Einen Bahnhof

Fun Fact: Stuttgart-21 ist kein Bahnhof sondern nur ein Haltepunkt/Haltestelle denn Bahnhöfe müssen deutlich strengere Auflagen erfüllen was Gleisneigung, Brandschutz, Fluchtwege, usw. angeht.