News Google will PGP-Verschlüsselung in Gmail vereinfachen

[fethomm]

Angesichts der Enthüllungen der NSA-Schnüffeleien durch Edward Snowden und der dadurch entstandenen Auswirkungen auf den Datenschutz und die Privatsphäre möchte Google für Gmail einen Weg finden, um mehr Sicherheit durch Verschlüsselung mittels PGP bei gleichzeitiger Akzeptanz durch die Anwender zu erreichen.

Zur News: Google will PGP-Verschlüsselung in Gmail vereinfachen

 

[John Reese]

Allerdings stellt sich die Frage, wie Google Gmail dann weiterhin monetarisieren will, wenn das Unternehmen die E-Mails selbst nicht mehr scannen kann.

Ich bin mir sicher dass Google da schon etwas einfallen wird :/

Die Frage die sich mir allerdings stellt ist: Wer sagt, dass Google das auch so implementiert, dass wir sicher sein können dass sie den private Key nicht irgendwo auf ihren Servern speichern?
Ich meine: die brauchen den ja zum Signen, also muss der Anwender den auf deren Server ablegen.

 

[SchmuseTigger]

Allerdings stellt sich die Frage, wie Google Gmail dann weiterhin monetarisieren will, wenn das Unternehmen die E-Mails selbst nicht mehr scannen kann.

Scannen lokal, weitergeben der Schlagworte in der Mail an Google, dann verschlüsseln und versenden?

Ergänzung (22. April 2014)

Ich bin mir sicher dass Google da schon etwas einfallen wird :/

Die Frage die sich mir allerdings stellt ist: Wer sagt, dass Google das auch so implementiert, dass wir sicher sein können dass sie den private Key nicht irgendwo auf ihren Servern speichern?
Ich meine: die brauchen den ja zum Signen, also muss der Anwender den auf deren Server ablegen.

Nö, du musst den Lokal haben. Auf dem Server macht das doch überhaupt keinen Sinn. Du würdest das ja zum Server schicken und erst da verschlüsseln.

 

[schumischumi]

das thema mit den "wo verschlüsseln" bzw. wo liegen die keys ist wirklich der knackpunkt.
klar könnte man es so machen, dass man google vertraut und als keystore nimmt. ist alles andere als optimal, aber besser als nichts.
gibt ja jetzt schon plugins usw. für den chrome die das übernehmen, aber da ist halt auch das problem, dass das ding von google kommt und gerade wenn man über chrome eingeloggt ist, auch (zu recht) daten zurücksendet. bei iron oder chromium oä hätte man das problem dann nicht bzw. wäre es über plugin möglich.
evtl kommt ja ein quelloffenes plugin das die keys lokal auf der platte oder (extern) verschlüsselt im gdrive ablegt.

 

[Wilhelm14]

Pretty Goog Privacy? Ist das ein Tippfehler oder wird Google die angepasste Version von Pretty Good Privacy für sich umbenennen?

 

[Nuck_Chorris]

Jungs das ist doch kein Problem.

Aus Anwenderfreundlichen Gründen liegt der private Key dann in der GDrive ablage.
​Nur so kann Gewährleistet werden, dass ihr eure Mails auf allen Geräten auch wirklich lesen und schreiben könnt.



Somit sind dann alle Happy.
Die User haben verschlüsselte Mails.
Google kann weiter Scannen und
​die Jungs bei der NSA können aufatmen

 

[wazzup]

PGP ist doch eh nur ne lösung für Aluhutträger und paranoide Nerds. Ich kenne niemanden der das jemals eingesetzt hätte, weder privat noch beruflich. Es hat sich nicht durchgesetzt weils einfach nicht handhabbar ist.
Emails sind eben wie Postkarten, mit dem Wissen haben wir in den 90ern mit dem Internet angefangen und daran hat sich bis heute nichts geändert. Wenn ich wichtige vertrauliche informationen per email versenden möchte packe ich diese in einen verschlüsselten Anhang.

 

[dylan1982]

Scannen lokal, weitergeben der Schlagworte in der Mail an Google, dann verschlüsseln und versenden?

Ergänzung (22. April 2014)

Nö, du musst den Lokal haben. Auf dem Server macht das doch überhaupt keinen Sinn. Du würdest das ja zum Server schicken und erst da verschlüsseln.

Lokal 'müssen' tut man eben nicht. Die c't hat gerade einen "Webmail" Anbieter namens 'tutanota' (ein Startup was irgendwie zur Leibniz-Uni Hannover gehören soll) getestet, siehe Seite 60 in Heft 10/2014, der es nicht so macht, weil dadurch eben alles "bequem" wird.

www.tutanota.de

Das nennt man dann wohl einen "Vertrauensvorschuss", den der Anwender erbringen muss.
Ein solcher Ansatz wäre ja bei Google auch realistischer.

 

[Ilsan]

Ich bin mir sicher dass Google da schon etwas einfallen wird :/

Nein, beschäftige dich einfach mal mit der Grundidee von PGP und du wirst erkennen wieso das in Widerspruch zueinander steht.

Obendrein ist PGP schon heute kein Problem, man muss nur die passenden Programme benutzen.

Ich denke bei der Sache hat der US Geheimdienst auch irgendwo die Finger im Spiel. Es ist ja bekannt dass diese große Probleme mit dem knacken von Verschlüsselungen haben. Können ja auch nur abhören weil sie Backdoors haben.

PGP ist doch eh nur ne lösung für Aluhutträger und paranoide Nerds. Ich kenne niemanden der das jemals eingesetzt hätte, weder privat noch beruflich. Es hat sich nicht durchgesetzt weils einfach nicht handhabbar ist.
Emails sind eben wie Postkarten, mit dem Wissen haben wir in den 90ern mit dem Internet angefangen und daran hat sich bis heute nichts geändert. Wenn ich wichtige vertrauliche informationen per email versenden möchte packe ich diese in einen verschlüsselten Anhang.

Dann nenne doch mal eine transparente sicherere Alternative über die du auch selber die komplette Kontrolle hast?

Sichere Verschlüsselung wird sich nie durchsetzen, weil die Leute einfach kein Bock haben sich damit zu beschäftigen. Aber es wird immer ein Teil von Leuten geben die eben mehr Ahnung haben Lösungen einsetzen die sicherer sind als das was alle anderen machen

In der Theorie besteht kein Unterschied zwischen Theorie und Praxis. In der Praxis leider schon...

Weils keine Sau interesiert. Behörden und sonstige öffentliche Einrichtungen könnte man gesetzlich ja ganz einfach zum Einsatz von PGP zwingen. Nur hat ja niemand Bock auf Umstellung.

Die Masse ist das Problem nicht die Technik... Die Anbieter von Mail Programme würden eh gezwungen sein PGP zu integrieren wenn die Mehrheit das einsetzt, weil deren Software sonst einfach keine Sau mehr kauft.

 

[highks]

Die Frage ist ja dann immer: wer macht mit von meinen Bekannten und Geschäftspartnern?

Ich bin auch bei Threema, da sind ca. fünf meiner Kontakte, die ich häufiger mal anschreibe, ansonsten sind da noch zehn Leute, mit denen ich seit Jahren nicht mehr in Kontakt war. Alle anderen erreiche ich immer noch nur über Whatsapp, SMS, Mail oder gar Facebook.

Wenn ich jetzt verschlüsselte Mails verschicke, dann weiß ich schon, wer die öffnen kann: die selben fünf Kontakte, die auch bei Threema sind. Alle anderen werden mir nach Erhalt einer verschlüsselten Mail auf Whatsapp schreiben, dass ich das doch bitte "normal" schicken soll...

In der Theorie besteht kein Unterschied zwischen Theorie und Praxis. In der Praxis leider schon...

Ergänzung (22. April 2014)

Wenn ich wichtige vertrauliche informationen per email versenden möchte packe ich diese in einen verschlüsselten Anhang.

Leider wissen das viele nicht! Was ich schon alles über unverschlüsselte EMail bekommen habe... vertrauliche Infos zum Job, Logins und Passwörter für FTP Server, ich könnte jedes Mal kotzen!

 

[TheBeastMaster]

PGP ist doch eh nur ne lösung für Aluhutträger und paranoide Nerds.

Du hast aber schon Nachrichten geschaut in den letzten 12 Monaten oder? Die Aluhutträger und paranoide Nerds hatten recht

Ich bin auf die implementierung gespannt, viel Sicherheit verspreche ich mir dadurch allerdings nicht, da wie schon von meinen Vorrednern erwähnt, der Keystorage die knackpunkt sein wird.

 

[kane70]

PGP ist doch eh nur ne lösung für Aluhutträger und paranoide Nerds. Ich kenne niemanden der das jemals eingesetzt hätte, weder privat noch beruflich.

Privat kenne ich auch sehr wenige. Aber beruflich kann ich das nicht bestätigen. Ich arbeite in einem MDAX-Unternehmen, welches weltweit seine Emails PGP verschlüsselt.

 

[Colonel Decker]

Nicht übel. Klingt fast so wie das was ich bei Mailbox.org bereits machen kann bzw. wie das was dort bald vielleicht noch so kommen soll.

Allerdings stellt sich die Frage, wie Google Gmail dann weiterhin monetarisieren will, wenn das Unternehmen die E-Mails selbst nicht mehr scannen kann.

Na kommt, also es wird Google ja wohl auch mit ein paar Mails weniger kaum schwer fallen, halbwegs individualisierte Werbung einzublenden.

 

[fethomm]

Privat kenne ich auch sehr wenige. Aber beruflich kann ich das nicht bestätigen. Ich arbeite in einem MDAX-Unternehmen, welches weltweit seine Emails PGP verschlüsselt.

Ich kenne PGP bei Mails in der gesamten Linux- und Open-Source-Szene. Dort hat sich ein riesiges Web of Trust aufgebaut.

 

[MarcDK]

Wir nutzen PGP auch im Büro - und zwar mit Google Apps for Business. Passwörter für Server etc. verschicken wir so durch die Gegend. Die Schlüssel liegen in der Browser-Extension lokal weil wir keine E-Mail Clients einsetzen sondern die Weboberfläche nutzen. GMail und PGP funktionieren wunderbar zusammen! Siehe hier

 

[schumischumi]

jetzt wo ich ein bisschen überlege, stell ich mir das ganze pgp system bei gruppenmail (gerade bei firmen, wo auch externe auf CC sind) extream unhandlich vor. bräuchte ja für jeden empfängerkreis einen gruppenschlüssel. dh. wenn dann pro projekt oder abteilung einen extra schlüssel. dann noch pro person für personenbezogene mails.... ganz schöner aufwand.
bei notes/domino wird das glaub ich über nen keystore auf dem domino oder iwas proprietäres geregelt. zumindest kann man nur mit notes client darauf zugreifen bzw. entschlüsseln. hat sich dann für externe auch wieder erledigt...
@kane70: wie machens den die großen unternehmen?

edit: @MarcDK: wie macht ihr das mit gruppenmails?

 

[Elcrian]

Die aktuellen Implementierungen von PGP sprechen aber auch nur die IT-Abteilungen von großen Unternehmen (@48kane70) oder direkt die Nerds selber (@04fethomm) an, da diese von der Usability mit das Abschreckendste und Unbenutzbarste für den Durchschnittsuser sind die ich mir so vorstellen kann.
Egal ob es die Einrichtung mit div. Fachbegriffen, die Keystores im Web 1.0 Bugtracker-Design oder die Tatsache, dass es kaum bis keine gute, nicht für Nerds gedachte iOS oder Android Apps gibt - all das schreckt einen Nutzer den das kryptologische Prinzip gar nicht interessiert (und interessieren muss) wohl maximal ab. Und das ist mehr als verständlich, finde ich.

Dementsprechend wäre eine simple Implementierung (im Threema-Stil) für die breite eine gute Sache.

 

[Joobix]

Wenn ich wichtige vertrauliche informationen per email versenden möchte packe ich diese in einen verschlüsselten Anhang.

Lass mich raten, das Passwort schickst du dann in einer anderen Mail als Klartext.

 

[Trefoil80]

Ganz sicher werde ich meinen privaten PGP-Key keiner Closed-Source-App von Google anvertrauen!

Ich finde, dass die ganzen PGP-Mauler nur zu faul sind. Das einzig komplizierte ist die Verwaltung der öffentlichen Keys. Wenn das aber einmal eingerichtet ist (und Thunderbird dank Empfängerregeln gut konfiguriert ist), wird man im täglichen Umgang keinen Unterschied merken.

Wenn man natürlich jeden Tag mit neuen Leuten zu tun hat wird es zugegebenermaßen schwieriger.

 

[basti2k]

Naja ich muss ja meinen Privartekey dann bei Google hochladen, ich finde es nicht so toll, denn damit heble ich ja die Sicherheit von PGP wieder aus. :/
So was macht man mit einem Mailclient und der Privatekey bleibt dann auch auf meinem Rechner