Abo
  • IT-Karriere:

Mailverschlüsselung: Googles neues System zur Schlüsselverwaltung

Google hat ein Protokoll zur Verteilung der öffentlichen Schlüssel für sein PGP-basiertes Verschlüsselungsplugin End-to-End vorgestellt. Bisher setzen Mailverschlüsselungssysteme entweder auf ein Web-of-Trust oder auf zentrale Zertifizierungsstellen - beides ist wenig überzeugend.

Artikel veröffentlicht am , Hanno Böck
Google macht sich Gedanken über die Schlüsselverwaltung von End-to-End.
Google macht sich Gedanken über die Schlüsselverwaltung von End-to-End. (Bild: Screenshot Golem.de)

Mit dem Browserplugin End-to-End will Google künftig die Verschlüsselung von E-Mails voranbringen und wird dabei seit kurzem von Yahoo unterstützt. Eine große Herausforderung bei allen Lösungen für verschlüsselte Mails ist die Verteilung und Verwaltung der Schlüssel: Woher bekommt der Nutzer den öffentlichen Schlüssel seines Kommunikationspartners und woher weiß er, dass dieser nicht von einem bösartigen Angreifer stammt? PGP und dessen freies Pendant GnuPG setzen dafür bisher auf ein Web-of-Trust, der konkurrierende S/MIME-Standard auf zentrale Zertifizierungsstellen. Beide Ansätze hält Google für ungeeignet.

Missbrauch nicht geheim halten

Inhalt:
  1. Mailverschlüsselung: Googles neues System zur Schlüsselverwaltung
  2. Öffentliche Kontrolle

Google hat nun Grundzüge eines neuen Ansatzes vorgestellt. Dabei orientiert man sich teilweise an Ideen des Systems Certificate Transparency, das ebenfalls von Google entwickelt wurde und die Sicherheit von HTTPS-Zertifikaten verbessern soll. Die Grundidee: Es gibt zwar weiterhin Zertifizierungsstellen, denen ein Nutzer vertrauen muss, aber wenn diese ihre Macht missbrauchen und falsche Schlüssel in Umlauf bringen, können sie das nicht geheim halten.

Googles Konzept sieht vor, dass es Schlüsselverzeichnisse gibt, die naheliegenderweise vom Anbieter der Mailadresse verwaltet werden können. Theoretisch kann ein solches Schlüsselverzeichnis jedoch auch von Dritten betrieben werden. Ein Nutzer Bob, der die Mailverschlüsselung nutzt, würde seinen öffentlichen Schlüssel an ein Schlüsselverzeichnis senden. Dabei muss der Mailprovider von Bob bestätigen, dass es sich um eine Registrierung von Bob handelt, hierfür muss der Mailanbieter ein Protokoll unterstützen, das Google bisher nicht näher erläutert.

Logbuch ähnlich wie Bitcoin

Die zentrale Idee: Das Schlüsselverzeichnis ist öffentlich und es handelt sich um ein endloses Logbuch. Das bedeutet: Informationen können nur hinzugefügt, jedoch keine daraus gelöscht werden, zumindest nicht ohne dass es anderen auffällt. Die bislang populärste Anwendung eines solchen endlosen Logbuchs ist die Blockchain der Kryptowährung Bitcoin.

Stellenmarkt
  1. Allianz Lebensversicherungs - AG, Stuttgart
  2. CONITAS GmbH, Karlsruhe

Falls Alice nun Bob eine Mail schicken möchte, ruft ihr Mailprogramm oder das entsprechende Browserplugin dessen öffentlichen Schlüssel von dessen Schlüsselverzeichnis ab. Zusätzlich erhält Alice einen signierten Hash des Schlüsselverzeichnisses, der den aktuellen Status des Schlüsselverzeichnisses bestätigt. Diesen schickt Alice in der Mail an Bob mit.

Wenn Bob die Mail empfängt, kann er seinerseits den signierten Hash des Schlüsselverzeichnisses mit dem aktuellen Stand vergleichen. Entweder der Hash ist identisch oder er verweist auf einen älteren Stand des Schlüsselverzeichnisses. In jedem Fall kann Bob erkennen, falls der signierte Hash eine manipulierte Version des Schlüsselverzeichnisses repräsentiert. In diesem Fall wüsste Bob, dass ein Angriff stattgefunden hat.

Signierte Hashes decken Manipulation auf

Doch die signierten Hashes werden noch an weitere Personen verteilt. So schickt Alice nicht nur den signierten Hash von Bobs Schlüsselverzeichnis mit, sondern weitere Hashes von anderen Schlüsselverzeichnissen, deren Informationen sie nutzt. Die Idee dabei: Ein Versuch einer Manipulation würde in jedem Fall auffallen. Wenn Bob beim Versuch, den von Alice erhaltenen signierten Hash zu prüfen, sein Schlüsselverzeichnis nicht erreicht, würde er diesen Hash künftig ebenfalls in anderen Mails mitschicken.

Öffentliche Kontrolle 
  1. 1
  2. 2
  3.  


Anzeige
Spiele-Angebote
  1. 43,99€
  2. 34,99€
  3. (-12%) 52,99€
  4. 2,80€

Apollo13 01. Sep 2014

Beim 08/15-User nicht, aber dann kannst Du Dir auch die Verschlüsselung sparen.

Moe479 01. Sep 2014

ja dann braucht man nur noch wenige zertifizierungstellen komprommitieren um an alles...

Anonymer Nutzer 01. Sep 2014

In deinem Beitrag war Kryptographie aber garnicht das Thema. Im Artikel geht es um End-to...

hyperlord 29. Aug 2014

Inwiefern ist das jetzt was anderes als z.B. der GMX Spam- bzw. Virenscanner? Da werden...

PampelHampel 29. Aug 2014

Müsste man dann eben für jede mail oder so nen cent für die Miner zahlen. Evtl liese sich...


Folgen Sie uns
       


Acer Predator Helios 700 - Hands on (Ifa 2019)

Was für ein skurriles Gerät: Golem.de schaut sich das Gaming-Notebook Predator Triton 700 von Acer an und probiert die Schiebetastatur aus.

Acer Predator Helios 700 - Hands on (Ifa 2019) Video aufrufen
Elektrautos auf der IAA: Die Gezeigtwagen-Messe
Elektrautos auf der IAA
Die Gezeigtwagen-Messe

IAA 2019 Viele klassische Hersteller fehlen bei der IAA oder zeigen Autos, die man längst gesehen hat. Bei den Elektroautos bekommen alltagstaugliche Modelle wie VW ID.3, Opel Corsa E und Honda E viel Aufmerksamkeit.
Ein Bericht von Dirk Kunde

  1. Elektromobilität Stromwirtschaft will keine Million öffentlicher Ladesäulen
  2. Umfrage Kunden fühlen sich vor Elektroautokauf schlecht beraten
  3. Batterieprobleme Auslieferung des e.Go verzögert sich

Garmin Fenix 6 im Test: Laufzeitmonster mit Sonne im Herzen
Garmin Fenix 6 im Test
Laufzeitmonster mit Sonne im Herzen

Bis zu 24 Tage Akkulaufzeit, im Spezialmodus sogar bis zu 120 Tage: Garmin setzt bei seiner Sport- und Smartwatchserie Fenix 6 konsequent auf Akku-Ausdauer. Beim Ausprobieren haben uns neben einem System zur Stromgewinnung auch neue Energiesparoptionen interessiert.
Ein Test von Peter Steinlechner

  1. Fenix 6 Garmins Premium-Wearable hat ein Pairing-Problem
  2. Wearable Garmin Fenix 6 bekommt Solarstrom

Mobile-Games-Auslese: Superheld und Schlapphutträger zu Besuch im Smartphone
Mobile-Games-Auslese
Superheld und Schlapphutträger zu Besuch im Smartphone

Markus Fenix aus Gears of War kämpft in Gears Pop gegen fiese (Knuddel-)Aliens und der Typ in Tombshaft erinnert an Indiana Jones: In Mobile Games tummelt sich derzeit echte und falsche Prominenz.
Von Rainer Sigl

  1. Mobile-Games-Auslese Verdrehte Räume und verrückte Zombies für unterwegs
  2. Dr. Mario World im Test Spielspaß für Privatpatienten
  3. Mobile-Games-Auslese Ein Wunderjunge und dreimal kostenloser Mobilspaß

    •  /