Abo
  • IT-Karriere:

Mailverschlüsselung: Googles neues System zur Schlüsselverwaltung

Google hat ein Protokoll zur Verteilung der öffentlichen Schlüssel für sein PGP-basiertes Verschlüsselungsplugin End-to-End vorgestellt. Bisher setzen Mailverschlüsselungssysteme entweder auf ein Web-of-Trust oder auf zentrale Zertifizierungsstellen - beides ist wenig überzeugend.

Artikel veröffentlicht am , Hanno Böck
Google macht sich Gedanken über die Schlüsselverwaltung von End-to-End.
Google macht sich Gedanken über die Schlüsselverwaltung von End-to-End. (Bild: Screenshot Golem.de)

Mit dem Browserplugin End-to-End will Google künftig die Verschlüsselung von E-Mails voranbringen und wird dabei seit kurzem von Yahoo unterstützt. Eine große Herausforderung bei allen Lösungen für verschlüsselte Mails ist die Verteilung und Verwaltung der Schlüssel: Woher bekommt der Nutzer den öffentlichen Schlüssel seines Kommunikationspartners und woher weiß er, dass dieser nicht von einem bösartigen Angreifer stammt? PGP und dessen freies Pendant GnuPG setzen dafür bisher auf ein Web-of-Trust, der konkurrierende S/MIME-Standard auf zentrale Zertifizierungsstellen. Beide Ansätze hält Google für ungeeignet.

Missbrauch nicht geheim halten

Inhalt:
  1. Mailverschlüsselung: Googles neues System zur Schlüsselverwaltung
  2. Öffentliche Kontrolle

Google hat nun Grundzüge eines neuen Ansatzes vorgestellt. Dabei orientiert man sich teilweise an Ideen des Systems Certificate Transparency, das ebenfalls von Google entwickelt wurde und die Sicherheit von HTTPS-Zertifikaten verbessern soll. Die Grundidee: Es gibt zwar weiterhin Zertifizierungsstellen, denen ein Nutzer vertrauen muss, aber wenn diese ihre Macht missbrauchen und falsche Schlüssel in Umlauf bringen, können sie das nicht geheim halten.

Googles Konzept sieht vor, dass es Schlüsselverzeichnisse gibt, die naheliegenderweise vom Anbieter der Mailadresse verwaltet werden können. Theoretisch kann ein solches Schlüsselverzeichnis jedoch auch von Dritten betrieben werden. Ein Nutzer Bob, der die Mailverschlüsselung nutzt, würde seinen öffentlichen Schlüssel an ein Schlüsselverzeichnis senden. Dabei muss der Mailprovider von Bob bestätigen, dass es sich um eine Registrierung von Bob handelt, hierfür muss der Mailanbieter ein Protokoll unterstützen, das Google bisher nicht näher erläutert.

Logbuch ähnlich wie Bitcoin

Die zentrale Idee: Das Schlüsselverzeichnis ist öffentlich und es handelt sich um ein endloses Logbuch. Das bedeutet: Informationen können nur hinzugefügt, jedoch keine daraus gelöscht werden, zumindest nicht ohne dass es anderen auffällt. Die bislang populärste Anwendung eines solchen endlosen Logbuchs ist die Blockchain der Kryptowährung Bitcoin.

Stellenmarkt
  1. Interhyp Gruppe, München
  2. Bau- und Liegenschaftsbetrieb NRW, Düsseldorf

Falls Alice nun Bob eine Mail schicken möchte, ruft ihr Mailprogramm oder das entsprechende Browserplugin dessen öffentlichen Schlüssel von dessen Schlüsselverzeichnis ab. Zusätzlich erhält Alice einen signierten Hash des Schlüsselverzeichnisses, der den aktuellen Status des Schlüsselverzeichnisses bestätigt. Diesen schickt Alice in der Mail an Bob mit.

Wenn Bob die Mail empfängt, kann er seinerseits den signierten Hash des Schlüsselverzeichnisses mit dem aktuellen Stand vergleichen. Entweder der Hash ist identisch oder er verweist auf einen älteren Stand des Schlüsselverzeichnisses. In jedem Fall kann Bob erkennen, falls der signierte Hash eine manipulierte Version des Schlüsselverzeichnisses repräsentiert. In diesem Fall wüsste Bob, dass ein Angriff stattgefunden hat.

Signierte Hashes decken Manipulation auf

Doch die signierten Hashes werden noch an weitere Personen verteilt. So schickt Alice nicht nur den signierten Hash von Bobs Schlüsselverzeichnis mit, sondern weitere Hashes von anderen Schlüsselverzeichnissen, deren Informationen sie nutzt. Die Idee dabei: Ein Versuch einer Manipulation würde in jedem Fall auffallen. Wenn Bob beim Versuch, den von Alice erhaltenen signierten Hash zu prüfen, sein Schlüsselverzeichnis nicht erreicht, würde er diesen Hash künftig ebenfalls in anderen Mails mitschicken.

Öffentliche Kontrolle 
  1. 1
  2. 2
  3.  


Anzeige
Spiele-Angebote
  1. (-81%) 3,75€
  2. 1,19€
  3. 2,99€
  4. 1,12€

Apollo13 01. Sep 2014

Beim 08/15-User nicht, aber dann kannst Du Dir auch die Verschlüsselung sparen.

Moe479 01. Sep 2014

ja dann braucht man nur noch wenige zertifizierungstellen komprommitieren um an alles...

Anonymer Nutzer 01. Sep 2014

In deinem Beitrag war Kryptographie aber garnicht das Thema. Im Artikel geht es um End-to...

hyperlord 29. Aug 2014

Inwiefern ist das jetzt was anderes als z.B. der GMX Spam- bzw. Virenscanner? Da werden...

PampelHampel 29. Aug 2014

Müsste man dann eben für jede mail oder so nen cent für die Miner zahlen. Evtl liese sich...


Folgen Sie uns
       


Wolfenstein Youngblood angespielt

Zwillinge im Kampf gegen das Böse: Im Actionspiel Wolfenstein Youngblood müssen sich Jess und Soph Blazkowicz mit dem Regime anlegen.

Wolfenstein Youngblood angespielt Video aufrufen
Kickstarter: Scheitern in aller Öffentlichkeit
Kickstarter
Scheitern in aller Öffentlichkeit

Kickstarter ermöglicht es kleinen Indie-Teams, die Entwicklung ihres Spiels zu finanzieren. Doch Geld allein ist nicht genug, um alle Probleme der Spieleentwicklung zu lösen. Und was, wenn das Geld ausgeht?
Ein Bericht von Daniel Ziegener

  1. Killerwhale Games Verdacht auf Betrug beim Kickstarter-Erfolgsspiel Raw
  2. The Farm 51 Chernobylite braucht Geld für akkurates Atomkraftwerk
  3. E-Pad Neues Android-Tablet mit E-Paper-Display und Stift

Erasure Coding: Das Ende von Raid kommt durch Mathematik
Erasure Coding
Das Ende von Raid kommt durch Mathematik

In vielen Anwendungsszenarien sind Raid-Systeme mittlerweile nicht mehr die optimale Lösung. Zu langsam und starr sind sie. Abhilfe schaffen können mathematische Verfahren wie Erasure Coding. Noch existieren für beide Techniken Anwendungsgebiete. Am Ende wird Raid aber wohl verschwinden.
Eine Analyse von Oliver Nickel

  1. Agentur für Cybersicherheit Cyberwaffen-Entwicklung zieht in den Osten Deutschlands
  2. Yahoo Richterin lässt Vergleich zu Datenleck platzen

LEDs: Schlimmes Flimmern
LEDs
Schlimmes Flimmern

LED-Licht zu Hause oder im Auto leuchtet nur selten völlig konstant. Je nach Frequenz und Intensität kann das Flimmern der Leuchtmittel problematisch sein, für manche Menschen sogar gesundheitsschädlich.
Von Wolfgang Messer

  1. Wissenschaft Schadet LED-Licht unseren Augen?
  2. Straßenbeleuchtung Detroit kämpft mit LED-Ausfällen und der Hersteller schweigt
  3. ULED Ubiquitis Netzwerkleuchten bieten Wechselstromversorgung

    •  /