Abo
  • Services:

Verschlüsselung: PEP will Nachrichtenverschlüsselung einfacher machen

Das Projekt Pretty Easy Privacy will die Verschlüsselung von Nachrichten einfacher machen. Dabei erfindet PEP die Verschlüsselung nicht neu, sondern setzt auf bestehende Systeme wie PGP und Gnunet.

Artikel veröffentlicht am , Hanno Böck
PEP will die Verschlüsselung von Nachrichten einfacher machen.
PEP will die Verschlüsselung von Nachrichten einfacher machen. (Bild: PEP)

Bei den Datenspuren in Dresden, einer Veranstaltung des dortigen Chaos Computer Clubs, wurde am Wochenende das Projekt PEP vorgestellt. PEP steht für Pretty Easy Privacy und ist ein Versuch, Verschlüsselung für die breite Masse verfügbar zu machen.

Stellenmarkt
  1. Fasihi GmbH, Ludwigshafen
  2. talpasolutions GmbH, Essen

PEP entstand im Umfeld des Chaos Computer Clubs Zürich und wird zurzeit federführend von Volker Birk entwickelt. Das Problem sei im Wesentlichen, so Birk, dass die bestehenden Verschlüsselungssysteme für viele Anwender zu kompliziert sind. An sein Publikum gerichtet, erläuterte Birk, dass die Anwesenden vermutlich in der Lage sind, herauszufinden, ob ihr Kommunikationspartner einen PGP-Schlüssel besitzt und auch wissen, wie sie dessen Echtheit prüfen und ihn anschließend nutzen können. Birks Ansatz ist, diese Vorgehensweise zu automatisieren.

Plugin für Outlook verfügbar

Als erstes Testobjekt wurde ein Plugin für Microsoft Outlook entwickelt. Wenn ein Nutzer nun eine E-Mail mit Outlook schreibt, so versucht PEP im Hintergrund, eine Möglichkeit zur verschlüsselten Kommunikation zu finden. Wenn der Empfänger bereits einen PGP-Key hat, wird dieser genutzt. Ebenso kann S/MIME genutzt werden. In der Standardeinstellung wird die Verbindung als "gelb" angezeigt. Das bedeutet, dass zwar Verschlüsselung genutzt wird, die Echtheit des Schlüssels aber nicht überprüft wurde.

Um die Echtheit zu prüfen, können sich die Kommunikationsteilnehmer Wörter gegenseitig vorlesen. Die Wörter repräsentieren die Fingerprints der genutzten kryptographischen Schlüssel. Das Überprüfen von Fingerprints wird bei PGP schon lange genutzt, doch statt Wörtern werden bislang üblicherweise hexadezimale Zahlenfolgen genutzt. Das sei, so Birk, für viele Anwender abschreckend. Die von PEP verwendeten Fingerprints sind lediglich ein Mapping der bestehenden Hexadezimalzeichen auf gewöhnliche Wörter.

Unterstützung für alle gängigen Nachrichtensysteme geplant

Das Outlook-Plugin soll nur der Anfang sein. Geplant ist, für sämtliche gängigen Nachrichtensysteme PEP-Erweiterungen zu schreiben. Birk will sich dabei an dem orientieren, was von der Masse der Anwender genutzt wird. So sollen auch Whatsapp- und Facebook-Nachrichten unterstützt werden. Auch Webmail-Anwendungen sollen mittels Browserplugins verschlüsselt werden. Bei mobilen Apps sind üblicherweise keine Plugin-Schnittstellen vorgesehen, daher müsse man hier auf eigene Apps ausweichen. Birk hofft, durch zusätzliche Features Nutzer von Whatsapp und ähnlichen Diensten trotzdem zum Umstieg bewegen zu können. Die offene Groupware Kolab hat bereits angekündigt, PEP in ihrer nächsten Version zu unterstützen.

Wenn beide Anwender PEP nutzen, ist geplant, dass die Nachricht nicht mehr über das bisher verwendete Kommunikationssystem verschickt wird. Stattdessen kommt hier Gnunet zum Einsatz, ein dezentrales Netzwerk, welches die Identität seiner Teilnehmer verschleiert. Gnunet gewährleistet somit auch einen Schutz der Metadaten. Die Idee dabei: Wenn irgendwann immer mehr Menschen PEP nutzen, könnte es sich irgendwann als neuer Kommunikationsstandard durchsetzen und bestehende Systeme ablösen. Birk plant, sämtliche verwendeten Technologien als RFC bei der IETF einzureichen, um sie zu standardisieren.

PEP ist freie Software

PEP ist freie Software und steht unter der GPL. Geplant ist auch eine Enterprise-Version für Firmenkunden. Diese soll sich jedoch technisch nicht von der freien Version unterscheiden. Der Grund hierfür ist laut Birk, dass große Firmen oft lieber ein Paket aus Software und Supportverträgen einkaufen möchten. Um den Anforderungen aus der Businesswelt zu entsprechen, will Birk auch umstrittene Features einbauen. So wollen Firmen meist eine Möglichkeit des Key Escrow: Eine zentrale Stelle soll in der Lage sein, bei Bedarf den Schlüssel eines Mitarbeiters zu rekonstruieren, beispielsweise falls dieser die Firma verlässt.

Um die Kunden in der Business-Welt anzusprechen, kooperiert Birk mit Leon Schumacher. Schumacher hat früher für Novartis und Arcelormittal gearbeitet. Laut Birk habe man für die Testphase drei große Firmen angefragt, ob sie an der Nutzung von PEP Interesse hätten und alle drei hätten zugesagt. Die Mischung ist sicher eine ungewöhnliche: Einerseits will PEP neben Privatanwendern Großkonzerne als Nutzer ansprechen, andererseits beruft sich das Projekt explizit auf das Cypherpunk-Manifest als Motivation für die Entwicklung.

Um die Entwicklung zu unterstützen, hat PEP eine Kampagne auf der Crowdfunding-Plattform Indiegogo gestartet. Nach zwei Tagen sind bereits etwa 14.000 Dollar an Unterstützung zugesagt worden.

Fazit

PEP ist ein sehr ambitioniertes Projekt. Durch die Verwendung bestehender, bewährter Technologien dürfte in Sachen Kryptographie erst einmal nicht viel schiefgehen. PEP verwendet für die Verschlüsselung im Regelfall GnuPG, gravierende Sicherheitslücken darin wären eine Überraschung. Allerdings: Vieles ist bislang nur eine Ankündigung. Die Unterstützung von praktisch allen gängigen Nachrichtensystemen wird sicher eine große Herausforderung und es bleibt abzuwarten, ob das PEP-Projekt diese meistern kann.

Eine Unschönheit ist uns aufgefallen: Die Webseite von PEP ist bislang nicht via HTTPS erreichbar. Das wirkt für ein Projekt, das die Kryptographie revolutionieren will, nicht angemessen.



Anzeige
Blu-ray-Angebote
  1. 5,55€
  2. 4,99€

fdik 18. Sep 2014

Hallo, da gehen unsere Ansichten wohl völlig auseinander. Ich halte das kommerzielle CA...

derKlaus 17. Sep 2014

In einem Unternehmen liegen die Mails ja in erster Linie auf einem Mailserver und nicht...

hannob (golem.de) 16. Sep 2014

Sorry, ärgerlicher Fehler, ist korrigiert.


Folgen Sie uns
       


Fahrt mit Alstoms Brennstoffzellenzug - Bericht

Wasserstoff statt Diesel: Der Nahverkehrszug der Zukunft soll sauber fahren. Der französische Konzern Alstom hat einen Zug mit einem Brennstoffzellenantrieb entwickelt, der ohne Oberleitung elektrisch fährt. Wir sind eingestiegen.

Fahrt mit Alstoms Brennstoffzellenzug - Bericht Video aufrufen
Google I/O 2018: Eine Entwicklerkonferenz für Entwickler
Google I/O 2018
Eine Entwicklerkonferenz für Entwickler

Google I/O 2018 Die Google I/O präsentiert sich erneut als Messe für Entwickler und weniger für konventionelle Nutzer. Die Änderungen bei Maps, Google Lens oder News sind zwar nett, spannend wird es aber mit Linux-Apps auf Chromebooks.
Eine Analyse von Tobias Költzsch, Ingo Pakalski und Sebastian Grüner

  1. Google Android P trennt stärker zwischen Privat und Arbeit
  2. Smartwatch Zweite Vorschau von Wear OS bringt neuen Akkusparmodus
  3. Augmented Reality Google unterstützt mit ARCore künftig auch iOS

Projektoren im Vergleichstest: 4K-Beamer für unter 2K Euro
Projektoren im Vergleichstest
4K-Beamer für unter 2K Euro

Bildschirme mit UHD- und 4K-Auflösung sind in den vergangenen Jahren immer preiswerter geworden. Seit 2017 gibt es den Trend zu hoher Pixelzahl und niedrigem Preis auch bei Projektoren. Wir haben vier von ihnen getestet und stellen am Ende die Sinnfrage.
Ein Test von Martin Wolf

  1. Sony MP-CD1 Taschenbeamer mit Akku und USB-C-Stromversorgung
  2. Mirraviz Multiview Splitscreen-Games spielen ohne die Möglichkeit, zu schummeln
  3. Sony LSPX-A1 30.000-Dollar-Beamer strahlt 80 Zoll aus 0 cm Entfernung

Kryptographie: Der Debian-Bug im OpenSSL-Zufallszahlengenerator
Kryptographie
Der Debian-Bug im OpenSSL-Zufallszahlengenerator

Einer der schwerwiegendsten Fehler in der Geschichte der Kryptographie beschäftigte vor zehn Jahren Nutzer der Debian-Distribution. Wenn man danach sucht, findet man noch heute vereinzelt verwundbare Schlüssel.
Von Hanno Böck


      •  /