Abo
  • Services:
Anzeige
Auf der OpenPGP.conf in Köln wird über die Zukunft der Mailverschlüsselung diskutiert.
Auf der OpenPGP.conf in Köln wird über die Zukunft der Mailverschlüsselung diskutiert. (Bild: OpenPGP.conf)

Web Key Service: OpenPGP-Schlüssel über HTTPS verteilen

Auf der OpenPGP.conf in Köln wird über die Zukunft der Mailverschlüsselung diskutiert.
Auf der OpenPGP.conf in Köln wird über die Zukunft der Mailverschlüsselung diskutiert. (Bild: OpenPGP.conf)

GnuPG-Entwickler Werner Koch schlägt auf der OpenPGP.conf ein neues Verfahren zur Schlüsselverteilung vor: Die Keys sollen mittels HTTPS vom Mailprovider bereitgestellt werden.

Ein großes Problem von verschlüsselten Systemen ist die Verteilung der öffentlichen Schlüssel. Um eine Nachricht zu schicken, muss ein Gesprächspartner zunächst auf irgendeine Weise an den Schlüssel des anderen kommen und entscheiden, ob er diesem vertraut. Für OpenPGP und GnuPG gibt es dafür jetzt einen Vorschlag für neues Verfahren namens Web Key Service. Der Schlüssel wird dabei vom Mailprovider über HTTPS bereitgestellt.

Anzeige

Web of Trust nur für Geeks?

Klassischerweise wurden für OpenPGP-basierte Verschlüsselung in der Vergangenheit Keyserver genutzt, auf die jeder seinen öffentlichen Schlüssel hochladen kann. Das Problem dabei: Jeder kann nach Belieben Schlüssel auf die Keyserver hochladen, es findet keinerlei Verifikation der Mailadresse statt. Um die Echtheit der Schlüssel zu prüfen, gibt es die Möglichkeit des Web of Trust - ein hochkomplexes System auf Basis von gegenseitigen Schlüsselsignaturen.

"Das Web of Trust ist ein Geek-Instrument", kommentiert Werner Koch diesen Ansatz auf der OpenPGP.conf. Als Alternative will Koch daher in Zukunft auf ein System mit einem Trust-on-First-Use-Ansatz (Tofu) setzen. Dabei geht das System davon aus, dass ein Schlüssel, der in der Vergangenheit bereits verwendet wurde, vermutlich vertrauenswürdig ist. Die Frage ist nun, wie ein Anwender an den Schlüssel gelangt, wenn er zum ersten Mal eine verschlüsselte Mail schreiben möchte.

Es gab verschiedene Vorschläge, den Schlüssel oder dessen Fingerprint in DNS-Records abzulegen: ein älteres System namens PKA und ein neueres namens OPENPGPKEY, welches auf DNSSEC basiert. Das Problem dabei: die Abhängigkeit von DNSSEC. An dem abgesicherten DNS-Verfahren gibt es viel Kritik und es wird nur von wenigen Leuten eingesetzt. Insbesondere das Deployment auf Clients gilt als kaum umsetzbar.

Key über HTTPS

Um initial an den Schlüssel zu gelangen, schlägt Koch daher ein neues Verfahren namens Web Key Service vor, das aus zwei Teilen besteht: Ein URL-Schema zur Verteilung der Schlüssel - genannt Web Key Directory - und ein E-Mail-basiertes Verfahren, um Schlüssel an den Mailanbieter zu schicken.

Abgelegt wird ein Schlüssel hier auf einer URL, die so aussehen kann:

https://example.org/.well-known/openpgpkey/hu/example.org/iy9q119eutrkn8s1mk4r39qejnbu3n5q

Die Zeichenkette ist ein SHA-1-Hash des lokalen Teils der E-Mail-Adresse.

Diesen Mechanismus zu implementieren, ist relativ simpel. Am Webserver sind dafür keine Code-Änderungen notwendig, es müssen lediglich die Dateien an der entsprechenden Stelle abgelegt und mit dem korrekten MIME-Type gesendet werden.

Vertrauen in den Mailprovider

Die größte Hürde für das neue System dürfte sein, dass die Mailprovider Web Key Service auch anbieten müssen. Das Verfahren setzt zudem ein gewisses Vertrauen in den Mailanbieter voraus, denn selbstverständlich könnte dieser dort zeitweise einen falschen Key ablegen. Allerdings ist das immer noch deutlich sicherer als die klassischen Keyserver, auf denen jeder Keys ablegen kann.

Die Absicherung der Verbindung mittels HTTPS ist dabei natürlich nur so sicher wie HTTPS selbst. In der OpenPGP-Community gibt es traditionell ein großes Misstrauen gegen das zentralisierte Zertifikatssystem, das bei TLS zum Einsatz kommt. Doch vermutlich wird trotzdem kaum jemand dran zweifeln, dass TLS immer noch deutlich sicherer ist als eine ungesicherte Übertragung. Zudem gab es in den vergangenen Jahren einige Verbesserungen am System der Zertifizierungsstellen, insbesondere das Certificate-Transparency-System trägt dazu bei, mehr Vertrauen in das System herzustellen.

Um seinen eigenen Key zu publizieren, wird ein E-Mail-basiertes Verfahren eingesetzt. Ebenfalls über HTTPS ruft ein Client dabei eine URL auf, auf der die Submission-Adresse zu finden ist. An diese wird der Key in einem speziellen Format geschickt, mit einer Verifikationsmail wird zudem geprüft, ob der Nutzer auch Zugriff auf den privaten Schlüssel hat. In der Praxis sollte diese Key-Submission natürlich nicht manuell stattfinden, sondern durch einen Mailclient automatisiert implementiert werden.

Könnte OpenPGP-Nutzung vereinfachen

Dass die Sicherheit von Web Key Service nicht mit einer manuellen Prüfung von Key-Fingerprints vergleichbar ist, dürfte klar sein. Es spricht aber nichts dagegen, weiterhin sicherere Verfahren anzubieten. So könnte ein Mailclient verschiedene Vertrauensabstufungen unterstützen, etwa durch verschiedene farbliche Markierungen von Adressaten. Neben der klassischen Variante über Schlüsselsignaturen und dem Web of Trust wird dabei oft auch das System CONIKS genannt. Das setzt auf ein öffentlich einsehbares Append-only-Log von Schlüsseln.

Aber Web Key Service könnte dafür sorgen, dass die Mailverschlüsselung auf Basis von OpenPGP deutlich einfacher wird. Das Verfahren kann weitgehend vom Mailclient automatisiert werden und die umständliche Suche nach dem richtigen Schlüssel obsolet machen.


eye home zur Startseite
Vanger 10. Sep 2016

Das ist eine recht romantische Sicht auf Protokolle und Standards (und mit Annahme des...

ikhaya 10. Sep 2016

Egal ob der Key aus einem Webservice, aus einer E-Mail oder aus dem DNS stammt, den...

Spaghetticode 09. Sep 2016

Durch diese Lösung wird das OpenPGP-Handling so einfach, dass das auch Anfänger nutzen...

RipClaw 09. Sep 2016

Die bisherigen Keyserver haben das Problem das jeder einen Schlüssel mit beliebiger...



Anzeige

Stellenmarkt
  1. Flottweg SE, Vilsbiburg Raum Landshut
  2. Robert Bosch GmbH, Böblingen
  3. Robert Bosch GmbH, Reutlingen
  4. Bertrandt Services GmbH, Ulm


Anzeige
Top-Angebote
  1. (u. a. Assassins Creed Origins 39,99€, Watch Dogs 2 18,99€, The Division 16,99€, Steep 17...
  2. mit Gutscheincode "PCGBALLZ" (-23%) 45,99€

Folgen Sie uns
       


  1. KWin

    KDE beendet Funktionsentwicklung für X11

  2. Sprachassistenten

    Alexa ist Feministin

  3. Elektromobilität

    Elektroautos werden langsam beliebter in Deutschland

  4. Crypto-Bibliothek

    OpenSSL bekommt Patch-Dienstag und wird transparenter

  5. Spectre und Meltdown

    Kleine Helferlein überprüfen den Rechner

  6. Anfrage

    Senat sieht sich für WLAN im U-Bahn-Tunnel nicht zuständig

  7. Gaming

    Über 3 Millionen deutsche Spieler treiben regelmäßig E-Sport

  8. Raumfahrt

    Weltraummüll-Räumkommando mit Laserkanonen

  9. Smartphone

    Nokia 2 kommt für 120 Euro nach Deutschland

  10. Remote Desktop

    Teamviewer kommt für IoT-Geräte wie den Raspberry Pi



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Spectre und Meltdown: All unsere moderne Technik ist kaputt
Spectre und Meltdown
All unsere moderne Technik ist kaputt
  1. E-Mail-Konto 90 Prozent der Gmail-Nutzer nutzen keinen zweiten Faktor
  2. BeA Noch mehr Sicherheitslücken im Anwaltspostfach
  3. VEP Charter Trump will etwas transparenter mit Sicherheitslücken umgehen

Star Citizen Alpha 3.0 angespielt: Es wird immer schwieriger, sich auszuloggen
Star Citizen Alpha 3.0 angespielt
Es wird immer schwieriger, sich auszuloggen
  1. Cloud Imperium Games Star Citizen bekommt erst Polituren und dann Reparaturen
  2. Star Citizen Reaktionen auf Gameplay und Bildraten von Alpha 3.0
  3. Squadron 42 Mark Hamill fliegt mit 16 GByte RAM und SSD

Snet in Kuba: Ein Internet mit Billigroutern und ohne Porno
Snet in Kuba
Ein Internet mit Billigroutern und ohne Porno
  1. Knappe Mehrheit SPD stimmt für Koalitionsverhandlungen mit Union
  2. DLD-Konferenz Gabriel warnt vor digitalem Schlachtfeld Europa
  3. Facebook Nutzer sollen Vertrauenswürdigkeit von Newsquellen bewerten

  1. Re: Das warten geht also weiter...

    Seismoid | 17:16

  2. Re: "Die meisten Hersteller werden Updates per...

    S-Talker | 17:16

  3. Re: Und das jetzt noch bitte kleiner

    Seismoid | 17:15

  4. Re: Warum verschweigt er das wahre Problem...

    bombinho | 17:15

  5. Re: SJW müssen mal wieder den Spaß aus allem...

    aguentsch | 17:14


  1. 15:30

  2. 15:02

  3. 14:24

  4. 13:28

  5. 13:21

  6. 13:01

  7. 12:34

  8. 12:04


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel