Ein Hashwert soll eindeutig sein, doch für SHA-1 gilt das nicht mehr. Forscher zeigten, dass sie verschiedene Dateien auffüllen können, um den gleichen SHA-1-Hash zu erzeugen und illustrierten dies anhand von GnuPG-Signaturen.
Im Mai hat das BSI verkündet, OpenPGP für den Dienstgebrauch freigegeben zu haben. Etwas später sind Pressemitteilung und Zulassung kommentarlos von der Webseite verschwunden. Golem.de hat die Zulassungsdokumente eingesehen und zeigt den holprigen Weg des BSI vom Ja über das Nein zum Vielleicht.
In der Python-Paketverwaltung PyPi waren zwei Bibliotheken gelistet, die Schadsoftware enthielten. Über Namensähnlichkeiten mit beliebten Bibliotheken versuchten sie, den Entwicklern SSH- und GPG-Schlüssel zu stehlen. Eine Bibliothek war fast ein Jahr auf PyPi gelistet.
Mussten sich Nutzer früher Enigmail und GnuPG installieren, soll Thunderbird bald alles, was man zur Verschlüsselung von E-Mails mit PGP braucht, mitbringen. Das bedeutet aber auch das Ende von Enigmail in Thunderbird.
Nach mehreren Angriffen auf OpenPGP-Schlüssel auf Schlüsselservern zieht GnuPG die Reißleine und akzeptiert keine Signaturen mehr von diesen. Damit dürfte sich auch das Web of Trust erledigt haben.
Dass SKS-Keyserver anfällig für Spam-Angriffe sind, ist seit langem bekannt. Nachdem sie angegriffen wurden, raten zwei OpenPGP-Entwickler nun davon ab, das Netzwerk für PGP-Schlüssel weiter zu nutzen. Das kommt überraschend spät.
Das bisherige Konzept der PGP-Keyserver ist an seine Grenzen gelangt, die bestehenden Keyserver werden immer unzuverlässiger. Nun gibt es einen neuen Keyserver mit einem anderen Konzept. Persönliche Daten werden nur nach einer Prüfung der E-Mail-Adresse verteilt.
Seit den 90ern lassen sich E-Mails mit GPG verschlüsseln, doch nur wenige nutzen das System täglich. Zu kompliziert sagen Kritiker. Pep tritt an, die E-Mail-Verschlüsselung radikal zu vereinfachen - und macht alles noch komplizierter.
/89Kommentare/Ein Erfahrungsbericht von Moritz Tremmel
Streng geheim dürfen sie nicht sein - aber immerhin vertrauliche Dokumente dürfen Behörden nun GPG-verschlüsselt versenden. Allerdings nur in zwei Implementierungen.
Ein freies Chat- und Messenger-System, das Nutzer aus den Silos großer Unternehmen wie Facebook befreien soll und trotzdem direkt einsetzbar ist, ist ein fantastisches Versprechen. In der Realität kann das leider nur scheitern.
Mit einer ganzen Reihe von Tricks lassen sich Mailprogramme dazu bringen, E-Mails scheinbar signiert anzuzeigen. Dabei wird aber nicht die Kryptographie angegriffen, sondern die Interpretation durch den Mailclient.
Die Schlüsselserver für PGP sind so ausgelegt, dass sie fast alles ungeprüft akzeptieren. Das führt zu zahlreichen Problemen, zuletzt wurden die Keyserver aufgrund von Angriffen mit vergifteten Schlüsseln immer unzuverlässiger.
Der Entwickler des beliebten OpenPGP-Addons für Thunderbird, Patrick Brunschwig, hätte nichts gegen Unterstützung durch bezahlte Vollzeitentwickler. So könnte Enigmail vielleicht endlich fester Bestandteil von Thunderbird werden.
Ein Bug in der Pretty-Easy-Privacy-Funktion des Enigmail-Plugins für Thunderbird sorgt dafür, dass manchmal Mails, die eigentlich verschlüsselt sein sollten, unverschlüsselt verschickt werden. Der Bug betrifft nur die Windows-Version von Enigmail.
PGP-Signaturen sollen gewährleisten, dass eine E-Mail tatsächlich vom korrekten Absender kommt. Mit einem simplen Trick kann man bei vielen Mailclients scheinbar signierte Nachrichten erstellen - indem man die entsprechende Anzeige mittels HTML fälscht.
Ein Team ehemaliger GPG-Entwickler arbeitet mit dem Sequoia-Projekt an einer OpenPGP-Implementierung in Rust. Sie soll den Umgang mit PGP erleichtern und aktuellen Plänen zufolge erstmals im kommenden Herbst stabil erscheinen.
Update In bestimmten Situationen lässt sich die Signaturprüfung von GnuPG in den Plugins für Thunderbird und Apple Mail austricksen. Der Grund: Über ungefilterte Ausgaben lassen sich Statusmeldungen des Kommandozeilentools fälschen. Doch der Angriff funktioniert nur unter sehr speziellen Bedingungen.
Thunderbird war bis Freitag für die E-Fail-Sicherheitslücke verwundbar, für Apple Mail gibt es bislang überhaupt kein Update. Vorläufig ist es empfehlenswert, HTML-Mails komplett zu deaktivieren.
Um 14 Uhr spricht Golem.de-Redakteur Michael Wieczorek mit dem Sicherheitsexperten Hanno Böck über die neuen Probleme bei der Verschlüsselung von E-Mails mit PGP/SMIME. Auch Golem.de-Leser und Zuschauer können sich mit ihren Fragen im Livestream an unseren Experten wenden.
Ein Zusammenspiel von veralteten Verschlüsselungsmethoden und HTML-Mails erlaubt es in vielen Fällen, mit OpenPGP oder S/MIME verschlüsselte Nachrichten zu exfiltrieren. Bislang gibt es keine echten Fixes und nur unzureichende Workarounds.
Ein fundamentales Sicherheitsproblem untergräbt die Sicherheit von verschlüsselten E-Mails, betroffen sind sowohl PGP als auch S/MIME. Die Details wurden noch nicht veröffentlicht. Die Electronic Frontier Foundation empfiehlt die Abschaltung im Mailprogramm.
Die Linux Foundation sorgt sich schon länger um die Sicherheit des Codes in der Kernel-Entwicklung und macht Werbung für PGP-signierte Git-Tags und Code-Beiträge. Linux-Entwickler können nun auch kostenlos Kryptohardware beziehen, um ihre Schlüssel abzusichern.
Die aktuelle Version der freien Officesuite Libreoffice ermöglicht das Signieren aller ODF-Dokumente per GPG, verbessert den Zugriff auf Funktionen zum Erstellen von Formularen und hilft mit der Rechtschreibung auch bei komplexer Grammatik.
Update RSA-Schlüssel von Hardware-Kryptomodulen der Firma Infineon lassen sich knacken. Das betrifft unter anderem Debian-Entwickler, Anbieter qualifizierter Signatursysteme, TPM-Chips in Laptops und estnische Personalausweise.
PGP gilt nicht als übertrieben benutzerfreundlich. Warum, musste jetzt auch Adobe feststellen, als ein Mitarbeiter im Sicherheitsblog des Unternehmens den privaten PGP-Schlüssel des Teams veröffentlichte.
Sicherheitsexperten ist es gelungen, über einen Seitenkanalangriff 1024-Bit RSA-Schlüssel auszulesen. Möglich wurde dies aufgrund einer Schwachstelle in der Bibliothek Libgcrypt, die auch von GnuPG verwendet wird. Die neue Version 1.7.8 soll das Problem beheben.
PGP im Browser ist für viele Nutzer bequemer als die Verwendung eines lokalen Mailclients. Doch Firefox-Nutzer sollen nach Angaben von Posteo aufpassen, ihr PGP-Schlüssel könne von manipulierten Addons entwendet werden.
Protonmail bezeichnet sich als sicherster E-Mail-Dienst der Welt. In der Praxis zeigt sich, dass der Dienst zwar durchaus durchdacht ist, aber mangels vollständiger PGP-Kompatibilität eine Insellösung bleibt.
Zwei Anbieter wollen den komplizierten Umgang mit PGP vereinfachen. Ox Guard bietet PGP auf dem Server des Mailanbieters an, Mailvelope über ein Browser-Plugin. Wir haben uns beide Alternativen angeschaut.
Ein sehr großes Problem bei Kryptosystemen wie PGP ist die praktikable Verifikation von öffentlichen Schlüsseln. Mit dem Projekt Key Transparency will Google das nun auch für moderne Software wie Chat-Apps vereinfachen.
E-Mails zu verschlüsseln gilt schon als kompliziert, doch wie verschlüsselt man eigentlich eine ganze Mailingliste? Das Tool Schleuder soll das ermöglichen, allerdings kann der Server dabei Nachrichten mitlesen.
GnuPG-Entwickler Werner Koch schlägt auf der OpenPGP.conf ein neues Verfahren zur Schlüsselverteilung vor: Die Keys sollen mittels HTTPS vom Mailprovider bereitgestellt werden.
Eine schwerwiegende Sicherheitslücke befindet sich offenbar seit 1998 im Code von GnuPG und der dazugehörigen Bibliothek Libgcrypt. Unter bestimmten Umständen lassen sich Zufallszahlen voraussagen, die genauen Auswirkungen sind allerdings unklar.
Auf den PGP-Keyservern sind massenhaft Kopien von existierenden PGP-Keys mit der identischen Key-ID aufgetaucht. Die stammen von einem Experiment von vor zwei Jahren. Key-IDs dürften damit ausgedient haben, als Ersatz sollte man den gesamten Fingerprint nutzen.
Der Umsatz mit den auf Sicherheit optimierten Blackphone Android-Smartphones von Silent Circle bleibt offenbar deutlich hinter den Erwartungen zurück. Das Unternehmen steht möglicherweise vor der Insolvenz und wird mittlerweile sogar von einem ehemaligen Geschäftspartner verklagt.
PGP ist sicher, aber in der Handhabung oft kompliziert, gerade in größeren Unternehmen. Die EU-Kommission will die Technik in einem Pilotprojekt für alle Mitarbeiter einführen. Eine Angst geht dabei um: die vor verschlüsselten Spammails.
Der Webmailer Roundcube ist in einer neuen Version erschienen und bringt native PGP-Unterstützung in gleich zwei Versionen mit. Außerdem wurden die Bibliotheken weiterentwickelt und die Usability verbessert.
Wenn sich jemand mit Anonymität im Netz auskennt, dann doch sicher Drogenhändler im Darknet - könnte man meinen. Doch in ihrem Leitfaden zur Anonymität stellen die Betreiber eines Marktplatzes gewagte Theorien auf und vergessen eine ganze Menge.
