GnuPG auf dem Androiden

Ich lege bekanntlich Wert auf sichere Kommunikation, wenn es um wichtige Dinge geht. Deshalb verwende ich am PC und Notebook GnuPG zur Verschlüsselung und digitalen Signatur von E-Mails. Was viele nicht wissen: Das geht auch am Smartphone, zumindest wenn es mit Android angetrieben wird.

Ich lege bekanntlich Wert auf sichere Kommunikation, wenn es um wichtige Dinge geht. Deshalb verwende ich am PC und Notebook GnuPG zur Verschlüsselung und digitalen Signatur von E-Mails. Was viele nicht wissen: Das geht auch am Smartphone, zumindest wenn es mit Android angetrieben wird.

Der Dave hat ja vor einiger Zeit hier schon mal beschrieben, wie man GnuPG am PC einrichtet. Deshalb gehe ich da auch nicht weiter drauf ein. Ich beschränke mich hier auf die Einrichtung von K-9 Mail und AGP auf dem Androiden.

APG
Entwickler: Thialfihar
Preis: Kostenlos

Als erstes wird sie App „APG” eingerichtet: APG sorgt für die Kommunikation mit den Keyservern und den Abgleich der Signaturen. Nachdem die App aus dem Play Store installiert ist, kopiert ihr das Verzeichnis .gnupg aus eurem Home-Verzeichnis am PC auf die Speicherkarte des Smartphone, und nehmt per Umbenennen den Punkt am Anfang weg. Jetzt habt ihr alle Schlüssel, eure privaten ebenso wie die ganzen gesammelten öffentlichen, ab Handy verfügbar.

Startet nun APG auf dem Androiden, drückt die Menütaste und wählt dann „Private Schlüssel verwalten”. Wenn ihr jetzt noch mal auf Menü drückt, könnt ihr entweder einen neuen Schlüssel erstellen, wenn ihr am Phone einen eigenen verwenden wollt, oder ihr importiert euren vorhandenen (oder auch mehrere) Schlüssel. Ich bevorzuge den letzten Weg, da meine Kommunikationspartner nur einen Schlüssel von mir benötigen. Im folgenden Dialog wählt das Verzeichnis aus, welches ihr eben vom PC aufs Handy kopiert habt. APG durchsucht das Verzeichnis, und importiert alle gefundenen privaten Schlüssel.

Damit ihr zum Abgleich von Signaturen und zum Versenden von verschlüsselten Mails die öffentlichen Keys eurer Kommunikationspartner zur Verfügung habt, müssen die natürlich auch importiert werden. Kehrt dazu wieder zum Startbildschirm von APG zurück und drückt auf die Menütaste. Jetzt ist die Wahl „Öffentliche Schlüssel verwalten”, die weiteren Schritte sind mit dem Import der privaten Schlüssel identisch.

Damit ist APG soweit abgeschlossen, dass wir es im Normalfall nicht mehr direkt anrühren. Jetzt geht es jetzt an die Integration ins Mailprogramm.

K-9 Mail
Entwickler: K-9 Dog Walkers
Preis: Kostenlos

Sowohl Google Mail, als auch Android-Mail unterstützen keine Drittprogramme oder Plugins, so dass wir auf K-9 Mail umsteigen. Hier lassen sich beliebig viele Mailkonten einrichten und via IMAP oder POP3 abrufen. K-9 unterstützt MS Exchange und WebDAV, beherrscht IMAP Push Mail und eben auch Verschlüsselung und Signatur über Drittanwendungen. Wie z.B. APG.

Ihr findet dazu in den Kontoeinstellungen den Menüpunkt „Kryptographie”. Hier wählt ihr als OpenPGP Provider APG aus und entscheidet, ob ihr Mails standardmäßig signieren und/oder verschlüsseln wollt. Ich signiere automatisch, verschlüssele aber nur manuell bei Bedarf.

K-9 Mail verfassen
K-9 Mail beim Verfassen einer neuen Mail. Bei mir ist sie Signatur ausgewählt, Verschlüsselung nicht.
Beim Verfassen einer neuen Mail findet ihr nun zwei Optionen: Signieren und Verschlüsseln. Wenn sich die Mailadresse des Absenders im Schlüssel wiederfindet, wird zum Signieren automatisch der richtige Schlüssel angeboten. Da ich automatisch signiere, ist hier der Haken bereits gesetzt.

Möchte ich eine Mail verschlüsseln, setze ich den entsprechenden Haken. Wenn anhand der Empfängeradresse ein Key zum Verschlüsseln identifiziert werden kann, wird dieser automatisch eingesetzt. Ansonsten zeigt K-9 einen Dialog, in dem der korrekte Schlüssel ausgewählt werden kann.

Beim Senden der Mail werdet ihr nach der Passphrase für euren privaten Schlüssel gefragt.

Wenn eine signierte Mail kommt, zeigt K-9 in der Mail-Ansicht einen „Verifizieren”-Button, über den APG aufgerufen wird. Ist der Schlüssel des Absenders bereits im eigenen Schlüsselbund vorhanden, wird direkt verglichen und das Ergebnis angezeigt. Also korrekte Signatur oder inkorrekte Signatur.

Ist der Schlüssel noch nicht im eigenen Schlüsselbund, bietet APG an, die Schlüsselserver zu durchsuchen. Wird dort der passende Schlüssel gefunden, wird der Import angeboten, wie man es auch vom PC her kennt. Nach erfolgreichem Import wird sie Signatur wie gewohnt verifiziert und das Ergebnis wie oben beschrieben angezeigt.

Erreicht euch eine verschlüsselte Mail, seht ihr in der Mailansicht von K-9 einen Haufen Buchstabensalat. Normalerweise werdet ihr automatisch nach der Passphrase für euren privaten Key gefragt, um die Mail zu entschlüsseln. Wenn nicht, tappt auf den „Entschlüsseln”-Button. APG sollte nun die Mail entschlüsseln, und K-9 zeigt euch den Klartext an.

Wie ihr seht, ist die vertrauliche Mail-Kommunikation auch am Android-Smartphone recht einfach zu bewerkstelligen, wenn man sich einmal zum Umstieg auf eine andere Mail-App und zur Einrichtung von APG durchgerungen hat. Danach läufts eigentlich von ganz alleine.

Kommunikationsverschlüsselung: GPG

Heute schreibe ich über E-Mails, deren latente Unsicherheit und wie man daraus noch etwas ordentliches macht.

Zunächst einmal sollte man wohl beim Thema E-Mails ansetzen. Eine E-Mail ist, wie der Name schon sagt, eine elektronisch versendete Nachricht. Die Einzelheiten dazu findet ihr hier und hier.

Die Besonderheit dabei ist, dass E-Mails mitnichten mit Briefen gleichzusetzen sind, wie allenthalben angenommen wird. Vielmehr sind E-Mails das digitale Äquivalent zur Postkarte: Billig, schnell und lesbar von jedem, der sie auf dem Weg vom Sender zum Empfänger in die Hände bekommt. Mit ein wenig Geschick sind sie sogar manipulierbar und bergen damit ein großes Potenzial für Misslichkeiten aller Arten.

Dagegen hilft nicht viel, die einzige Möglichkeit um aus einer Postkarte eine sichere (siehe dazu auch einen älteren Eintrag) Möglichkeit zur Kommunikation zu machen ist, sie in einen Umschlag zu stecken und den Umschlag zu versiegeln. Wird das Siegel gebrochen weiß der Empfänger, dass die Nachricht nicht mehr in dem Zustand ist, in dem sie den Sender verlassen hat.

Das gleiche kann man problemlos auch bei E-Mails tun: Umschläge und Siegel benutzen.

Dazu installiert man sich das FOSS-Programm GPG, mit dessen Hilfe man sich die Umschläge und das Siegel selbst bauen kann. In den meisten Linux-Distributionen zählt GPG als Bordmittel und ist dementsprechend vorinstalliert. Der Grund dafür ist, dass GPG weit mehr kann, als nur E-Mails verschlüsseln. Was das ist kann man bei Interesse auf der Projektwebsite nachlesen.

Im Interesse der Benutzerfreundlichkeit empfehle ich außerdem, das Programm „Mozilla Thunderbird“ sowie dessen Extension „Enigmail“ zu installieren. Beides ist in den Debian-Repositories hinterlegt.

Wenn alles installiert ist könnt ihr loslegen. Eine bebilderte Schritt-für-Schritt-Anleitung, die selbst der letzte n00b verstehen sollte findet ihr hier.

Ich möchte gar nicht viel zum eigentlichen Einrichten sagen, da ich finde, dass das die Jungs vom CryptoCD-Team verdammt gut gelöst haben.

Zur Benutzung möchte ich euch allerdings einige Hinweise an die Hand geben.

Stellt euch die Technik vor, als würdet ihr jedem, der euch eine Nachricht schicken möchte, einen Stapel Stahlkisten zuschicken. Jede dieser Stahlkisten hat ein Schloss, das nur mit einem bestimmten Schlüssel zu öffnen ist. Diesen Schlüssel habt ihr allein. Wenn ein Freund euch jetzt eine Nachricht schicken will, nimmt er eine dieser Stahlkisten von seinem Stapel und steckt die Nachricht hinein. Dann schlägt er die Tür zu. Ab jetzt kann die Kiste nur noch mit dem richtigen Schlüssel geöffnet werden. Jetzt setzt sich der Bote ans Steuer seines LKW und fährt die Kiste zu euch. Ihr macht die Kiste auf und  siehe da – die Nachricht hat euch erreicht, ohne, dass jemand anderes sie lesen oder verändern konnte. Und damit ihr sicher sein könnt, dass die Nachricht auch von eurem Freund kommt, hat der sie unterschrieben und sein Siegel auf der Nachricht hinterlassen. Für die Antwort nehmt ihr eine Stahlkiste vom Stapel, den er euch geschickt hat und los gehts.

Prinzip klar? Wunderbar.

Dann noch einige Sicherheitshinweise:

1. Erstellt ein Backup eures geheimen Schlüssels an einem sicheren Ort. Wenn der Schlüssel verloren geht könnt ihr alle damit verschlüsselten E-Mails abschreiben.

2. Gebt den Schlüssel nicht aus der Hand. Jeder, der Zugriff auf den Schlüssel hat, kann in eurem Namen E-Mails verschicken. Und eure E-Mails lesen.

3. Unterstützt das Web of Trust der GPG-Nutzer und geht zu Keysigning-Partys oder veranstaltet selbst welche. Wenn ihr Hilfe braucht meldet euch bei mir.

4. Verschlüsselt so viele Nachrichten wie möglich und helft so, den Umschlag als Standard zu etablieren und die Postkarte zur Ausnahme zu machen.

Falls noch Fragen offen sind meldet euch in den Kommentaren.

Anmerkung: Das Bild zeigt eine graphische Darstellung meines GPG-Web-of-Trust. Erstellt wurde die Darstellung mit sig2dot und springgraph, vielen Dank an Darxus für diese epischen Tools!

Warum Festplattenverschlüsselung?

Regelmäßig verschwinden mehrere tausend Notebooks pro Jahr. Der wirtschaftliche Schaden allein durch die Hardware geht dabei in den Millionenbereich. Doch viel problematischer ist der – ökonomisch schwer zu beziffernde – Schaden durch Datenverlust. Schützen kann man sich dabei nur durch zwei Maßnahmen: Backups und Festplattenverschlüsselung.

Die meisten von uns kennen die Situation: Man sitzt am Flughafen oder am Bahnsteig und wartet auf sein Transportmittel. Um sich die Zeit zu vertreiben bootet man kurz das Notebook und ackert seine E-Mails durch. Wer jetzt aufsteht um sich „mal eben“ einen Kaffee zu holen riskiert einen Diebstahl und bei Firmeneigentum am Notebook auch gleich noch eine Abmahnung. Eine Binsenweisheit? Ja. Nur leider beachten viel zu wenige die tatsächlichen Sicherheitsregeln die in den meisten Firmen mittlerweile vorgeschrieben sind.

1. Laptop niemals unbeaufsichtigt lassen.
2. Falls das Gerät doch einmal allein bleiben muss, muss es mit einem Kensington-Schloss gesichert werden.
3. Für den Fall, dass das Gerät doch abhanden kommt muss die Festplatte verschlüsselt sein.

Bis hierhin klingt noch alles logisch und nachvollziehbar, gelten doch im Business-Bereich ganz andere Regeln als man sie für sich selbst privat anlegt.

Ein dazu immer wieder gehörtes Argument ist „Ach, das was da drauf ist interessiert doch keinen“. Meistens kommt dieses so genannte „Argument“ von den gleichen Leuten, die auf eben dieser Maschine ihre Kontoauszüge als .pdf speichern, ihre Kreditkartendaten in einem Excel-File aufbewahren und am besten noch ein paar – freundlich ausgedrückt – nicht als jugendfrei klassifizierbare Fotos von sich selbst und der Freundin auf der Platte haben.

Diese Menschen sind dann immer sehr überrascht, was man so alles über sie herausfinden kann, einzig und allein indem man ihren Rechner durchforstet.

Deshalb nochmals zum mitmeißeln: In dem Augenblick wo euer Computer seinen Stammplatz verlässt und mitgenommen wird ist eine Verschlüsselung der Festplatte keine Kür mehr sondern Pflicht. Jeder von uns hat etwas auf dem Rechner, von dem er nicht möchte, dass andere es sehen können. Verstanden? Gut. Auch wenn der Rechner stehen bleibt, ist es übrigens immer noch sinnvoll, die Platten zu verschlüsseln. Wer möchte schon riskieren, dass Einbrecher außer der Hardware auch noch Daten finden, die sie zu Geld machen können?

Und für den Fall, dass das Notebook gestohlen werden sollte hat sicherlich jeder von euch ein (hoffentlich ebenso verschlüsseltes) Backup, richtig?

Sicherheit im IT-Bereich

Dies wird der Auftakt zu einer Artikelserie, in der ich euch erklären will, was man tun kann, um seine Sicherheit im Internet aber auch gegenüber physikalischen Zugriffen zu erhöhen.

Dies wird der Auftakt zu einer Artikelserie, in der ich euch erklären will, was man tun kann, um seine Sicherheit im Internet aber auch gegenüber physikalischen Zugriffen zu erhöhen.

Bitte beachtet dabei, dass Sicherheit im IT-Bereich genauso wie im echten Leben immer nur eine relative Sicherheit darstellen kann.

Jeder weiß, dass allein die Tatsache, dass eine Haustür vorhanden ist, keinen Einbrecher abhält. Sind dazu noch die Fenster vergittert, wird es zwar schon schwieriger, aber einen entschlossenen Gegner hält auch das nicht auf. Letztendlich kann es keine vollumfängliche Sicherheit geben. Man kann nur dafür sorgen, dass der zu erwartende Aufwand für den Einbrecher höher ist, als der zu erwartende Ertrag.

Genau das gleiche gilt für Computersicherheit. Wenn ihr dafür sorgt, dass der Zugriff auf eure Daten für jeden, den sie nichts angehen, so schwer wird, dass es sich nicht mehr lohnt habt ihr gewonnen.

Deshalb möchte ich euch in den folgenden Artikeln zeigen, wie ihr eure Zierhecken durch Betonmauern ersetzt, die Fenster vergittert und eine Stahltür einbaut.

Wenn ihr das geschafft habt machen wir mit Fallgruben, Selbstschussanlagen und ortsfesten Flammenwerfern weiter, um dafür zu sorgen, dass auch der Letzte die Lust verliert, jemals wieder an eure Besitztümer zu wollen.

Für sämtliche Artikel gilt: YMMV, ich übernehme keine Haftung und wenn jemand Verbesserungsvorschläge hat, nehme ich die gerne in den Kommentaren entgegen und pflege sie nach Prüfung ein. Sämtliche Artikel beziehen sich auf ein Debian GNU/Linux-System und ich werde keine Fragen zu anderen Betriebssystemen beantworten, da ich mich nur auf meinem Heimatsystem gut genug auskenne, um mir kompetente Hilfe zuzutrauen.

Die Reihenfolge wird sein:

Festplattenverschlüsselung: Warum?
Festplattenverschlüsselung: Wie? (Full-Disk-Encryption oder Container)
– Kommunikationsverschlüsselung: GPG
– Kommunikationsverschlüsselung: OpenVPN
– Kommunikationsverschleierung: Aufbau eines Darknet via Freenet
– Gegenangriff: Grundzüge eines erfolgreichen Gegenschlags

Bitte beachtet, dass die Artikel nach und nach erstellt werden. Wenn ihr konkrete Vorschläge zu einem noch nicht bearbeiteten Thema habt nehme ich diese sehr gern per E-Mail entgegen.

Viel Spaß beim Lesen und viel Erfolg beim Umsetzen der Maßnahmen.

Extere Festplatte zu gewinnen

Dr. Web verlost eine externe Festplatte im 2,5″-Format, die alle Daten automatisch verschlüsselt speichert. Zum Serren und Entsperren der Daten ist ein RFID-Transponder notwendig, ohne den die Daten auf der Platte nicht lesbar sind.

Dr. Web verlost eine externe Festplatte im 2,5″-Format, die alle Daten automatisch verschlüsselt speichert. Zum Serren und Entsperren der Daten ist ein RFID-Transponder notwendig, ohne den die Daten auf der Platte nicht lesbar sind.

Um eine Chance auf dieses feine Stück Technik zu haben, sollte man bei Dr. Web einen Kommentar zum Thema Datensicherung abgeben. Am 09.12.2008 ermittelt ein Zufallsgenerator den Gewinner. In den ersten 3 Stunden nach Veröffentlichung des Gewinnspiels gibt es schon etwa 160 Kommentare.