https://plus.google.com/u/0/107224552229621877852/posts/RPQBG2miXpa

Gregor

Hi Rüdiger,

schön gemacht. Vielleicht kannst Du diese Punkte noch ergänzen:

1. Wie erhalte ich den Public Key einer Person (Stichwort: Keyserver und Suche dort via Email-Adresse). Einige Programme können ja auch, wenn ich mich nicht irre, eine automatische Keyserver-Abfrage vornehmen

2. OpenPGP im Browser

Für Chrome gibt es mittlerweile dank der Javascript-Bibliothek openpgp.js einige gute Alternativen, sofern man GMail verwendet (nicht jeder möchte mit einem nativen Mail Client arbeiten). meine bevorzugte Variante hier ist “MyMail-Crypt for GMail”, bekommt man im Chrome Webstore. Nachteil ist allerdings, dass er eine eigene KeyChain-Verwaltung hat, die die Keys direkt in das DOM des Browsers schreibt und man so die keys ggf. doppelt verwalten muss, sofern man zusätzlich eine native GPG / OpenPGP-Implementierung hat

1. Gut wäre vielleicht auch noch ein Satz, der die Unterschiede zwischen GPG, OpenPGP und PGP erklärt (PGP istz nicht unbedingt vertrauenswürdig, da amerikanisches Unternehmen und Closed Source)

2. Laufwerksverschlüsselung unter Linux

Verschlüsselung von Laufwerken unter Linux: Hier ist mein Favorit DMCrypt - erprobt, stabil und sicher

1. Laufwerksverschlüsselung unter OS X:

Hier vielleicht noch FileVault erwähnen und darauf hinweisen, dass die Backups in jedem Fall verschlüsselt werden müssen (Haken setzen), da ansonsten die Verschlüsselung des Laufwerks witzlos ist, wenn Dritte in den Besitz von Backups kommen

Rüdiger Pretzlaff Bearbeiten

Zu 1: ok nehme ich mit auf und beschreibe das auch noch etwas ausführlicher.

Zu 3: PGP wurde kommerziell durch die Firma PGP Inc. vertrieben. Wurde 1997 von der Firma PGP Inc. von Network Associates Inc. (NAI) übernommen. Das OpenPGP-Protokoll wird mittlerweile von vielen Produkten unterstützt. Prominente Vertreter sind das kommerzielle PGP und das freie Open-Source-Programm GnuPG.

OpenPGP ist nur ein Protokoll, standardisiertes Datenformat für verschlüsselte und digital signierte Daten. GnuPG benutzt auch auch OpenPGP als Protokoll.

Zu 2: Ehrlich halte ich davon nichts Plugins für GPG/PGP im Browser zu benutzen. Die Angriffspunkte sind mir viel zu groß. Im Browser sind die Daten , gerade der SecretKey und die Passphrase viel zu ungeschützt. Die Gefahr das jemand den Key und sogar die Passphrase über Scripte im Browser abgreift ist einfach zu groß. Ich kann das aber aufnehmen und drauf hinweisen mit Hinweis auf die Gefahren die dabei entstehen. Hast Du etwas mehr Infos dafür oder willst Du das nicht einfach zusammen schrieben?

Zu 5: OK nehme ich noch mit rein. Aber da man sich nicht sicher bin wie weit Apple dabei auf den Schlüssel bei FileVault zugreifen kann oder ob Hintertüren drin sind kann man sich nicht drauf verlassen ob man dabei nicht unnötig verschlüsselt. Festplatte verschlüsseln mit FileVault ist richtig und wichtig. Gerade für den Fall das der Rechner geklaut und verloren geht. Damit hat der Dieb oder Finder schon nicht so leicht die Möglichkeit auf die Daten zuzugreifen. Mit einem UEFI-Passwort sogar nicht schwieriger, denn ohne kann er das Passwort einfach zurücksetzen und wieder zugreifen.

Unter sonstiges werde ich auch noch Dinge beschreiben wie die Berechnung eines RSA Secret und Public Key, wie man damit verschlüsselt und entschlüsselt. Dabei dann auch noch aufzeigen wieso das Knacken unmöglich ist. 

Zu FileVault:

Wie Du weißt, bewege ich mir ja auch in der ITSEC-Szene, und dort gilt FileVault2 - neben LUKS - als sicher - im Gegensatz zu Truecrypt. Es gab bereits mehrere Angriffsversuche auf TrueCrypt, so wirklich funktioniert hat wohl bisher keiner, aber es wird daran gearbeitet. Ein Problem ist, wenn Du einen HiddenContainer verwendest, dass mittlerweile die Plausible Deniability (“Ist dort ein TrueCrypt-Container vorhanden oder nicht?) nicht in jedem Fall sichergestellt werden kann bzw. einige Forensik-Unternehmen behaupten, feststellen zu können, ob ein HiddenVolume nun vorhanden ist oder nicht.

Auch wichtig bei Apple mit Thunderbolt:

Via Thunderbolt kann - bei Beschlagnamung des Rechners - ebenfalls ein Angriff durchgeführt werden (ähnlich Firewire): Man kann via DMA-Attacke direkt den Arbeitsspeicher auslesen und so auf dort abgelegten Schlüssel zugreifern. Apple hat das mittlerweile abgedichtet, man verhindert es, indem man ein EFI-Firmware-Password setzt.

Ich hatte das seinerzeit hier einmal zusammen gefasst.

Carsten

hi,

1) du empfiehlst das GPGMail, ich würde allerdings die GPGTools empfehlen. Da dort alles mitgeliefert wird. Weil, su sagst man soll GPGMail installieren und dann die GPG Keychain öffnen. Das funktioniert nicht, weil der GPG Keychain nicht teil von GPGMail ist. Dazu benötigt man die GPGTools. Ist mir selber widerfahren ;-)

2) “SecretKey (geheimer Schlüssel) und ein Publickey” Einmal großes K einmal kleines k - was denn nun? ;-9

3) “Also starter man als erstes das mit installierte Tool “GPG Keychain Access”. Oben Links gibt es den Button “Neu” um einen neuen Schlüssel zu erstellen.” Also starten wir das Programm ‘GPG Keychain Access’. Oben links gibt es die Schaltfläche ‘Neu’ mit der sich ein neuer geheimer Schlüssel erstellen lässt. (Anmerkung: Vielleicht verwendest du nur die englischen Begriffe. Die Screenshots zeigen auch nur die englischen)

4) “Das vermeidet nachher Irritationen beim Austausch von Schlüsseln.” Das vermeidet später ungewollte Verwechselungen beim Austausch eurer Schlüssel.

5) Ich würde ein Ablaufdatum bestimmen. Also einen Zeitraum empfehlen. Irgendwie maximal 2 Jahre

6) Allgemein: Es gibt einige Textstellen in denen Leerzeichen fehlen.

7) Allgemein: Die Screenshots am Anfang sind nur auf das Fenster bezogen. Die Screenshots weiter unten sind dann Fullscreen. Die würde ich vielleicht nochmal neu erstellen.

8) Die Screenshots, da sowieso nur einer pro Zeile ist, würde ich evtl größer machen. Damit sieht man auch etwas ohne ihn zu öffnen.

9) Zum Testen würde ich der ADELE eine EMali schreiben. Dazu importiert man den Schlüssel, was Du ja auch zeigen musst, kannst, und dann exportiert man seinen eigenen und hängt den an die EMail an Adele an. Die Antwortet innerhalb weniger Minuten. Bei mir unter 30. Das finde ich besser als sich selber eine EMail zu schreiben.

Kommentare