zur Startseitezur Verständnistest-Startseite

Antwort zu: Ablauf

zur Frageseite

Wie ist der Ablauf, wenn erstmals verschlüsselt mit jemandem kommuniziert werden soll?

zur nächsten Frage

Erläuterung

  1. Vor den Schritten, die man klassisch zum Krypto-Prozedere zählt, steht strenggenommen eine weitere Herausforderung, die selten als solche empfunden wird, aber dennoch das Potential hat, den ganzen folgenden Prozess auszuhebeln:

    Man muss sich sicher sein, dass man nach der richtigen E-Mail-Adresse sucht. Denn wenn man sich darüber täuschen lässt und über die E-Mail-Adresse das zu verwendende Zertifikat identifiziert, kann es durchaus passieren, dass man ein gültiges Zertifikat nutzt und trotzdem (unbemerkt) dem Falschen schreibt.

  2. Zertifikat finden

    Zunächst einmal müssen Sie das Zertifikat des Empfängers finden. Das kann ganz einfach sein, wenn es auf den Keyservern genau ein gültiges Zertifikat für die E-Mail-Adresse gibt (oder Sie den Fingerprint / die short ID wissen). Ansonsten finden Sie es vielleicht auf der Kontaktseite oder im Impressum der Website des Empfängers. Die letzte Möglichkeit ist, den Empfänger unverschlüsselt anzuschreiben und um Zusendung seines Zertifikats zu bitten.

  3. Importieren

    Wenn Sie mit einem Schlüsselverwaltungs-Programm auf den Keyservers suchen, ist das Importieren gefundener Schlüssel sehr einfach. Wenn Sie eine Mail mit dem Zertifikat als Anhang bekommen, können Sie es zumeist durch Anklicken des Anhangs importieren. Wenn Sie das Zertifikat als Datei vorliegen haben, können Sie es möglicherweise einfach durch Anklicken importieren; ansonsten rufen Sie die Import-Funktion Ihrer Schlüsselverwaltung auf.

    Wenn Sie das Zertifikat als Text in einer Mail bekommen oder auf einer Webseite sehen, dann markieren Sie den Text und kopieren Sie ihn in die Zwischenablage. Manche Schlüsselverwaltungs-Programme (z.B. Kleopatra) können Zertifikate auch aus der Zwischenablage importieren. Ansonsten erzeugen Sie mit einem Editor eine neue Textdatei (.txt-Format, keine Office-Datei), speichern das Zertifikat aus der Zwischenablage in diese Datei und importieren diese dann (siehe vorigen Absatz).

  4. Prüfen und signieren

    Besorgen Sie sich nach Möglichkeit den Fingerprint des Schlüssels aus einer sicheren Quelle. Falls das nicht möglich ist: Manche Mailprogramme erlauben im Einzelfall die Verwendung ungültiger Zertifikate. Sie werden dann jedes Mal gewarnt (und holen die Prüfung hoffentlich irgendwann nach oder schicken zumindest nichts von großer Vertraulichkeit). Das ist sowohl besser als das Signieren ungeprüfter Schlüssel als auch besser als die standardmäßige Nutzung ungültiger Schlüssel.

    Die meisten Schlüsselverwaltungs-Programme zeigen den Fingerprint beim Signieren an (peinliche Ausnahme: GPGTools). Die Funktion zum Signieren heißt zumeist unterschreiben oder beglaubigen. Nicht zu verwechseln mit der Festlegung des Besitzervertrauens (owner trust)! Zum Signieren benötigen Sie die Passphrase.

    Solange Sie nicht genau wissen, was Sie tun, sollten Sie sich nicht am Web of Trust (WoT) beteiligen, sondern erst mal nur lokale Signaturen erzeugen.

    Signaturen werden nicht für das Zertifikat als Ganzes erzeugt, sondern immer für die Kombination aus Schlüssel und jeweils einer E-Mail-Adresse (präziser: User-ID). Signieren Sie nur diejenigen E-Mail-Adressen eines Zertifikats, von denen Sie sicher sind, dass sie zu dem Besitzer des Zertifikats gehören.

  5. ggf. Zertifikat der E-Mail-Adresse zuweisen

    Es kann nötig (falls die verwendete E-Mail-Adresse nicht im Zertifikat steht) oder sinnvoll (wenn mehrere Zertifikate diese E-Mail-Adresse enthalten) sein, im Adressbuch (o.Ä.) zu konfigurieren, welches Zertifikat das Mailprogramm für diese E-Mail-Adresse verwenden soll. In diesem Zusammenhang kann meist auch festgelegt werden, ob Mails an diese Adresse (immer/nie) signiert und (immer/nie) verschlüsselt werden und in welchem Format (PGP/MIME vs. PGP/Inline) sie verfasst werden.

  6. Jetzt kann das Zertifikat verwendet werden.

  7. regelmäßig aktualisieren

    Man kann nicht wissen, wann ein Schlüssel widerrufen wird (weil er möglicherweise kompromittiert wurde oder der Besitzer keinen Zugriff mehr auf den privaten Teil hat). Deshalb sollte man regelmäßig entweder den gesamten Keyring oder nur die wirklich verwendeten Zertifikate aktualisieren. Das kann man bequem über die Schlüsselverwaltung machen.