Der private Schlüssel ...

[BananenGurgler]

... wird anschließend lokal in einem Container abgelegt, eine Sicherungskopie landet bei GMX oder Web.de.

Danke, Thema erledigt!

[albob81]

Das ist doch Wurscht.
Interessant ist doch eher, ob ein eigens lokal erstellter und dann zum (lokal laufenden Mailvelope) hinzugefügter Schlüssel lokal bleibt?

[Kubax]

Nein, so wie ich die News verstehe, wird der Private Key bei Web.de und GMX hinterlegt. Das ist IMHO nicht ok. Dann kann ich die Verschlüsselung auch direkt sein lassen. Erinnert mich sehr stark an DE-Mail... Wenn der Schlüssel neben der Tür hängt, ist es egal ob abgeschlossen wurde.

[jt (Golem.de)]

Der private Schlüssel wird in einem verschlüsselten Container dort abgelegt. Nur der Nutzer soll darauf Zugriff haben. Der Text wurde ergänzt, um das nochmal klarzustellen.

[Kubax]

Vielen danke für die Klarstellung!
Das macht es in meinen Augen zumindest recht sicher. Auch die länge des (scheinbar?) automatisch generierten Passwords finde ich gut. So werden keine Passwörter wie "123456" als Container Password vergeben.

[Cassiel]

Kubax schrieb:
--------------------------------------------------------------------------------
> Nein, so wie ich die News verstehe, wird der Private Key bei Web.de und GMX
> hinterlegt. Das ist IMHO nicht ok. Dann kann ich die Verschlüsselung auch
> direkt sein lassen. Erinnert mich sehr stark an DE-Mail... Wenn der
> Schlüssel neben der Tür hängt, ist es egal ob abgeschlossen wurde.

Purer Unsinn. Ich gehe nicht davon aus, dass die Anbieter den Private Key unverschlüsselt speichern werden. Es ist stattdessen eher davon auszugehen, das der Private Key mittels symmetrischem Algorithmus verschlüsselt und dann abgespeichert wird. Dafür käme zum Beispiel PBKDF2 mit AES in Frage:

KEY = PBKDF2(SHA256, PASSPHRASE = Kennwort, SALT, ITERATIONS = 1000, LENGTH = 32)
PRIVATE_KEY = ENCRYPT(AES128, KEY, PGP_PRIVATE_KEY)

[Kubax]

Purer Unsinn ist lediglich die aussage, das man sich immer darauf verlassen kann, das der Anbieter solcher Dienst schon verantwortungsvoll mit Privaten Daten umgeht.

In meinen Augen sollte auch jeder Anbieter irgendwie ein Passwort das ich ihm zur Verfügung stelle MINDESTENS Hashen UND Salten.

Der relativ aktuelle Fall eines Großen Antiviren Herstellers, spricht allerdings dafür das selbst Firmen die es besser wissen müssten, das nicht tuen.

Wenn es also um Private Daten geht, ziehe ich es vor immer vom schlechtesten auszugehen, bis etwas anderes "bewiesen" ist.

[Avarion]

Obendrein wird man gefragt ob man den Schlüssel bei GMX hinterlegen möchte mit der Erklärung warum das von Vorteil ist.

Finde ich garnicht so schlecht gelöst.

Wenn sie das mit dem importieren eigener vorhandener Schlüssel jetzt noch auf die Reihe bekommen bin ich zufrieden.

[wumble]

jA die Lösung ist doch recht elegant. Dies hat natürlich den Vorteil das der private Schlüssel dann auch einfacher auf andere Geräte gespielt werden kann und man dann wie im Text angesprochen auch mit deren Apps verschlüsselt kommunizieren kann.

Durch solche Ansätze lässt sich die Ende-zu-Ende dann auch endlich mal besser verbreiten und für Leute zugänglich machen die sich sonst damit nicht befassen würden.

[NeoTiger]

Das Hinterlegen des verschlüsselten privaten Schlüssels beim Email-Provider ist außerdem OPTIONAL, woraufhin auch deutlich hingewiesen wird. Das eigene Schlüsselpaar ist auch jederzeit aus dem Plugin exportiertbar und kann auch vom Benutzer selbst auf andere Geräte übertragen werden. Und im Gegensatz zu manch anderer Software ist das hier sogar keine Wissenschaft für sich.

Natürlich kann man sich fragen, ob die Provider nicht dorch irgendwie Kenntnis vom Schlüssel erlangen könnten, und sei es nur weil das von ihnen empfohlene Plugin es doch an sie kommuniziert. Am Ende aber muss man jeder Verschlüsselungs-Software vertrauen, sofern man sie sich nicht selbst schreiben möchte ... wobei man dann immer noch dem Betriebssystem und der Hardware vertrauen muss, auf der sie läuft.

Gegenüber dem Versand unverschlüsselter Email hat der normale Benutzer aber zumindestens mal nichts zu verlieren.

Ich finde es zumindestens ein gutes Angebot, da die Einrichtung immerhin auch für Laien leicht zu bewerkstelligen ist - im Gegensatz zu bisherigen Methoden, was bislang die Haupthürde für verschlüsselte Email war.

Ob es allerdings wiederum nur ein Tropen auf dem heißen Stein sein wird, weil ja niemand gezwungen wird sich das Plugin zu installieren, wird die Zukunft zeigen.

[Missingno.]

BananenGurgler schrieb:
--------------------------------------------------------------------------------
> Der private Schlüssel wird anschließend lokal in einem Container abgelegt, eine Sicherungskopie landet bei GMX oder Web.de.
Selbst das würde ich ggf. noch schlucken (auch wenn es natürlich ein gewisses Sicherheitsrisiko darstellt. Aber:
"Zunächst wird ein Browser-Plugin für Firefox und Chrome benötigt."
> Danke, Thema erledigt!

--
Dare to be stupid!

[Stebs]

BananenGurgler schrieb:
--------------------------------------------------------------------------------
> ... wird anschließend lokal in einem Container abgelegt, eine
> Sicherungskopie landet bei GMX oder Web.de.

Kurze zusammenfassende Antwort:
Das uploaden zu GMX/Web.de von Schlüsselpaar + PW in einen AES256 lokal verschlüsselten Container mit 26 stelligem zufallsgenerierten PW ist optional, (für DAUs aber definitiv zu empfehlen).

Missingno. schrieb:
--------------------------------------------------------------------------------
> "Zunächst wird ein Browser-Plugin für Firefox und Chrome benötigt."
> > Danke, Thema erledigt!
Damit die Verschlüsselung und Key-Verwaltung tatsächlich rein lokal passiert, ist das aber unumgänglich. Ansonsten wäre man von der permanenten Sicherheit des Server-seitig ausgelieferten Javascripts abhängig.



2 mal bearbeitet, zuletzt am 21.08.15 19:01 durch Stebs.

[Missingno.]

Stebs schrieb:
--------------------------------------------------------------------------------
> Damit die Verschlüsselung und Key-Verwaltung tatsächlich rein lokal
> passiert, ist das aber unumgänglich. Ansonsten wäre man von der permanenten
> Sicherheit des Server-seitig ausgelieferten Javascripts abhängig.
Also ist es besser von einem "Server-seitig ausgeliefertem" Plugin abhängig zu sein, das außerdem nur mit Browsern funktioniert, die ich nicht verwende?

--
Dare to be stupid!

[Stebs]

Missingno. schrieb:
--------------------------------------------------------------------------------
> Stebs schrieb:
> ---------------------------------------------------------------------------
> -----
> > Damit die Verschlüsselung und Key-Verwaltung tatsächlich rein lokal
> > passiert, ist das aber unumgänglich. Ansonsten wäre man von der
> permanenten
> > Sicherheit des Server-seitig ausgelieferten Javascripts abhängig.
> Also ist es besser von einem "Server-seitig ausgeliefertem" Plugin abhängig
> zu sein, das außerdem nur mit Browsern funktioniert, die ich nicht
> verwende?
Ja, das Addon/Extension (und nicht Plugin) ist digital signiert, hat eine eindeutige Versionsnummer und liegt eben lokal auf dem Rechner.
Anstatt Browser ohne Extension-Support kann man ja auch noch z.B. Thunderbird mit Enigmail nehmen.

[Missingno.]

Stebs schrieb:
--------------------------------------------------------------------------------
> Ja, das Addon/Extension (und nicht Plugin) ist digital signiert,
Ist ein Javascript, das über eine https-Verbindung kommt quasi auch.
> hat eine eindeutige Versionsnummer
Das bringt mir was?
> und liegt eben lokal auf dem Rechner.
Wie eben das JS, das lokal ausgeführt wird.

> Anstatt Browser ohne Extension-Support kann man ja auch noch z.B. Thunderbird mit Enigmail nehmen.
Ich verwende auch kein Thunderbird. Klar kann _ich_ mir mit diversen Tools einen PGP-Key für meine GMX-Adresse generieren. Aber von einer Integration seitens GMX, wie im Artikel beschrieben, ist das doch meilenweit entfernt.

--
Dare to be stupid!

[Stebs]

Drehe und wende es wie du willst, die Sicherheit, die ein Verfahren wie das von GMX umgesetzte es erreichen will, ist momentan ohne separate lokale Komponente (Extension) mit Browsern ansonsten nicht erreichbar.