GPG Suite für Apples Mail.app im Video: Vollverschlüsselte E-Mails auf dem Mac
In den letzten Wochen komplett überarbeitet, steht Version 2.0 der „GPG Suite“ jetzt zum kostenlosen Download für alle interessierten Mac-Nutzer bereit und erweitert Apples Mail-Applikation um die Möglichkeit der vollverschlüsselten Kommunikation.
Das Plugin für Apples Mail.app gestattet den Versand verschlüsselter Nachrichten, sowie die Anzeige neu eingegangener Sendungen und kümmert sich nebenbei um die Verwaltung der persönlichen Schlüssel, mit denen die sicheren Nachrichten vor den Augen Dritter geschützt werden.
Die GPG Suite basiert auf dem quelloffenen OpenPGP-Projekt, unterstützt Mountain Lion und Exchange-Server, signiert auf Wunsch jede ausgehende E-Mail und bietet mit ⌘+⌥+Y bzw. ⌘+⌥+X zwei einfache Tastenkürzel an, mit denen sich Verschlüsselung und die digital gesetzte Unterschrift bei Bedarf ein- und ausschalten lässt.
Einsteigern, die noch keine Erfahrungen mit der GPG Suite sammeln konnten, empfehlen wir das im Anschluss eingebettete Youtube-Video. Der 7-Minuten Clip erklärt die ersten Einrichtungsschritte sowie den Alltagseinsatz des Werkzeuges, das sich im besten Fall zum Internet-Standard entwickeln sollte.
Das Problem bei der PGP-Verschlüsselung ist, dass es keine zentrale Stelle gib an der die Zertifikate signiert werden, sondern das alles auf dem Web of Trust basiert. Das ist allerdings auch sein größter Vorzug.
Muss der Empfänger das Programm dann auch einsetzten? Wodurch erhält er den Schlüssel?
Wenn die Nachricht gesigned ist, braucht er den Schlüssel nicht, kann aber ohne Schlüssel und GPG die Echtheit nicht überprüfen.
Ist die Nachricht verschlüsselt, braucht die Gegenstelle natürlich das Werkzeug zum Entschlüsseln.
Normalerweise funktioniert die Verschlüsselung auch nur wenn der Empfänger einen öffentlichen Schlüssel hat, der dem Sender bekannt ist. Ohne den Schlüssel des Empfängers kann man mit diesem System normalerweise nicht verschlüsseln.
Die Frage ist doch, wer setzt denn Verschlüsselung von eMails ein? Aus Bequemlichkeit so gut wie niemand, und das schon seit Jahrzehnten, obwohl es die Tools dazu schon ewig gibt.
Und wieviel eMails verschicke ich denn heutzutage noch im privaten Umfeld? So gut wie keine, denn SMS und andere Messenger werden bevorzugt. Das wird man auch nicht aus den Köpfen der Leute rausbekommen. Mit Leuten meine ich 99% der Nutzer von elektronischer Kommunikation, Leute die nicht Technikaffin sind und Leute die Kommunikationsmedien nur nutzen wenn es einfach und unkompliziert ist.
Will man persönlich nur noch verschlüsselt kommunizieren muss man wohl auf jede Menge (elektronische) Kommunikation verzichten.
Ich bevorzuge S/MIME, einfache und hat die bessere Integration in Apple-Mail, iOS-Mail, Thunderbird und sogar Outlook geht! Ist nähmlich überall schon eingebaut. Lediglich jedes Jahr ein kostenloses Zertifikat besorgen, eine signierte Mail verschicken und der Empfänger kann mir verschlüsselte Mails schicken.
http://t3n.de/news/mails-versc.....ch-482381/
http://www.comodo.com/ … einfach, schnell, kostenlos, unkompliziert und nur die Mail-Adresse wird verifiziert.
Ja klar, vertraue nur weiter deiner CA. Zudem: MS / Outlook und Sicherheit ist an sich ein Anachronismus.
Auch PGP hat seine Nachteile, ist aber by design vertrauenswürdiger. Und wie hat Einstein treffend formuliert: „Wann, wenn nicht endlich jetzt?“
jm5c
Ich benutze keine Microsoft-Produkte :P und S/MIME ist auch nicht von denen (haben eigentlich sogar die umständlichste Intregration, habe nur mal bemerkt, dass auch deren Produkte gehen)
Wenn alle CA kompromitiert sind, dann kann man auch SSL und HTTPS abschaffen. Also verrenn Dich nicht in deinen OpenSource-Thesen!
Da die Anbieter die kostenlosen Zertifikate so gerne verstecken:
– Comodo
– Home & Home-Office
– Email Security und Messaging
– Free Email Certificate
http://www.comodo.com/home/ema.....ficate.php
Ich verenne mich in Open Source Thesen, und meinte auch nicht dass du MS benutzt (war unklar formuliert, sorry). Ich gestehe dir zu das du selbst ein MS-System sicher (abseits der Aluhut-Diskussion) betreiben kannst, aber kann das deine Gegenstelle auch?
Und die CA Frage – nun es gibt Beispiele einer Kompromittierung solcher. Da verifiziere ich lieber selbst, wenns drauf ankommt. Im übrigen Diskutiere ich hier unverschlüsselt, was meinen evtl. unterstellbaren Hang zur Paranoia hoffentlich relativiert ;)
verenne mich „nicht“ sollte da stehen. Treffer – mannmann :-))
Mache ich ebenso. S/Mime ist einfach die eleganteste Lösung. Ich erzeuge mir meine Zertifikate allerdings selbst – für private Nutzung völlig ausreichend.
Aber dann musst du und dein Empfänger der CA vertrauen. Und das ist im Moment ziemlich schwierig.
Benutze S/MIME auch schon sehr lange. Ich verwende Zertifikate von CACert und StartSSL. Hat einfach den Vorteil, dass es „Out-of-the-Box“ überall funktioniert. Auch auf dem iPhone. Es gibt übrigens noch mehr Gratisanbieter https://de.wikipedia.org/wiki/S/MIME#Kostenfreier_Zugang
„Out-of-the-box“ ist genau der Vorteil bei S/MIME. Ich bekomme das meiste installiert und ans Laufen (GPG), aber wie ist es mit meinem „Partner“.
OK, mit Windows und IE ist es mit dem Zertifikat auch nicht gerade einfach ein hoch auf den Konzern in Redmond! *Kotz*
„Das Plugin für Apples Mail.app“ … nett, aber beim nächsten Update von Mail braucht die Truppe vermutlich wieder Jahre um das PlugIn anzupassen … Danke!
„Die GPG Suite … Exchange-Server“ Was hat denn der Exchange Server (Mail-Server) mit der Verschlüsselung am Hut? Die Ver-/Entschlüsselung erfolgt am Client, ansonsten wäre es ja Bullshit!
Wenn für einen selbst wichtige Applikationen, Tools und Erweiterungen noch nicht angepasst wurden, gibt es doch keinen Grund für irgendwelche Updates, wenn die bestehende Funktionalität weiter besteht, oder?
Es war sehr oft in der Vergangenheit, dass nach eine Update von Mail ging nix mehr mit den PlugIns (mein damaliger Favorit „GPGMail – https://gpgtools.org/gpgmail/„) und das blieb oft auch monatelang so. Die GPG-Suite war immer weit hinter dem OS und den Programmen hinterher. Habe mich dann von PGP abgewendet, sicherlich auch wegen der Integration und auch weil mit iOS 4 endlich iOS S/MIME konnte.
GPG hat bei mir verspielt und ich werde bei S/MIME bleiben.
Ja, mir ist bekannt, dass CA’s schon mal gehackt wurden…
Wenn ich darüber nachdenke wie oft ich nach OSX Updates damals bei GPGmail auf der WebSeite war, wochen- teilweise monatelang passierte nicht.
GPG-Suite war (bisher?) auf dem Mac eh nicht wirklich gut. Mag sich geändert haben, aber inzwischen ist es mir egal.
Habe mich von PGP abgewendet, wegen der schlechten und langsamen OSX Unterstützung und mit iOS (iPhone + iPad) sehe ich keinen Grund PGP aktuell nochmal eine Chance zu geben.
Vollverschlüsselt geht bei PGP und Mail gar nicht, weil sonst eine Mail gar nicht ankommen würde. Es wird immer nur der Inhalt verschlüsselt. Die wichtigen Header-Daten mit u.a. den Absender- und Empfängeradresse können und dürfen nicht verschlüsselt werden, damit E-Mail über das Internet überhaupt noch funktioniert. Und genau diese Headerdaten sind primär wichtig, wenn man wissen möchte, wer wann mit wem kommuniziert hat.
Da hast du recht – da hilft dann nur OTR
PGP geht halt nicht mit iPhone oder iPad und damit ist es leider leider leider unbrauchbar.
Und was ist mit webbasierter Mail?
Pretty Good _Privacy_
Das schließ heutzutage die Nutzung eines iPhones aus.
PGP funktioniert super auf dem iPhone, siehe App „oPenGP Lite“. Ich nutze es seit längerem und bin sehr zufrieden. Klar wäre eine direkte Integration super, aber so ist das halt mit dem goldenen Käfig …
1. Es gibt seit längerer Zeit einige PGP/GPG-fähige Apps für iOS-Geräte. Ich persönlich benutze z.B. oPenGP, einer meiner Kommunikationspartner ipgmail. Das ganze ist nicht sonderlich komfortabel integriert, aber funktioniert und erfüllt seinen Zweck.
2. Nach all den Enthüllungen der letzten Wochen/Monate benutzt noch jemand ernsthaft root-CA-signierte certs und glaubt, so wäre seine Kommunikation „abhörsicher“? ;) Da ist mir GPG doch um Welten lieber! Selbst Sicherheitsforscher untersuchen als Alternative diverse Web-of-Thrust- und P2P-authentication-ring-Ansätze. SSL ist „broken by design“!