E-Mails digital signieren und verschlüsseln
Grundsätzlich ist die heute verwendete Infrastruktur zum Versenden von E-Mails immer noch genauso unsicher wie im Jahr 1971, als die weltweit erste E-Mail verschickt wurde.
Seit damals hat sich zwar in Puncto Sicherheit einiges getan, viele Mailserver verwenden das sichere (verschlüsselte) Versenden und Empfangen von Nachrichten über das SSL-Protokokoll, aber eben nicht alle.
Auf dem Weg von Sender zu Empfänger sind oft Zwischenstationen (die Relays), die nach wie vor eine unverschlüsselte Übertragung benutzen. Das ermöglicht den Zugriff Dritter auf die E-Mails. Mit geeigneter Hardware ist es ein leichtes, den gesamten Datenstrom zwischen zwei Routern zu kopieren oder zu manipulieren. Sehr beliebt bei den Geheimdiensten oder in der Wirtschaftsspionage.
Verschlüsselte E-Mails
Damit die Nachrichten nicht durch Dritte manipuliert oder gar protokolliert werden, verschlüsselt man die Nachrichten mit einem asymmetrischen Kryptosystem. Dies funktioniert aber nur, wenn Sender und Empfänger ihre öffentlichen Schlüssel (die „public keys“, PKI) zuvor ausgetauscht haben.
Bei der symmetrischen Verschlüsselung wird zum Ver- und Entschlüsseln der selbe Schlüssel benutzt, der zuvor ausgetauscht werden muß. Aber genau hier liegt das Problem, da die Schlüsselübergabe (also die erste Nachricht zwischen den Teilnehmern) zwangsläufig unverschlüsselt ist.
Bei der asymmetrischen Verschlüsselung jedoch hat jeder Teilnehmer einen privaten (geheimen) Entschlüsselungsschlüssel und einen öffentlichen Verschlüsselungsschlüssel.
Der Sender verwendet den öffentlichen Schlüssel des Empfängers, um die Nachricht zu verschlüsseln und der Empfänger verwendete seinen privaten Schlüssel, um die Nachricht zu entschlüsseln.
Digitale Signatur
Spam oder unerwünschte Nachrichten sind heute ein große Geißel geworden. Tausende E-Mails pro Tag sind keine Seltenheit. Thunderbirds Junk-Filter ist unter anderem ein recht guter Ansatz dem entgegen zu wirken. Daneben gibt es noch SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) und DMARC (Domain-based Message Authentication, Reporting and Conformance), was direkt am Mailserver installiert werden muß.
Um hundertprozentig sicher zu gehen, daß eine E-Mail wirklich von einem bestimmten Absender stammt, benutzt man eine digitale Signatur. Es wird also an die E-Mail eine Information angehängt, mit der der Empfänger den Sender mit kryptographischen Methoden verifizieren kann.
Der Sender bildet aus seiner Nachricht und seinem privaten Signaturschlüssel eine Signatur, mit der der Empfänger mit dem öffentlichen Schlüssel des Senders diesen verifiziert. Somit erhält der Empfänger die eindeutige Bestätigung, daß die Nachricht tatsächlich von diesem Absender stammt.
S/MIME
Secure / Multipurpose Internet Mail Extensions ist ein Standard für die Verschlüsselung und das Signieren von E-Mails. Das Verschlüsseln von E-Mails sichert gegen unbefugtes Mitlesen/Manipulieren ab und das Signieren von E-Mails verifiziert, daß die Nachricht vom richtigen Absender stammt.
Es wird sowohl für das Verschlüsseln als auch für das Signieren jeweils ein X.509-Zertifikat benötigt.
PGP
Pretty Good Privacy ist ein Standard (OpenPGP), der zur E-Mailverschlüsselung verwendet wird. GnuPG (GNU Privacy Guard) ist die kostenlose Implementierung des Standards. Man sollte darauf achten, den neueren Standard PGP/MIME zu benutzen und nicht PGP/Inline. PGP/MIME kann besser mit HTML-Mails und mit Attachments umgehen.
