S/MIME vs. GnuPG: Kompatibilität und Hürden

CIW - Folge 111 - 06.11.2024 - E-Mail-Verschlüsselung

• Wir begrüssen alle Kryptologen zur Folge 111 von "Captain it's Wednesday", dem Podcast über Freie Software und Freie Gesellschaft von GNU/Linux.ch, aufgenommen am 4. November von Farid Mésbahi und Ralf Hersel. In dieser Folge sprechen wir darüber, ob man E-Mails signieren und verschlüsseln soll.

Hausmitteilungen

• keine

Thema: Warum sollte man E-Mails signieren und/oder verschlüsseln?

Ralf ranted

• E-Mail Signierung und Verschlüsselung haben sich nicht durchgesetzt, weil es viel zu kompliziert ist.
  • Das stimmt.
  • Aber auch das Bewusstsein liegt oft nicht vor, dass Mails im Grunde Postkarten sind.
  • Es gibt technische Ansätze, um den Prozess zu vereinfachen, aber diese schlummern vor sich hin. Als Beispiel Web-Key-Directories (WKD) (https://wiki.gnupg.org/WKD).
• E-Mail-Anwendungen sollten Verschlüsselung als Opt-in, oder Opt-out anbieten, ohne dass Anwender:innen etwas konfigurieren müssen.
• E-Mail-Anwendungen sollten verschlüsselte E-Mails annehmen können, ohne das Zutun der Empfänger.
• Die freie Community denkt viel zu kompliziert und setzt zu viel voraus.
• Nur ein Bruchteil der Community verwendet E-Mail-Verschlüsselung. Ich habe es bereits vor langer Zeit aufgegeben.
• Das Web-of-Trust ist eine Utopie.
• Die E-Mail-Protokolle wurden seit 1971 entwickelt, haben sich in den über 50 Jahren in den Grundzügen nicht wesentlich weiterentwickelt und waren nie für verschlüsselte Kommunikation geplant.
• E-Mails sind eine technologische Plage, die es seit dem Aufkommen von guten Messengern nicht mehr geben sollte.
• Im Dezember 2023 lag der Anteil der Spam-Mails am gesamten E-Mail-Verkehr weltweit bei rund 50 % (2019: 60 %). Mit knapp 30 % kam der Großteil der Spam-Mails im Jahr 2023 aus Russland - rund 3,3 Prozent stammten aus Deutschland. Nicht mitgezählt sind Bullshit-Mails (Werbung, Ja, Nein, Bitte, Danke-Mails), die ich auf 20 % schätze.
• Farid, rate mal, wie viele E-Mails aktuell pro Tag weltweit versendet werden? Antwort: ca. 350 Mrd./Tag. Damit werden jeden Tag ca. 75 % (260 Mrd.) E-Mails für nichts versendet und verbrennen Energie.

Farid erklärt

• Warum sollte man seine Mails signieren und/oder verschlüsseln?
• Die Unterschiede zwischen S/MIME und GnuPG.
• Das Web-of-Trust, eine CA und die Hintergründe.
  • Die Firma Governikus unterschreibt/beglaubigt öffentliche GnuPG-Schlüssel mithilfe der digitalen Ausweisfunktion (DE) (https://pgp.governikus.de). Und das im Auftrag des Bundesamtes für Sicherheit in der Informationstechnik.
  • Mir (Farid) als letzter bekannter "vertrauensvoller" Keyserver wird unter der Adresse: https://keys.openpgp.org bereitgestellt.
• Was steckt genau hinter CAcert und der Volksverschlüsselung?

Links

• https://de.statista.com/statistik/daten/studie/872986/umfrage/anteil-der-spam-mails-am-gesamten-e-mail-verkehr-weltweit/
• https://de.statista.com/statistik/daten/studie/252278/umfrage/prognose-zur-zahl-der-taeglich-versendeter-e-mails-weltweit/
• Der Podcast "Das Duumvirat": https://www.trommelspeicher.de/podcast
• Web of Trust (Wikipedia): https://de.wikipedia.org/wiki/Web_of_Trust
• Schlüsselbeglaubigung durch die Firma Governikus (im Auftrag des BSI): https://pgp.governikus.de/
• Artikel zur Vorbereitung eines S/MIME-Zertifikates (lokale Erstellung des Schlüsselpaares), für die Weiterverarbeitung bei einer Certificate Authority, kurz CA: https://www.trommelspeicher.de/blog/smime-zertifikat-im-selbstversuch
• Sicher kommunizieren, einfach erklärt: https://www.youtube.com/watch?v=4mbryW8fZrA

Outro

• Euer Feedback ist uns wichtig. Ihr könnt uns über Matrix, Mastodon oder per E-Mail erreichen. Die Adressen findet ihr auf unserer Webseite.
• GNU/Linux.ch ist ein Magazin, in dem die Community für die Community interessante Artikel erstellt und im Podcast darüber diskutiert. Helft mit, die Infos für die Community zu bereichern. Wie das geht, erfahrt ihr hier.