Mail-Verschlüsselung: Mail.de bringt automatisierte PGP-Schlüsselverwaltung
Einige Mail-Anbieter liefern sich anhaltend ein Rennen um die beste technische Plattform. Nun macht der Gütersloher Provider Mail.de einen unerwarteten Vorstoß, der Mail-Verschlüsselungen endlich komfortabel machen kann.
Viele Nutzer sind zwar interessiert, die Privatsphäre bei ihrer Mail-Kommunikation zu wahren und Mitleser auszusperren, aber die aktuellen Verschlüsselungen sind entweder unpraktisch oder nicht vertrauenswürdig. Der Gütersloher Anbieter Mail.de greift nun eine von der Internet Engineering Task Force (IETF) gestartete Initiative auf, die den Einsatz der sicheren Mail-Verschlüsselung PGP (Pretty Good Privacy) deutlich vereinfachen kann, indem sie die Verwaltung der öffentlichen Schlüssel automatisiert.
Bisher gilt bei PGP die Maxime, dass Nutzer alle für sie wichtigen Schlüssel selbst beschaffen und verwalten müssen – also nicht nur ihre eigenen, sondern auch die von allen Mail-Partnern. PGP-Kenner haben dieses Problem zwar im Griff – aber man könnte das fast schon als eine Entlastungsmaßnahme für Computer bezeichnen, damit diese weniger lästige Pflichtaufgaben übernehmen müssen.
Für Anwender mit weniger technischen Kenntnissen oder Interessen ist das aber eine zu hohe Hürde. Zusätzlich wird PGP dadurch geschwächt, dass die Key-Server, von denen man Schlüssel beziehen kann, nicht zur Identitätsprüfung ausgelegt sind. So können Dritte für jede beliebige Mail-Adresse technisch korrekte öffentliche Schlüssel veröffentlichen. Der Eigner der zugehörigen Mail-Adresse kann damit verschlüsselte Mails nicht öffnen und er hat auch keine Handhabe, solche Schlüssel zu entfernen.
PC-Entlastungsmaßnahme vor dem Ende
Eine neue, von der IETF entwickelte Spezifikation setzt auf die DNS Security Extensions (DNSSEC), um Schlüssel im weltweiten Domain Name System zu publizieren: DANE/OPENPGPKEY. Diese Methode hat mehrere Vorteile: Die DNSSEC-Infrastruktur gibt vor, dass die Schlüssel nur von einer Stelle publiziert werden können. Die Besitzer einer Mail-Adresse behalten indirekt, über den Domain-Verwalter, die Kontrolle über die Schlüssel, können diese also löschen oder aktualisieren.
Die Schlüssel lassen sich automatisiert abrufen und zwar just dann, wenn sie gebraucht werden. Außerdem werden sie DNSSEC-gesichert übertragen, sodass etwaige Manipulationen auf dem Übermittlungsweg erkannt werden können. Damit bringt das Verfahren proprietäre Ansätze wie das schwach gestartete De-Mail oder die von der Telekom gestartete Initiative E-Mail made in Germany zusätzlich unter Druck.
Die OPENPGPKEY-Spezifikation steht kurz vor der Verabschiedung. Mail.de bietet seinen Kunden nun die Möglichkeit, ihre öffentlichen PGP-Schlüssel auf sicheren DNS-Servern zu hinterlegen. Dies, so der Anbieter, gelte auch für signierte, also DNSSEC-gesicherte Alias-Domains. Mail.de hat auch eine erste Test-Webseite erstellt, mittels der man ohne Vorkenntnisse oder Kommandozeilen-Tools testen kann, ob zu einer Mail-Adresse ein PGP-Schlüssel aus dem DNS abrufbar ist; die Abfrage ist natürlich unabhängig vom Mail-Anbieter.
Vollautomatische Verschlüsselung
Noch steht diese DANE-Variante am Anfang. Zu den Zielen gehört aber nicht nur, eine sichere und schnell zugängliche Infrastruktur zum Publizieren zu nutzen, sondern auch eine weitgehende Automatisierung der Mail-Verschlüsselung aufzubauen.
Einige Entwickler arbeiten bereits an Werkzeugen, die das Publizieren und Beziehen von Schlüsseln so weit vereinfachen sollen, dass man sich darum bald nicht mehr kümmern muss. Die DANE-Methoden können aber auch die Mail-Verschlüsselung mittels S/MIME deutlich verbessern. Wie DANE für S/MIME und PGP im Detail funktioniert und welche Voraussetzungen für den Betrieb zu erfüllen sind, beschreibt ein c't-Artikel in der kommenden Ausgabe 8/2015. (dz)
