PGP-Schlüssel einfach und sicher verteilen

[Jochen Fahrner]

Am 02.03.2015 um 11:29 schrieb Michael Ströder:
> Letztlich hat die Crypto-Fan-Fraktion mit der Diskussion
> S/MIME-ist-böse-und-nur-PGP-ist-das-einzig-wahre-Nerd-Tool flächendeckende
> Ende-zu-Ende-Verschlüsselung wirksam verhindert.

Also wenn ich jetzt mal von mir ausgehe, sind andere Gründe
ausschlaggebend. Mein Problem ist, dass man S/MIME Zertifikate, die beim
Empfänger nicht gleich "Alarm auslösen" weil kein Root-Zertifikat
installiert ist, fast nicht bekommt. Alles fest in kommerzieller Hand.
Mark Shuttleworth ist auf die Art zum Millionär geworden.

Ich kenne nur 3 Anbieter von kostenlosen Zertifikaten: StartSSL und
Comodo laufen nur 1 Jahr und lassen sich nicht verlängern, man braucht
jedes Jahr ein neues. Das macht das entschlüsseln von archivierten Mails
nicht einfacher.  CaCert gefällt mir da besser, aber die Hersteller von
Browsern, Maiclients und Betriebssystemen weigern sich beharrlich deren
Root-Zertifikat mit auszuliefern. Debian hatte es eine Zeit lang drin,
aber kürzlich wieder entfernt. So taugt das auch wieder nur für Nerds
die sich das Root-Zertifikat selber installieren.

Dann kommt noch erschwerend dazu dass das Nebeneinander von S/MIME und
PGP/MIME nur schwer zu handeln ist. Wenn man im Thunderbird beides
aktiviert hat kann man eigentlich nur manuell bei jeder Mail festlegen
wie sie verschlüsselt werden soll. Nutzt man das Plugin "Encrypt if
possible" zusammen mit der automatischen Enigmail-Verschlüsselung, dann
kommen die sich in die Quere wenn man von einem Empfänger beides hat.

Bevor man anfängt das Problem mit der Key-Verteilung lösen zu wollen,
sollte man sich erstmal die Mailclients vornehmen und das ganze
benutzbarer machen. Wenn ich Thunderbird installiere, dann muss die
Verschlüsselung out-of-the-box funktionieren (wie bei S/MIME), ich will
da nicht erst noch Enigmail und gpg4win installieren und konfigurieren
müssen.

Ich stelle mir das so vor (im Falle PGP): bei der Einrichtung von
Thunderbird werde ich gefragt ob ich eine neues Mailkonto anlegen, oder
ein vorhandenes benutzen will. Genauso muss ich gefragt werden ob ich
einen neuen PGP-Key erzeugen will, oder einen vorhandenen importieren
will. Mehr Einrichtung brauchts nicht. Anschliessend muss jede Mail, für
die ein Key für alle Empfänger vorhanden ist, automatisch verschlüsselt
werden. Ist kein Key in meinem Schlüsselbund, muss *automatisch* auf
einem Keyserver danach gesucht werden.

Erst wenn das funktioniert, kann man sich im 2. Schritt Gedanken machen
wie man die Qualität der Keys auf den Keyservern verbessert, bzw. deren
Verteilung. Es macht keinen Sinn den zweiten Schritt vor dem ersten zu
machen.

Aber wie ich schon sagte: ich halte S/MIME für die bessere Lösung, weil
da das meiste schon perfekt funktioniert, der Aufwand bis zum Endziel
(einfache Verschlüsselung für die Massen) ist da wesentlich geringer.

-- 
Mit besten Grüßen
Jochen Fahrner