Verschlüsselung elektronischer Post mit PGP 7.03

B. Brandel

Bereits in mehreren Ausgaben der INKUERZE (2/99, 1/00 und 2/00) war die Verschlüsselung elektronischer Post unter PegasusMail mit PGP und QDPGP Thema. Da vor allem PegasusMail, aber auch PGP und QDPGP inzwischen in neuen Programmversionen erschienen sind, entstand dringender Bedarf, das Zusammenspiel der drei Softwareprodukte in aktualisierter Form zu beschreiben.

Dieser Artikel möchte vor allem die Nutzung von PGP mit QDPGP unter PegasusMail sowie die dabei beobachteten Klippen beschreiben, während die Installation und Konfiguration dieser Software-Produkte aus Platzgründen hier nur sehr knapp dargestellt werden kann. Eine ausführliche Installations- und Konfigurationsbeschreibung wurde deshalb unter dem URL http://www1.ku-eichstaett.de/urz/install/pgp.pdf veröffentlicht.

Kurzbeschreibung der Installation und Konfiguration von PegasusMail 4.01, PGP 7.03 und QDPGP 2.68 unter Windows2000 (SP2):

• Schritt 1: Download von PegasusMail 4.01, PGP 7.03 und QDPGP 2.68:
  • PegasusMail v4.01 for Windows, 32-bit for Win95/98/ME/NT/2000/XP:
    - http://www.pmail.com/downloads_maine_t.htm

  • Download von PGP 7.03 sowie der Hotfixes 1 und 2:
    - http://www.pgpi.org/products/pgp/versions/freeware/win32/7.0.3/

  • Download von QDPGP 2.68:
    - http://community.wow.net/grt/qdpgp.html
    - nur (!) unter WindowsNT muss zusätzlich shfolder.zip heruntergeladen werden

• Schritt 2: Installation von PegasusMail 4.01, PGP 7.03 und QDPGP 2.68:

  • Installation von PegasusMail 4.01:
    lokale Installation wie in http://www1.ku-eichstaett.de/urz/install/pmail.pdf beschrieben

  • Installation von PGP 7.0.3 sowie Hotfix 1 und 2:
    - ggf. Deinstallation alter PGP-Versionen
    - PGPfreeware703.zip installieren + Neustart
    - PGPfreeware703Hotfix1.zip installieren + Neustart
    - PGPfreeware703Hotfix2.zip installieren + Neustart

  • Installation von QDPGP:
    - ggf. gründliche (!) Deinstallation einer alten QDPGP-Version
    - PegasusMail 4.01 einmal aufrufen und beenden
    - qdpgp268.zip installieren

• Schritt 3: Konfiguration von PGP 7.03, PegasusMail 4.01 und QDPGP 2.68:

  • Konfiguration von PGP 7.0.3:
    - ggf. neue Schlüssel erzeugen bzw. alte weiterverwenden
    - Schlüssel nach H:\pmail kopieren
    - als PGP Keyring Files H:\pmail\pubring.pkr, H:\pmail\secring.skr
    und H:\pmail\randseed.rnd) eintragen
    - eigenen Key als Standardschlüssel festlegen
    - Neustart

  • Konfiguration von PegasusMail 4.01:
    - Grundkonfiguration: wie unter http://www1.ku-eichstaett.de/urz/install/pmail.pdf beschrieben
    - PGP als Standardverschlüsselungsmethode auswählen
    - Passphrasenverwaltung auswählen: (einmalige Eingabe pro PegasusMail-Aufruf
    oder Neueingabe bei jeder Mail)
    - ggf. automatische Signierung aktivieren

  • Konfiguration von QDPGP 2.68:
    - standardmäßigen Signierungs- und Entschlüsselungs-Key auswählen
    - ASCII-Armierung aktivieren

Die Nutzung von PGP 7.03/QDPGP 2.68 unter PegasusMail 4.01:

• Um Mails überhaupt verschlüsseln zu können, benötigen Sie die öffentlichen Schlüssel des Empfängers. Dasselbe gilt für die Überprüfung von fremden Signaturen. Wie Sie Schlüssel austauschen und in Ihren öffentlichen Schlüsselbund aufnehmen können, ist unter

  • http://www.helmbold.de/pgp/pgp6.5/verteilen.htm,

  • http://www.helmbold.de/pgp/pgp6.5/importieren.htm,

  • sowie http://www.helmbold.de/pgp/pgp6.5/echtheitspruefung.htm

  • und http://www.helmbold.de/pgp/pgp6.5/schluesselsignieren.htm

  ausführlich beschrieben.

• Signieren und/oder Verschlüsseln von Mails:

  Öffnen Sie wie gewohnt über den entsprechenden Button bzw. File -> New message -> Standard message ein neues Mailfenster. Schreiben Sie wie gewohnt Ihre Nachricht. Aktivieren Sie dann die Option Encrypt ....

  

  Im sich dann öffnenden Fenster Message Encryption Options sollte bereits als Encryption method PGP eingetragen sein. Wenn Sie signieren wollen, aktivieren Sie das entsprechende Feld Add digital signature. Wenn Sie Ihre Passphrasenverwaltung so eingestellt haben, dass Sie Ihre Passphrase nur einmal pro Start von Pegasus Mail eingeben müssen, können Sie bei Password auf das "*"-Feld klicken. Dann wird Ihre bereits im Hauptspeicher gehaltene Passphrase eingetragen und zur Erstellung der digitalen Signatur herangezogen. Wenn Sie eine restriktivere Passphrasenverwaltung (ohne Pufferung im Hauptspeicher) eingestellt haben, fehlt das "*"-Feld im Menü, so dass Sie Ihre Passphrase per Hand eintragen müssen. Wenn Sie außerdem noch die Auswahlbox Encrypt Message aktivieren, wird Ihre Mail vor dem Versand zusätzlich noch mit dem öffentlichen Schlüssel des Empfängers verschlüsselt, vorausgesetzt, dieser befindet sich an Ihrem öffentlichen Schlüsselbund. Mit "OK" bestätigen Sie die Einstellungen und können nun wie gewohnt Ihre Mail zuende schreiben und durch Drücken des Buttons "Send" verschicken. Falls Sie Ihre Einstellungen ändern möchten, deaktivieren Sie bitte die Option Encrypt ... und aktivieren sie wieder. Anschließend können Sie im Fenster Message Encryption Options die gewünschten Änderungen vornehmen.

• Entschlüsseln von Mails/Signaturprüfung:

  Wenn Sie eine verschlüsselte Nachricht erhalten und durch Anklicken zu öffnen versuchen,

  

  öffnet sich das Fenster Enter key to decrypt message. Geben Sie dann per Hand oder durch Drücken der "*"-Taste Ihre Passphrase ein und drücken auf <"OK". Wenn die Mail zusätzlich noch signiert war, öffnet sich außerdem ein Fenster, das Ihnen die Korrektheit der Signatur bestätigt.

  

  Wenn Sie diese mit <"OK" schließen, zeigt Ihnen PegasusMail die Nachricht in entschlüsselter Form an.

• reine Signaturprüfung:

  Öffnen Sie die empfangene signierte unverschlüsselte Mail. Drücken Sie die rechte Maustaste und wählen im Kontextmenü den Punkt Search for digital signature.

  

  Daraufhin erhalten Sie eine Meldung über die Gültigkeit der Signatur.

  

  Eine ausführliche Beschreibung aller Möglichkeiten finden Sie unter der bereits erwähnten QDPGP-Hilfe im Abschnitt Usage.

  

Klippen, Bugs und Wermutstropfen:

• Da die Entwicklung von PGP durch Network Associates (NAI) eingestellt wurde, ist die weitere Zukunft von PGP ungewiss. Seitens NAI wurden jedoch die Weiterpflege von Security Fixes zugesagt. Da PGP 7.03 ein relativ ausgereiftes Produkt ist, ist somit zumindest mittelfristig die Verschlüsselung von E-Mails unter PegasusMail sicher gestellt. GnuPG, der freie Nachfolger von PGP ist viel versprechend, jedoch noch nicht ganz ausgereift, insbesondere, was das graphische Interface betrifft. Längerfristig kann GnuPG hoffentlich PGP ersetzen.

• Sie sollten in jedem Fall nach der Installation und Konfiguration unbedingt das Zusammenspiel der drei Programme PegasusMail, PGP, und QDPGP im Selbstversuch, d.h. per Mail an Sie selbst, testen. Dasselbe gilt auch, wenn Sie eines der drei Programme neu installieren!

• Ein besonders unangenehmer Effekt entsteht, wenn Sie eine Mail scheinbar signiert versenden: Das kann z.B. passieren, wenn Sie Ihre Passphrase gar nicht oder falsch eingegeben haben oder wenn QDPGP nicht richtig installiert wurde.

  • Bei fehlender, also leerer Passphrase erhalten Sie zwar eine Fehlermeldung, Ihre Mail wird aber ohne Korrekturmöglichkeit als leere Mail verschickt. Sie sollten in diesem Fall die Frage PegasusMail Keep a copy? tunlichst bejahen, sonst müssen Sie Ihre Mail nochmals völlig neu verfassen!

  • Bei falscher, nicht leerer Passphrase ist es nicht ganz so schlimm: PegasusMail gewährt Ihnen dann immerhin noch eine zweite - allerdings letzte - Chance.

  • Bei Installationsfehlern von QDPGP erhalten Sie i.d.R. überhaupt keine Fehlermeldung. In diesem Fall werden Sie hoffentlich von Ihrem Adressaten informiert, dass Sie ihm soeben eine leere Mail geschickt haben. Vielleicht haben Sie aber das Pech, dass Ihre Empfänger die leeren Mails einfach löschen, dann stellen Sie den Fehler erst viel später fest!

• Der vom Verfasser dieses Artikels im April 2000 bei PegasusMail 3.12 entdeckte Security-Bug in PegasusMail ist leider in Version 4.01 immer noch vorhanden. Laut David Harris soll das Problem in Verion 4.02 behoben werden: Wenn Sie eine Mail vor dem Versenden über Message -> Save message ... als Draft zwischenspeichern

  

   

  

  und zu diesem Zeitpunkt die Option Encrypt sowie im dazugehörigen Fenster Message Encryption Options die Option Add digital signature aktiviert ist, speichert PegasusMail in der Draftdatei H:\*.pmo in einer Zeile KY:<Meine Passphrase> Ihre Passphrase im Klartext ab, wenn diese PegasusMail zu diesem Zeitpunkt bekannt ist!

  

  Bis zum Erscheinen von PegasusMail 4.02 gibt es daher nur zwei Möglichkeiten: Sie müssen strikt entweder auf die Passwortpufferung oder auf die Verwendung von Drafts verzichten!

• Leider ist es um Geschwindigkeit und Stabilität von PegasusMail vor allem wenn Sie von Ingolstadt aus mit dem IMAP-Protokoll auf Ihre Mailbox auf dem IMAP-Server zugreifen möchten, auch nicht zum Besten bestellt. Während beispielsweise der Netscape Messenger 4.78 auch große Mailfolder auf dem IMAP-Server praktisch verzögerungsfrei anzeigen kann, dauert es unter PegasusMail i.d.R. mehrere Sekunden. Außerdem gibt es unter PegasusMail 4.01 zumindest bei IMAP-Nutzern aus Ingolstadt deutlich mehr Fehlermeldungen (Probleme beim Anzeigen der Folder etc.) als unter Netscape. Dies ist ausgesprochen schade, da PegasusMail 4.01 ansonsten eigentlich ein gutes Produkt ist. Ein weiterer Nachteil von PegasusMail 4.01 gegenüber Netscape 4.78 ist, dass Sie unter Netscape von mehreren PCs aus gleichzeitig auf Ihren IMAP-Folder zugreifen können, während PegasusMail dies per Warnmeldung unter Androhung einer Mailfolderzerstörung massivst verbietet.

• Es ist nicht anzuraten, Kopien Ihres privaten Schlüssels auf zu vielen Rechnern zu halten! Wenn Sie nicht der einzige Nutzer Ihres PCs sind, sollten Sie unbedingt Ihre Schlüsselringe unter H:\Pmail aufbewahren und die lokalen Schlüssel unter C:\Programme\Network Associates\PGP for Windows 2000\PGP Keyrings\ löschen.

• Per Default-Einstellung, d.h. wenn Sie bei Ihren Postausgangsoptionen unter Tools -> Options -> Outgoing Mail -> Sending Mail die Box Send enclosures instead of attachments deaktiviert haben,
  

  versendet PegasusMail das eigentliche Mailanschreiben sowie alle Attachments als jeweils separate Nachrichten. Das gilt selbstverständlich auch, wenn Sie Mails und Attachments verschlüsseln oder/und signieren.

  

   

  

  Vor dem Signieren überprüft nun QDPGP jede dieser Einzelnachrichten (d.h. Anschreiben und Attachments!), ob es sich um eine ASCII-Datei oder um ein Binärfile handelt. Dazu wird in den ersten 50 Zeichen der Einzelnachricht nach Binärzeichen gesucht. Erweiterte ASCII-Zeichen wie die deutschen Umlaute und das "ß" zählen dabei auch als Binärzeichen! Alle als binär angesehenen Einzelnachrichten werden von QDPGP ASCII-ARMORED , d.h. komprimiert und in eine spezielle ASCII-Form konvertiert, signiert und anschliessend versandt. QDPGP informiert Sie über diese Armierung.

  

  Der Empfänger erhält nun z.B. zwei Mails: Das signierte Anschreiben, dessen Echtheit er wie oben im Abschnitt reine Signaturprüfung beschrieben überprüfen kann, sowie das armierte (da binäre Datei) und signierte Attachment.

  

   

  

  Wenn der Empfänger nun das Attachment mit dem Bild glimpse-eye.jpg per Doppelklick öffnen will, sieht er nur kryptische Zeichen und wird enttäuscht sein. Das funktioniert leider so nicht, da die Datei zuerst zurückkonvertiert werden muss. Dazu speichert er die Datei durch Anhängen der weiteren Endung .pgp ab (also unter dem Namen glimpse-eye.jpg.pgp).

  

   

  

  Anschließend kann er den Windows Explorer starten und die abgespeicherte Datei doppelklicken, worauf PGP automatisch startet, die Datei rückkonvertiert und sie unter dem Namen glimpse-eye.jpg im selben Verzeichnis abspeichert. Ein Fenster PGPlog öffnet sich und bestätigt die Korrektheit der Signatur.

  Danach kann glimpse-eye.jpg vom Empfänger (Explorer-Doppelklick) betrachtet werden.

  

• Das Verhalten von QDPGP bei Multipartmessages (d.h. wenn Sie bei Ihren Postausgangsoptionen unter Tools -> Options -> Outgoing Mail -> Sending Mail die Box Send enclosures instead of attachments aktiviert haben) ist analog.

• Achtung: Nur wenn Ihr Empfänger PGP installiert hat, kann er Ihre Binär-Attachments decodieren und in ihrer ursprünglichen Form abspeichern! Dasselbe gilt auch (s.o.) für scheinbar ganz normale Text-Mails mit deutschen Umlauten! Diese werden u.U. auch ASCII-armiert und müssen vom Empfänger decodiert werden! Fatal, wenn dieser kein PGP einsetzt und Ihre Nachricht kommentarlos wegwirft! Wenn Sie daher automatisch Ihre Mails signieren, sollten Sie unbedingt deutsche Umlaute meiden! Alternativ dazu können Sie die Armierung zeitweise ausschalten. Dann werden aber binäre Attachments nicht mehr korrekt übertragen!

Nutzung von PegasusMail/PGP/QDPGP in den Computerpools der KU:

In den bisherigen Abschnitten des Artikels wurde die Installation, Konfiguration und Nutzung von PegasusMail 4.01, PGP 7.03 und QDPGP 2.68 auf Ihrem lokalen Arbeitsplatzrechner beschrieben.

In den Computer-Pools der KU werden alle drei Softwareprodukte in den beschriebenen Versionen mit dem nächsten PC-Software-Klon installiert und vorkonfiguriert. Sie können dann dort PegasusMail/PGP/QDPGP direkt nutzen. Sie müssen lediglich mit PGP Ihren öffentlichen und privaten Schlüsselbund (die Dateien pubring.pkr und secring.skr) erzeugen und anschließend in Ihr Mailverzeichnis (H:\Pmail) kopieren. Wenn Sie dann PegasusMail gestartet haben, müssen Sie nur noch das PGPkeys -Icon anklicken, und im PGPkeys-Fenster Ihr eigenes Schlüsselpaar markieren und über Keys -> Set as Default Key zu Ihrem Standardschüssel machen und das Fenster schließen. Selbstverständlich können Sie außerdem, wenn Sie mit unseren Standardeinstellungen in den Pools nicht zufrieden sind, diese für die Dauer Ihrer PC-Sitzung abändern. Dann steht einer sicheren Kommunikation per E-Mail nichts mehr im Wege.

Eine noch detailliertere Beschreibung der Nutzung von PGP unter PegasusMail würde aufgrund der Vielzahl aller Features den Rahmen dieses Artikels völlig sprengen. Wenn Sie noch mehr darüber erfahren möchten, möchte ich Sie auf die Security-Kurse des Rechenzentrums hinweisen, die alljährlich im Wintersemester in Ingolstadt (8.11.2002 und 15.11.2002) angeboten werden. Wenn Sie als Leser es wünschen, ist der Autor auch gerne bereit, zusätzlich auch in Eichstätt einen weiteren Security-Kurs anzubieten. Setzen Sie sich dann bitte mit ihm in Verbindung.

Literatur:

Ausführliche schriftliche Dokumentationen zum Thema PegasusMail/PGP/QDPGP finden Sie unter folgenden URLs:

http://www1.ku-eichstaett.de/urz/install/pgp.pdf (ausführliche Beschreibung des URZ zu Installation, Konfiguration und Nutzung von PGP und QDPGP unter PegasusMail 4.01)

http://www1.ku-eichstaett.de/urz/install/pmail.pdf (ausführliche Installations- und Konfigurationsbeschreibung des URZ von PegasusMail 4.01)

http://www.helmbold.de/pgp/index.htm (didaktisch und inhaltlich sehr gute und detaillierte Beschreibung von PGP)

http://members.tripod.com/~grt/help.html (gute Beschreibung von QDPGP, leider nicht immer zur aktuellen Version, zur Zeit ist der Link leider tot, dieselben Informationen stehen aber auch in der QDPGP-Hilfe!)

http://www.pmail.com/ (Informationen zu PegasusMail)

http://www1.ku-eichstaett.de/urz/inkuerze/2_00/pgp.html (Artikel über die Zertifizierung von PGP-Schlüsseln)