Email Sicherheit?!?

[X] => 1

aber auch nur deshalb, weil ich mich in der materie (noch) nicht auskenn.....

hat wer nen link, wo mir geholfen wird????

tia

gabs so einen thread nicht schon mal? mir fallt leider nicht mehr ein, wie er heißt.

ich habs signieren aufgegeben, weil ich dauernd emails erhalten habe, wo meine gegenüber bedauert haben, dass sie meine signaturen nicht mit word öffnen konnten. das aber wirklich jedem zu erklären wird auf die dauer alt.

Zitat von COLOSSUS

Ich signiere, weil ich mir unter keinen Umstaenden etwas in den Mund legen lassen moechte, was ich nicht sagen wuerde, und weil ich gerne kryptographisch nachverfolgbar zu dem stehe, was ich sage.

genau hier sehe ich aber ein problem von pgp. (pretty good privacy)
was hindert mich daran, einen gmx account auf deinen namen auszustellen und dann mit gpgp zu signieren? fürn empfänger macht es keinen unterschied solange es keine darüberliegende instanz gibt, die deine identität begläubigt. imho wiegt man sich hier in einer trügerischen sicherheit.

Zitat von Smut

genau hier sehe ich aber ein problem von pgp. (pretty good privacy)
was hindert mich daran, einen gmx account auf deinen namen auszustellen und dann mit gpgp zu signieren? fürn empfänger macht es keinen unterschied solange es keine darüberliegende instanz gibt, die deine identität begläubigt. imho wiegt man sich hier in einer trügerischen sicherheit.

Zum signieren brauchst du ja eine Passphrase, also das sollte nicht möglich sein. Ich glaube der (einzige?) Schwachpunkt an PGP ist, dass man nur relativ mühsam nachprüfen kann, ob der Key wirklich einer bestimmten Person, Unternehmen, etc. gehört. Aber im Prinzip genügt ja ein Anruf.

Ad Sendebestätigung: Sollte nicht jeder richtig konfigurierte Mailserver schreien, wenn er eine Mail nicht versenden kann?

Zitat von jives

Ad Sendebestätigung: Sollte nicht jeder richtig konfigurierte Mailserver schreien, wenn er eine Mail nicht versenden kann?

sollen ja... aber wenns der client verhunzt oder der mailserver gerade streikt/komisch ist. is bei mir letzte woche blöd zusammengefallen, dass ich nicht wirklich nachvollziehen kann an wen es gelegen ist (os-update und gmail-server-fail gleichzeitig)

@ smut: naja man muss dem unerfahrenen anwender dann halt einmal hinweisen wo der richtige public liegt und dass er nie einen anderen verwenden soll... aber jaja das problem bei der ganzen sache liegt eindeutig auf der userseite.
trotzdem: wenn schon kein missbrauch ganz ausgeschlossen werden kann, kann man immerhin den schaden eingrenzen und zumindest nachvollziehen was jetzt "real" ist und was fake. ist ja auch schonmal was im falle der fälle.

Sie soll man unerfahrenen Anwendern ein Web of Trust erklären? Ich wüsste nicht wie...die meisten sind schon mit dem normalen E-Mail-System überfordert.
Selbst wenn es jemand verstehen würde, wär die Sicherheit trotzdem nicht gegeben, weil (wie smut schon erklärt hat) eine Identität ganz leicht fälschbar ist.
Die Gläubiger, welche deine Identität bestätigen sind nämlich selbst _keine_ vertrauenswürdigen Stellen.

VeriSign vs. Hans Huber aus Untertupfing, CA-CERT vs. Karl Maier aus Karlsdorf 12...und da ist noch nicht gesagt, dass es diese Herren wirklich gibt

Außerdem hindert mich ja nichts daran mehrere Adressen zu erstellen und diese gegenseitig zu bestätigen. Das ist nicht schwer und würde ganz schnell den Eindruck eines Freundeskreises vermitteln der sich gegenseitig begläubigt...würde nach außen wohl nichtmal einen Unterschied zu Colos PGP-Identität machen.

Deshalb ist das alles nur Kosmetik die weder sicher noch vertrauenswürdig ist. Ohne TTP (trustet third party) macht sowas keinen Sinn. Thawte war ein super mittelweg (und noch dazu gratis)...schade, dass das vorbei ist!

wo ist jetzt der fundamentale unterschied zwischen einer trusted third party bei s/mime und einem trusted signee bei gpg?

Zitat von EvilGohan

Deshalb ist das alles nur Kosmetik die weder sicher noch vertrauenswürdig ist. Ohne TTP (trustet third party) macht sowas keinen Sinn.

Das ist Unsinn. Weder ein Web of Trust noch eine Zertifizierungsstelle sind perfekt.

Ein Web of Trust kann man versuchen auszuhebeln, indem man mehrere sich gegenseitig authentifizierende Teilnehmer mimt - klar. Allerdings liegt es an jedem Benutzer selbst, die Staerke eines Teilnetzes zu bewerten. Wenn sich 13 Identitaeten untereinander beglaubigen, die alle innerhalb der selben halben Stunde erstellt wurden, sich entsprechend zeitnah beglaubigt haben, und auch keine Vertrauensstraenge nach auszerhalb ihres isolierten Netzes haben - tja, dann bin ich selber schuld, wenn ich auf dieser Basis allein einem User daraus meine vertraulichen Daten zukommen lassen. Um Vertrauenswuerdigkeit in einem Web of Trust zu gewaehrlisten, muss man auch schon mal nachdenken. Wenn es mir darum geht, dass ich eine digitale Identitaet mit einer realweltlichen Person eindeutig verknuepfen kann, dann arrangiere ich ein Treffen oder ein Telefonat, wobei er mir seinen Key Fingerprint bestaetigt - Sache erledigt.

Auch eine Zertfizierungsstelle (CA) ist nicht unangreifbar: Zertifikate und ganze CAs lassen sich, kommen nur genug unguenstige Faktoren zusammen, mit heutigem Stand der Technik faelschen. Schau mal, wie viele CAs ihre Root-Zertifikate immer noch mit MD5 signieren. Eine recht beeindruckende Rouge CA gab es vor nicht allzu langer Zeit auf einer Sicherheitskonferenz zu bewundern. Es koennte auch sein, dass der private Schluessel der CA unwissentlich in die falschen Haende geraet. Damit koennte man ebenfalls beliebige Identitaeten beglaubigen, und es gaebe nicht einmal Anhaltspunkte dafuer, dass irgendetwas nicht mit rechten Dingen zugeht - es sei denn, der tatsaechliche Eigentuemer des CA-Schluessel bemerkt irgendwie, dass eines der durch ihn augenscheinlich beglaubigten Zertifikate nie von ihm unterschrieben wurde.

Ich halte die Web-of-Trust-Variante unterm Strich fuer der zertifikatbasierten Variante ueberlegen: Bazaar > Cathedral.