QSC ist jetzt q.beyond. Weitere Infos in unserer Pressemitteilung.
Publiziert am 27. Januar 2016 von unter: ,

Ende-zu-Ende-Verschlüsselung massentauglich machen

Key on Computer Chip --- Image by © Corbis

Key on Computer Chip. Image by © Corbis

Keine Frage: Kryptographie im Allgemeinen und die Funktionsweise von Verschlüsselungssoftware im Besonderen sind komplexe Themen, die beim interessierten Nutzer viele Fragen aufwerfen. Schließlich trifft hier schwer greifbare, moderne Technik auf die sensiblen Bereiche Privatsphäre und Vertrauen.

An dieser Stelle möchte FTAPI häufig aufkommende Fragen beantworten und erklären, warum wir Dinge so machen, wie wir sie machen. Unter anderem gehen wir auf das Verhältnis zu Open-Source-Software und die Hindernisse ein, die einer massentauglichen Verschlüsselung im Weg stehen.

Warum ist die Verschlüsselung mittels PGP oder S/MIME noch nicht massentauglich?  

PGP und S/MIME sind zwei hervorragende Möglichkeiten für versierte Nutzer und Unternehmen mit entsprechenden Infrastrukturen, verschlüsselt per E-Mail zu kommunizieren. Sie haben nur einen Haken: Der manuelle Aufwand für die Einrichtung beim User ist hoch. PGP und S/MIME sind für Laien daher nur schwer bedienbar und bringen einige Probleme mit sich:

  • Die vergleichbar hohe Komplexität von PGP und S/MIME hemmt deren Verbreitung. Das liegt primär am aufwändigen Schlüsselmanagement, das i.d.R. vom Anwender selbst umgesetzt werden muss. Dadurch bleibt der Nutzerkreis klein, was den breiten Einsatz erschwert und im professionellen Bereich zudem intensive Wartung und Schulungen voraussetzt. Selbst wenn die Mitarbeiter eines Unternehmens also eine der Lösungen beherrschen, muss die Gegenseite sie ebenfalls verlässlich verwenden – in der Regel ist das nicht der Fall. Solange PGP und S/MIME nicht einfacher zu handhaben sind, werden sie nur einen sehr geringen Teil der E-Mail-Kommunikation abdecken.
  • Darüber hinaus sind beide Lösungen nur bedingt für den Einsatz auf mobilen Endgeräten geeignet, was den Anforderungen der modernen Arbeitswelt zuwiderläuft und Verbreitung sowie Akzeptanz weiter schwächt. Obwohl das Internet von Anfang an eine herausragende technologische Idee war, hat erst die Einführung des Netscape Navigators – einer Software zur einfachen Bedienung – für den Durchbruch gesorgt. Genauso verhält es sich mit sicherer Ende-zu-Ende-Verschlüsselung.

FTAPI geht davon aus, dass es zukünftig unterschiedlichste Ansätze zur verschlüsselten Kommunikation geben wird. Daher planen wir auch Lösungen, die PGP und S/MIME unterstützen, um unseren Anwendern die Möglichkeit zu geben, auch über diese Standards zu kommunizieren.

Was muss passieren, damit Ende-zu-Ende-Verschlüsselung massentauglich wird?

Die durchgehende Verschlüsselung wird sich nur dann etablieren, wenn sie für die Nutzer nahezu unbemerkt erfolgt, diese also in keiner Weise einschränkt. Das ist unsere Vision: Wir wollen Ende-zu-Ende-Verschlüsselung massentauglich machen, deshalb setzen wir bei der Entwicklung von FTAPI-Produkten auf eine ausgewogene Balance aus Sicherheit und Einfachheit.

Jeder von uns bemerkt, wie sich moderne Kommunikation durch das Internet verändert hat. Es gibt aber noch keine etablierte Lösung, die das wichtige Thema E-Mail ganzheitlich in die Zukunft trägt und so den kommunikativen Alltag erleichtert.

Um diesem Anspruch gerecht zu werden, hat sich FTAPI entschlossen, einen neuen Weg zu gehen, der auf bewährte Verfahren setzt und diese gezielt so miteinander kombiniert, dass Einfachheit und Sicherheit sich nicht mehr einander ausschließen. Unsere Software ermöglicht unter anderem den Versand verschlüsselter Nachrichten mit theoretisch beliebig großen Anhängen, ohne dass der Benutzer seine E-Mail-Adresse ändern oder auf seine gewohnten E-Mail-Programme verzichten muss.

Alle Bestandteile der FTAPI-Software verwenden sichere und weit verbreitete Standards wie AES-256, RSA-4096 und HTTPS. Sie setzt zudem auf praxiserprobte Komponenten und Bibliotheken wie zum Beispiel Bouncy Castle.

FTAPI sieht seine eigene Rolle nicht darin, neue Verschlüsselungsalgorithmen zu entwickeln, vielmehr kombinieren wir die besten Verfahren so miteinander, dass sie massentauglich werden. Damit wollen wir Lösungen schaffen, die jeder von uns ohne Vorkenntnisse in seinen Arbeitsalltag integrieren kann.

So funktioniert die Verschlüsselung der FTAPI-Software

Die Nachricht wird zusammen mit allen Anhängen – ähnlich wie bei PGP – mit einem zufällig erzeugten 256-Bit Schlüssel mit AES (CBC-Mode) verschlüsselt.

Der AES-Schlüssel wird daraufhin mit dem Public-Key des Empfängers und RSA-4096 verschlüsselt.

Anschließend werden der verschlüsselte AES-Schlüssel und die verschlüsselte Nachricht an den Server weitergeleitet. Diese Übermittlung wird zusätzlich durch HTTPS abgesichert. Die Zustellung der Nachricht erfolgt Ende-zu-Ende-verschlüsselt. Das bedeutet: weder die Nachricht noch der AES-Key verlassen das Endgerät des Versenders unverschlüsselt.

Erst der Empfänger ist schließlich in der Lage mit dem nur ihm bekannten Private-Key zunächst den AES-Key und anschließend die eigentliche Nachricht wieder zu entschlüsseln.

Sicherstellen, dass die Public Keys dabei nicht kompromittiert werden

Der Schlüsseltausch und die Verifikation zählen zu den großen Herausforderungen im Zusammenhang mit Ende-zu-Ende-verschlüsselter Kommunikation und diese sind aus FTAPI-Sicht bis dato noch von keinem System oder Protokoll massentauglich gelöst.

Dazu gehört zum einen, dass sich der Besitzer ausreichend „ausweist“, um zu verifizieren, dass er auch wirklich die reale Person ist, die er zu sein vorgibt. Zum anderen muss sichergestellt werden, dass der öffentliche Schlüssel, der zu der jeweiligen Person gehört, nicht verändert wurde.

Für Vodafone Secure E-Mail wenden wir zum Beispiel folgendes Verfahren an: Um eine E-Mail verschicken zu können, benötige ich einen Secure-Email-Account. Der Benutzer gibt hier seine E-Mail-Adresse ein, die anschließend durch einen Aktivierungslink verifiziert wird. Sobald dann ein öffentlicher Schlüssel angefragt wird, erfolgt dies ausschließlich über HTTPS.

Zudem gibt der Benutzer bei der Registrierung seine Telefonnummer an, die zur erfolgreichen Durchführung der Registrierung mittels Eingabe eines SMS-Token verifiziert werden muss. Das Hosting der Server mit Standort Deutschland in einem ISO-27001-zertifizierten Rechenzentrum bietet zusätzliche Sicherheit.

Lassen sich weitere Verfahren zur Identifizierung in FTAPI-Lösungen integrieren?

Momentan testet FTAPI weitere Optionen. Unter anderem geht es darum, neue Möglichkeiten, die sich rund um soziale Netzwerke entwickeln, zu nutzen. Facebook-Profile lassen durch bestimmte Merkmale Rückschlüsse auf den Trustlevel von Profilen zu.

Auf diese Weise lassen sich auch virtuelle Identitäten mit einem Public-Key verknüpfen. Ob sich diese Verfahren auch in einem professionellen Umfeld einsetzen lassen, prüfen wir gerade. FTAPI ist sicher, dass solche und ähnliche Ansätze in Zukunft mehr und mehr klassische Verfahren wie zum Beispiel Postident ergänzen werden.

Darüber hinaus testet die FTAPI-Entwicklungsabteilung momentan Verfahren aus dem Bereich Web-of-Trust. Zusätzlich prüfen wir die Integration von S/MIME-Signaturen sowie verschiedene Möglichkeiten der Direktauthentifizierung.

Warum wir die Clients nicht einfach Open Source stellen

Derzeit sind Code-Reviews, die wir unseren Geschäftskunden zur Verfügung stellen, in Verbindung mit Audits durch Kryptographie-Experten die bessere Lösung. Das ist ein gängiges Verfahren, vor allem, wenn Unternehmen die Entscheidung treffen, unsere Lösung zur sensiblen Kommunikation einzusetzen.

Durch die starke Verbreitung unseres Systems und die damit verbundenen neuen Nutzergruppen könnte sich dies in Zukunft aber auch ändern. Grundsätzlich stehen wir dem Open-Source-Gedanken aufgeschlossen gegenüber.

 

Weitere Informationen:

 

Drucken

Kommentare

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

*

Um die Diskussionsqualität zu wahren, veröffentlichen wir nur noch Kommentare mit nachvollziehbarem Vor- und Nachnamen sowie authentischer E-Mail-Adresse.