GNU Privacy Guard
Vorbemerkung
GnuPG oder 'GPG' ('GNU P'rivacy 'G'uard, englisch für GNU-Projekt-Privatsphärenschutz) ist ein freies Kryptographiesystem, das zum Ver- und Entschlüsseln von Daten sowie zum Erzeugen und Prüfen elektronischer Signaturen dient.
Das Programm wird unter der GNU General Public License vertrieben. Es kann unter GNU/Linux, Mac OS X und diversen anderen Unix-Varianten sowie unter Microsoft Windows betrieben werden.
Ziele
GnuPG hat sich zum Ziel gesetzt, einer möglichst großen Benutzergruppe die Verwendung von kryptographischen Methoden zur vertraulichen Übermittlung von elektronischen Daten via Internet zu ermöglichen.
Dazu unterstützt GnuPG folgende Funktionen:
* Verschlüsselung von Daten (z.B. E-Mails), um vertrauliche Informationen an einen oder mehrere Empfänger zu übermitteln, die nur von den Empfängern wieder entschlüsselt werden können.
* Erzeugung einer Elektronischen Signatur über die versendeten Daten, um deren Authentizität und Integrität zu gewährleisten.
Beide Funktionen können kombiniert werden. In der Regel wird dabei zuerst die Signatur gebildet und an die Daten angehängt. Dieses Paket wiederum wird dann verschlüsselt an die Empfänger versandt.
Web of Trust
Mittels eines Web of Trust (Netz des Vertrauens) versucht PGP/GnuPG dem Problem zu begegnen, dass man sich persönlich meist nicht der Echtheit der Schlüssel aller Kommunikationspartner versichern kann. Benutzer können andere Schlüssel mit ihrem eigenen Schlüssel signieren und bestätigen Dritten damit, dass sie sich von der Echtheit des Schlüssels überzeugt haben.
Zudem kann man festlegen, wie sehr man den Signierungen der Person vertraut. Dadurch entsteht das beschriebene Vertrauensnetzwerk. Wenn Alice beispielsweise mit ihrer Signatur die Echtheit des Schlüssels von Peter bestätigt hat, kann Jens der Echtheit des Schlüssels von Peter auch dann trauen, wenn sie selbst sich davon nicht direkt überzeugen konnte, weil sie ihn beispielsweise aus dem Internet bezogen hat.
Voraussetzung dafür ist natürlich, dass sie den Schlüssel von Alice kennt und ihr vertraut. Es gibt einige Zertifizierungsstellen (engl. certification authority, CA), die die Echtheit von Schlüsseln beispielsweise durch persönlichen Kontakt mit Überprüfung des Personalausweises feststellen.
GnuPG setzt auf ein sogenanntes Asymmetrisches Kryptosystem. Das bedeutet, dass ein Schlüssel aus zwei Teilen besteht, dem privaten Schlüssel und dem öffentlichen Schlüssel.
Auf den privaten Schlüssel darf nur der Eigentümer Zugriff haben. Daher wird dieser in der Regel auch mit einem Passwort geschützt. Mit diesem können Daten entschlüsselt und signiert werden. Der öffentliche Schlüssel dient dazu, Daten zu verschlüsseln und signierte Daten zu überprüfen. Er muss jedem Kommunikationspartner zur Verfügung stehen, der diese beiden Aktionen durchführen will. Die Daten können mit dem öffentlichen Schlüssel weder signiert noch entschlüsselt werden, daher ist seine Verbreitung auch mit keinem Sicherheitsrisiko behaftet.
Funktionsweise
GPG verschlüsselt Nachrichten, indem es asymmetrische Schlüsselpaare verwendet, die von den GPG-Nutzern individuell erstellt wurden. Die so entstehenden öffentlichen Schlüssel können mit anderen Nutzern über eine Vielzahl von Kanälen ausgetauscht werden, z.B. Internet.
Sie sollten unbedingt sehr behutsam ausgetauscht werden, um Identitätsmanipulationen vorzubeugen, da öffentliche Schlüssel bzw. Identitätsübereinstimmungen mit dem originären Eigentümer des Schlüssels gefälscht werden können. GPG kann nur feststellen, ob die Daten mit einem bestimmten Schlüssel signiert bzw. verschlüsselt wurden. Ob der Schlüssel selbst vertrauenswürdig ist, muss der Anwender entscheiden, schließlich kann jeder einen Schlüssel mit den Angaben fremder Anwender erstellen und ihn auf einen Keyserver laden.
Einen aus dem Internet geladenen Schlüssel sollte man also mit größerer Vorsicht behandeln. Zur Überprüfung kann man sich etwa den Fingerabdruck (Hash-Wert), den jeder Schlüssel mit sich tragen sollte, vom vermuteten Eigentümer des Schlüssels z.B. am Telefon vorlesen lassen.
Unterstützung durch das BMWA
Die Entwicklung von GnuPG wurde vom Bundesministerium für Wirtschaft und Arbeit (BMWA) und Bundesministerium des Innern (BMI) im Rahmen der Aktion „Sicherheit im Internet“ unterstützt , um eine frei verfügbare Verschlüsselungssoftware für jedermann zur Verfügung zu stellen. Inzwischen ist die Unterstützung ausgelaufen.
Download
Die Software kann über diese Seite bezogen werden: Download
Installationspakete für GPG für Windows: http://gpg4win.de/ Gpg4win
Der Große Bruder: Umfassender Überblick zu OpenPGP:
http://dergrossebruder.org/miniwahr/20060930000000.html
