Installation
Klicke 2x mit der Maus auf die Archivdatei im Explorer, danach startet automatisch die Installation von PGP 5/6
Nach der Installation befinden sich im Startmenü mehrere Einträge:
Installationsanleitung zum parallelen Gebrauch von PGP 6.0 for Business Security und PGPdisk 2.0
Wenn man RSA-Keys bis 4096 bit verwenden möchte und eine, um bestehende Sicherheitslecks bereinigte, PGPdisk Version, benötigt man:
PGP 6.0.2 Desktop Security RSA
PGP 6.0 for Business Security
PGP 2.6.3 in
- Zuerst erzeugt man mit der PGP 2.6.3 in seine RSA-Keys mit gewünschter Länge
- Anschließend wird die PGP 6.0.2 mit PGPdisk installiert.
- Aus den folgenden Verzeichnissen die aufgeführten Dateien mit Pfad (z. B. mit Winzip) sichern:
PGP60 Verzeichnis:
PGPdisk.cnt
PGPdisk.exe
PGPdisk.hlp
PGPdiskResident.exe
Windows Verzeichnis:
PGPmemlock.vxd
Windows\System Verzeichnis:
PGP60cl.dll
PGP60hk.dll
PGP60mn.dll
PGPsdkNL.dll
PGPsdkUI.dll
Windows\System\Iosubsys Verzeichnis:
PGPdisk.pdr
- anschließend die PGP 6.0.2 wieder deinstallieren und dabei darauf achten, daß alle Dateien in den Verzeichnissen gelöscht sind, aber nicht die Anagben in der Registry (also mit Deinstallatiosprogrammen aufpassen)
- jetzt die PGP 6.0 Version mit PGPdisk installieren
- die zuvor gesicherten Dateien in die ursprünglichen Verzeichnisse installieren und bestehende Dateien der PGP 6.0 Version überschreiben.
Wichtig ist, daß die Datei "PGP60sc.dll" im Windows\System Verzeichnis erhalten bleibt.
PGPtray
legt PGP als Trayicon in der unteren rechten Ecke der Startleiste ab.
Über einen linken oder rechten Mausklick auf das PGPtray Icon öffnet sich das Kommandomenü in dem folgende Funktionen aufgerufen werden:
- Optionen einstellen (PGP Preferences)
- PGPkeys zur Schlüsselverwaltung aufrufen
- Schnellstartbuttonleiste (PGPtools)
- PGPdisk zur Verwaltung verschlüsselter Containerdateien (ab PGP 6.0 for Business Security)
- Verschlüsseln, Signieren, Entschlüsseln und Überprüfen des Clipboardinhaltes
PGPkeys
Über PGPkeys öffnet sich ein Fenster, das den gesamten Inhalt des Pubrings anzeigt und in dem alle Kommandos zur Schlüsselverwaltung ausgeführt werden können, d.h. darüber wird auf den Public Key und Secret Key Ring zugegriffen und Keys erzeugt, exportiert, signiert, ausgeschaltet, versendet und geholt.
Die Veränderung der Anzeige erreicht man durch Auswahl des Menüpunktes "Keys "und dann "Select Columns", bei PGP 6 über "View" und der direkten Auswahl der Spalten.
Die zu verwendenden Anzeigespalten:
ADK |
handelt es sich um einen CMRK-Public Key mit Drittkeyverschlüsselung, wird dies durch einen roten Warnknopf angezeigt (Wichtig !), Keys ohne Vertrauens- und Authentizitätsparameter erscheinen mit grauem Knopf, mit diesen Parametern versehen mit einem grünen Knopf
|
Creation Date |
Datum der Schlüsselerzeugung |
Expiration Date |
Gültigkeitsdauer des Keys |
Description |
Typ (RSA/DH/DSS), Art (Public Key, Signatur, User-ID), Status (exportierbar, außer Funktion) |
Key ID |
"Identifikationsnummer" des Keys |
Size |
Keylänge in Bits |
Trust |
Grad der Vertrauensstufe |
Validity |
Grad der Gültigkeit/Authentizität |
PGPadmin
mit dem zu den Business Security Versionen von PGP 5.5 und 5 gehörenden PGPadmin kann eine Einzelbenutzerversion (PGP Clientversion) erstellt und bis ins Detail vorkonfiguriert werden.
Detailierte Informationen zu den Konfigurations- und Einschränkungsmöglichkeiten finden sich im Kapitel
Abschaffung der Privacy bei PGP 5/6
und die Diskussion um GAK, CMRK, ARR, MRK
PGPtools
PGPtools stellt eine Schnellstartleiste zur Verfügung über die
- PGPkeys aufgerufen
- eine Datei verschlüsselt (encrypt) & entschlüsselt (decrypt)
- eine Datei signiert (sign) & und überprüft (verify)
- eine Datei verschlüsselt & signiert
- eine Datei gelöscht (wipe)
- der freie Speicherplatz einer Partition oder Festplatte mit Freespace Wipe gelöscht und überschrieben
wird
PGPdisk
mittels PGPdisk kann eine durch CAST/SHA-1 verschlüsselte und mit einer Passphrase gesicherte Containerdatei ("Dateiname.pgd") erstellt werden, die als virtuelles Laufwerk geladen (mount) oder entladen (unmount) wird und als solches im geladenen Zustand für alle Dateioperationen genutzt werden kann. Wird die Containerdatei entladen, verschlüsselt PGPdisk die gespeicherten Inhalte der Containerdatei und das virtuelle Laufwerk verschwindet aus der Liste der verfügbaren Laufwerke.
Die gleichen Funktionen sind auch direkt über ein Explorerkontextmenü verfügbar, wenn die Containerdatei im Explorer ausgewählt wird.
PGP Explorerkontextmenü
Im Explorerkontextmenü zu einer Datei (Aufruf über Markieren der Datei und 1xMKrT) findet sich der Eintrag "PGP", über den man direkt PGP-Operationen durchführen kann.
Dabei verändert sich der Eintrag gemäß dem Dateityp.
Möglichkeiten
»Dateiname.asc« - eine Datei entschlüsseln und/oder Signatur überprüfen ("Decrypt/Verify")
PGP 2.6.3> pgp Datei.asc/Datei.pgp |
»Dateiname.xyz« - die Datei verschlüsseln ("Encrypt"),
PGP 2.6.3> pgp -e Datei.xyz Empfänger-User-ID |
signieren ("Sign")
PGP 2.6.3> pgp -s Datei.xyz Eigene-User-ID |
oder beides zusammen ("Encrypt and Sign")
PGP 2.6.3> pgp -es Datei.xyz Empfänger-User-ID Eigene-User-ID |
»Pubring.pkr/Secring.skr« - dem Keyring einen Key hinzufügen ("Add Key")
PGP 2.6.3> pgp -ka Datei-mit-Key lw:\pfad\pubring.pgp |
löschen und überschreiben ("Wipe")
über den Eintrag "PGPdisk" können die Funktionen zur Verwaltung einer PGPdisk Containerdatei ("Dateiname.pgd") aufgrufen werden:
- PGPdisk laden/entladen (Mount/Unmount PGPdisk)
- Passphrase hinzufügen (Add Passphrase), ändern (Change Passphrase) oder entfernen (Remove Passphrase)
- Public Key, für den die PGPdisk verschlüsselt wird hinzufügen/entfernen (Add/Remove Public Keys)
PGP einrichten oder "Was und wie kann ich alles bei PGP einstellen ?"
Nach der Installation von PGP folgen nun die ersten Einstellungen
Aufruf über 1xMK auf das PGPtrayicon, Menüpunkt "PGP Preferences"
GENERAL
Encryption and Signing Preferences
Always encrypt to default Key
bei 2.6.3 wird dazu in die Datei config.txt der Eintrag "EncryptToSelf=on" gesetzt, was bedeutet, daß eine Datei, Text o.a. nicht nur mit dem Public Key des Empfängers, sondern zusätzlich noch mit dem eigenen Public Key verschlüsselt wird.
Der Absender kann dann nachträglich, ebenso wie der Empfänger, die verschlüsselte E-mail wieder entschlüsseln.
Beipiel
Eine verschlüsselte E-mail wurde versendet. Tage später schreibt der Empfänger, bei der Übermittlung sei ein Fehler aufgetreten, er könne den Text nicht entschlüsseln.
Da der Absender sehr viele E-mails versendet, kann er sich nicht mehr erinnern, wer der Empfänger eigentlich ist, geschweige denn, um was es eigentlich ging. In dem Fall kann der Absender die aufbewahrte E-mail aus dem Outboxfolder seines E-mail Programmes heraussuchen und nach Eingabe seiner Passphrase wieder entschlüsseln, so daß der originale Text zur weiteren Bearbeitung wieder vorliegt.
* wenn sichergestellt werden kann, daß niemand den eigenen Secret Key erhalten kann, sollte man diese Funktion aktivieren.
|
Anmerkung
Wenn der Standard Public Key des Absenders ein DSS/DH-Key, der Empfängerkey aber ein RSA-Key ist, wird PGP bei einer Verschlüsselung die Warnung ausgeben, die besagt, daß der Empfänger, wenn er nicht PGP 5/6 benutzt, sondern eine 2.6.X Version, die E-mail nicht entschlüsseln kann - und so ist es auch
Kompatibilität
Cache...passphrase for...seconds
Bedeutet, daß nach der ersten Eingabe der Passphrase, diese bis zu 300 Sekunden lang im Arbeitsspeicher gehalten wird, so daß während dieses Zeitraums bei einer weiteren Entschlüsselung oder Signierung die Passphrase von PGP automatisch verwendet wird.
Vorsicht: In dieser Zeitspanne sollte der PC nicht unbeaufsichtigt gelassen und PGP ordentlich beendet werden, damit die Passphrase nicht eventuell in der Swapdatei verbleibt oder ein Unbefugter die Entschlüsselung vornehmen kann.
* Sicherheitshalber sollte hier die Option eingeschaltet, die Zeit aber auf 1 Sekunde gesetzt werden, da ansonsten die Passphrase auf der Festplatte oder im Arbeitsspeicher rekonstruierbar ist.
Show recipients when encrypting to marginally valid Keys(PGP 5.5.X)
Bedeutet, daß PGP eine Warnmeldung ausgibt, wenn bei der Verschlüsselung ein Public Key benutzt wird, dessen Vertrauensgrad ("Trust") nur als geringfügig eingestuft ist. Es gibt: "nicht", "geringfügig" und "voll vertrauenswürdige" Public Keys. Normalerweise sind alle Public Keys solange als nicht vertrauenswürdig einzustufen, solange man sich nicht persönlich davon überzeugt hat, daß der Public Key wirklich dem User XY gehört.
* kann eingeschaltet werden, da informativ, allerdings sieht man den Trust/Validity Grad schon im Keyauswahlfenster.
Meines Wissens arbeitet diese Funktion nicht.
Key Generation Preferences
Faster Key generation
Betrifft die Erzeugung von DSS/Diffie-Hellmann Keys, deren Länge fest vorgegeben ist.
Bei der Errechnung des Schlüsselpaars bei diesen Längen wird ein im voraus berechneter Satz von Primzahlen benutzt, um die Geschwindigkeit zu erhöhen.
* sollte abgeschaltet werden
File Wiping Preferences
Display wipe confirmation dialog/Warn before wiping
PGP besitzt eine eingebaute Dateilösch- und überschreibungsfunktion, wobei der Dateiname an sich in einem Verzeichnis immer noch rekonstruierbar bleibt.
Wird diese Option aktiviert, fordert PGP eine Bestätigung ein, bevor eine Datei überschrieben wird.
Number of passes
hier kann eingestellt werden, wie oft der Inhalt einer zu löschenden Datei überschrieben wird, möglich sind 1 bis 32 Durchgänge.
Zum Thema File Wiping siehe auch
Nachteile und Sicherheitsrisiken von PGP 5/6 gegenüber PGP 2.6.3
In diesem Menü werden die Pfade zum Pubring und Secring angegeben
Möglichkeiten
a) Beide liegen im PGP-Verzeichnis auf der Festplatte
Am praktischsten, aber auch am unsichersten, da jederzeit auf den privaten Schlüsselbund zugegriffen werden kann.
b) Beide liegen auf einem Wechselmedium (z. B. Diskette)
Am sichersten, nachteilig wirkt sich aus, daß ein Dateizugriff im Explorer parallel zu einem Zugriff auf das Floppylaufwerk führt, da PGP auch im Explorer integriert ist.
Also muß die PGP-Diskette ständig im Laufwerk liegen.
c) Pubring auf Festplatte, Secring auf Wechselmedium
Sicher, da der Secring auf dem Wechselmedium untergebracht ist, nur der Zugriff auf den Pubring ist gegeben.
Bei Dateioperationen im Explorer findet ein Zugriff auf das Floppylaufwerk nur statt, wenn im Kontextmenü PGP angewählt wird.
Bei PGP 2.6.3 werden dazu in der Datei config.txt die Enträge
PubRing = "LW:\pubring.pgp"
SecRing = "LW:\secring.pgp"
benutzt
Neben Optionen für alle E-mail Programme stehen hier Optionen die nur E-mail Programme betreffen, für die ein PGP Plug-In existiert, wie Qualcomm's EUDORA, Microsoft's OUTLOOK und EXCHANGE, Macintosh's CLARIS.
Für OUTLOOK (EXPRESS) gibt es ein Plugin, in PGP 6 ist es schon enthalten.
Eine anschauliche Einführung für EUDORA Benutzer gibt es bei Kryptographie und Datenschutz im Internet - Wie benutze ich PGP ?
Für CLARIS müßte ein Macuser etwas schreiben, da ich nicht mit einem Mac arbeite.)
Use PGP/MIME when sending email
Betrifft E-mail Programme, für die ein PGP 5.X Plug-In existiert und die die MIME Implementation von PGP unterstützen.
Ist diese Option aktiviert, muß bei diesen Programmen die PGP/MIME Funktion nicht mehr aktiviert werden.
In diesem Fall werden E-mails automatisch ver- / entschlüsselt und signiert.
* Voraussetzung für einen sinnvollen Einsatz ist die Unterstützung des PGP/MIME Standards auf der Empfängerseite, die zur Zeit generell noch nicht gegeben ist.
Word wrap clear-signed messages at column...
Damit wird eingestellt, ab welcher Breite der Zeilenumbruch der PGP Signatur bei E-mails erfolgen soll, die unverschlüsselt versendet, aber mit einer PGP-Signatur versehen werden.
* Am besten, man stellt die für Postings und E-mails allgemein empfohlene Länge von "75" ein, oder gleicht die PGP Einstellung für den Zeilenumbruch mit dem Wert, den man im E-Mailprogramm verwendet, an.
Manche E-Mailprogramme brechen den Text während des Verfassens der Nachricht am rechten Rand des Textfensters um und nicht nach einer voreingestellten Länge.
Der eigentliche Zeilenumbruch findet dann erst vor, bzw. bei der Versendung statt.
Verschlüsselt oder signiert man diesen Text, kann durch den nachträglichen Umbruch die Signatur oder der gesamte verschlüsselte Text so zerstückelt werden, daß der Empfänger die message nicht entschlüsseln oder die Signatur nicht überprüfen kann.
Encrypt new mesages by default
alle E-mails werden immer an den Empfänger verschlüsselt, so lange ein Public Key des Empfängers vorhanden ist.
Für E-mailprogramme, die den PGP/MIME Standrad und die PGP Plug-Ins unterstützen.
Sign new messages by default
alle Postings und E-mails werden immer signiert.
Für E-mailprogramme, die den PGP/MIME Standrad und die PGP Plug-Ins unterstützen.
Automatically decrypt/verify when opening messages
Wird eine PGP verschlüsselte E-mail geöffnet, wird sie, wenn gleichzeitig das caching der Passphrase eingestellt ist, automtaisch entschlüsselt, bzw. die enthaltene Signatur geprüft.
Für E-mailprogramme, die den PGP/MIME Standrad und die PGP Plug-Ins unterstützen.
Hier werden die Keyserver eingetragen, die benutzen werden, um
- Public Keys zu verbreiten
- geänderte Public Keys auf dem Keyserver abzugleichen
- Rückzugsurkunden kompromittierter Public Keys zu veröffentlichen
- Public Keys zu bekommen oder zu suchen
- Public Keys zu löschen (betrifft nur die Keys auf dem NAI eigenen Certification Server)
Da sich das Format der PGP 5/6 Keys von dem der PGP 2.6.X Versionen unterscheiden, muß man verschiedene Keyserver benutzen:
Es gibt PGP 5/6 kompatible Keyserver, die über das WWW benutzt werden und am Port 11371 oder 389 "lauschen".
Nähere Informationen und Zugriffsmöglichkeiten erhält man über das
PGP.NET oder geht von hier auf die Seite WWW-Keyserverinterfaces zum Keymanagement
Daneben kann gibt es auch Keyserver wie z. B. pgp-Public-Keys@informatik.uni-hamburg.de, die per E-mail bedient werden.
Eine E-mail mit dem Subject: HELP ohne Body sendet Dir z. B. den Hilfetext des Keyservers zu.
Diese Keyserver sind jedoch auf RSA-Keys spezialisiert und nehmen keine DSS/DH-Keys an.
Keyverbreitung
PGP 6 bietet ein erweitertes Keyservermenü, über das einige Konfigurationseinstellungen vorgenommen werden können:
Über den Button Edit wird ein Keyserver näher spezifiziert:
Server Information
Protocol:
- HTTP
Keys werden über das Hypertext Transfer Protocol versendet.
- LDAP (Lightweight Directory Access Protocol)
Keys können über ein spezielles Verzeichniszugriffs- und Suchprotokoll
nach bestimmten Kriterien gesucht werden.
Keys die versendet werden, werden in einer Verzeichnisstruktur gespeichert.
- LDAPS
gleiches Protocol wie oben, zusätzlich wird die Kommunikation zum Keyserver über die PGP eigene SSL Implementation TLS (Transport Layer Security) verschlüsselt und authenifiziert.
Über LDAPS kann man neben der Keysuche und -versand, nach Ausweisung über den eigene Key, auch eigene Keys selbst auf dem Keyserver deaktivieren oder löschen.
Der PGP 6 kompatible Keyserver ldaps://certserver.pgp.com ist z. B. so konfiguriert.
Server name:
hier wird der Domainnamen oder die IP-Adresse des Keyserver eingetragen
Port:
- 11371 für HTTP-Keyserver
- 389 für LDAP(S)-Keyserver
Server Key:
Key eines LDAPS-Keyservers, der zur Authentifizierung einer Verbindung benutzt wird
Serves keys for Domain:
- Any Domain:
Keys jeder Domain der Key E-mail Adresse werden an diesen Keyserver gesendet
- zweites Feld:
Nur Keys mit einer speziellen Domain der Key E-mailadresse werden an diesen Keyserver versendet (z.B. bei Angabe somewhere.de werden nur Keys mit E-mailadressen, die @somewhere.de enthalten, an den Keyserver versendet)
List in search window
bei Aktivierung der Checkbox wird der Server im Menü Server Send to und Search aufgeführt
Synchronize with server upon
Encrypting with unknown keys
soll an einen Empfänger eine Nachricht verschlüsselt werden, dessen Public Key sich nicht im Pubring befindet, wird der Public key vom Keyserver angefordert.
(wie immer das auch funktionieren soll, wenn sowieso nur Empfänger im Keyauswahlfenster ausgewählt werden können, deren Key auch im Pubring vorhanden sind)
Signing keys
wenn ein Key signiert werden soll, wird zuerst der Keyserver nach der aktuellsten Version des Public Keys abgefragt, bzw. überprüft, ob der betreffende Public Key nicht in der Zwischenzeit zurückgezogen wurde.
Nach Download des aktuellen Keys und Update des Pubrings, wird dieser, mit der Signatur versehen, an den Keyserver gesendet.
Adding names/photos/revokers
bevor eine zusätzliche User-ID, ein Foto oder ein Designated Revoker einem Public Key hinzugefügt wird, wird die Aktualität des Public Keys mit dem Keyserver abgeglichen, um zu verhindern, daß die Zusätze nicht zu einem bereits zurückgezogenen Key erfolgen.
Revocation
bevor die Revocation eines Public Keys erzeugt werden kann, wird der Public Key erneut vom Keyserver angefordert, um zu verhindern, daß die Revocation für einen bereits zurückgezogenen Key ausgestellt wird.
Verification
wenn eine Datei/Nachricht entschlüsselt oder deren Signatur überprüft wird und es finden sich Signaturen von Public Keys, die im lokalen Pubring nicht vorhanden sind, werden die fehlenden Public Keys automatisch vom Keyserver angefordert.
Encryption
im Feld "Enabled algorithms" werden die Verschlüsselungsalgorithmen CAST, Triple-DES und IDEA aktiviert, die benutzt werden sollen, um Dateien oder Texte konventionell zu verschlüsseln, oder die bei der Public Keyerzeugung und späteren Benutzung herangezogen werden können.
Welcher Algorithmus letztendlich benutzt wird, legt man über den "Preferred algorithm" (zu bevorzugenden Algorithmus) fest.
Bei der Keyerzeugung wird dem Public Key eine Zusatzinformation beigefügt, welchen Algorithmus das PGP Programm des späteren Absenders benutzen soll, wenn es den Public Key des Empfängers zur Verschlüsselung anwendet.
DH Keys können CAST, Triple-DES oder den IDEA Algorithmus enthalten
RSA Keys können nur mit dem IDEA Algorithmus arbeiten.
Aus diesem Grund ist es wichtig, wenn man einen RSA Key erzeugen will, vorher IDEA als bevorzugten Algorithmus anzugeben.
Auch aus Kompatibilitätsgründen ist es angebracht, zwar alle Algorithmen zu aktivieren, als bevorzugten Algorithmus aber stets IDEA einzutragen.
Kurzinfos zu den verwendeten Algorithmen
Alle drei Algorithmen operieren mit 64-bit Datenblöcken und PGP verwendet sie im 64-bit cipher feedback (CFB) Modus.
CAST
wurde nach seinen Erfindern Carlisle Adams und Stafford Tavares, die ihn für die Northern Telecom (Nortel) entwickelt haben, benannt.
CAST ist ein freier, schnell arbeitender A. mit einer Keygröße von 128-bit, der noch nicht so lang und gut untersucht ist wie IDEA.
Triple-DES
Der freie DES (Data Encryption Standard) wurde von IBM in den 70er Jahren entwickelt und hat eine Keygröße von 56-bit.
Bei dem seit einigen Jahren untersuchten Triple-DES Algorithmus werden drei unterschiedliche Keys dreimal auf einen Datenblock angewendet, so daß sich eine Gesamtkeygröße von 168-bit ergibt, die effektive Keystärke, bezogen auf einen Angriff soll bei 112-bit liegen.
IDEA
Der International Data Encryption Algorithm (IDEA) wurde von James L. Massey und Xuejia an der ETH in Zürich entwickelt und 1990 veröffentlicht und von PGP seit dem Anfang verwendet.
IDEA ist gegenüber der differentiellen und linearen Kryptoanalyse mehr resistent als DES.
Die Keygröße liegt bei 128-bit, die Lizenz an IDEA bei der Firma Ascom Systec.
Trust Model
Display Marginal Validity Level
Über diese Option wird unter der Spalte "Validity" (Gültigkeit) der Grad der Authentizität, die man einem Key zubilligt, entweder in Form verschiedenfarbiger Knöpfe/Rauten oder verschiedenschraffierter Balken angezeigt.
Treat Marginally Valid Keys as Untrusted
außer Funktion
Warn When Encrypting Keys to keys with an ADK
außer Funktion, man sieht nur, daß der ADK-Key zusätzlich im Keyauswahlfenster erscheint und mit einem kleinen, gelben Schloßsymbol versehen ist.
Export Format
Compatible
bei dem Export eines Public Keys aus dem Pubring (und speichern als Datei) wird ein Dateiformat verwendet, das zu den vorherigen PGP Versionen kompatibel ist.
Diese Option sollte immer aktiviert sein mit der Ausnahme, daß bekannt ist, daß der Empfänger ebenfalls PGP 6 benutzt.
Complete
bei dem Export eines Public Keys aus dem Pubring (und speichern als Datei) wird das PGP 6 Dateiformat verwendet, das auch Angaben zu Foto-IDs und Designated Revokers enthält und nicht kompatibel zu vorherigen PGP Versionen ist.
|