Verwendung von GPG zum Verschlüsseln und Signieren von Nachrichten

Um dieses Problem zu umgehen, stützt sich GPG auf ein Sicherheitskonzept, das als Verschlüsselung mit öffentlichem Schlüssel bezeichnet wird. Die Idee ist, dass Sie die Verschlüsselungs- und Entschlüsselungsstufen der Übertragung in zwei separate Teile aufteilen können. Auf diese Weise können Sie den Verschlüsselungsabschnitt frei verteilen, solange Sie den Entschlüsselungsabschnitt sichern.

Dies würde eine einseitige Nachrichtenübertragung ermöglichen, die von jedem erstellt und verschlüsselt werden kann, jedoch nur vom angegebenen Benutzer (der mit dem privaten Entschlüsselungsschlüssel) entschlüsselt werden kann. Wenn beide Parteien öffentliche / private Schlüsselpaare erstellen und sich gegenseitig ihre öffentlichen Verschlüsselungsschlüssel geben, können sie beide Nachrichten untereinander verschlüsseln.

In diesem Szenario hat jede Partei ihren eigenen privaten Schlüssel und den öffentlichen Schlüssel des anderen Benutzers.

Ein weiterer Vorteil dieses Systems ist, dass der Absender einer Nachricht die Nachricht mit ihrem privaten Schlüssel „signieren“ kann. Mit dem öffentlichen Schlüssel des Empfängers kann überprüft werden, ob die Signatur tatsächlich vom angegebenen Benutzer gesendet wird.

Sie müssen eine Möglichkeit haben, Ihr Schlüsselpaar für den Fall einer Sicherheitsverletzung oder für den Fall, dass Sie Ihren geheimen Schlüssel verlieren, ungültig zu machen. Mit der GPG-Software ist dies auf einfache Weise möglich.

Dies sollte erfolgen, sobald Sie das Schlüsselpaar erstellt haben, nicht, wenn Sie es benötigen. Dieser Widerrufsschlüssel muss vorab generiert und an einem sicheren, separaten Ort aufbewahrt werden, falls Ihr Computer kompromittiert oder nicht funktionsfähig ist. Geben Sie zum Generieren eines Widerrufsschlüssels Folgendes ein:

Sie werden aufgefordert, die Erstellung des Widerrufsschlüssels zu bestätigen und anschließend aufgefordert, den Grund für den Widerruf anzugeben. Diese Informationen sind für andere Benutzer sichtbar, wenn der Widerruf in Zukunft verwendet wird. Sie können eine der verfügbaren Optionen auswählen. Da dies jedoch im Voraus erfolgt, sind Ihnen die Details nicht bekannt. Häufig empfiehlt es sich, für jedes der wahrscheinlichen Szenarien ein Sperrzertifikat zu erstellen, um maximale Flexibilität zu erzielen.

Anschließend werden Sie aufgefordert, einen Kommentar abzugeben und die Auswahl zu bestätigen. Vor dem Erstellen des Widerrufszertifikats müssen Sie die Passphrase Ihres GPG-Schlüssels eingeben, um Ihre Identität zu bestätigen. Das Widerrufszertifikat wird in die durch das Flag "+ - output " angegebene Datei geschrieben (in unserem Beispiel " revocation.crt +"):

Sie sollten die Berechtigungen für die generierte Zertifikatdatei sofort einschränken, um unbefugten Zugriff zu verhindern:

Das Widerrufszertifikat muss sicher aufbewahrt werden, damit andere Benutzer Ihren Schlüssel nicht widerrufen können. Wie in der Nachricht angegeben, sollten Sie in Betracht ziehen, das Zertifikat auf anderen Computern zu sichern und auszudrucken, sofern Sie es ordnungsgemäß sichern können.

Woher wissen Sie, dass die Person, die Ihnen den öffentlichen Schlüssel gibt, so ist, wie sie sich ausgibt? In einigen Fällen kann dies einfach sein. Möglicherweise sitzen Sie mit geöffneten Laptops direkt neben der Person und tauschen die Schlüssel aus. Dies sollte ein ziemlich sicherer Weg sein, um festzustellen, dass Sie den richtigen, legitimen Schlüssel erhalten.

Aber es gibt viele andere Umstände, unter denen ein solcher persönlicher Kontakt nicht möglich ist. Möglicherweise kennen Sie die Gegenpartei nicht persönlich oder sind durch physische Entfernung voneinander getrennt. Wenn Sie niemals über unsichere Kanäle kommunizieren möchten, kann die Überprüfung des öffentlichen Schlüssels problematisch sein.

Glücklicherweise können Sie, anstatt die gesamten öffentlichen Schlüssel beider Parteien zu überprüfen, einfach den von diesen Schlüsseln abgeleiteten „Fingerabdruck“ vergleichen. Dies gibt Ihnen eine angemessene Sicherheit, dass Sie beide dieselben öffentlichen Schlüsselinformationen verwenden.

Sie können den Fingerabdruck eines öffentlichen Schlüssels abrufen, indem Sie Folgendes eingeben:

Dies führt zu einer viel besser handhabbaren Zahlenfolge zum Vergleichen. Sie können diese Zeichenfolge mit der Person selbst oder mit einer anderen Person vergleichen, die Zugriff auf diese Person hat.

Durch das Signieren eines Schlüssels wird Ihrer Software mitgeteilt, dass Sie dem Schlüssel vertrauen, den Sie erhalten haben, und dass Sie überprüft haben, ob er der betreffenden Person zugeordnet ist.

Geben Sie zum Signieren eines importierten Schlüssels Folgendes ein:

Wenn Sie den Schlüssel unterschreiben, bestätigen Sie, dass Sie der Person vertrauen, die sie zu sein vorgibt. Dies kann anderen Menschen bei der Entscheidung helfen, ob sie dieser Person ebenfalls vertrauen. Wenn Ihnen jemand vertraut und sieht, dass Sie den Schlüssel dieser Person unterschrieben haben, ist es wahrscheinlich, dass diese Person auch ihrer Identität vertraut.

Sie sollten zulassen, dass die Person, deren Schlüssel Sie signieren, von Ihrer vertrauenswürdigen Beziehung profitiert, indem Sie den signierten Schlüssel an sie zurücksenden. Sie können dies tun, indem Sie Folgendes eingeben:

Sie müssen Ihre Passphrase erneut eingeben. Anschließend wird der von Ihnen signierte öffentliche Schlüssel angezeigt. Senden Sie ihnen dies, damit sie bei der Interaktion mit anderen von Ihrem „Gütesiegel“ profitieren können.

Wenn sie diesen neuen, signierten Schlüssel erhalten, können sie ihn importieren und die von Ihnen generierten Signaturinformationen in ihre GPG-Datenbank einfügen. Sie können dies tun, indem Sie Folgendes eingeben:

Sie können jetzt anderen Menschen beweisen, dass Sie darauf vertrauen, dass ihre Identität korrekt ist.

Sie können Nachrichten mit dem Flag „–encrypt“ für GPG verschlüsseln. Die grundlegende Syntax wäre:

Dies verschlüsselt die Nachricht mit dem öffentlichen Schlüssel des Empfängers, signiert sie mit Ihrem eigenen privaten Schlüssel, um sicherzustellen, dass sie von Ihnen kommt, und gibt die Nachricht in einem Textformat anstelle von unformatierten Bytes aus. Der Dateiname ist der gleiche wie der eingegebene Dateiname, jedoch mit der Erweiterung "+ .asc +".

Sie sollten einen zweiten "-r" -Empfänger mit Ihrer eigenen E-Mail-Adresse angeben, wenn Sie die verschlüsselte Nachricht lesen möchten. Dies liegt daran, dass die Nachricht mit dem öffentlichen Schlüssel jeder Person verschlüsselt wird und nur mit dem zugehörigen privaten Schlüssel entschlüsselt werden kann.

Wenn es also nur mit dem öffentlichen Schlüssel des anderen Teilnehmers verschlüsselt wäre, könnten Sie die Nachricht nicht erneut anzeigen, es sei denn, Sie hätten irgendwie dessen privaten Schlüssel erhalten. Wenn Sie sich selbst als zweiten Empfänger hinzufügen, wird die Nachricht zwei Mal verschlüsselt, einmal für jeden Empfänger.

Wenn Sie eine Nachricht erhalten, rufen Sie einfach GPG in der Nachrichtendatei auf:

Die Software fordert Sie bei Bedarf dazu auf.

Wenn Sie anstelle einer Datei die Nachricht als Rohtext-Stream haben, können Sie sie kopieren und einfügen, nachdem Sie "+ gpg +" ohne Argumente eingegeben haben. Sie können "STRG-D" drücken, um das Ende der Nachricht zu kennzeichnen, und GPG entschlüsselt sie für Sie.