PGP unter Linux: Ein erster Schritt

Dieser Text behandelt die wichtigsten Befehle beim Einrichten und Arbeiten mit PGP unter besonderer Berücksichtigug der in Deutschland sehr weit verbreiteten SuSE-Distribution. Abgesehen von der Installation unter YaST sollte es bei der eigentlichen Anwendung keine Probleme geben. Dieser Text hat nicht die Aufgabe, die Vor- und Nachteile verschiedener Verschlüsselungsprogramme bzw. Implementierungen abzuwägen. Für genauere technische Anleitungen siehe die manpages von PGP,
file:/usr/share/doc/packages/pgp/HTML_german sowie
http://www.nai.com/default_pgp.asp

1. Installation von PGP Hier gibt es zwei Alternativen:
   • Via YaST: Das Paket heißt pgp und liegt in der Serie sec auf CD 2. Achtung, nicht mit gpg, der GNU-Variante des Programms, verwechseln. Das Programm macht zwar im Prinzip das Gleiche, ist wegen der konsequenteren Offenlegung der Sourcen auch eigentlich die bessere Lösung, unterscheidet sich aber etwas in der Handhabung. Außerdem weiß ich nicht genau, wie es mit dem Transport der Schlüssel zwischen den Programmen aussieht. Es sollte eigentlich gehen, aber ich bin jetzt zu faul, das groß auszuprobieren. Bei Bedarf bitte Email an mich, ich reiche die entsprechenden Sätze dann nach.
   • Download von
     http://www.pgpi.org/products/pgp/versions/freeware/unix/6.5.8/PGPcmdln_6.5.8.Lnx_FW.tar.gz
     Die jetzt folgende Beschreibung der Installation von Version 6.5.8 sollte bei allen künftigen Versionen nicht allzu anders verlaufen. Voraussetzung ist, dass sich keine alte PGP-Version auf dem System befindet. Grundsätzlich spricht natürlich nichts dagegen, mehrere Versionen parallel zu installieren, aber dann schlössen sich hier noch umständliche Betrachtungen an, wie man die alte Version lokalisiert und die neue konfliktfrei hinzufügt. Da sich die Mehrzahl der Anwender wohl nur für die jeweils aktuelle Ausgabe interessiert, überlasse ich die Behandlung von Spezialfällen anderen.

     Heiße die heruntergeladene Datei PGPcmdln_6.5.8.Lnx_FW.tar.gz. Dann lauten die weiteren Schritte wie folgt:

     • tar xfvz PGPcmdln_6.5.8.Lnx_FW.tar.gz
     • Auf der Platte befinden sich jetzt mehrere Dateien, unter anderem die Datei PGPcmdln_6.5.8_Lnx_FW.tar.gz. Beachte den feinsinnigen Unterschied im Dateinamen. Diese Datei heißt ganz ähnlich und ist auch beinahe so lang wie die Ursprungsdatei. Der Sinn der ganzen Übung bestand hauptsächlich darin, eine Anleitung zum weiteren Auspacken zu bekommen. Betrachten wir die an solchen Stellen normalerweise einsetzende Diskussion über die verschiedenen Installationsphilosophien als stattgefunden und wenden uns den ausgepackten Dateien zu. Der nächste Befehl lautet
       tar xfvz PGPcmdln_6.5.8_Lnx_FW.tar.gz
     • Nun wurde ein Verzeichnis pgp-6.5.8 erzeugt. Da die jetzt kommenden Schritte PGP systemweit aufrufbar machen, sind hierfür root-Rechte vonnöten.
     • cd pgp-6.5.8 OK, das geht auch noch als User, aber jetzt:
     • cp man/man1/pgp.1 /usr/local/man/man1
     • mkdir -p /usr/share/doc/packages/pgp/doc
     • cp docs/* /usr/share/doc/packages/pgp/doc
     • chmod -R go+r /usr/share/doc/packages/pgp/doc
     • cp pgp /usr/local/bin
     • Genug Gott gespielt. Ab jetzt geht's wieder mit normalen Nutzerrechten weiter. Für neugierige Naturen: Mit der angegebenen Befehlsfolge kopiert man sich die man-Seiten von pgp ins richtige Verzeichnis, ebenso die etwas ausführlichere Dokumentation, die der Sicherheit halber noch für alle lesbar gemacht wird. Schließlich kopiert der letzte Befehl pgp in ein Standardverzeichnis, aus dem er systemweit abrufbar ist. Eine kleine Anmerkung: Dieses Vorgehen funktioniert nicht unter absoluter Garantie. Die meisten SuSE-Installationen dürften aber so aussehen, dass man hiermit Erfolg hat. Ansonsten Mail an mich.
2. Im Idealfall hat man auf einer Messe einen zertifizierten Schlssel erzeugt. Für den privaten Gebrauch ohne zentrale Zertifizierungsinstanz reicht es natürlich auch, unter Aufsicht einen privaten Schlüssel erzeugt und auf Diskette kopiert zu haben. Auf der Diskette befinden sich jetzt mehrere Dateien. Wichtig sind vor allem pubring.pkr und secring.skr. Diese enthalten den öffentlichen sowie den eigenen geheimen Schlüssel. Angenommen, diese Dateien befinden sich unter /floppy/mykeys.
   • pgp -ka /floppy/mykeys/secring.skr Öffentlicher als auch privater Schlüssel befinden sich jetzt im Schlüsselring.
   • Mit pgp -ke MeineID kann man jetzt seine persönlichen Daten auf die übernommenen anpassen. Hierzu braucht man das Passwort, mit dem der private Schlüssel gesichert wurde.
3. pgp -kv sollte jetzt einen auf den eigenen Namen ausgestellten default signing key anzeigen. Wobei wir gleich beim nächsten Punkt wären:
4. Die wichtigsten PGP-Befehle:
   • pgp -h zeigt einen kurzen Hilfetext an.
   • Einen public key in den eigenen Schlüsselring aufnehmen: Um eine Signatur zu prüfen oder einer Person eine verschlüsselte Mail zu schicken, brauchst Du den public key der betreffenden Person. Diesen hat man normalerweise in Form einer Datei vorliegen. Um diese Datei auf Schlüssel zu untersuchen und diese in den Schlüsselring¹ aufzunehmen, gibt man pgp -ka dateiname ein und befolgt die Anweisungen. Wenn man sich bei einem Schlüssel absolut sicher ist, dass er wirklich zur betreffenden Person gehört (und das weiß man im Zweifelsfall nur dann, wenn diese Person den public key persönlich ausgehändigt und sich identifiziert hat), kannst man ihn mit pgp -ks Nutzername seinerseits gegenzeichnen. Damit kann man künftig nicht nur den eigenen sondern auch noch die unterzeichneten public keys weiter geben, und der Empfänger kann mit großer Wahrscheinlichkeit davon ausgehen, dass die unterzeichneten keys echt sind -- selbst wenn er deren Besitzer nie persönlich getroffen hat. Hier wird jetzt auch klar, warum man mit dem Unterzeichnen so vorsichtig sein muss. Sollte sich der unterzeichnete key als falsch herausstellen, leidet die Glaubwürdigkeit des Unterzeichners. Zur Klarheit: Allein weil ein Schlüssel per Email eingetroffen oder von einer Website heruntergeladen wurde, muss er noch nicht echt sein. Solange nicht wenigstens telefonisch die fingerprints² geprüft wurden, kann man die Schlüssel zwar benutzen, sollte aber keinesfalls mit dem eigenen Namen für deren Echtheit bürgen. Den Fingerprint sieht man übrigens mit pgp -kvc Nutzername.
   • Signieren einer Mail: Hierbei stellt man sicher, dass eine Mail nur vom angeblichen Verfasser kommen kann. Sie wird dabei noch nicht verschlüsselt, lediglich mit einer Prüfsumme versehen, anhand derer Manipulationen festgestellt werden können. Zum Signieren braucht man die zu signierende Textdatei und den eigenen private key. Mit
     pgp -s dateiname
     erzeugt man eine Datei dateiname.pgp, in der sich die Signatur befindet. Man könnte nun die Originaldatei und deren Signatur als Attachments verschicken. Bei Binärdateien wie Word-Texten oder Bitmap-Grafiken macht dies auch Sinn. Hantiert man aber mit reinen Texten, wie unter zivilisierten Menschen beim Mailversand üblich, ist das Hantieren mit Attachments erstens unhandlich und zweitens fehlerträchtig. Zu leicht können sich irgendwo ein Zeilenwechsel oder ein Freizeichen einschleichen, die zu einer anderen Prüfsumme und falschem Alarm führen. Aus diesem Grund gibt es eine Möglichkeit, Originaltext und Signatur in eine Datei zu packen und zusätzlich den Bereich zu kennzeichnen, auf den sich die Signatur bezieht:
     pgp -sta dateiname.
     Wie beim Verschlüsseln einer Mail hat die Option -a hier den Sinn, die Ausgabe in 7-Bit-ASCII zu kodieren und damit einen fehlerfreien Mailversand zu gewährleisten.
   • Überprüfen einer Signatur: Man braucht hierzu den public key des Senders und die signierte Datei. Mit pgp dateiname.pgp überprüft man, ob die digitale Unterschrift und die signierte Datei zusammenpassen.
   • Verschlüsseln einer Datei: Man braucht hierzu den public key des Empfängers und die zu verschlüsselnde Datei. Mit
     pgp -ea Dateiname
     erzeugt man eine Datei Dateiname.asc, die den verschlüsselten Text enthält. Die Option -a ist nicht unbedingt nötig. Sie erzeugt nur eine ASCII statt einer binären Ausgabe. Für den Mailversand ist diese Option allerdings sinnvoll, weil 7-Bit-ASCII immer sauber übertragen wird, was man bei anderen Formaten nicht immer garantieren kann.
   • Entschlüsseln einer Datei: Man braucht hierzu die verschlüsselte Datei, den eigenen private key und das dazugehörige Passwort. Mit
     pgp dateiname
     startet man den Entschlüsselungsvorgang.