Differences

This shows you the differences between two versions of the page.

--- devop:krypto [2025/10/30] – external edit (Unknown date) 127.0.0.1
+++ devop:krypto [2026/07/10] (current) – hayati
@@ Line 3: / Line 3: @@
 ====== Kryptografie ======
-===== Grundbegriffe =====
+===== Grundbegriffe+ =====
   * [[https://de.wikipedia.org/wiki/Vertraulichkeit|Vertraulichkeit]]: Unbefugte können nicht mitlesen
   * [[https://de.wikipedia.org/wiki/Integrit%C3%A4t_(Informationssicherheit)|Integrität]]: Nachricht ist unverändert
   * [[https://de.wikipedia.org/wiki/Authentizit%C3%A4t|Authentizität]]: Urheber/Autor der Nachricht steht eindeutig fest
-  * Schlüsselaustausch: sensibler Prozess. Oft wird extra Kanal zum Austausch von Schlüsseln bzw zur Verifikation der Echtheit verwendet - um einen [[https://de.wikipedia.org/wiki/Man-in-the-Middle-Angriff|man-in-the middle]] auszuschließen
+  * Schlüsselaustausch: ist ein sensibler Prozess. Oft wird ein extra Kanal zum Austausch von Schlüsseln bzw zur Verifikation der Echtheit verwendet - um einen [[https://de.wikipedia.org/wiki/Man-in-the-Middle-Angriff|man-in-the middle]] auszuschließen. Ein extra Kanal kann z.B. ein Telefon sein. Bei PGP/GPG Schlüsseln wird der öffentliche Schlüssel noch "normal" übertragen. Allerdings wird dieser dann über den [[https://en.wikipedia.org/wiki/Public_key_fingerprint|Fingerprint]] (einem Hash-Wert bzw Prüfsumme) am Telefon oder gar im echten Leben bei direktem persönlichem Kontakt verifiziert. Findet ein Kontakt im echten Leben statt, so kann man sich ggf. auch die Ausweise zeigen lassen und die Identität prüfen (siehe [[https://de.wikipedia.org/wiki/Keysigning-Party|Keysigning-Party]]).
+  * Selbst mit Integritäts- und Authentizitäts-Garantien können Nachrichten "verloren" gehen! Ganze E-Mails könnten auf dem Transportweg abgefangen werden. Das wäre vergleichbar mit ungeöffneten Briefen, die auf dem Postweg anhand der Adresse heraussortierbar sind.
   * [[https://de.wikipedia.org/wiki/Anonymit%C3%A4t|Anonymität]]: aus einer (verschlüsselten) Nachricht kann keinerlei Rückschluss auf den Autor geschlossen werden. Bei 2 (zwei) verschiedenen Nachrichten desselben Autors kann dies nicht festgestellt werden
@@ Line 15: / Line 15: @@
   * [[https://de.wikipedia.org/wiki/Leitungsverschl%C3%BCsselung|Transport-Verschlüsselung]]: der Transport zwischen relevanten Servern ist geschützt. Der Betreiber eines Servers kann mitlesen!
-  * [[https://de.wikipedia.org/wiki/Ende-zu-Ende-Verschl%C3%BCsselung|Ende-zu-Ende Verschlüsselung]]: auch Server Betreiber können NICHT mitlesen
+  * [[https://de.wikipedia.org/wiki/Ende-zu-Ende-Verschl%C3%BCsselung|Ende-zu-Ende Verschlüsselung]]: auch Server Betreiber können NICHT mitlesen. ACHTUNG: ohne völlig transparente Schlüsselverwaltung können verschiedene Messenger mitlesen, weil sie im Besitz der Schlüssel sind! Auch wenn sie [[https://de.wikipedia.org/wiki/Ende-zu-Ende-Verschlüsselung|E2EE]] versprechen, wird die Kommunikation praktisch nur Transport-verschlüsselt! Dem Betreiber einer Webseite oder App, die vermeintlich E2EE anbietet, sollte/müsste man soweit vertrauen, dass der private Schlüssel niemals an diesen übertragen wird. Schwierig! Spätestens, wenn Nachrichten von einem anderen Gerät entschlüsselt angezeigt werden, ohne dass man den privaten Schlüssel selbst manuell gespeichert und im anderen Gerät importiert hat .. ist klar, dass der Schlüssel DOCH beim Betreiber der Webseite/App gelandet ist!
+  * [[https://de.wikipedia.org/wiki/Symmetrisches_Kryptosystem|Symmetrische Verschlüsselung]]: alle Parteien einer Kommunikation haben denselben (geheimen) Schlüssel
+  * Ver- und Entschlüsselung erfolgt mit demselben geheimen Schlüssel zzgl dem Algorithmus
-  * [[https://de.wikipedia.org/wiki/Symmetrisches_Kryptosystem|Symmetrische Verschlüsselung]]: alle Parteien einer Kommunikation haben denselben (geheimen) Schlüssel
-    * Ver- und Entschlüsselung erfolgt mit demselben geheimen Schlüssel zzgl dem Algorithmus
   * Einfachste oder Pseudo-Verschlüsselungen, von denen abzuraten ist, wie u.a.:
-    * [[https://de.wikipedia.org/wiki/Leetspeak|Leetspeak]]
+      * [[https://de.wikipedia.org/wiki/Leetspeak|Leetspeak]]
-    * [[https://de.wikipedia.org/wiki/ROT13|ROT-13]]
+      * [[https://de.wikipedia.org/wiki/ROT13|ROT-13]]
   * [[https://de.wikipedia.org/wiki/Asymmetrisches_Kryptosystem|Asymmetrische Verschlüsselung]]: jede Partei hat ein Schlüsselpaar
-    * öffentlicher Schlüssel: kann und wird frei veröffentlicht. Es gibt auch öffentliche Verzeichnisse (Keyserver)
+      * öffentlicher Schlüssel: kann und wird frei veröffentlicht. Es gibt auch öffentliche Verzeichnisse (Keyserver)
-    * privater Schlüssel: wird nicht weitergegeben. Zugriff oft mit Kennwort geschützt
+      * privater Schlüssel: wird nicht weitergegeben. Zugriff oft mit Kennwort geschützt
-    * zur Vertraulichkeit wird eine Nachricht mit dem öffentlichen Schlüssel des Empfängers verschlüsselt
+      * zur Vertraulichkeit wird eine Nachricht mit dem öffentlichen Schlüssel des Empfängers verschlüsselt
-      * der Empfänger entschlüsselt mit seinem privaten Schlüssel
+        * der Empfänger entschlüsselt mit seinem privaten Schlüssel
-    * zur Integrität und Authentizität kann Sender die Nachricht mit seinem privaten Schlüssel signieren
+      * zur Integrität und Authentizität kann Sender die Nachricht mit seinem privaten Schlüssel signieren
-      * der Empfänger kann die mitgeschickte Signatur mit dem öffentlichen Schlüssel des Absenders verifizieren
+        * der Empfänger kann die mitgeschickte Signatur mit dem öffentlichen Schlüssel des Absenders verifizieren
-    * im Folgenden wird dieser Fall weiter erörtert
+      * im Folgenden wird dieser Fall weiter erörtert
   * "Nachrichten" können verschiedene Arten von Dokumenten sein:
-    * E-Mails
+      * E-Mails
-    * Dateien
+      * Dateien
-    * Texte (auf Webseiten)
+      * Texte (auf Webseiten)
   * Zentrale/hierarchische Schlüsselverzeichnisse, z.B. https/SSL, über [[https://de.wikipedia.org/wiki/Trustcenter|Trustcenter]]
   * [[https://de.wikipedia.org/wiki/Web_of_Trust|Web-of-Trust]]: durch Signieren des öffentlichen Schlüssels wird die Authentizität, ggf inkl Ausweis Kontrolle bekundet. Es entstehen selbstorganisierte Netze des Vertrauens. Siehe auch [[https://de.wikipedia.org/wiki/Keysigning-Party|Keysigning-Parties]].
+  * (PGP)[[https://de.wikipedia.org/wiki/Schlüsselserver|Keyserver]]: öffentliche Schlüssel können zusammen mit der E-Mail Adresse auf diese Schlüsselserver abgelegt werden. E-Mail Programme können diese Server (automatisch) prüfen, ob der angedachte Empfänger der Nachricht mglw einen PGP/GPG Schlüssel besitzt und so die Verschlüsselung vorschlagen oder automatisch aktivieren. Alternativ bzw ergänzend zur Ablage auf diesen Keyservern veröffentlichen Viele ihre Schlüssel auch auf ihrer Webseite - besonders investigative Journalisten können so ihren Hinweisgebern klar machen, dass man sie vertraulich und pseudonym kontaktieren kann.
+      * [[https://keys.openpgp.org/|https://keys.openpgp.org/]]
+      * [[https://keyserver.ubuntu.com/|https://keyserver.ubuntu.com/]]
+      * [[https://keybase.io/|https://keybase.io/]]
+      * siehe auch [[https://www.reddit.com/r/GnuPG/comments/ix2gdj/what_pgp_key_server_to_use/|Reddit: What PGP keyserver to use?]]
+  * GitHub als Keyserver: Software Entwickler können (den öffentlichen Teil) ihrer GPG Schlüssel auf ihren Account hochladen. Diese sind dann unter [[https://github.com/<USER/ACCOUNT|https://github.com/<USER/ACCOUNT]]>.gpg wie z.B. [[https://github.com/hayguen.gpg|https://github.com/hayguen.gpg]] für alle abrufbar.
 ===== Anwendungen =====
@@ Line 61: / Line 63: @@
   * [[https://web.de/|Web.de]]
   * [[https://mail.google.com/|GMail]]
 === PC Linux/Windows ===
@@ Line 69: / Line 70: @@
 === Browser ===
-Als Email Client wird die Web-Schnittstelle des E-Mail Anbieters, z.B. [[https://web.de/|web.de]] oder [[https://posteo.de/|posteo]], verwendet.
+Als Email Client wird die Web-Schnittstelle des E-Mail Anbieters, z.B. [[https://web.de/|web.de]] oder [[https://posteo.de/|posteo]], verwendet. Browser-Erweiterung (Add-On) [[https://mailvelope.com/de|Mailvelope]] erlaubt die lokale Ver- und Entschlüsselung auf dem eigenen Rechner - innerhalb des Browsers.
-Browser-Erweiterung (Add-On) [[https://mailvelope.com/de|Mailvelope]] erlaubt die lokale Ver- und Entschlüsselung auf dem eigenen Rechner - innerhalb des Browsers.
-In diesem Fall müsste man mMn dem E-Mail Provider soweit vertrauen, dass dieser [[https://mailvelope.com/de|Mailvelope]] korrekt einbindet - und einem Daten, Passwörter oder Schlüssel abgreift. Insbesondere das Sicherheits-Backup, welches auf [[https://web.de/|web.de]] teilweise zwingend notwendig ist, sehe ich persönlich sehr problematisch; siehe [[https://hilfe.web.de/sicherheit/pgp/verschluesselte-kommunikation-einrichten.html|Web.de Verschlüsselte Kommunikation einrichten]].
-Auf [[https://posteo.de/|posteo]] ist ein solcher Schritt nicht notwendig.
+In diesem Fall müsste man mMn dem E-Mail Provider soweit vertrauen, dass dieser [[https://mailvelope.com/de|Mailvelope]] korrekt einbindet - und einem KEINE Daten, Passwörter oder Schlüssel abgreift. Insbesondere das Sicherheits-Backup, welches auf [[https://web.de/|web.de]] teilweise zwingend notwendig ist, sehe ich persönlich sehr problematisch; siehe [[https://hilfe.web.de/sicherheit/pgp/verschluesselte-kommunikation-einrichten.html|Web.de Verschlüsselte Kommunikation einrichten]]. Auf [[https://posteo.de/|posteo]] ist ein solcher Schritt nicht notwendig.
 === Android / Smartphone ===
 Email Client [[https://k9mail.app/|K9]] zzgl. [[https://www.openkeychain.org/|OpenKeyChain]]
 === Unverschlüsselt ===
@@ Line 91: / Line 88: @@
 === Threema ===
-Siehe https://threema.ch/de/faq/why_secure
+Siehe [[https://threema.ch/de/faq/why_secure|https://threema.ch/de/faq/why_secure]]
 Empfehlung! Obwohl kommerziell.
 === Signal ===
-Lt. https://support.signal.org/hc/de/articles/360007318911-Woher-wei%C3%9F-ich-dass-meine-Kommunikation-vertraulich-ist
+Lt. [[https://support.signal.org/hc/de/articles/360007318911-Woher-wei%C3%9F-ich-dass-meine-Kommunikation-vertraulich-ist|https://support.signal.org/hc/de/articles/360007318911-Woher-wei%C3%9F-ich-dass-meine-Kommunikation-vertraulich-ist]] " Signal ist darauf ausgelegt, niemals sensible Informationen zu sammeln oder zu speichern. Nachrichten und Anrufe in Signal können weder von uns noch von Dritten eingesehen werden, da sie immer Ende-zu-Ende-verschlüsselt, privat und sicher sind. "
-"
-Signal ist darauf ausgelegt, niemals sensible Informationen zu sammeln oder zu speichern. Nachrichten und Anrufe in Signal können weder von uns noch von Dritten eingesehen werden, da sie immer Ende-zu-Ende-verschlüsselt, privat und sicher sind.
-"
 === Telegram ===
-Lt. https://www.datenschutz.org/telegram/
+Lt. [[https://www.datenschutz.org/telegram/|https://www.datenschutz.org/telegram/]] " Telegram verschlüsselt zwar die Übertragung zwischen Endgerät und Cloud-Server, eine Ende-zu-Ende-Verschlüsselung bietet die App jedoch nur bei geheimen (Einzel-)Chats als Option. In der Cloud hinterlegte Informationen und Chats können so sowohl von Telegram als auch potentiell von Dritten eingesehen werden. "
-"
-Telegram verschlüsselt zwar die Übertragung zwischen Endgerät und Cloud-Server, eine Ende-zu-Ende-Verschlüsselung bietet die App jedoch nur bei geheimen (Einzel-)Chats als Option. In der Cloud hinterlegte Informationen und Chats können so sowohl von Telegram als auch potentiell von Dritten eingesehen werden.
-"
 === WhatsApp ===
-siehe https://www.dr-datenschutz.de/die-ende-zu-ende-verschluesselung-bei-whatsapp/
+siehe [[https://www.dr-datenschutz.de/die-ende-zu-ende-verschluesselung-bei-whatsapp/|https://www.dr-datenschutz.de/die-ende-zu-ende-verschluesselung-bei-whatsapp/]]
 ===== Anonymität vs Spuren =====
 Viele Webseiten, wie z.B. Email Provider könn(t)en die IP Adressen protokollieren. Daher wird die Verwendung über ein VPN - zur Wahrung der Anonymität - dringend angeraten.
 ===== Mögliche Angriffsvektoren =====
@@ Line 150: / Line 137: @@
 Darüberhinaus ist auch die Bestechung von Mitarbeitern des E-Mail Providers im Rahmen des Denkbaren ..
-Es gibt wiederum Email Provider wie z.B. Posteo, die alle ankommenden E-Mails automatisch mit dem öffentlichen Schlüssel zum Konto verschlüsseln, bevor sie die Daten speichern. Den privaten Schlüssel braucht der
+Es gibt wiederum Email Provider wie z.B. Posteo, die alle ankommenden E-Mails automatisch mit dem öffentlichen Schlüssel zum Konto verschlüsseln, bevor sie die Daten speichern. Den privaten Schlüssel braucht der Provider nicht. Somit kann der Provider die verschlüsselt gespeicherten E-Mails nicht mehr lesen. Auch eine Weitergabe an Behörden macht wenig Sinn - außer, die Behörden kommen z.B. über eine Hausdurchsuchung/Beschlagnahme an den privaten Schlüssel ran. Mittels Beugehaft könn(t)en Richter auch die Herausgabe eines Kennworts erzwingen. Dies gilt entsprechend auch für Kennwörter von verschlüsselten Festplatten.
-Provider nicht. Somit kann der Provider die verschlüsselt gespeicherten E-Mails nicht mehr lesen. Auch eine Weitergabe an Behörden macht wenig Sinn - außer, die Behörden kommen z.B. über eine Hausdurchsuchung/Beschlagnahme an den privaten Schlüssel ran. Mittels Beugehaft könn(t)en Richter auch die Herausgabe eines Kennworts erzwingen.
-Dies gilt entsprechend auch für Kennwörter von verschlüsselten Festplatten.
 ===== Quellen / Links =====
+  * [[https://cloudogu.com/de/blog/crypto-101-grundlagen|https://cloudogu.com/de/blog/crypto-101-grundlagen]]
-  * https://cloudogu.com/de/blog/crypto-101-grundlagen
+  * [[https://lehrerfortbildung-bw.de/u_matnatech/imp/gym/bp2016/fb3/i03_iud/1_hintergrund/2_verlauf/2_assym/|https://lehrerfortbildung-bw.de/u_matnatech/imp/gym/bp2016/fb3/i03_iud/1_hintergrund/2_verlauf/2_assym/]]
-  * https://lehrerfortbildung-bw.de/u_matnatech/imp/gym/bp2016/fb3/i03_iud/1_hintergrund/2_verlauf/2_assym/
   * [[https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Onlinekommunikation/Verschluesselt-kommunizieren/E-Mail-Verschluesselung/e-mail-verschluesselung_node.html|BSI: E-Mail Verschlüsselung]]
   * [[https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Onlinekommunikation/Verschluesselt-kommunizieren/verschluesselt-kommunizieren_node.html|BSI: Verschlüsselte Kommunikation]]
-  * https://de.m.wikipedia.org/wiki/Alice_und_Bob
+  * [[https://de.m.wikipedia.org/wiki/Alice_und_Bob|https://de.m.wikipedia.org/wiki/Alice_und_Bob]]
-  * https://cryptocouple.com/
+  * [[https://cryptocouple.com/|https://cryptocouple.com/]]
-  * https://www.heise.de/hintergrund/Einfach-erklaert-E-Mail-Verschluesselung-mit-PGP-4006652.html
-  * https://riseup.net/de/security/message-security/openpgp/gpg-best-practices
-  * https://www.privacy-handbuch.de/index.htm
-  * [[devop:vpn|VPN]]
+  * [[https://www.heise.de/hintergrund/Einfach-erklaert-E-Mail-Verschluesselung-mit-PGP-4006652.html|https://www.heise.de/hintergrund/Einfach-erklaert-E-Mail-Verschluesselung-mit-PGP-4006652.html]]
+  * [[https://riseup.net/de/security/message-security/openpgp/gpg-best-practices|https://riseup.net/de/security/message-security/openpgp/gpg-best-practices]]
+  * [[https://www.privacy-handbuch.de/index.htm|https://www.privacy-handbuch.de/index.htm]]
+  * [[:devop:vpn|VPN]]