Wozu eine Krypto-Kampagne?

Zum Start der Krypto-Kampagne gab es Anzeichen dafür, dass deutsche Politiker die Verwendung von Verschlüsselungstechnologie zu Gunsten einer einfacheren Strafverfolgung einschränken wollten. c't rief daher auf, E-Mails zu signieren und durch die breite Verwendung von Verschlüsselung ein Zeichen gegen staatliche Regulierung von Kryptographie und Privatsphäre zu setzen.

Mittlerweile hat sich die deutsche Bundesregierung in ihren Eckpunkten der deutschen Kryptopolitik eindeutig zur freien Verfügbarkeit starker Kryptographie bekannt und ihre Absicht bekundet, "die Verbreitung sicherer Verschlüsselung in Deutschland aktiv [zu] unterstützten".

Mit unserem fortgesetzten Angebot, PGP-Schlüssel zu zertifizieren, möchten wir nunmehr vor allem die Infrastruktur stärken, die zur einfachen Nutzung dieses Kryptoprogrammes erforderlich ist.

Warum PGP?

Pretty Good Privacy (PGP) ist im Internet seit Jahren ein anerkannt sicherer De-Facto-Standard für authentische und vertrauliche E-Mail. Bei Public-Key-Verfahren, wie PGP, hat jeder Anwender einen geheimen und einen öffentlichen Schlüssel. Daten, die mit dem öffentlichen Schlüssel kodiert sind, lassen sich mit dem geheimen Schlüssel wieder dekodieren. So kann jeder mit dem Public-Key Texte verschlüsseln, die nur vom Empfänger mit seinem geheimen Schlüssel zu dechiffrieren sind. Und eine Signatur, die der Absender mit seinem geheimem Schlüssel kodiert hat, vermag jeder anhand des öffentlichen Schlüssels zu verifizieren.

Wozu Zertifizierung?

Bei der Erzeugung seines Schlüssels gibt ein PGP-Anwender seine E-Mail-Adresse und seinen Namen in der Benutzerkennung an. Dabei könnte er allerdings schummeln; deshalb muss man sich vor der Benutzung eines Public-Keys davon überzeugen, dass er auch wirklich zu seinem vorgeblichen Adressaten gehört. Besonders schwierig ist das, wenn man sich (noch) nicht persönlich kennt. Die "Echtheit" eines Schlüssels kann aber auch durch die Digitale Signatur eines Dritten bestätigt werden, dem man vertraut. Unsere Signatur bestätigt die Korrektheit von PGP-Benutzerkennungen, die Authentizität unseres Schlüssels lässt sich anhand des im Heft abgedruckten PGP-Fingerprints leicht überprüfen.