Inhaltsverzeichnis

• 4. Programmeinstellungen
• 5. Erzeugen des Schlüsselpaares
• 6. Verteilen und Pflegen des Schlüssels

Programmeinstellungen

Im Verzeichnis von PGP gibt es eine Datei, die einige wichtige Rahmenbedingungen für das Programm klärt. Hier kann man den vollen Namen des Benutzers eintragen, den verwendeten Zeichensatz bestimmen, und sonstige Standardwerte setzen. Alle diese Werte könn en in der PGP-Befehlszeile bei Bedarf wieder übersteuert werden.

Die Datei ist ausführlich mit kommentiert. Kommentare in dieser Datei erkennt man an dem vorangestellten Nummernkreuz »#«. Einstellungen, die man nicht versteht, kann man getrost auf den Standardwerten lassen. Folgende Einstellungen weichen zum Teil von de n Standardeinstellungen ab, haben sich aber hier in Deutschland bewährt:

MyName = "Joachim Breu"

Ohne diese Angabe will PGP in jeder Befehlszeile einen besonderen Parameter haben, aus dem sich der Name des Schlüsseleigentümers ergibt. Wer also PGP auch mal aus der Befehlszeile starten will, erspart sich so einiges an Tastaturarbeit. Besonders sinnvoll ist die Angabe dann, wenn Du verschiedene Schlüssel nutzt, zum Beispiel weil Du auch unter anderem Namen kommunizieren mußt. »Joachim Breu« ist natürlich durch Deinen Namen zu ersetzen.

Language = de

Mit diesem Wert verwendet PGP für Meldungen die deutsche Sprache. Das setzt voraus, daß Du das deutsche Sprachmodul hast, das Frank Prüfer erstellt hat. Es wird einzeln vertrieben - das ist die richtige Wahl für DOS oder OS/2-FAT-Verwender - oder in einem größeren Paket, das auch Sprachmodule für viele andere europäische Sprachen enthält. Die Datei »pgp263il.zip« enthält aber mehrere ZIP-Archive, deren Namen länger sind als das FAT-Dateisystem erlaubt. Beim Versuch diese Module mit PKZIP auszupacken, kann e s daher zu Problemen kommen. Zum Auspacken ist besser InfoZip zu verwenden.

CharSet = cp850

Nur mit dieser Angabe, die nicht dem Standardwert von PGP entspricht, bleiben beim Verschlüsseln deutschsprachiger Texte die Sonderzeichen erhalten. Deutsche Sonderzeichen sind insbesondere die Umlaute und das »ß«.

TMP=%TEMP%

PGP legt seine temporären Dateien normalerweise in dem Verzeichnis an, das von der Systemvariablen TMP bestimmt wird. Diese Variable steht normalerweise in der Autoexec.Bat (DOS) oder Config.Sys (OS/2). Das ist gerade dann sinnvoll, wenn auf einer Diskette gearbeitet wird. Disketten sind nicht nur deutlich langsamer als eine Festplatte, auf ihnen steht naturgemäß auch weniger Speicherplatz zur Verfügung. Gibt es in Deiner Autoexec.Bat oder Config.Sys jedoch keine solche Zeile:
SET TMP=C:\TEMP,
dann versuch t PGP in dem Verzeichnis zu arbeiten, von dem aus es aufgerufen wurde. Ich empfehle, in der entsprechenden Zeile der Config.Txt ein anderes, bestehendes Verzeichnis einzustellen. Ersetze dafür die Angabe %TEMP% in diesem Beispiel durch die richtige Laufwer ks- / Pfadbezeichnung.

ArmorLines = 0

PGP kann größere Nachrichten in mehrere Dateien aufspalten. Mit dieser Angabe bestimmt man, wieviele Zeilen eine Teilnachricht enthalten soll. Ist dieser Wert auf »0« gesetzt, werden Nachrichten egal welcher Größe nicht gesplittet.

PubRing = "C:\WERKZEUG\PRETTY\pubring.pgp"
SecRing = "C:\WERKZEUG\PRETTY\secring.pgp"
RandSeed = "C:\WERKZEUG\PRETTY\randseed.bin"

Hiermit wird bestimmt, unter welchem Pfad PGP die Sammlung der öffentlichen (PubRing) und den eigenen geheimen Schlüssel (SecRing) findet. Die letzte Angabe gibt vor, wo die von PGP erzeugten Zufallszahlen stehen (Randseed.Bin).
Wenn Du PGP für OS/2 und D OS nebeneinander verwenden möchtest, ist es sinnvoll, in beiden Config.Txt auf dieselben Dateien zu verweisen. Aber Vorsicht: Diese Dateien müssen dann in einem Verzeichnis liegen, das auch von DOS-Programmen gelesen werden kann; der Verzeichnisname muß al so der 8+3 - Konvention entsprechen.

Compress = on

Damit verwendet PGP zusätzlich zur Chiffrierung noch eine Kompression, die dem alten ZIP-Algorithmus entspricht.

Completes_Needed = 1

Betrifft die Handhabung unbekannter Schlüssel. Kommt ein neuer Schlüssel, so enthält der meistens Unterschriften anderer PGP-VerwenderInnen. Mit diesem Parameter wird ein unbekannter Schlüssel als sicher eingestuft, wenn er eine Unterschrift trägt, die von einer/einem PGP-VerwenderIn stammt, die Du als hoch vertrauenswürdig eingestuft hast.

Marginals_Needed = 2

Betrifft die Handhabung unbekannter Schlüssel. Mit diesem Parameter wird ein unbekannter Schlüssel als sicher eingestuft, wenn er zwei Unterschriften trägt, die von PGP-Verwendern stammen, die Du als vertrauenswürdig eingestuft hast.

Cert_Depth = 4

Betrifft die Handhabung unbekannter Schlüssel. Mit diesem Parameter wird ein unbekannter Schlüssel als sicher eingestuft, wenn er vier Unterschriften trägt, die von PGP-Verwendern stammen, die Du als absolute Anfänger eingestuft hast.

Comment = »Du verwendest ja auch Briefumschläge«

Dieser Kommentar wird am Anfang jeder verschlüsselten Nachricht im Klartext eingefügt.

Damit ist die Konfiguration des Systems und des Programms abgeschlossen. Als nächstes mußt Du Dein eigenes Schlüsselpaar erzeugen.

Erzeugen des Schlüsselpaares

Um ein Schlüsselpaar zu erzeugen, solltest Du in das PGP-Verzeichnis wechseln. Dann mußt Du in einer Befehlszeile folgendes eingeben:

pgp -kg 

Diesen Befehl sollte man nur ein einziges Mal ausführen, sonst entsteht Verwirrung in den Schlüsseldateien. Mit diesem Befehl wird der geheime und der öffentliche Schlüssel erzeugt (key generated = kg). PGP führt mit ausführlichen Systemmeldungen durch die sen Prozeß, daher beschränke ich mich im folgenden auf einige ergänzende Hinweise.

Als erstes fragt das Programm, wie groß der zu erzeugende Schlüssel werden soll. Je größer der Schlüssel ist, desto sicherer wird die Verschlüsselung. Schlüssel von 1024 Bit haben sich als ausreichend sicher bewährt. Grössere Schlüssel benötigen auch mehr Rechenzeit für jeden Chiffriervorgang. Bei Computern vom 386er PC aufwärts fällt das natürlich kaum ins Gewicht. Wer also maximale Sicherheit haben will, braucht vor einem 2048 Bit großen Schlüssel nicht zurückzuschrecken. Allerdings werden Schlüssel diese r Grösse nicht von jeder existierenden PGP-Version unterstützt. Auch das MIT-PGP reicht meines Wissens nur bis 1536 Bit.

Bei der Frage nach einer »User-ID« empfiehlt es sich, seine Mailadresse anzugeben. Z.B. bei mir:

Joachim Breu <J.BREU@CL-HH.comlink.de> 

Das hat den Vorteil, daß andere Verwender von PGP immer genau wissen, von wem der Schlüssel stammt und wie der Ersteller des Schlüssels auf elektronischen Wegen zu erreichen ist.

Nach diesen Vorfragen beginnt das PGP-Programm mit der Erstellung eines Schlüssels. Hierfür werden Zufallszahlen benötigt, die der Benutzer / die Benutzerin durch willkürliche Tasten-Anschläge erzeugt. PGP benutzt die Zeitabstände zwischen den Tasten-Ansch lägen zur Ermittlung dieser Zahlen. Welche Tasten man drückt, ist dabei gleichgültig. Man kann ja zum Beispiel einen beliebigen Text abschreiben.

Wenn man sich an die Angaben des Programms gehalten hat, ist PGP irgendwann fertig. Jetzt sollte man die Benutzer-ID mit dem Befehl

pgp -ks [ID]

unterschreiben und verifizieren. Damit sichert man sie vor Manipulationen. Anstelle von »[ID]« ist in der Befehlszeile der Name des Schlüsselerstellers einzusetzen. Es genügt meist, nur die Anfangszeichen des Namens einzugeben, solange diese Zeichen eindeu tig sind. Beispielsweise genügte für die Verifizierung des Schlüssels von »J.BREU@CL-HH.COMLINK.DE« die Eingabe

pgp -ks J.BREU 

PGP findet damit den richtigen Schlüssel und zeigt den kompletten Namen zur Sicherheit noch einmal an.

Deine User-ID, das Paßwort und Deine Mailadressen können später verändert werden. Das ist sinnvoll, wenn Du Dich zum Beispiel an eine neue Mailbox oder an einen neuen Provider angeschlossen hast. Dann verwendest Du oft - zumindest für eine gewisse Zeit - e ine zusätzliche Mailadresse. Viele PGP-Implementierungen funktionieren aber nur dann, wenn der Schlüssel die richtige Zieladresse enthält. Daher sollten neue Adressen dem öffentlichen Schlüssel hinzugefügt werden. Das geschieht mit der Befehlszeile:

pgp -ke [ID] 

Gibt man an der Stelle von [ID] nicht den eigenen Namen ein, sondern den Namen eines beliebigen anderen öffentlichen Schlüssels, dann kann mit diesem Befehl der Vertrauensgrad des bestimmten Schlüsseleigentümers eingestellt werden. PGP kennt vier Vertrauen sstufen. Man kann einen Benutzer für absolut unvertrauenswürdig, normal vertrauenswürdig, hoch vertrauenswürdig, und für einen absoluten Experten und sicheren Garanten erklären. Die letzte Kategorie hat zur Folge, daß ein Schlüssel, welcher unter anderem v on einem Benutzer durch Unterschrift bestätigt wurde, der in meiner Schlüsseldatei mit diesem hohen Vertrauensvorschuß enthalten ist, kommentarlos als sicher angenommen wird. Wie viele Unterschriften von vertrauenswürdigen NutzerInnen ein unbekannter Schlü ssel tragen muß, damit er in Deiner Schlüsseldatei als »sicher« gilt, kann in der CONFIG.TXT eingestellt werden.

Bei »Pass Phrase« erwartet PGP ein beliebiges Paßwort. Es gibt keine Längenbeschränkung. Ein Paßwort wie beispielsweise »Das Leben ist ein langer, ruhiger Fluß mit vielen Windungen« aber ist vergleichsweise unpraktisch. Denn PGP fragt dieses Paßwort bei je dem Ver- und Entschlüsseln ab. Diese Abfrage läßt sich aber (später) auch automatisieren, indem man eine Systemvariable namens PGPPASS einführt. Es ist davon abzuraten, eine solche Systemvariable einzuführen, wenn nicht absolut sicher ist, daß der verwende te Rechner nur von einer einzigen Person genutzt werden kann. Selbst wenn diese Voraussetzung erfüllt ist, sollte das Paßwort nicht allzu trivial gewählt werden. Am besten, weil am schwierigsten zu erraten, sind Buchstaben- / Zahlenkombinationen. Schön sin d auch Worte, die man bewußt falsch schreibt. Niemals sollte Dein Paßwort kürzer sein als fünf Buchstaben oder Zeichen.

Verteilen und Pflegen des Schlüssels

Um den öffentlichen Schlüssel an die Welt weiterzugeben, mußt Du ihn zuvor aus der PGP-Datendatei mit dem Befehl

pgp -kxa [ID] [DATEI] 

extrahieren. Hierbei steht [ID] für die Die User-ID, wie Du sie beim Erzeugen des Schlüsselpaares angegeben hast. Es reicht aus, nur einen Teil der User-ID anzugeben, solange er eindeutig ist. Es steht [DATEI] für den Namen einer beliebigen Datei, in die d er extrahierte Schlüssel geschrieben werden soll. An die Stelle dieser Platzhalter sollte man etwas sinnvolles einfügen. Ich würde zum Beispiel verwenden:

pgp -kxa J.BREU C:\XPOINT\KEY.ASC 

Diese Datei »Key.Asc« kann ich von meinem Mailprogramm bei Bedarf halb- oder vollautomatisch an Nachrichten anhängen lassen.

Ändert sich die eigene Adresse oder hat man eine neue Adresse hinzubekommen, so läßt sich der eigene Name jederzeit (mit pgp -ke ) ändern oder ergänzen. Allerdings sollte man dann die Prozedur des Extrahierens und Verschickens wiederholen.

Um per Telefon oder auf sonstigen Wegen dafür zu sorgen, daß der von der Welt da draußen verwendete öffentliche Schlüssel tatsächlich der eigene ist und nicht manipuliert wurde, kann man mit

pgp -kvc [ID] 

einen »Fingerprint« erzeugen. Dieser Fingerprint ist eindeutig. Sollte der Schlüssel auf dem Weg von Dir zu einem Kommunikationspartner verändert worden sein, so erhielten Dein Partner und Du für denselben Schlüssel verschiedene Fingerprints. Diese Prints können über das Telefon verglichen werden, weil sie relativ kurz sind.

Will man einen neuen Schlüssel erzeugen (was nur selten nötig ist), sollte man zuvor eine Rückrufnachricht für den alten Schlüssel anfertigen und verteilen. Eine solche Rückrufnachricht erzeugst Du wie folgt:

pgp -kd [Name oder ID] 

Damit wird der Schlüssel mit der angegebenen ID deaktiviert. Danach extrahierst Du den deaktivierten Schlüssel in eine Datei. Gib also ein:

pgp -kxa [Name oder ID] C:\rueck.asc 

Die erzeugte Datei (hier »RUECK.ASC«) muß dann auf den selben Weg, den der Schlüssel ursprünglich auch einmal genommen hatte. An den Stellen, an denen diese Nachricht auf Schlüsseldateien mit der alten Benutzer-ID trifft, vermerkt das dortige PGP daraufhin diesen Schlüssel als ungültig. Bei einem Betrachten der Schlüsseldatei mit

pgp -kvv 

oder

pgp -kvc 

erscheint die Meldung: »Key revoked by User«. Ab jetzt wird also nur noch der neue Schlüssel verwendet, wenn er vorhanden ist.

Näheres zu diesen Befehlen erzählt die PGP-Dokumentation oder die Hilfefunktion, die mit

pgp -h 

aufgerufen wird.

[Zurück zur Homepage]

Freies Telekommunikationszentrum Hamburg e.V.
Klaus-Groth-Straße 84
D - 20459 Hamburg
Germany / Allemagne