E-Mail-Verschlüsselung unter Mac OS X

Kurzzusammenfassung: GPGTools ist ein Installationspaket für Mac OS X, mit dessen Hilfe E-Mails und Dateien ver- und entschlüsselt werden können. Ziel ist es, eine einfache Möglichkeit bereitzustellen, die OpenPGP-Software auf Apple Computern verwenden zu können. Die GPGTools selbst sowie die darin enthaltenen Softwarepakete sind freie Software und quelloffen.

Wozu Daten verschlüsseln?

Sollen per E-Mail sensible Daten ausgetauscht werden (beispielsweise Zugangs-Passwörter), empfiehlt es sich, diese Informationen nicht mit einer normalen E-Mail zu kommunizieren. Auch eine sichere Verbindung zum E-Mail-Server über TLS/SSL (z.B. per POP3S/IMAPS/SMTPS) bietet keine 100%ige Sicherheit. Etwas mehr Sicherheit gewinnt man durch passwortgeschützte, verschlüsselte Disk Images, in denen die sensiblen Daten hinterlegt sind. Zusätzlichen Schutz bietet ein so genanntes asymmetrisches Kryptographiesystem. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) widmete sich im IT-Grundschutz-Katalog dem Thema GnuPG und PGP.

GnuPG (GNU Privacy Guard) ist ein freies Kryptographiesystem, welches zum ver- und entschlüsseln von Daten sowie zum erzeugen und prüfen elektronischer Signaturen genutzt werden kann. Es wurde als Ersatz für das mittlerweile kommerzielle PGP entwickelt und kann unter GNU/Linux, Mac OS X und diversen anderen unixoiden Betriebssystemen (z.B. OpenBSD) als auch unter Microsoft Windows betrieben werden. ¹

verschlüsselte DMGs

Eine sehr einfache Variante ist also, mit Hilfe des Festplatten-Dienstprogramm ein “passwortgeschütztes Disk Image” zu erzeugen und die geheimen Informationen in diesem DMG zu hinterlegen. Nur wenn der Kommunikationspartner das nötige Passwort kennt, kommt er nun an diese Informationen heran. ²

Festplatten-Dienstprogramm Limitierung

Nachteil dieser DMGs ist, dass sie mindestens 10,5 MB groß sind und die Verschlüsselung maximal 256Bit-AES unterstützt. Außerdem können passwortgeschützte Disk Images aus Mac OS X nicht unter anderen Betriebssystemen (beispielsweise Linux oder Windows) genutzt werden.

verschlüsselte TrueCrypt File Container

Alternativ bietet sich als kleinster gemeinsamer Nenner der Einsatz von TrueCrypt an. Seit Version 7.1 wird auch Mac OS X 10.7 Lion vollständig unterstützt. Allerdings wird bei der Installation von TrueCrypt auch MacFUSE installiert, welches sich tief im System einnistet (u.a. mit einer Kernel Extension) und für das es schon sehr lange keine Aktualisierungen mehr gab.

Ein TrueCrypt-Image hat die Endung *.tc und kann mit wesentlich mehr Verschlüsselungsalgorithmen als auch stärkeren Hash-Algorithmen codiert werden. Ein weiterer Vorteil ist, dass TrueCrypt-Images nur 292 KB groß sein müssen (wobei dann auf dem angemeldeten Image nur 8 KB zur Verfügung stehen). Als Filesystem sollte FAT ausgewählt werden, da Mac OS Extended (HFS+) unter Linux und Windows nur mit Hilfe zusätzlicher Tools benutzt werden kann. ³

TrueCrypt 7.1 unter Mac OS X

Zu beachten ist außerdem, dass in Text-Dateien Umlaute und Sonderzeichen wie das ß verloren gehen können, zumindest war dies hier bei einem kurzen Test der Fall …

Aktualisierung (9. Februar 2012, 19:30 Uhr): Mit der aktualisierten Version 7.1a von TrueCrypt wechselte man auf FUSE for OS X, welches das nicht mehr weiter entwickelte MacFUSE ablöst. Somit erübrigt sich meine oben angemerkte Warnung bezüglich MacFUSE.

Version 7.1a von TrueCrypt nutzt nun FUSE for OS X, welches aktiv weiter entwickelt wird

OpenPGP, GnuPG und die GPGTools für Mac OS X

Wenn man etwas Aufwand nicht scheut, kann man auf den OpenPGP-Standard zurückgreifen, mit Hilfe dessen man den gesamten E-Mail-Verkehr verschlüsseln kann. Dank der GPGTools (basierend auf GnuPG) ist die Installation und Einrichtung mittlerweile recht einfach. E-Mails können so nicht nur verschlüsselt, sondern zusätzlich auch signiert werden, so dass eine Manipulation der darin enthaltenen Daten sofort auffallen würde.

Installation der GPGTools

Das aktuelle Installations-Image findet man hier:

https://github.com/downloads/GPGTools/GPGTools/GPGTools-20111127.dmg

Aktualisierung (22. Dezemeber 2011, 17:55 Uhr): Wie sich gerade zeigte, bricht dieser Installer unter 10.5.8 Leopard mit einer Fehlermeldung ab. Sollte dies schon geschehen sein, als erstes den Uninstaller benutzen, um die gescheiterte Installation wieder sauber vom System zu entfernen. Mit dem folgenden Installer tritt dieses Problem dann nicht mehr auf:

https://github.com/downloads/GPGTools/GPGTools/GPGTools-20111219.dmg

GPGTools Meta-Package + Uninstaller

Die GPGTools installieren auf Wunsch ein PlugIn-Bundle für Apple Mail (in ~/Library/Mail/Bundles) als auch die Erweiterung “Enigmail” für Mozilla Thunderbird (in ~/Library/Thunderbird/Profiles/…). Letzteres nutze ich bei meiner Installation nicht.

Des Weiteren werden entweder MacGPG 1.4.11-6 (eine Universal Binary für PowerPC- und intel-Macs) oder besser gleich MacGPG 2.0.17-9 (nur für intel-Macs) installiert, der Zielpfad ist: /usr/local

Außerdem wird das GPG  Schlüsselbund (GPG Keychain Access) zur komfortablen Verwaltung der Keys im Programme-Ordner installiert.

Die GPGServices für  zusätzliche Dienste im Kontext-Menü des Finders landen in: /Library/Services

Die GPGPreferences werden nach ~/Library/PreferencePanes/ kopiert und stehen somit über die Systemeinstellungen zur Verfügung. In dem Zusammenhang sollte auch GPGTools Autofix installiert werden, welches dann über die GPGPreferences erreichbar ist (mehr dazu weiter unten in diesem Artikel).

Den Public OpenPGP Key muss man nicht mit installieren, er ist aber vorausgewählt und stört natürlich auch nicht.

Die Installations-Optionen der GPGTools

Generierung des eigenen Schlüsselpaares

Nach erfolgreicher Installation der GPGTools öffnet sich automatisch das GPG  Schlüsselbund und fordert auf, ein neues Schlüsselpaar zu erstellen. Als erstes wählt man einen Namen sowie die E-Mail-Adresse. Bei beiden trage ich protected@macon.cc ein. In den erweiterten Optionen kann man die Verschlüsselungsart einstellen (hier empfiehlt sich das voreingestellte RSA und RSA), die Schlüssellänge (bis zu 4096 Bit) und ob es ein Ablaufdatum für die Gültigkeit des Schlüsselpaares geben soll (ein Verfallsdatum erhöht die Sicherheit, ist aber nicht zwingend notwendig).

Einstellungen zur Erzeugung des Schlüsselpaares

Ein Klick auf “Schlüssel erstellen” fordert 2x ein Passwort an, selbstverständlich sollte dieses sorgsam gewählt werden und sehr sicher sein (im Idealfall mindestens 21 Zeichen lang mit Groß- und Kleinschreibung, Ziffern und Sonderzeichen).

Die Schlüsselgenerierung benötigt etwas Zeit (auf einem intel Core2Duo ca. eine Minute, auf einem PowerPC G5 sogar mehr als 5 Minuten). Um diesen Prozess zu unterstützen, sollte man während dessen andere Programme benutzen und in ihnen wie gewohnt arbeiten (Maus bewegen, Text tippen etc.), da dies bessere Werte im Zufallsgenerator erzeugt. Mit dem vergebenen Passwort wird man zukünftig Mails ver- und entschlüsseln.

Achtung: Aus Sicherheitsgründen ist es nicht zu empfehlen, dieses Passwort dauerhaft im Schlüsselbund von Mac OS X zu speichern.

Import und Export öffentlicher Schlüssel (public keys)

Nach erfolgreicher Schlüsselgenerierung kann man den öffentlichen Schlüssel (public key) exportieren.

Und erneut ist Aufmerksamkeit gefragt: Denn dabei ist darauf zu achten, dass keinesfalls das Häkchen bei “Geheime Schlüssel exportieren” gesetzt ist, denn so würde zusätzlich der so genannte “private key” exportiert werden.

Dieser “private key” darf auf keinen Fall in die falschen Hände geraten! Den Schlüssel also inkl. geheimen Schlüssel zu exportieren, ist zwar sinnvoll, um ihn an einem sicheren Ort zusätzlich zu speichern (Stichwort: Backup) bzw. um ihn auf einem Zweitrechner importieren und nutzen zu können. Aber niemals sollte dieser online versendet werden oder für andere Benutzer zugänglich sein.

Um die beiden Schlüsselarten besser unterscheiden zu können, kann man beim exportieren sinnvolle Namen verwenden, beispielsweise “schluessel-oeffentlich.asc” und “schluessel-oeffentlich+GEHEIM.asc”. Zur Sicherheit könnte man dann diesen wichtigen geheimen Schlüssel (private key) “schluessel-oeffentlich+GEHEIM.asc” auf einem passwortgeschützten Disk Image sichern (siehe Anfang dieses Artikels).

Tipp: Öffnet man die *.asc Schlüssel mit einem Text Editor, steht dort beim öffentlichen Schlüssel am Anfang:

—–BEGIN PGP PUBLIC KEY BLOCK—–
Version: GnuPG/MacGPG2 v2.0.17 (Darwin)

Danach folgen jede Menge kryptische Zeichen und beendet wird die Datei mit der Zeile:

—–END PGP PUBLIC KEY BLOCK—–

Im Gegensatz dazu findet sich im geheimen Schlüssel zusätzlich folgende Information:

—–BEGIN PGP PRIVATE KEY BLOCK—–
Version: GnuPG/MacGPG2 v2.0.17 (Darwin)

Wieder gefolgt von Zeichensalat und der letzten Zeile:

—–END PGP PRIVATE KEY BLOCK—–

Damit man mit Kommunikationspartnern Mails verschlüsselt und signiert austauschen kann, benötigt man deren öffentliche Schlüssel. Und natürlich benötigen diese wiederum den eigenen öffentlichen Schlüssel. Man könnte sich diese öffentlichen Schlüssel also gegenseitig per Mail senden oder auch direkt per USB-Stick austauschen.

Eine nette Option ist, den eigenen Schlüssel auf einem Schlüsselserver zu veröffentlichen. In den GPGPreferences (zu finden in den Systemeinstellungen) ist dafür der öffentliche OpenPGP-Server hkp://keys.gnupg.net des GnuPG-Projektes eingetragen, aber auch andere sind auswählbar.

Um also seinen Schlüssel zu veröffentlichen, markiert man im GPG Schlüsselbund den eigenen Schlüssel und wählt dann im Menüpunkt “Schlüssel” den Eintrag “An Schlüsselserver senden”. Mit “Nach Schlüssel suchen …” kann man so auch die Schlüssel der Kommunikationspartner finden, wenn diese ihren bereits veröffentlicht haben.

Die Schlüssel-IDs und SHA1-Fingerabdrücke dienen dabei als zusätzliche Identifikationsmöglichkeiten, um die Authentizität des Schlüssels durch den Kommunikationspartner bestätigen zu lassen.

Meinen öffentlichen Schlüssel (public key) kann man sich bei Interesse hier herunterladen:

http://www.macon.cc/downloads/OpenPGP/85BB6482-public-key.asc

Schlüssel-ID: 4A89881685BB6482
Fingerabdruck: D14F ABA8 8593 1A4D 7CC4 EF09 4A89 8816 85BB 6482
OpenPGP exported ASCII key

Einstellungen von GPGMail in Apple Mail

In Apple Mail sollte nun unter “Einstellungen” ein neuer Menüpunkt “GPGMail” hinzugekommen sein. In seltenen Fällen kann es leider vorkommen, dass der besagte Menüpunkt nicht angezeigt wird. Taucht dieses Problem auf hilft folgendes:

  1. Apple Mail beenden.
  2. Das Terminal öffnen und folgende Befehle eingeben (jeweils mit ENTER bestätigen):
  3. defaults write com.apple.mail EnableBundles -bool yes
  4. defaults write com.apple.mail BundleCompatibility -int 3
  5. Das Terminal verlassen: exit
  6. Apple Mail erneut starten. Der Menüpunkt “GPGMail” erscheint nun wie gewünscht.

Wie schon weiter oben erwähnt, sollte man die Option “Passphrase im Schlüsselbund speichern” nicht aktivieren. Außerdem sollte “Schlüssel des entsprechenden Emailkontos verwenden” aktiviert sein, damit die richtigen Schlüssel sowohl für die eigenen Adressen als auch die der Empfänger gewählt werden.

GPGMail Einstellungen – Schlüssel unter 10.6.8 Snow Leopard

Beim Unterpunkt “Verfassen” kann man “Generell alle Nachrichten verschlüsseln” aktivieren. Dies wirkt sich nur auf die E-Mail-Adressen aus, für die auch ein Schlüsselpaar vorhanden ist, stört also nicht bei weiteren E-Mail-Konten, welche man ohne Verschlüsselung wie gewohnt nutzen möchte. Die Option “Generell alle Nachrichten beim Verschlüsseln auch signieren” ist ebenfalls sinnvoll und sollte aktiviert werden. Des Weiteren ist die Option “Immer auch mit eigenem Schlüssel verschlüsseln” wichtig, sonst könnte man verschlüsselt gesendete E-Mails nicht mehr öffnen und lesen, da sie ja für einen Anderen verschlüsselt wurden. Wenn die Adressaten keine allzu betagten E-Mail-Programme einsetzen, ist es ratsam, zusätzlich die Option “OpenPGP/MIME benutzen” zu aktivieren, denn so werden zum Beispiel auch die Anhänge in einer E-Mail verschlüsselt.

GPGMail Einstellungen – Verfassen unter 10.6.8 Snow Leopard

Anmerkung: Leider sind all diese erwähnten Einstellungen, die unter 10.6.8 Snow Leopard möglich sind, bei mir nicht unter 10.7.2 Lion verfügbar (lediglich die Einstellmöglichkeit für “OpenPGP/MIME benutzen” steht zur Verfügung). Entweder liegt das am “noch Alpha”-Status des Mail-PlugIns für Lion, oder aber diese Optionen sind einfach verschwunden? Das verschlüsselte und signierte senden und empfangen funktioniert jedoch problemlos.

Aktualisierung (18. Dezemeber 2011, 11:30 Uhr): Die Frage hat sich mittlerweile geklärt. Es liegt zum einen, wie schon vermutet, am noch frühen Alpha-Status der Lion-Version. Gleichzeitig wurde die Oberfläche von GPGMail willentlich vereinfacht, um die Hemmschwelle für Einsteiger zu verringern.

Limitierungen von GPGMail 2.0a4 unter 10.7.2 Lion

Die erste verschlüsselte und signierte E-Mail

Um loslegen zu können, sind nun noch zwei Voraussetzungen zu prüfen: Zum einen sollte man die öffentlichen Schlüssel seiner Kommunikationspartner erfolgreich in das GPG Schlüsselbund importiert haben. Außerdem sollten alle Kommunikationspartner den eigenen öffentlichen Schlüssel in ihr GPG Schlüsselbund importiert haben.

Schreibt man nun eine neue E-Mail, erscheint im Mail-Fenster eine zusätzliche Zeile “OpenPGP”, in der man die Verschlüsselung und Signierung einfach  an oder aus schalten kann (unter 10.7 nur noch mit kleinen Icons ersichtlich).

Verfassen einer E-Mail unter 10.6.8 Snow Leopard

Klickt man auf “Senden” erscheint die Passwort-Abfrage, in der man das entsprechende OpenPGP-Schlüsselpaar-Passwort einträgt und mit “OK” bestätigt (“Anzeigen” sowie “Im Schlüsselbund sichern” sollte natürlich auch hier deaktiviert bleiben).

Passwort-Abfrage vor dem Versenden

Was beim Einsatz der GPGTools zu beachten ist

Bei der täglichen Arbeit mit verschlüsselten und signierten E-Mails zeigte sich, dass Mails in reiner Textform kompatibler sind. Nicht selten kam es vor, dass Mails mit formatiertem Text sich nicht korrekt ver- oder entschlüsseln ließen. In einer reinen Mac-Umgebung mit identischen Mail-Programmen oder sogar Versionen taucht dieses Problem naturgemäß weniger häufig bis gar nicht auf. Sobald Kommunikationspartner aber auch Windows oder Linux und entsprechend andere E-Mail-Programme nutzen (Microsoft Outlook zum Beispiel oder Claws Mail), ist es ratsam, pure Textmails ohne Formatierungsmöglichkeiten zu nutzen.

Des Weiteren sollte bedacht werden, dass die Option BCC (Blindkopie) bei verschlüsselten E-Mails einen Fallstrick birgt: Wird eine verschlüsselte E-Mail an mehrere Empfänger gleichzeitig geschickt, werden automatisch alle öffentlichen Schlüssel der Adressaten mitgesendet! BCC ist in dem Fall also nutzlos und sollte nicht verwendet werden, wenn die Empfänger nichts von den jeweils anderen Empfängern wissen sollen. Es hilft also nur, die E-Mails an jeden geplanten BCC-Empfänger einzeln zu schicken.

Und noch eine Information dürfte von Interesse sein: OpenPGP verschlüsselt den gesamten Text einer E-Mail und bei aktivierter “OpenPGP/MIME”-Option auch die Anhänge. Die Kopfzeilen bleiben jedoch im Klartext erhalten: Adressaten, Absender, Betreff sowie alle beteiligten Server. Das heißt, die Mail-Kommunikation selbst bleibt nachvollziehbar (Transportdaten). Und natürlich ist auch ersichtlich, dass es sich um verschlüsselte Daten handelt.

Vorsicht ist außerdem geboten bei System-Aktualisierungen. So könnte ein Update auf ein kommendes 10.7.3, 10.7.4 etc. das Mail-PlugIn außer Gefecht setzen, so dass bis auf Weiteres keine Mails mehr direkt im Mail-Programm ver- und entschlüsselt werden können. Abhilfe schaffen in solchen Fällen eventuell die GPGPreferences in den Systemeinstellungen. Dort gibt es unter dem Reiter “About” die Option “Fix GPGTools”.

“Fix GPGTools” ist eine Option in den GPGPreferences

Dabei werden u.a. zwei IDs angepasst, mit deren Hilfe Apple versucht, die Kompatibilität von Mail-PlugIns zu gewährleisten. Sollte dies nicht helfen, muss man ein entsprechendes Update der GPGTools abwarten.

Eine Notlösung in solchen Fällen ist, sich eine verschlüsselte Mail im Quelltext anzeigen zu lassen (Apple Mail/Darstellung/E-Mail/Reine Datei), dann alles von

—–BEGIN PGP MESSAGE—–

bis

—–END PGP MESSAGE—–

zu markieren und in einer *.txt-Datei zu speichern. Diese kann man dann mit Hilfe des Kontext-Menüs im Finder umwandeln lassen (Rechtsklick auf die *.txt-Datei, Dienste, OpenPGP: Decrypt). Darauf hin erscheint die Passwortabfrage, so wie man es auch aus Apple Mail gewohnt ist. Man gibt also die entsprechende Passphrase ein und die nun entschlüsselte Datei wird gespeichert und kann somit im Klartext geöffnet werden.

OpenPGP und iOS

Für iOS-Geräte existieren derzeit vier Lösungen für die Nutzung von OpenPGP. Mobile OpenPGP steckt dabei noch in einer frühen experimentellen Alpha-Phase, Ziel ist es mit Hilfe von JavaScript OpenPGP direkt in einem WebKit-basierten Browser nutzen zu können.

Im iOS-AppStore gibt es außerdem die drei kommerziellen Anwendungen SecuMail (39,99 €), oPenGP (2,99 € bzw. als Lite-Version kostenfrei zum testen) sowie seit kurzem iPGMail (1,59 €).

Das Zertifikat-basierte S/MIME-Verfahren

Diese konkurrierende Lösung ist eher für größere Firmen und Behörden geeignet, man benötigt zur Nutzung ein X.509-basiertes Zertifikat. Zwar kann man als Privatperson kostenfreie X.509-Zertifikate erhalten (z.B. von CAcert). Das Problem ist jedoch, dass CAcert in vielen E-Mail-Clients und Web-Browsern noch nicht in der Zertifikatsdatenbank als vertrauenswürdige Zertifizierungsstelle eingetragen ist oder von einer dort eingetragenen Root CA zertifiziert wurde. Ein Benutzer, der eine Verbindung zu einem Server mit CAcert-Zertifikat aufbaut, wird daher eine Meldung erhalten, dass die Herkunft des Zertifikates nicht überprüft werden konnte.

Kostenfreie Zertifikate mit einer reduzierten Gültigkeitsdauer von 3 Monaten gibt es von Comodo InstantSSL. Der Vorteil gegenüber CAcert-Zertifikaten wäre, dass diese auch in den Zertifikatsdatenbanken gängiger Software als vertrauenswürdig gelistet sind.

Ein Jahr lang gültige kostenfreie Zertifikate, die ebenfalls in den Zertifikatsdatenbanken als vertrauenswürdig gelistet sind, werden von Start SSL als “StartSSL Free” und von TC Trustcenter als “TC Internet ID” angeboten.

Seit Version 5 von iOS wird S/MIME auch direkt in Mail auf iPhone, iPad und iPod unterstützt.

Meiner Meinung nach ist der Einsatz von S/MIME jedoch nur sinnvoll, wenn man sich für kostenpflichtige Zertifikate entscheidet, deren Gültigkeit nicht auf 3 Monate oder maximal 1 Jahr beschränkt ist. Davon abgesehen schockten auch die in diesem Sommer entdeckten Probleme mit diversen Zertifizierungsstellen …

Deshalb scheint mir eine OpenPGP-basierte Lösung attraktiver zu sein.

Fazit

Es gibt zwar nach wie vor einige kleinere Probleme mit den GPGTools, insgesamt funktioniert die beschriebene Lösung aber stabil und zuverlässig. Wer aus seinen E-Mail-Postkarten zukünftig E-Mail-Briefe machen möchte, sollte es auf einen Versuch ankommen lassen. Löblicherweise gehört zu den GPGTools auch ein Uninstaller, so dass man alle Komponenten bei Problemen wieder sauber vom System entfernen kann.

Übrigens: Eine deutschsprachige Version des GPGTools wiki ist in Vorbereitung. Eine weitere ausgezeichnete Informationsquelle wäre der GPGTools support (auch hier bekommt man Fragen im Zweifelsfall auf deutsch beantwortet). Zu guter Letzt sei noch auf diese sehr informative und interessante Seite verwiesen, dort erfährt man u.a. Wissenswertes zur Geschichte von PGP, GnuPG und Co.

Aktualisierung (20. Mai 2013): Endlich! Seit heute ist die finale Version der GPGTools mit 10.8 Mountain Lion Kompatibilität erhältlich. Herzlichen Glückwunsch an die Entwickler! :)

gpgmail für OS X 10.8

Aktualisierung (27. Juli 2013): Heute veröffentlichte man GPGMail 2 sowie die neue GPG Suite (vormals GPG Tools). Dabei versprechen die Entwickler nun erstmals eine Art “Selbstheilungsmodus” nach großen System-Updates (also z.B. dem anstehenden 10.9 Mavericks), so dass zukünftig das GPGMail-PlugIn einfach weiter arbeitet wie gewünscht. Wenn das tatsächlich so problemlos funktionieren sollte  - Chapeau!

Die neue GPG Suite inkl. Uninstaller.

Aktualisierung (22. Oktober 2013): Erstmals pünktlich zur Veröffentlichung einer neuen OS X Version von Apple liefern die 4 Entwickler der GPGTools/Suite auch eine offiziell erhältliche, kompatible Version. Herzlichen Glückwunsch an dieser Stelle.

Pünktlich zur Markteinführung von OS X Mavericks existiert eine kompatible Version von GPGMail.
Pünktlich zur Markteinführung von OS X Mavericks existiert eine kompatible Version von GPGMail.

Version 2.1 von “GPGMail” ist dadurch problemlos mit der bei OS X 10.9 mitgelieferten Version 7.0 von Apple Mail nutzbar. Außerdem wurden das “GPG Schlüsselbund” zur Schlüsselverwaltung auf Version 1.1.3 (Build 601), die “GPG Services” für das Dienste-Menü auf Version 1.9.2 (Build 602), die “GPG Preferences” für die Systemeinstellungen auf Version 1.0.2 (ebenfalls Build 602) und “MacGPG2″ auf die aktuelle gnupg-Version 2.0.22 aktualisiert. Eine frische Neuinstallation unter 10.9 Mavericks wie auch diverse Aktualisierungen auf verschiedenen Testsystemen mit 10.7.5 Lion wie auch 10.8.5 Mountain Lion verliefen ohne Komplikationen.

Nach wie vor besteht auf der Spendenseite der Entwickler die Möglichkeit, dieses Projekt finanziell zu unterstützen: https://gpgtools.org/donate.html

¹ Für die Nutzung von OpenPGP unter Windows bietet sich der Einsatz von GPG4Win an. Allerdings ist diese Software nicht für Outlook optimiert, sondern am besten mit Hilfe von Enigmail in Mozilla Thunderbird nutzbar. Wer unter Windows mit Outlook und PGP/GPG arbeiten möchte, sollte besser zur kommerziellen Alternative gpg4o greifen.

² Um Brute-Force-Attacken zu erschweren, sollte selbstverständlich ein sicheres, langes Passwort benutzt werden.

³ Es sei denn, Mac OS Extended (HFS+) wird direkt in TrueCrypt unterstützt – dann böte sich dies natürlich als Alternative zu FAT an. Leider habe ich momentan keinen Rechner zur Hand, mit dem ich dies testen könnte.

Aktualisierung (25. Mai 2013): Für Nutzer der Apple Mail Alternative Mozilla Thunderbird findet sich hier eine sehr gut gemachte Anleitung zur Installation und Einrichtung der GPGTools.

33 Gedanken zu „E-Mail-Verschlüsselung unter Mac OS X“

  1. Eine wirklich tolle Berichterstattung was GPG angeht. Leider ist es nicht vielen Usern bewusst, wie wichtig das ist. Vor allem heutzutage. Ich glaube, solange die Hersteller wie Apple, Microsoft & Co. diese Funktionen nicht offiziell unterstützen, wird es für die breite Masse der User ein unbekanntes Wesen bleiben.

  2. @key: Ja, da hast Du wohl recht … :roll:

    Nutzer des aktuellen Microsoft Outlook 2011 sind zum Beispiel auf die kommerzielle Version PGP Desktop 10.2 von Symantec angewiesen. Und wenn ich richtig informiert bin, werden dabei bisher auch nur POP3- und IMAP-Konten unterstützt, aber keine Exchange-Konten.

    Für Microsoft Entourage gab es ja immerhin mal ein OpenSource-Projekt, welches GPG-Unterstützung ermöglichte, aber leider ist mir keine derartige Lösung für Outlook unter Mac OS X bekannt …

    @Johannes Koller: Gern geschehen.

  3. Was bedeutet “Terminal öffnen”? Wie?

    In Apple Mail sollte nun unter “Einstellungen” ein neuer Menüpunkt “GPGMail” hinzugekommen sein. In seltenen Fällen kann es leider vorkommen, dass der besagte Menüpunkt nicht angezeigt wird. Taucht dieses Problem auf hilft folgendes:

    Apple Mail beenden.
    Das Terminal öffnen und folgende Befehle eingeben (jeweils mit ENTER bestätigen):

    1. Hallo Herr Dellmann,

      das Programm “Terminal” befindet sich im Ordner “Dienstprogramme” im Programme-Ordner.

      Am schnellsten hilft ein “Apfel+Space”, das öffnet das Spotlight-Suchfenster oben rechts und dort könnte man dann z.B. “Terminal” eingeben. Der Top-Treffer ist dann das gesuchte Programm.

      MfG,
      Marcel Dietzmann

  4. Dank des Links bei Wikipedia bin ich auf Ihre Seite aufmerksam geworden.

    Mit den englischen Anleitungen rund um das Thema “E-Mail-Verschlüsselung unter OS X” bin ich nie weit gekommen – leider fehlen mir die nötigen Sprachkenntnisse (und teilweise wahrscheinlich auch das technische Verständnis).

    Aber mit Hilfe Ihrer Anleitung habe ich es nun erfolgreich geschafft, die GPGTools auf meinem Mac einzurichten. Und bisher funktioniert alles fabelhaft!

    Recht herzlichen Dank dafür (vor allem auch für die vielen kleinen Erläuterungen zum Umgang mit dieser Sicherheitssoftware).

    Mit den besten Grüßen aus dem schönen Schwarzwald nach Berlin,
    Ihr Klaus M. Meier

  5. Auch nach wiederholter Durchführung der nachfolgenden Schritte erscheint in Apple Mail (OS X 10.8.2) “Einstellungen” kein neuer Menüpunkt “GPGMail”:

    Apple Mail beenden.
    Das Terminal öffnen und folgende Befehle eingeben (jeweils mit ENTER bestätigen):
    defaults write com.apple.mail EnableBundles -bool yes
    defaults write com.apple.mail BundleCompatibility -int 3
    Das Terminal verlassen: exit
    Apple Mail erneut starten.

    Der Menüpunkt “GPGMail” erscheint leider nicht.

    Ich bitte um Hilfe.
    Danke!

    1. Hallo,

      leider existiert noch keine 10.8 Mountain Lion kompatible Version, die Entwickler arbeiten aber daran.

      Zitat: “GPGMail doesn’t work under Mountain Lion, but we’re working on a fix. Please help to ensure development by donating.”

      Mit Hilfe einer Spende kann man die Weiterentwicklung unterstützen:

      https://www.gpgtools.org/donate.html

      Eventuell funktioniert ja die von mir beschriebenen “Notlösung”?

      Dazu muss man eine verschlüsselte Mail im Quelltext anzeigen lassen (Apple Mail/Darstellung/E-Mail/Reine Datei), dann alles von

      —–BEGIN PGP MESSAGE—–

      bis

      —–END PGP MESSAGE—–

      markieren und in einer *.txt-Datei speichern. Diese kann man dann mit Hilfe des Kontext-Menüs im Finder umwandeln lassen (Rechtsklick auf die *.txt-Datei, Dienste, OpenPGP: Decrypt). Darauf hin erscheint die Passwortabfrage, so wie man es auch aus Apple Mail gewohnt ist. Man gibt also die entsprechende Passphrase ein und die nun entschlüsselte Datei wird gespeichert und kann somit im Klartext geöffnet werden. Der umgekehrte Weg, um einen verschlüsselten Text zu senden, sollte ebenso funktionieren.

      Getestet habe ich das unter 10.8 noch nicht, aber es wäre einen Versuch wert.

      Derzeit sitze ich auch an einem aktualisierten Artikel zum Thema, sobald die Kompatibilität zu 10.8 offiziell ist, werde ich diesen online stellen.

      Beste Grüße,
      Marcel

  6. Vielen Dank für den Artikel!

    Ich habe eine Frage: Ich nutze mehrere eMailadressen mit ihren jeweiligen pgp-Schlüsseln. Doch nur bei einem Account wird die Mail standardmaäßig signiert, bei den anderen nicht.

    Früher (siehe dein Screenshot “GPGMail Einstellungen – Verfassen unter 10.6.8 Snow Leopard”) konnte ja allgemein festgelegt werden, ob standardmäßig signiert werden soll – kann man diese Einstellung mit der neuen, vereinfachten Darstellung bearbeiten? Hast du da ne Idee?

    (Vereinfachte Darstellungen sind ja ganz nett, aber man sollte mit einem Klick auch an die Erweiterten Optionen rankommen sollen.)

    Vielen Dank und Grüße,
    Anoj

    1. Hallo Anoj,

      da ich bisher nur eine E-Mail-Adresse für das signieren und verschlüsseln nutze, habe ich mir Dein Problem bisher noch nicht näher angesehen.

      Sehr wahrscheinlich lassen sich viele der “verschwundenen” Einstellungsmöglichkeiten nach wie vor setzen, aber eben nur noch per Terminal.

      Am schnellsten ist es sicher, wenn Du Dich mal direkt an die 4 Entwickler wendest, zur Not kannst Du dort auch auf deutsch statt englisch fragen:

      http://support.gpgtools.org/

      Beste Grüße,
      Marcel

      PS: Wenn Du Dir das zutraust, kannst Du ja schon mal etwas stöbern …

      1. Eine root-shell im Terminal öffnen:

      sudo su -

      2. In das entsprechende Verzeichnis wechseln:

      cd /usr/local/MacGPG2/share/man/man1/

      3. Die manpage von GPG2 aufrufen:

      man gpg2

      Mit “Q” kannst Du die manpage wieder verlassen.

      Es kann aber durchaus sein, dass man an anderer Stelle “schrauben” muss, z.B. an einer der Einstellungsdateien unter /usr/local/MacGPG2/bin/ – von daher ist es wohl besser, wie schon gesagt mal direkt bei den Entwicklern anzufragen. ;)

    2. Hallo Anoj,

      wie ich soeben von einem der Entwickler erfahren habe, handelt es sich bei dem Verhalten um einen bug, der sich kürzlich eingeschlichen hat, demnächst aber behoben wird.

      Beste Grüße,
      Marcel

  7. Pingback: Karl Bär
  8. Mittlerweile gibt es eine GnuPG-Version für Mountain Lion und die funktioniert ausgezeichnet zusammen mit Apple-Mail :!:

  9. An dieser Stelle möchte ich mich beim Herrn M. Dietzmann recht herzlich bedanken. Die mir direkt erbrachte , kompetente Unterstützung führte zum vollen Erfolg einer realisierten E-Mail Verschlüsselung. In diesem Sinne kann ich nun meine Erkenntnisse meinen Kollegen weitergeben und dazu beitragen, dass die Verschlüsselungsgemeinde wächst.

    Mit freundlichen Grüssen

    F. Föhr

  10. “Nachteil dieser DMGs ist, dass [...] die Verschlüsselung maximal 256Bit-AES unterstützt”

    Was soll das denn bedeuten? Einerseits ist AES-256 deutlich schlechter als AES-128 (siehe Wikipedia), andererseits ist AES-128 derzeit über jeden Zweifel erhaben.

    Eine Passphrase schützt die Schlüsseldatei auf dem Rechner. Mit der Sicherheit der verschlüsselten Nachrichten hat sie nichts zu tun. Sie muss eingegeben werden, wenn der jeweilige geheime Schlüssel benutzt werden soll, aber typischerweise nicht jedes Mal, weil sie (über eine konfigurierbare Zeitspanne) gecacht wird. Wie gut die Passphrase sein sollte, hängt von der Bedrohung ab: Angriff auf den ausgeschalteten Rechner (mit Plattenverschlüsselung), Angriff auf den laufenden Rechner von innen (kleine Schwester) oder von außen (Malware)?

    Technisch zwingend nötig für den Versand verschlüsselter Nachrichten (oder die Prüfung von Signaturen) ist zwar nur, dass man den öffentlichen Schlüssel (das Zertifikat) des Empfängers importiert, aber ungemein wichtig für das Sicherheitsniveau des ganzen Prozesses ist, dass man den importierten Schlüssel vor der Verwendung auch verifiziert, also dessen Fingerprint mit dem vergleicht, den man sich aus einer sicheren Quelle (nein, das ist keine Webseite) besorgt, also idealerweise durch persönlichen Kontakt (auf Papier), mit Einschränkungen auch telefonisch. Damit man die Verifikation auch erkennen kann, sollte man den Schlüssel anschließend zertifizieren (mit dem eigenen Schlüssel unterschreiben), im Zweifelsfall erst mal nur mit einer “lokalen Signatur” (lsign, nicht für die Öffentlichkeit).

    “Und noch eine Information dürfte von Interesse sein: OpenPGP verschlüsselt den gesamten Text einer E-Mail und bei aktivierter “OpenPGP/MIME”-Option auch die Anhänge.”

    Mit der Mac-Variante kenne ich mich nicht aus, aber grundsätzlich können auch PGP/Inline-Mails verschlüsselte (und/oder signierte) Anhänge enthalten. Die werden dann eben vorher verschlüsselt und das Ergebnis an die Mail rangehängt. Man sollte aber grundsätzlich versuchen PGP/MIME zu verwenden. Das ist die technisch saubere Lösung.

    Wenn man nicht nur mal rumspielen will, sondern einen (potentiell) langlebigen Schlüssel erzeugt (einen für die Öffentlichkeit), dann lohnt es sich, vorher mal zu sichten, was gute Schlüssel von schlechten unterscheidet, weil sich manches im nachhinein nicht mehr (ohne Unannehmlichkeiten) ändern lässt:

    http://www.openpgp-schulungen.de/kurzinfo/schluesselqualitaet/

  11. Prima Artikel, nur finde ich den Ausdruck “private key” nicht so treffend – “secret key” würde besser ausdrücken, dass er nicht in fremde Hände geraten soll.

    1. Hallo Thomas,

      Du hast natürlich völlig recht und auch ich fände es sinnvoller, diesen eher “secret key” statt “private key” zu nennen (in der deutschen Übersetzung wird er ja tatsächlich auch als “geheimer Schlüssel” und nicht etwa “privater Schlüssel” bezeichnet).

      Aber bei der Bezeichnung “private key” richtete ich mich ja danach, was tatsächlich in der Schlüsseldatei (.asc) steht – und da war immer von “private key” die Rede …

      In US-amerikanischen Artikeln wird allerdings auch immer von einem “public key” (also der “öffentliche”) und einem “secret key” (also der “geheime”) gesprochen. Umso verwunderlicher, dass in den original .asc-Schlüsseln dann “private key” statt “secret key” steht.

      Aber so penibel und genau können wahrscheinlich nur wir Europäer sein. ;)

  12. > danke für Deinen Kommentar, darf ich Dich fragen, wie Du meinen Artikel gefunden hast?

    Über Google. Ich habe nach einer Möglichkeit gesucht, wie ein paar Freunde und ich Dateien austauschen können, ohne dass Unbefugte mitlesen können. Ich selber bin Linux-User, habe mich aber mit GPG4Win soweit beschäftigt, dass ich die anderen Freunde da einweisen konnte. Nun stells sich aber heraus, dass ein Mac-User dabei ist. Deshalb bin ich froh, Deinen Artikel gefunden zu haben.

    > Aber bei der Bezeichnung “private key” richtete ich mich ja danach, was tatsächlich in der Schlüsseldatei (.asc) steht – und da war immer von “private key” die Rede …

    Das ist mir noch gar nicht aufgefallen.

    Ich benutzer GPG schon seit den 90er-Jahren auf der Kommandozeile. Noch heute lauten alle Optionen, die mit geheimen Schlüssel zu tun haben, –list-secret-keys, –delete-secret-key, –export-secret-keys, –secret-keyring oder ähnlich. Nur deswegen ist mir das aufgefallen. Ich schließe daraus, dass die Nomenklatur von OpenPGP und GPG diesbezüglich abweicht. Jeder kann selbst entscheiden, ob er der Nomenklatur von OpenPGP oder GPG folgt.

    Im oben genannten Freundeskreis hat übrigens einer versehentlich seinen geheimen Schlüssel mit exportiert und an alle verteilt. Es war nicht weiter schlimm, weil der Schlüssel völlig neu war und noch nie verwendet worden ist. Er hat dann einfach ein neues Schlüsselpaar erzeugt, und den alten Schlüssel weggeworfen.

    Persönlich entscheide ich mich für »geheim«, denn es klingt für mich gefährlicher, einen »geheimen« Schlüssel zu exportieren als einen »privaten«, und dann kommt so ein Fehler vielleicht nicht mehr (so häufig) vor.

  13. Auf der Suche nach mehr Sicherheit stieß ich auch auf GPG.
    Leider sind diese Tools aber nur auf den Teil der Nutzer beschränkt, die sich im Apple Mail/Thunderbird Universum aufhalten.

    Da ich aber beruflich – und über Systemgrenzen hinweg – darauf angewiesen bin, auch Dienste wie MS Outlook zu nutzen, nutzt es mir wenig.

    Und da die übergroße Mehrheit meiner Bekannten und Freunde weder Apple noch Thunderbird nutzen: gpg ist damit nicht wirklich im Alltag sinnvoll nutzbar.
    Schade.

Hinterlasse eine Antwort

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *

Du kannst folgende HTML-Tags benutzen: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong>