https://itunes.apple.com/us/app/ipgmail/id430780873?mt=8
http://www.anotherwindowsblog.com/2012/10/using-openpgp-on-the-iphone.html

Hab’s im Artikel angepasst.

Die grundsätzliche Frage für uns ist keine technische, sondern eine der Risikobewertung. Stehe ich auf der Liste der ausgewählten Ziele der NSA? Oder bin ich ein tibetischer Aktivist? Dann wiegt mich eine unsauber implementierte und laienhaft benutzte Kryptographie in falsche Sicherheit – und das kann den Kopf kosten. Oder bin ich nicht von besonderem Interesse, lebe in einem restdemokratischen Land wie Deutschland? Dann nur zu, jede verschlüsselt gesendete Mail ist ein Statement.

@Hauke (36)
Ich stimme nicht ganz mit dir überein. Was die Sachkenntnis bei Autoren von DIY-Artikeln angeht allerdings schon, deshalb habe ich ja bereits mehrfach Ergänzungen hinzugefügt. Nette Idee, dem Problem mit kostenlosen Schulungen zu begegnen.

1) mehr Sachkenntnis bei den vorhandenen Benutzern (insbesondere denen, die Artikel darüber schreiben, lalala)

2) einen funktionierenden Wissenstransfer von den Experten zum Rest.

http://www.openpgp-schulungen.de

Da gibt es doch diesen von sämtlichen Parteien einsehbaren Schlüsselserver. Wenn ein chinesischer Dissident mit dem westlichen Ausland per GPG kommunizieren möchte, dann erkennt ein Geheimdienst das an den Einträgen auf dem Schlüsselserver. Anstatt auf Facebook liefern nun ihre sozialen Beziehungen nun auf dem Schlüsselserver den Geheimdiensten aus.

@matze
Du berücksichtigst nicht DRM-Techniken wie Safe EFI-Boot. Die entziehen Dir die Kontrolle über Deinen Rechner. Bei so einem freien Linux wie Slackware oder Arch kann ich mit netstat, tcpdump und ähnlichen Werkzeugen, beobachten, was die installierte Software tut. Wenn ich aber nur certificierte Software installieren darf oder entscheidende Funktionen in Clouds ausgelagert werden, kann ich nichts machen. Freie Systeme sind von vornherein schon vertrauenswürdiger.

@woodchuck
Wie geil ist das denn? Das NSA verrät Dir, was Du gegen denen ihre eigene Spionage machen kannst. Oder war es Ziel dieser Doku, den User, der GPG einsetzen möchte, so zu entmutigen, daß er von GPG abläßt? Warum sind Endpunkte “weiche Ziele”? Ich habe übrigens 30 min. gebraucht, um ein Schlüsselpaar zu generieren, den öffentlichen Schlüssel auf einen Schlüsselserver zu bringen, eine verschlüsselte und signierte email zu versenden und zu empfangen und zu decodieren.

b) Es mag richtig sein, dass Mobiltelefone nicht sicher sind. Das hat aber andere Gründe, als die von dir angesprochenen. Das liegt an Apps (nur ein Facebook-Beispiel: http://www.heise.de/newsticker/meldung/Facebook-App-verschickt-Telefonnummer-auch-ohne-Login-1908799.html) und vor allem an den Apps aus unsicherer Quelle, weil Person ihr Handy rootet um auch die Raubkopien aus der Tauschbörse nutzen zu können. Mit der Folge, dass nicht (nur) Geheimdienste mitlauschen, sondern monetär interessierte Kriminelle. Aus diesem Grund ganz klar: Kein privater Schlüssel aufs Handy.

c) Windows & iOS: Wenn das so wäre, warum müsste dann die NSA ihrerseits Computer von EU-Diplomaten manipulieren, um an Daten zu kommen? Und das würde deutschen Geheimdiensten noch lange keinen Zugriff ermöglichen. Selbstverständlich gibt es Methoden, Computer zu kontrollieren, dass diese _nicht_ von vorneherein in Betriebssysteme eingebaut sind liegt aber Nahe. In deiner Argumentation müsste auch Linux (die meisten Linux-Distributoren sind Firmen aus den USA) solche Anteile enthalten, warum nimmst du es aus?

d) Warum glaubst du, werden in kritischen Situationen immer wieder Teile des Internet “abgeklemmt”? Weil die Regierungen, selbst dann, wenn sie es zu einem großen Teil überwachen, es eben nicht kontrollieren können. Es gibt also durchaus Hoffnung und es macht durchaus Sinn, seine E-Mails zu verschlüsseln.

Matze

So leicht ist Privacy heute nicht mehr zu haben. Wenn du in Verdacht stehst, dann weiß die NSA schneller über deine Kontobewegungen bescheid als die hiesige Steuerfahndung.

Sofern auch Hardware betroffen ist, ist nicht einmal Linux sicher vor den amerikanisch-englischen Langohren. Wir sollten uns besser Brieftauben oder Eulen schicken, das ist jedenfalls privater.

Das mit den Spammern kann ich nicht bestätigen. Zumindest nicht in größerem Maße, als dies eh schon stattfindet. Ich nutze seit vielen Jahren GPG, mein aktueller Schlüssel liegt seit 8 Jahren mit verschiedenen Unterschriften (bekommen und gegeben) auf Keyservern. Mit einem gut gepflegten Mailserver mit Spamheuristik bekomme ich ziemlich wenig Spam.

Ich rate also, auch dann, wenn es impraktikabel erscheint, zur Nutzung von GnuPG. Ich nutze es z.B. auch bei Personen, die bisher kein GPG einsetzen zur Signatur meiner unverschlüsselten E-Mails. So ließe sich im Zweifel auch nachträglich, z.B. nach einem persönlichen Treffen herausfinden, ob eine Mail verändert wurde. Ein zweiter Kanal ist eben nötig, selbst, wenn es umständlich erscheint.

Diese Signatur findet z.B. auch beim alternativen Social-Network von Diaspora* Anwendung. Der Pod, auch dem man sich anmeldet, erzeugt ein GPG-Schlüsselpaar und signiert alle Nachrichten, die von diesem Account erstellt werden. Es gibt viele offene Pods und die meisten der Podmins (Administratoren) unterstützen das Netzwerk mit ihren Servern und ihrer Zeit – ohne finanzielle und werbestrategische Interessen. Und falls man ihnen nicht traut, setzt man sich einen eigenen Pod auf und hat es selbst in der Hand.

Es sind kleine Schritte für jeden, die etwas ändern können, selbst dann, wenn sie zunächst mühselig und nicht zielführend erscheinen. Facebook und Twitter haben bei den Demonstration der arabischen Welt mitgespielt, weil es “unser” politisches Interesse war. Betrifft es Europa oder Amerika sieht das im Hinblick auf die Unterstützung der Bevölkerung durch die Beiden eher finster aus. Da wird gesperrt, zensiert, Nutzerdaten weitergegebene, …

Viele Grüße
- Matze

Viele Grüße
Matze

Deine Ausführungen (22) sind sehr interessant. Was ist aber, wenn Mallory die von ihm gefälschten Schlüssel mit seinem eigenen privaten Schlüssel unterschreibt? Mallory erzeugt für alle ihn interessanten Teilnehmer jeweils ein Schlüsselpaar, lädt die entsprechenden Originale vom Schlüsselserver, sichert sie und ersetzt auf dem Schlüsselserver die Originale durch Mallorys Fakes. Dann kommt es Alice in den Sinn, mit Bob kommunizieren zu wollen, Alice lädt nun das Fake vom Schlüsselserver, prüft es, und findet heraus, daß es ordnungsgemäß unterschrieben wurde, also nach ihrer Auffassung kein Fake ist; und das Unheil nimmt seinen Lauf&dots