Pretty Good Privacy (PGP) erklärt

Pretty Good Privacy (PGP) ist eine Verschlüsselungssoftware, die symmetrische und asymmetrische Verfahren kombiniert, um digitale Dienste und Kommunikationssysteme hochgradig zu schützen. PGP unterstützt außerdem digitale Signaturen, die Datenintegrität und die Authentizität des Senders garantieren.

Grundlagen

PGP ist eine von Phil Zimmermann entwickelte Verschlüsselungssoftware, die Privatsphäre, Sicherheit und Authentifikation für Online-Kommunikationssysteme gewährleisten soll. Zimmerman stellte das erste PGP-Programm als Freeware zur Verfügung, um der wachsenden Nachfrage nach Datenschutz gerecht zu werden.

Seit der Entstehung 1991 wurden verschiedene Versionen der PGP-Software entwickelt. 1997 schlug Phil Zimmermann der Internet Engineering Task Force (IETF) die Schaffung eines Open-Source-PGP-Standards vor, der angenommen wurde. Dieser Vorschlag führte zur Entwicklung des OpenPGP-Protokolls, das Standardformate für Verschlüsselungsschlüssel und Nachrichten definiert.

Ursprünglich gehörte PGP der Firma PGP Inc., später wurde es von Network Associates Inc. übernommen. 2010 erwarb Symantec Corp. PGP für 300 Millionen Dollar. Heute wird der Begriff PGP als Handelsmarke für Symantecs OpenPGP-kompatible Produkte verwendet.

Ursprünglich zum Schutz von E-Mail-Nachrichten und Anhängen genutzt, findet PGP heute in verschiedenen Anwendungsfällen Verwendung, etwa für digitale Signaturen, vollständige Festplattenverschlüsselung und Netzwerkschutz.

Wie funktioniert PGP?

PGP ist ein hybrides Kryptosystem, das symmetrische und asymmetrische Verschlüsselung kombiniert, um ein hohes Sicherheitsniveau zu erreichen. Es gehörte zu den ersten breit verfügbaren Programmen, die Public-Key-Kryptographie nutzten.

Im Verschlüsselungsprozess komprimiert PGP zunächst die Klartextdateien, um Platz und Übertragungszeit zu sparen und gleichzeitig die Sicherheit zu erhöhen. Nach der Kompression wird die komprimierte Klartextdatei mit einem einmalig verwendeten Schlüssel verschlüsselt, dem sogenannten Sitzungsschlüssel, der zufällig erzeugt und für die symmetrische Verschlüsselung genutzt wird. Jede PGP-Kommunikationssitzung hat ihren eigenen Sitzungsschlüssel.

Anschließend wird der Sitzungsschlüssel mit asymmetrischer Verschlüsselung verschlüsselt: Der vorgesehene Empfänger stellt dem Absender dafür seinen öffentlichen Schlüssel zur Verfügung. Zum Beispiel verschlüsselt Sarah den Sitzungsschlüssel mit Toms öffentlichem Schlüssel, um ihn sicher über das Internet zu übermitteln. Dieser Schritt stellt sicher, dass der Sitzungsschlüssel unabhängig von den Sicherheitsbedingungen sicher übertragen werden kann.

Für die asymmetrische Verschlüsselung des Sitzungsschlüssels wird häufig der RSA-Algorithmus verwendet – ebenso wie bei anderen Verschlüsselungssystemen wie dem Transport Layer Security (TLS)-Protokoll, das große Teile des Internets absichert.

Nachdem Sarah den Sitzungsschlüssel verschlüsselt hat, sendet sie den Chiffretext sowie den verschlüsselten Sitzungsschlüssel an Tom. Tom nutzt seinen privaten Schlüssel, um den Sitzungsschlüssel zu entschlüsseln, mit dem er dann den Chiffretext wieder in den ursprünglichen Klartext zurückverwandelt.

PGP bietet mehr als nur Verschlüsselung und Entschlüsselung. Es unterstützt auch digitale Signaturen, die drei Hauptfunktionen erfüllen. Die erste ist Authentifizierung: Tom kann mit PGP prüfen, dass die Nachricht tatsächlich von Sarah stammt. Die zweite ist Integrität: Tom kann sicherstellen, dass die Nachricht nicht verändert wurde. Die dritte ist Nichtabstreitbarkeit: Hat Sarah die Nachricht digital signiert, kann sie später nicht leugnen, sie gesendet zu haben.

Anwendungsbereiche

PGP wird häufig genutzt, um E-Mails durch Umwandlung in Chiffretext zu schützen, der nur mit dem passenden Entschlüsselungsschlüssel gelesen werden kann. Der gleiche Prozess eignet sich auch zur Sicherung von Textnachrichten und kann in anderen Apps implementiert werden. Neben dem Schutz von Internetkommunikation kann PGP zur Verschlüsselung einzelner Geräte wie Computer- oder Mobilgeräte‑Partitionen eingesetzt werden. Durch die Verschlüsselung der Festplatte ist beim Systemstart jedes Mal ein Passwort erforderlich.

Vorteile der Nutzung von PGP

Privatsphäre ohne Leistungseinbußen

Durch die Kombination von symmetrischer und asymmetrischer Verschlüsselung ist PGP ein leistungsfähiges Werkzeug für sichere Kommunikation, das den Schutz sensibler Informationen gewährleistet. Nutzer können Daten und kryptografische Schlüssel verschlüsseln und sicher über das Internet austauschen. Dieses hybride System bietet das Beste aus beiden Welten: die starke Sicherheit der asymmetrischen Kryptographie und die hohe Geschwindigkeit der symmetrischen Verschlüsselung. Zusätzlich liefern digitale Signaturen einen Nachweis für Datenintegrität und Absenderauthentizität, was die Kommunikationssicherheit weiter erhöht.

OpenPGP-Standard

Mehrere Unternehmen und Organisationen bieten PGP-Lösungen an, die dem OpenPGP-Protokoll entsprechen, wodurch ein standardisiertes Wettbewerbsumfeld entsteht. Das Gute daran ist, dass alle Programme, die den OpenPGP-Standards folgen, interoperabel sind. Dateien und Schlüssel, die in einem Programm erstellt wurden, können in einem anderen Programm verwendet werden, ohne Kompatibilitätsprobleme.

Nachteile der Nutzung von PGP

Einstiegshürde

PGP-Systeme haben auch Nachteile, die Nutzer kennen sollten. Dazu gehört, dass sie für technisch unerfahrene Anwender schwer zu bedienen und zu verstehen sein können. Außerdem empfinden viele Nutzer die langen öffentlichen Schlüssel als unpraktisch.

EFAIL-Schwachstelle

Die Electronic Frontier Foundation (EFF) veröffentlichte 2018 eine bedeutende Schwachstelle namens EFAIL. Die Lücke ermöglichte es Angreifern, über aktive HTML-Inhalte in verschlüsselten E-Mails Zugriff auf Klartextversionen von Nachrichten zu erlangen. Einige der von EFAIL aufgezeigten Probleme waren jedoch der PGP-Community bereits seit den späten 1990er-Jahren bekannt, und die Schwachstellen standen im Zusammenhang mit unterschiedlichen Implementierungen von E-Mail-Clients, nicht mit PGP selbst. Trotz der alarmierenden Schlagzeilen bleibt PGP kryptographisch robust und nicht grundsätzlich gebrochen.

Fazit

Seit seiner Einführung 1991 ist PGP ein wichtiges Werkzeug zum Schutz von Daten. Es wird heute in vielen Anwendungen eingesetzt und bietet Sicherheit, Authentifikation und Privatsphäre für digitale Dienste und Kommunikationssysteme. Trotz der Entdeckung der EFAIL‑Lücke 2018, die Fragen zur Sicherheit aufwarf, bleibt die Kerntechnologie von PGP weiterhin solide und kryptographisch sicher. Allerdings können die Sicherheitsniveaus verschiedener PGP‑Implementierungen variieren.