[Gpg4win-users-de] Web-Mailer-Frage

[Bernhard Reiter]

Am Dienstag, 9. Oktober 2012 23:38:32 schrieb Dr. Peter Voigt:
> > Klar läßt sich Gnupg auch von Web-Mail-Clienten aus nutzen.
> > Logischerweise muss dass der Serverteil der Lösung dann so entwickelt
> > sein, dass er für OpenPGP oder S/MIME Operationen GnuPG aufruft.
> > Der Nachteil liegt auch auf der Hand, da der Server das macht, musst Du
> > dem Server vertrauen. Damit gibt hier meist keine Ende-zu-Ende
> > Verschlüsselung mehr, nämlich immer dann, wenn der Server eben von
> > jemanden anders, woanders betrieben wird. Der Admin hat da halt Zugriff
> > auf Daten und Deine Zertifikate. Wenn da mehrere Nutzer drauf sind, wie
> > bei vielen größeren Anbietern, gibt das deutlich mehr Angriffsfläche
> > durch legale oder illegale Überwachung.
>
> Dank dir für den Denkanstoß. Es mag sein, dass ich da im Moment falsch
> denke, aber ich stelle mir naiverweise vor, dass der Server vom
> Ver-/Entschlüsseln gar nichts mitbekommen müsste. Könnte der
> Web-Mailer nicht durch clientseitiges Skripting (z.B. Ajax, JavaScript
> reicht wahrscheinlich nicht) die PGP/MIME- bzw. S/MIME-Operationen
> durchführen?

Es wäre sicherlich möglich die Verschlüsselung in Javascript zu 
implementieren, so dass sie im Webbrowser abläuft. Aber der Webbrowser 
vertraut ja dem Web-Mailer-Server und wird auch von diesem Javascript laden 
und ausführen. Dieser server-kontrollierte Teil kann auch auf die 
clientseitigen Werte zugreifen, also die Zertifikate, Kennworte oder Inhalt 
abgreifen und Richtung Server schicken.

> Für mich wäre es undenkbar, meine gesamten Schlüssel- 
> bzw. Zertifikate auf einen fremden Server zu hinterlegen.

Dann hilft nur ein vom Server unabhängiger Dienst, also ein lokaler.
Du kannst dann entweder per Markieren und Kopieren im Textfenster arbeiten 
oder Anhänge nehmen. Also

Anhang per Kleopatra verschlüsseln.
Per Web-Mailer anhängen.
Per Web-Mailer Empfangen und Speichern.
Per Kleopatra wieder entschlüsseln.

Ist natürlich nicht durchgängig MIME im Sinnen von integrierter 
Kryptohandhabung und auch die Adressen können dann schlecht mit 
Zertifikaten verbunden werden.

Gruß,
Bernhard
-- 
www.intevation.de/~bernhard (CEO)    www.fsfe.org (Founding GA Member)
Intevation GmbH, Osnabrück, DE; Amtsgericht Osnabrück, HRB 18998
Geschäftsführer Frank Koormann, Bernhard Reiter, Dr. Jan-Oliver Wagner
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname   : signature.asc
Dateityp    : application/pgp-signature
Dateigröße  : 490 bytes
Beschreibung: This is a digitally signed message part.
URL         : <http://lists.wald.intevation.org/pipermail/gpg4win-users-de/attachments/20121010/fd26a580/attachment.sig>