Permalink

Howto: E-Mail-Verschlüsselung und -Signierung mit S/MIME und OpenPGP (bei Apple Mail) einrichten

Wenn es um die Verschlüsselung oder Signierung von E-Mails geht, und da darf sich jeder mal selbst an die Nase packen, ist der Durchschnittsinternetnutzer doch eher zurückhaltend. Dem einen ist es zu kompliziert, dem anderen zu aufwendig und wieder andere sehen den Inhalt ihrer E-Mails nicht als schützenswert an.

Nun, die ersten beiden Argumente lassen sich relativ schnell entkräften. Das letzte lasse ich einfach mal unkommentiert im Raum stehen… ;)

Bildschirmfoto 2014-11-11 um 11.34.38

Generell muss man sich beim Verschlüsseln und Signieren von E-Mails zwischen zwei Protokollen entscheiden: S/MIME und OpenPGP, die beide nicht miteinander kompatibel sind und auch ‘nur’ den Inhalt der E-Mail verschlüsseln. Die Metadaten, wie Absender, Empfänger und Betreff, bleiben unverschlüsselt.

Ich möchte jetzt gar nicht groß ins technische Detail gehen oder den Glaubenskrieg fortführen, der zwischen den Nutzern dieser Protokolle herrscht. Ich möchte vielmehr die praktische Seite von S/MIME und OpenPGP beleuchten und kurz zeigen wie einfach man sie unter OS X oder iOS einrichten kann.

S/MIME vs OpenPGP

Nüchtern betrachtet gibt es vom Standpunkt der Sicherheit keinen Favoriten. Beide Protokolle entsprechen aktuellen Sicherheitsanforderungen; unterscheiden sich aber in grundlegenden Dingen, die in der Praxis durchaus von Bedeutung sind.

S/MIME benötigt beispielsweise keine große Einrichtung und lässt sich out-of-the-box sowohl am Mac, als auch unter iOS nutzen. OpenPGP erfordert dahingegen unter OS X etwas Handarbeit und hat die Einschränkung, dass es von Apples mobiler Mail.app unter iOS leider nicht unterstützt wird.

Der wichtigste Unterschied zwischen den beiden Protokollen liegt aber im Verfahren zur Authentifizierung. Während S/MIME über ein hierarchisches System mit einen Zertifikat die Echtheit garantiert, nutzt OpenPGP mit dem so genannten Web of Trust einen anarchischen Ansatz.

S/MIME-Zertifikat

Für die Verschlüsselung von E-Mails mit S/MIME sind die schon angesprochenen Zertifikate der wichtigste Bestandteil. Diese gibt es in verschiedenen Sicherheitsstufen, die alle unterschiedliche Ausprägungen bei der Validierung von Daten haben und unterschiedlich kosten. Für den Privat-Anwender sind diese Sicherheitsstufen in der Regel aber uninteressant, so dass man auch mit kostenlosen Zertifikaten, die meistens ein Jahr lang gültig sind, seine E-Mails verschlüsseln und signieren kann.

Fragt man DuckDuckGo, Google oder Bing nach kostenlosen E-Mail Zertifikaten, werden einem eine Reihe Anbieter wie Comodo oder StartSSL angezeigt.

 Bildschirmfoto 2014-11-11 um 19.50.05-minishadow

Wichtig, neben dem Namen und der E-Mail Adresse, für die das Zertifikat beantragt werden soll, ist die Schlüssellänge (bei Comodo, wie im Screenshot zu sehen, 2048 Bit) und das Revoke-Passwort, mit dem das Zertifikat im Fall der Fälle als ungültig erklärt werden kann.

Ist dieses Online-Formular ausgefüllt, erhält man nach dem Absenden eine Bestätigungsemail, mit der man das Zertifikat herunterladen kann.

Bildschirmfoto 2014-11-11 um 19.55.29-minishadow

Je nach Konfiguration landet das Zertifikat, das in meinem Fall den Dateinamen CollectCCC.p7s hat, im Downloadordner des Macs.

Startet man diese Datei per Doppelklick öffnet sich die OS X Schlüsselbundverwaltung, in die man das Zertifikat nur hinzufügen muss.

Bildschirmfoto 2014-11-11 um 21.02.29-minishadow

Anschließend startet man die Mail.app neu, die das Zertifikat automatisch erkennt und ab sofort E-Mails verschlüsselt und signiert versenden kann.

Dazu gibt es bei Mail beim Schreiben einer neuen E-Mail zwei neue Schaltflächen. Zum einen ein Schloss, welches die Verschlüsselung der E-Mail aktiviert. Zum anderen einen Haken, der die E-Mail signiert. Der Haken ist per Default immer aktiviert. Es wird also jede E-Mail signiert versendet. Das Schloss kann dahingegen nur angeklickt werden, wenn der Adressat ebenfalls ein gültiges S/MIME Zertifikat besitzt.

Bildschirmfoto 2014-11-11 um 20.06.05-minishadowBildschirmfoto 2014-11-12 um 12.48.52-minishadow copy

Oben rechts sieht man zudem, sofern man OpenPGP schon nutzt, eine blaue S/MIME Schaltfläche. Setzt man einzig und alleine auf S/MIME, ist diese Schaltfläche nicht zu sehen.

Besonderheit iOS

Das iOS mit dem vom Comodo zugesendeten Zertifikat im *.p7s Format nichts anfangen kann, muss man es zunächst in ein für iOS lesbares Format umwandeln.

Dazu nutzt man die OS X Schlüsselbundverwaltung, in der man per Rechtsklick das entsprechende Zertifikat, mit einem Passwort geschützt, ins *.p12 Format konvertieren kann.

Bildschirmfoto 2014-11-11 um 21.40.39

Nachdem man das Zertifikat per E-Mail o.ä. aufs iPhone, iPad oder den iPod touch übertragen und installiert hat, muss man S/MIME in den Einstellungen > Mail, Kontakte, Kalender > E-Mail Account > Account > Erweitert aktivieren und findet in der mobilen Mail.app nun ähnliche Schaltflächen wie schon unter OS X.

IMG_2400 IMG_2401

OpenPGP-Schlüsselpaar

Wie schon erwähnt, wird dieses Protokoll im Gegensatz zu S/MIME nicht von iOS unterstützt. Daher ist die folgende Anleitung auch ausschließlich für OS X ausgelegt.

Zunächst muss man sich die GPG Suite, deren Source Code auch bei Github zu finden ist, herunterladen und installieren. Für OS X Yosemite wurde erst kürzlich eine kostenlose Beta veröffentlicht. Das Ganze wird aber, wie die Entwickler schon Mitte Oktober 2014 angekündigt haben, in der finalen Version nicht kostenlos bleiben. Wie hoch die small fee für das Mail Plugin GPGMail, welches Bestandteil der GPG Suite ist, ausfallen wird, bleibt abzuwarten aber alleine vom Sicherheitsgedanken sollte man darüber nicht groß nachdenken.

Bildschirmfoto 2014-11-11 um 21.45.01-minishadow Bildschirmfoto 2014-11-11 um 21.45.33-minishadow

Nach der Installation findet man das Plugin GPGMail, welches schlussendlich für das Verschlüsseln und Signieren von E-Mails verantwortlich ist, in den Mail Einstellungen.

Bildschirmfoto 2014-11-11 um 21.47.00-minishadow

Da (Open)PGP keine Zertifikate braucht, sondern die benötigten Schlüssel dezentral über einen öffentlichen Schlüsselserver verwaltet, gestaltet sich die weitere Einrichtung wesentlich einfacher als bei S/MIME.

Mit der Installation der GPG Suite hat sich neben dem Mail Plugin u.a. auch eine App namens GPG Keychain ins OS X Programme-Verzeichnis installiert. Neben dem Erstellen neuer bzw. Widerrufen vorhandener Schlüsselpaare für die eigenen E-Mail Adressen, werden hier auch die öffentlichen Schlüssel von Adressaten verwaltet.

Bildschirmfoto 2014-11-11 um 21.49.48-minishadow

Wichtig beim Erstellen ist der Haken bei Upload public key, der den eigenen öffentlichen Schlüssel auf den Schlüsselserver hoch lädt. Andernfalls ist es Adressaten, die ebenfalls (Open)PGP nutzen, nicht möglich verschlüsselte E-Mails zu schreiben, die mit dem privaten Schlüssel, der auf dem eigenen Rechner liegt, entschlüsselt werden.

Bildschirmfoto 2014-11-11 um 21.52.23-minishadow

Das Fenster zum Schreiben neuer Mails hat in der Mail.app nun auch wieder die beiden zusätzlichen Schaltflächen zum Verschlüsseln und Signieren von E-Mails. Bei installiertem S/MIME gibt es darüber hinaus oben rechts eine grüne OpenPGP Schaltfläche, die zwischen den Protokollen umschalten kann.

FAZIT

Ich hoffe, dass einigermaßen klar wird, dass das Verschlüsseln und Signieren von E-Mails kein Hexenwerk ist, für das man kryptische Informatik studiert haben muss.

Es empfiehlt sich außerdem S/MIME und OpenPGP parallel installiert zu haben. Zum einen sind, wie schon erwähnt, beide Protokolle zueinander nicht kompatibel. Zum anderen hat sich bisher auch kein Favorit herauskristallisiert, so dass momentan jeder das nutzt, was er für richtig hält.

Die Anleitung kann im Übrigen natürlich auch auf andere OS X Mail-Clients wie MailMate (siehe Screenshot) oder auch Airmail 2 angewendet werden.

Bildschirmfoto 2014-11-12 um 15.22.49-minishadow 

Für einen tieferen technischen Hintergrund um S/MIME und OpenPGP empfehle ich einen Artikel von Christian Kirsch.

Permalink

Touch ID und die trügerische Sicherheit

Apples Touch ID ist zum Anmelden bei Apps ist eine sehr komfortable Geschichte. Es vergeht seit der Veröffentlichung von iOS 8, mit dem Touch ID für 3rd Party Apps verfügbar wurde, kaum eine Woche, in der nicht irgendein anderer Entwickler mit der Integration dieses Features in seiner App hausieren geht.

Doch wie sieht es mit der Sicherheit von Touch ID, fernab der hinlänglich bekannten Sicherheitsprobleme, die bei der Verwendung eines Fingerabdrucks entstehen, aus?!

2014-11-03_12h42_57

Andreas Kurtz beschäftigt sich in seinem Blogeintrag ausgiebig mit diesem Thema und zeigt am Beispiel der Dropbox App welch trügerische Sicherheit Apple mit dem Local Authentication Framework, einer API, die Apple zur Verwendung von Touch ID den Entwicklern zur Verfügung stellt, dem Nutzer vorgaukelt.

Since I first heard about this new framework, I have questioned its usefulness. Ultimately, Local Authentication becomes only important when an unlocked device falls into the wrong hands. Than Local Authentication is designed to ensure that, when an app is launched, an additional login screen is displayed to prevent access to the app’s contents. However, in this very moment it is still possible, e.g., to directly access all app data via the USB interface (for example, by creating a backup). After all, the device is already unlocked (otherwise you wouldn’t need Local Authentication).

Ähnliche Sicherheitsbedenken hat auch die Subsembly GmbH aus München, die erst letzte Woche Touch ID in ihre großartige Online-Banking App Banking 4i integriert hatte. Wie auf der Facebook-Seite des Entwicklers zu lesen, ist man mit Apples Umsetzung des Local Authentication Frameworks unzufrieden, hat aber dennoch über einen sogenannten Zweitschlüssel einen Weg gefunden, der das eigentliche Passwort zum Entsperren der App nicht lokal auf dem iPhone oder iPad speichert.

Die übliche, von Apple empfohlene Vorgehensweise für die Implementierung von Touch ID sieht vor, dass das mit Touch ID zu schützende Passwort einfach im Schlüsselbund auf dem Gerät gespeichert wird. Unser Grundprinzip, das Passwort niemals irgendwo in irgendeiner Weise zu speichern wäre damit gebrochen. Nun kann man argumentieren, dass der Schlüsselbund in iOS sehr sicher ist, und die Speicherung des Passworts im Schlüsselbund deshalb kein Risiko darstellt. Ich glaube das nicht. So kann zum Beispiel ein “trojanisches Pferd” auf einem iPhone mit Jail-Break den Schlüsselbund einfach auslesen.

-> iOS 8 Touch ID Authentication API
-> Touch ID in Banking 4i

Permalink

Yosemite nach Hause telefonieren…

Nachdem ich letzten Freitag voller Vorfreude OS X Yosemite installiert und einen ersten Neustart durchgeführt hatte, kam schon ein erstes Misstrauen in mir hoch. Little Snitch meldete nämlich, trotz perfekter Regeln für OS X Mavericks, unzählige Zugriffe neuer im Hintergrund laufender Prozesse auf das Netzwerk.

Wie sich nun herausgestellt hat, wird die Privatsphäre in Yosemite etwas anders als noch unter Mavericks behandelt. Gerade das neue Spotlight telefoniert recht gerne nach Hause und sendet dabei den Suchbegriff und auch den derzeitigen Standort an Apple.

Bildschirmfoto 2014 10 20 um 21 49 48 minishadow

Abhilfe?!

Gibt es, denn Landon Fuller, Betreiber der Webseite Fix Mac OS X Yosemite, hat zwei einfache Schritte beschrieben, um genau diese Schnüffeleien von Apple zu verhindern.

  1. Spotlight-Vorschläge und Bing Websuchenin Systemeinstellungen > Spotlight > Suchergebnisse deaktivieren
  2. Spotlight-Vorschläge einbeziehen in den Safari-Einstellungen > Suche deaktivieren
Bildschirmfoto 2014 10 20 um 22 55 16 minishadow

Dazu kann es sicher nicht schaden auch auf DuckDuckGo anstatt Google, Bing oder Yahoo als Standard-Suchmaschine im Safari zu setzen und die Ortungsdienste für Spotlight unter Systemeinstellungen > Sicherheit > Ortungsdienste > Systemdienste zu deaktivieren.

Bildschirmfoto 2014 10 20 um 23 33 55 minishadow

Darüber hinaus hat Fuller auch ein Yosemite Phone Home Projekt bei Github eingerichtet, in dem weitere Beispiele aufgeführt sind, bei denen Yosemite etwas schlampig mit eigentlich privaten Daten umgeht.

Nun sollte man aber nicht in Panik verfallen und OS X Yosemite als ‚unsicher‘ titulieren. Viele Dinge, gerade was Spotlight angeht, lassen sich mit etwas Handarbeit deaktivieren. Dennoch muss sich Apple den Vorwurf gefallen lassen, dass man derartige ‚Features‘ in einem frisch installiertem System ohne jede Nachfrage per default aktiviert hat.

Permalink

Locko · OS X Passwortmanager derzeit kostenlos

Kurztipp:
Der recht gute Passwortmanager Locko wird für den Mac bis zur Veröffentlichung der iOS-Version kostenlos im Mac App Store zum Herunterladen angeboten.

Bildschirmfoto 2014-04-10 um 22.21.19-minishadow

Locko, das u.a. Browser-Extensions, Cloud Sync oder einen 1Passwort-Datenimport anbietet, hatte ich schon zur initialen Veröffentlichung in einem Review bzw. zum ersten großen (Design-)Update in einem dazu passenden Update-Artikel etwas näher beschrieben.

Wenn dir das zu viel Lesestoff ist, genügt vielleicht auch folgender Feature-Überblick:

  • Secure AES-256 encryption
  • Configurable password generator
  • Web Logins, Credit Cards, Bank Accounts, Software Licenses, and so much more…
  • File vault
  • Photo album
  • Secure Notes
  • Custom fields (text, password, date, secure text)
  • Search in all fields
  • Unlimited item groups
  • Browser extensions for Safari, Chrome, Firefox, and Opera
  • 1 click login for websites
  • QuickLook encrypted documents
  • iCloud and Dropbox synchronisation
  • Import from 1Password
  • Export database in JSON format

Locko kostet normalerweise bis zu 17,99 Euro und setzt OS X 10.8 Mountain Lion zur Installation voraus. Sobald die iOS-Version verfügbar ist (und Locko for Mac damit wieder kostenpflichtig wird) melde ich mich erneut.

Locko - password manager and file vault (AppStore Link) Locko - password manager and file vault
Hersteller: BinaryNights LLC
Freigabe: 4+
Preis: Gratis Download
Permalink

Two Factor Auth (2FA)

Aus Gründen der Sicherheit sollte sich diese Frage schon mal jeder irgendwann gestellt haben…

Bildschirmfoto 2014-07-30 um 12.49.00

Der heutige Linktipp liefert, nach Kategorien getrennt, Antworten.

Dazu werden über einen Link zur passenden Dokumentation auch direkt Hinweise gegeben, wie man diese Zwei-Faktor-Authentifizierung bei den einzelnen Anbieter aktiviert.

Permalink

Enpass · Passwort Manager für OS X und iOS (mal wieder) kostenlos zu haben

Wenn man einen Passwort-Manager für den Mac oder iOS inkl. Sync-Funktionen sucht, führt der Weg eigentlich kaum an 1Password vorbei. Eine kostengünstigere Alternative findet man in Locko bzw. in KeePassX, welches komplett kostenlos ist.

Enpass ist ein weiterer Kandidat, der derzeit ebenfalls mal wieder kostenlos zum Herunterladen angeboten wird.

Die App bietet quasi alles, was man von einem Passwort-Manager erwartet:

  • Master-Passwort
  • AES-256 Verschlüsselung
  • Cloud-Sync (iCloud, Dropbox, Google Drive, OneDrive und Box)
  • Import vorhandener Daten (Datavault, Keeper, 1Password, LastPass, RoboForm, Keepass, KeepassX, Password safe, eWallet, SPB Wallet, Moxier, SplashID, SafeWallet, Handy Safe, OneSafe, Password Keeper und custom CSV)
  • Passwort-Generator
  • Vorlagen, Kategorien und Ordnersystem

Dazu ist Enpass plattformunabhängig und neben OS X und iOS auch für Android, Windows Phone, BlackBerry und Windows-PC verfügbar. Einzig eine praktische Browser Extension fehlt momentan noch.

 

Zur Installation werden OS X 10.7.4 Lion bzw. iOS 6 minimal vorausgesetzt.

Enpass Password Manager ( Passwort Manager ) (AppStore Link) Enpass Password Manager ( Passwort Manager )
Hersteller: Sinew Software Systems
Freigabe: 4+
Preis: Gratis Download
Enpass Password Manager ( Passwort Manager ) (AppStore Link) Enpass Password Manager ( Passwort Manager )
Hersteller: Sinew Software Systems
Freigabe: 4+
Preis: 8,99 € Download

Permalink

Review: Hider 2 · Verschlüsselter Dateitresor für OS X (Gewinnspiel inside)

Vor einigen Wochen wurde mit Hider 2, der Nachfolger der recht erfolgreichen App MacHider, vorgestellt, die sich hauptsächlich um das Verschlüsseln und Verstecken von Dateien, Verzeichnissen und Notizen kümmert.

IconTitleForLightBackground2

Bevor man damit jedoch loslegen kann, muss man beim ersten Starten der App ein Master-Passwort festlegen, mit dem Hider 2 entsperrt wird. Diese Prozedur ist vielen mit Sicherheit vom Passwort-Manager 1Password bekannt und sollte keine größere Hürde darstellen.

Man sollte sich dieses Master-Password übrigens tunlichst merken, da man andernfalls nicht mehr an seine Daten herankommt. Entwickler MacPaw hat an dieser Stelle aber für den DAU mitgedacht und bietet das Sichern dieses Passwortes im iCloud Schlüsselbund an.

Bildschirmfoto 2014-04-10 um 22.09.42

Mit dem Anlegen dieses Master-Passworts wird auch direkt ein Tresor (englisch ‘vault’) erstellt, der mit AES-256 verschlüsselt ist und in dem man seine Dateien und Verzeichnisse per drag-and-drop ‘sichern’ kann.

Auf der linken Seite befindet sich noch eine Sidebar, die neben dem Tresor, auch (Mavericks-)Tags und abgelegte Notizen anzeigt.

Bildschirmfoto 2014-04-10 um 22.10.54-minishadow

Hier ist auch das Anlegen von Unterkategorien und das Taggen von Dateien möglich.

Außerdem sieht man rechts neben den im Tresor befindlichen Dateien und Verzeichnissen einen Schieberegler, der zwischen Hidden und Visible umschalten kann. Das hat den Hintergrund, dass die im Tresor befindlichen Dateien und Verzeichnisse nicht im Originalverzeichnis verschlüsselt und versteckt werden, sondern als Duplikat in den angelegten Tresor kopiert werden, der unter ~/Library/Containers/com.macpaw.Hider2 zu finden ist.

Die Originaldatei/-verzeichnis bleibt also völlig unberührt, kann aber über diesen Schieberegler in der Hidden-Stellung im Dateisystem versteckt werden und ist so weder im Finder, noch mit Spotlight auffindbar. Stellt man den Schalter zurück auf Visible wird die Datei oder das Verzeichnis im Originalverzeichnis wieder angezeigt.

Main screen-minishadow

Für Daten auf externen Laufwerken oder in der Cloud, die ebenfalls mit Hider 2 verschlüsselt werden können, gilt genau die gleiche Arbeitsweise. Für Daten von externen Laufwerken muss man sich nur merken, dass der Tresor auch extern (unter Local Vault werden die externen Vaults aufgelistet) und nicht im oben genannten Verzeichnis liegt.

Auch Notizen werden ähnlich abgehandelt, mit dem Unterschied, dass diese ausschließlich in der App zu finden sind und sie nichts mit den OS X Notizen zu tun haben.

 Bildschirmfoto 2014-04-30 um 14.50.19 Secure Notes-minishadow

Des Weiteren kann man über das (Dienste-)Kontextmenü im Finder Dateien oder Verzeichnisse mit Hider 2 verstecken und es gibt ein zuschaltbares Icon in der OS X Menüleiste.

Darüber lassen sich Dateien oder Verzeichnisse suchen und man kann hier sehr schnell über einen Schieberegler die Sichtbarkeit im Finder steuern. Notizen werden hier leider nicht angezeigt.

 Bildschirmfoto 2014-04-10 um 22.10.55-minishadow   Bildschirmfoto 2014-04-30 um 14.50.16-minishadow

Einstellungen

Hier kann man neben dem Menüleisten-Icon, auch das Master-Passwort oder Shortcuts ändern.

Bildschirmfoto 2014-04-30 um 14.50.12-minishadowBildschirmfoto 2014-04-30 um 14.50.14-minishadow

Preise und Verfügbarkeit

Hider 2 wird ausschließlich über den Mac App Store für derzeit 17,99 Euro verkauft. Eine kostenlose Testversion gibt es leider nicht.

Zur Installation wird OS X 10.8 Mountain Lion vorausgesetzt.

Hider 2: Encrypt and Password Protect Files (AppStore Link) Hider 2: Encrypt and Password Protect Files
Hersteller: MacPaw Inc.
Freigabe: 4+
Preis: 17,99 € Download


FAZIT

Generell muss ich sagen, dass mir die flache Oberfläche von Hider 2 sehr gut gefällt und die App stabil läuft. Auch der Workflow ist sehr eingängig und sollte daher von jedem verstanden werden.

Genau dieser Workflow bereitet mir aber auch etwas Bauchschmerzen und stellt im Grunde genommen ein großes Problem da. Ich habe quasi eine doppelte Datenhaltung, was gerade bei kleinen SSDs und sehr großen Tresoren (ich rede von mehreren Gigabytes) kritisch werden kann. Apropos mehrere Gigabyte… ich hatte im Vorfeld dieses Reviews immer mal wieder gelesen, dass Hider 2 Probleme bei Tresoren, die größer als 2 GB sind, haben soll und die verschlüsselten Daten ggf. unbrauchbar werden. Dieses Phänomen konnte ich in mehreren Tests nicht feststellen.

Davon ab fehlt momentan noch eine Quicklook Funktion, um die verschlüsselten Daten schnell über Hider 2 anzusehen und eine deutsche Lokalisierung der App.

Wer aber eine große Festplatte hat und viele Daten sicher aufbewahren muss, ist mit Hider 2 ganz gut bedient. Alternativen sind in TrueCrypt oder Knox zu finden.

aptgetupdateDE Wertung: (7,5/10)

Verlosung

Entwickler MacPaw Inc. hat aptgetupdateDE für ein Gewinnspiel drei Mac App Store Promo Codes von Hider 2 zur Verfügung gestellt.

Zur Teilnahme kommt erneut Rafflecopter zum Einsatz, bei dem folgende Lose enthalten sind:

  • Frage beantworten
  • aptgetupdateDE bei Facebook folgen
  • aptgetupdateDE bei Twitter folgen

Die Auslosung findet kommenden Montag, den 05.05.2014, statt. Viel Glück!

a Rafflecopter giveaway