Am 02.03.2015 um 11:29 schrieb Michael Ströder:
Letztlich hat die Crypto-Fan-Fraktion mit der Diskussion S/MIME-ist-böse-und-nur-PGP-ist-das-einzig-wahre-Nerd-Tool flächendeckende Ende-zu-Ende-Verschlüsselung wirksam verhindert.
Also wenn ich jetzt mal von mir ausgehe, sind andere Gründe ausschlaggebend. Mein Problem ist, dass man S/MIME Zertifikate, die beim Empfänger nicht gleich "Alarm auslösen" weil kein Root-Zertifikat installiert ist, fast nicht bekommt. Alles fest in kommerzieller Hand. Mark Shuttleworth ist auf die Art zum Millionär geworden.
Ich kenne nur 3 Anbieter von kostenlosen Zertifikaten: StartSSL und Comodo laufen nur 1 Jahr und lassen sich nicht verlängern, man braucht jedes Jahr ein neues. Das macht das entschlüsseln von archivierten Mails nicht einfacher. CaCert gefällt mir da besser, aber die Hersteller von Browsern, Maiclients und Betriebssystemen weigern sich beharrlich deren Root-Zertifikat mit auszuliefern. Debian hatte es eine Zeit lang drin, aber kürzlich wieder entfernt. So taugt das auch wieder nur für Nerds die sich das Root-Zertifikat selber installieren.
Dann kommt noch erschwerend dazu dass das Nebeneinander von S/MIME und PGP/MIME nur schwer zu handeln ist. Wenn man im Thunderbird beides aktiviert hat kann man eigentlich nur manuell bei jeder Mail festlegen wie sie verschlüsselt werden soll. Nutzt man das Plugin "Encrypt if possible" zusammen mit der automatischen Enigmail-Verschlüsselung, dann kommen die sich in die Quere wenn man von einem Empfänger beides hat.
Bevor man anfängt das Problem mit der Key-Verteilung lösen zu wollen, sollte man sich erstmal die Mailclients vornehmen und das ganze benutzbarer machen. Wenn ich Thunderbird installiere, dann muss die Verschlüsselung out-of-the-box funktionieren (wie bei S/MIME), ich will da nicht erst noch Enigmail und gpg4win installieren und konfigurieren müssen.
Ich stelle mir das so vor (im Falle PGP): bei der Einrichtung von Thunderbird werde ich gefragt ob ich eine neues Mailkonto anlegen, oder ein vorhandenes benutzen will. Genauso muss ich gefragt werden ob ich einen neuen PGP-Key erzeugen will, oder einen vorhandenen importieren will. Mehr Einrichtung brauchts nicht. Anschliessend muss jede Mail, für die ein Key für alle Empfänger vorhanden ist, automatisch verschlüsselt werden. Ist kein Key in meinem Schlüsselbund, muss *automatisch* auf einem Keyserver danach gesucht werden.
Erst wenn das funktioniert, kann man sich im 2. Schritt Gedanken machen wie man die Qualität der Keys auf den Keyservern verbessert, bzw. deren Verteilung. Es macht keinen Sinn den zweiten Schritt vor dem ersten zu machen.
Aber wie ich schon sagte: ich halte S/MIME für die bessere Lösung, weil da das meiste schon perfekt funktioniert, der Aufwand bis zum Endziel (einfache Verschlüsselung für die Massen) ist da wesentlich geringer.