Mailboxbetrieb   Index   Inhaltsverzeichnis

Mailsignatur

Immer öfter kommt es zu Rufzeichenmissbrauch im Packetnetz. Mails werden unter falschem Rufzeichen eingespielt, wenn der Absender zu feige ist, um hinter seiner Mail zu stehen, oder auch nur, um den Ruf anderer zu schaden.

Daher ist es mittlerweile angebracht, die Echtheit einer Mail überprüfen zu können. Ein Boxpasswort ist recht unsicher, wenn man es selbst über den Funkkanal setzt, schließlich kann jeder die Aussendung mitlesen. Oder man ruft den Box-SysOp an und läßt ihn ein Passwort setzen. Das macht (zu)viel Arbeit für den SysOp und verhindert auch nicht das Einspielen von falschen Mails in einer fremden Box.

Am sinnvollsten ist es, wenn der Einspieler eine digitale Signatur an seine Einspielung anhängt. Hierfür kann man PGP/GnuPG benutzen. Dies verhindert zwar nicht die Einspielung falscher Mails ohne Signatur, aber man weiß ganz genau, ob eine unterschriebene Mail vom vermeindlichen Absender stammt oder ob ein Fälscher am Werk war.

LinKT bietet Unterstützung für GnuPG an, um dem Anwender die Einspielung von signierten (unterschriebenen) Mails zu erleichtern. Mit wenigen Klicks kann man einen Text signieren und aussenden lassen.

Hinweis: PGP und GnuPG sind dafür bekannt, dass man mit ihnen Daten verschlüsseln kann. Dies ist im Amateurfunk illegal und wird daher von LinKT auch nicht unterstützt. Es können ausschließlich Texte unterschrieben werden, um die Echtheit des Absenders überprüfen zu können.

Was bedeutet GnuPG, GPG, PGP, OpenPGP oder GnuPP?

Viele Begriffe schwirren um diese Thematik. Hier eine kurze Übersicht:

GnuPG
GnuPG ist der »GNU Privacy Guard«. Dieses Programm wurde von Werner Koch, DD9JN entwickelt und ist im Quellcode erhätlich.

GnuPP
Das »GNU Privacy Project« ist die Initiative, GnuPG plus einige Zusatzprogramme zu verbreiten. Es wird gefördert von BMWi und BMI. Hier gibt es auch kostenlos eine CD mit der Software zu bestellen.

GPG
GPG ist eine Abkürzung für GnuPG. Das Programm kann an der Kommandozeile mit gpg aufgerufen werden.
PGP
PGP steht für »Pretty Good Privacy«, einen Programm von Network Associates, Inc.. PGP ist nicht im Quellcode erhältlich und wird von NAI nicht mehr weiterentwickelt, so dass seine Verwendung in Zukunft zurückgehen wird.

In der Boxrubrik PGP werden PGP-Schlüssel eingespielt.

OpenPGP
Diesen Namen hat der Standard, an den sich Programme wie GnuPG oder PGP halten sollten.

Schlüsselerzeugung

Bevor man mit Mails signieren kann, muss man sich einen eigenen PGP-Schlüssel erzeugen. Dies geschieht mit dem Befehl

$ gpg --gen-key

Üblicherweise möchte man einen DSA/ElGamal-Kombischlüssel, wählt also Option 1. Als Schlüssellänge nimmt man mindestens die voreingestellten 1024 Bit. Mehr sind im Normalfall auch unnötig und erhöhen ausserdem die Rechenzeit pro Unterschrift.

Ob man möchte, dass der Key irgendwann automatisch verfällt, also zu einem bestimmten Datum ungültig wird, ist jedem selbst überlassen. Sinnvoll mag eine Zeitdauer von zwei Jahren sein, falls der Geheimschlüssel abhanden kommt oder geklaut wird und man sonst keine Möglichkeit mehr hat, ihn in diesem Unglücksfall zu widerrufen.

Als »Vorname Nachname« gibt man den eigenen Vor- und Nachnamen an, wie er im Personalausweis steht. »E-Mail-Adresse« kann eine eigene E-Mail-Adresse oder auch Packet-Adresse enthalten; als »Kommentar« sollte man sein Rufzeichen eintragen. Man kann nach Wunsch die Felder auch anders eingeben, es sollten jedoch immer Vor-/Nachname und Rufzeichen enthalten sein, damit der Schlüssel im PR-Netz sinnvoll eingesetzt werden kann. Keys, die diese Informationen nicht enthalten, werden von der AFu-PGP-CA nicht signiert.

Nun fragt gpg nach dem »Mantra«. Dieses schützt den Geheimschlüssel davor, dass jemand, der ihn zufällig erhält (was niemals vorkommen darf), sofort missbrauchen kann. Wenn man einmal auch nur den Verdacht hat, dass ein Fremder den Geheimschlüssel in Erfahrung gebracht haben könnte, ist es äußerst ratsam, den Notfallplan einzusetzen: Bekanntgabe der Key-Revocation. Dieser Schritt wird weiter unten erklärt.

Nach Eingabe des Mantras wird der Schlüssel erzeugt. Dies dauert je nach Schlüsselgröße einige Zeit. Danach wird gpg beendet.

Um in Erfahrung zu bringen, welchen key man jetzt eigentlich hat, kann man mittels

$ gpg --list-key <rufzeichen>

alle Schlüssel aufzählen lassen, die das eigene Rufzeichen enthalten. Es erscheint dann eine Zeile wie diese:

pub  1024D/0A045DA1 2002-04-27 Robert Steinhäußer (DL1NC) <dl1nc@darc.de>
sub  1024g/EE77B1CD 2002-04-27 [verfällt: 2004-04-26]

Dies bedeutet: Public Key (öffentlicher Schlüssel) mit 1024 Bit Länge, Typ DSA, Schlüsselnummer 0A045DA1 (gleich aufschreiben!), erzeugt am 27.04.2002 mit Benutzerkennung "Robert... ", enthält Sub Key (Unterschlüssel) 1024 Bit, Typ ElGamal, der am 26.04.2004 verfällt.

Dieser Beispielschlüssel hat also die Nummer 0A045DA1. Mittels

$ gpg --fingerprint 0a045da1

kann man den »Fingerabdruck« des (öffentlichen) Schlüssels anzeigen lassen. Diesen gibt man persönlich an andere Personen, die auch PGP/GnuPG einsetzen, damit sie diesen Key unterschreiben und zurücksenden. Wichtig ist, dass die Fingerprint-Übergabe sicher erfolgt, das Versenden des signierten Keys kann anschließend ruhig über Packet erfolgen.

Es kann immer mal vorkommen, dass man seinen Geheimschlüssel verlegt oder versehentlich veröffentlicht. Das ist schlecht, da das Mantra einigemaßen leicht zu knacken ist (auf jeden Fall verglichen mit dem Schutz des Schlüsselverfahrens). In diesem Fall sollte man nicht zögern und ein revocation certificate zu diesem Key parat haben und veröffentlichen. Dies geht mit dem Befehl

$ gpg --gen-revoke 0a045da1

(die eigene Schlüsselkennung angeben). Es wird das Rückruf-Zertifikat auf dem Bildschirm ausgegeben. Dieses sollte man auf einem Datenträger speichern, der genauso sicher wie der Geheimschlüssel aufbewahrt wird. Ausserdem sollte man dieses Zertifikat auf Papier speichern (ausdrucken oder abschreiben). Man weiss ja nie.

Einsatz von GnuPG mit LinKT

Für den Einsatz von GnuPG mit LinKT muss dies auf dem System installiert sein. Bei SuSE Linux wird das Paket gnupg benötigt. Nicht alle Distributionen liefern GnuPG mit; in diesem Fall muss der Quellcode von www.gnupg.org geholt und kompiliert werden. Bitte dabei der Installationsanleitung von GnuPG folgen.

Auswerten von Unterschriften

Wenn LinKT eine PGP-signierte Nachricht empfängt, überprüft es automatisch die Unterschrift. Hierzu muss allerdings unter Voreinstellungen  Terminal  GnuPG der Punkt »Unterschriften automatisch prüfen« aktiviert werden.

Empfang von PGP-Schlüsseln

LinKT erkennt, wenn ein PGP-Schlüssel empfangen wird und fügt diesen in den eigenen Schlüsselbund ein. Dazu muss unter Voreinstellungen  Terminal  GnuPG der Punkt »Öffentliche Schlüssel automatisch importieren« aktiviert sein. Zusätzlich kann man noch »Vor dem Importieren fragen« einschalten, damit man eine Anfrage erhält, ob ein empfangener Schlüssel wirklich dem eigenen Schlüsselbund hinzugefügt werden soll.

Versenden von PGP-Schlüsseln

Zum Versenden von Schlüsseln gibt es eine eigene Funktion. Durch einen Klick mit der rechten Maustaste im QSO-Fenster erscheint ein Menü. Hier wählt man den Punkt »Öffentlichen PGP-Schlüssel senden«.

Es erscheint nun ein Fenster mit allen Schlüsseln, die in dem eigenen Schlüsselbund enthalten sind. Je nach Umfang des Schlüsselbundes kann dies einige Sekunden dauern. Mit der Maus oder Pfeiltasten und Leertaste markiert man die Schlüssel, die man aussenden möchte. Im Feld »Suchfolge« kann man einen Text eintippen, der in den Benutzerkennungen der Schlüssel gesucht wird. Mit OK werden die gewählten Schlüssel als 7-Bit-Text gesendet. Es ist also keine Binärübertragung nötig.

Unterschriftenerzeugung

Um eine GnuPG-signierte Nachricht zu verschicken, klickt man den GnuPG-Knopf an und erhält einen Dialog zur Texteingabe.

Die ersten zwei Zeilen dienen zur Eingabe des Sendebefehls an die Mailbox: S, SB, SP oder keinen Befehl erzeugen. Letzteres ist vorhanden, damit man direkt im QSO eine signierte Nachricht versenden oder in der Box mittels REPly oder COMment eine Mail beantworten kann. In die anderen Felder gibt man das Ziel (Rubrik oder Call) und ggf. Zielbox (@) und/oder Lifetime (#) ein. In der zweiten Zeile ist Platz für das Subject der Nachricht vorgesehen.

Im grossen Textfeld unterhalb wird die zu signierende Nachricht eingetippt. Wenn der Text bereits auf der Festplatte vorliegt, dann kann dieser über den »Import...«-Knopf in das Eingabefeld geladen werden.

Der Klick auf den »OK«-Knopf startet die Abfrage des Mantras. Wurde das korrekte Mantra eingegeben, dann erfolgt sogleich die Aussendung des unterschriebenen Texts.

Tipp: Wer mehrere PGP-Schlüssel hat, kann unter Voreinstellungen  Terminal  GnuPG beim Punkt »Benutze diesen privaten Schlüssel:« seinen Amateurfunk-Key auswählen. »Voreingestellter Schlüssel« bedeutet, dass an gpg nicht ausdrücklich übermittelt wird, welcher Schlüssel zu benutzen ist. gpg nimmt dann seinen Standardschlüssel.

Weitere Informationen

Informationen zu PGP im Amateurfunk und zur AFu-PGP-CA gibt es im Internet und in der Rubrik PGP im Packetnetz.

  Mailboxbetrieb   Index   Inhaltsverzeichnis