Registrarprotokoll PGP – digitale Signaturen und Technische Abläufe September 2005 Registrar Seminar.

Präsentation zum Thema: "Registrarprotokoll PGP – digitale Signaturen und Technische Abläufe September 2005 Registrar Seminar."—  Präsentation transkript:

1 Registrarprotokoll PGP – digitale Signaturen und Technische Abläufe September 2005 Registrar Seminar

2 Verschlüsselung ältere Verschlüsselungsverfahren (Buchstabentausch, Einmalschlüssel, usw.) sind symmetrische Verfahren, d.h. sie verwenden einen geheimen Schlüssel, den beide Seiten kennen müssen  Problem: Schlüsselübermittlung

3 Pretty Good Privacy bezeichnet eine Gruppe von asymmetrischen Verschlüsselungsmechanismen, die in verschiedenen (untereinander kompatiblen) Programmen zum Einsatz kommen "asymmetrisch" bedeutet, es existiert ein zusammengehöriges Schlüsselpaar, ein öffentlicher (public) und ein geheimer (private) Key

4 Programme GnuPG (gpg v1.4.1), Kommandozeile eine freie Implementierung des Standards http://www.gnupg.org PGPfreeware (pgp v8.0.2), graphische Oberfläche die Entwicklung wird nun wieder fortgesetzt http://www.pgpi.org GnuPP/WinPA (v0.5.13), incl. plug-in für Outlook baut auf GnuPG auf und bietet graphische Oberfläche (Achtung: Bug - Versionsnummer) http://www.gnupp.de  Schlüssel und signierte Dokumente sind zwischen den Programmen austauschbar

5 Einsatzzwecke Verschlüsselung Schutz vertraulicher Inhalte vor dem unbefugten Zugriff für System aber nicht zu bearbeiten Authentifizierung Sicherstellen der Unversehrtheit und Herkunft eines Dokuments Text selbst bleibt weiterhin lesbar

6 Schlüsselerstellung enthält Name, email-Adresse (optional) verwendet definierten Algorithmus (z.B. RSA) hat eine bestimmte Länge (z.B. 2048 bits) hat einen Gültigkeitszeitraum (z.B. ewig) wird aus echten Zufallszahlen generiert hat einen eindeutigen key fingerprint gültig in Kombination mit der passphrase

7 -----BEGIN PGP PUBLIC KEY BLOCK----- Version: GnuPG v1.0.4 (AIX) Comment: For info see http://www.gnupg.org mQGiBDmH1/QRBAC9GmioBFprPNlgjpJlLoSdx76r/2ViAO3Fd74RhPKWj/NfuMmk QBCkxYdx3acRBtoqik5A6XIV2L5OgAashOdaiXFsypbTVoNxqe/GWIxz235hAfBe eyMx7rUb3RWBNzI7fcYTTCxCbpm8XduIJ951vAw1+8ljEllsoTohceQJuwCg3BU1 ciaJGE2Vlnr/3pfw7KLIzVsD/05a/Q1UI40TKOKy4dMRLKcryHBSnmhUbifuWXYG EjrDmL3SzVwfW8Kc6aKf70dZAC7vbUMGn39jr5WTC10TKxby5B8KoE9yTwlSeU4a N/wYeof1VxTyXHweoy80OfRCaSkHA5RqgVOOTMzyGCTEp5II6pPggydTIwcJJ3Mu CuvWBAC54JT2SrotJ+X1Cm9RVb8jvcb9BXkzK1r+DDhqp2m1Is6SsGCDS+84jSI6 =lKt5 -----END PGP PUBLIC KEY BLOCK----- pub 1024D/4673278D 2001-04-02 test pgp fingerprint = 5FD4 6811 D599 1A3F 97BD E613 8624 2982 4673 278D sub 1024g/29C1C3C4 2001-04-02 Schlüssel Jeder Schlüssel besteht aus einem „private“ und einem „public“ Teil, wobei nur der public key veröffentlich wird, der private key bleibt geheim. Dies kann auf sogenannten keyservern geschehen, von denen keys mit einem bestimmten fingerprint angefordert werden können.

8 Funktionen privatepublicpassphrase signieren XX verifizieren X verschlüsseln X entschlüsseln XX

9 Signieren Erstellen einer Datei od. email Aufruf des PGP-Programms bzw. des plug-ins für den Mail-Clienten Eingabe des Paßwortes  jede nachträgliche Veränderung der Daten macht die Signatur ungültig!

10 Public Key wird ein public key übermittelt, so muß er vor der Verwendung in den eigenen Schlüsselbund (keyring) importiert werden

11 Zertifizierung – Clearing House pgp oder X.509 Zertifikate möglich im Gegensatz zum Web of Trust hierarchische Struktur in Österreich geregelt durch BGBl 1 Nr. 190/99 (SigG) Zertifizierungsstelle “Zertifizierungsdiensteanbieter”, § 2 Z 10 SigG z.B.: Datakom - http://a-sign.datakom.at/

12 X509 Zertifikate Qualifizierte Signaturen nur mit zertifizierter Hardware, Dokumenttypen etc. Sichere Signaturen kein persönlicher Kontakt zur Keyerstellung nötig, auch automatisierbar

13 Praktische Aspekte größter Unsicherheitsfaktor: Wahl des und Umgang mit dem Passwort! nachträgliche „Bearbeitung“ des signierten Textes HTML-Formatierungen, Zeilenlänge und Zeichensätze durch die Mailprogramme (speziell bei Outlook default-Einstellungen) Unterschiede von pgp und gpg beim Umgang mit dem Tabulator (insbesondere am Zeilenende) GnuPA funktioniert nicht korrekt (Version 0.5) Einsatz eines dem Empfänger unbekannten Keys

14 Notifies keine Notifies bei –falsche/ungültige PGP Signatur –falsches Subject –korruptes XML

15 Befehle pgp +force -z PASSPHRASE -sta FILE gpg --no-tty --no-secmem-warning --force-v3-sigs -u 3DC2AE5C --passphrase-fd 0 <.PASSPHRASEFILE --clearsign FILE

16 Nameservercheck - Template alle konfigurierten Nameserver müssen im Template und im DNS sein mindestens 2 verschiedene IP Adressen bei Glue-Records müssen alle im DNS eingetragenen IP Adressen auch im Template sein ist eine remarks-Zeile ausgefüllt, muß es zu jeder nserver-Zeile einen remark geben

17 Nameservercheck bei Glue-Records müssen alle IP Adressen antworten alle Nameserver Hostnamen (+ SOA für die Zone) müssen bei der NS Abfrage nach dem Domainnamen auf den authoritativen Hosts zurückgeliefert werden (mit aa-flag)

18 Nameservercheck der MNAME im SOA-RR muß gültig sein die Mailadresse(n) im SOA-RR müssen gültig sein, d.h. RFC 2822 zusätzliche zu 2 IPv4 Adressen können IPv6 Adressen angeben werden