© Maksim Kostenko / 123RF.com

Viele Anwender verschlüsseln Dateien und Verzeichnisse in Linux noch auf der Kommandozeile. Wir prüfen, ob und wie entsprechende grafische Frontends diese Arbeit erleichtern.

Das Verschlüsseln von Daten nimmt nicht zuletzt aufgrund von Späh- und Schadsoftware auch bei der Kommunikation per E-Mail einen immer höheren Stellenwert ein. Unter Linux hat sich dazu GnuPG (GNU Privacy Guard) durchgesetzt, das alle gängigen Distributionen mitbringen. Mithilfe des Tools lassen sich beliebige Daten ver- und entschlüsseln und auch elektronische Signaturen erzeugen und prüfen.

Die freie Software nutzt ausschließlich patentfreie Algorithmen und arbeitet auf der Kommandozeile. Um die Dateiverschlüsselung bequem und mit überschaubarem Lernaufwand auch breiteren Anwenderschichten zugänglich zu machen, haben sich zahlreiche Frontends etabliert, die ein schnelles Verschlüsseln per Mausklick ermöglichen wollen. Wir sehen uns an, ob sie dieses Ziel erreichen.

Funktion

Bei GnuPG handelt es sich um ein asymmetrisches Verschlüsselungssystem. Die Software generiert private und öffentliche Schlüssel. Der Private Key bleibt dem Eigentümer vorbehalten, eine Passphrase schützt ihn gegen unbefugten Zugriff. Er dient dem Signieren und Entschlüsseln von Daten. Mithilfe des öffentlichen Schlüssels lassen sich signierte Daten prüfen und Daten verschlüsseln. Dieser Public Key steht allen beteiligten Kommunikationspartnern zur Verfügung.

Schwachstelle

Da sich Public Keys in großer Zahl auf Schlüsselservern im Internet verwalten lassen und die Schlüssel selbst keine gesicherte Identitätsprüfung gestatten, könnte ein Angreifer ohne größeren Aufwand gefälschte Keys in solche Infrastrukturen einschleusen. Die in jedem Schlüssel zu hinterlegenden Identitätsdaten gewähren dabei keinen sicheren Schutz vor einer Manipulation. GnuPG prüft nur, ob die vorliegenden Daten mit einem bestimmten Schlüssel bearbeitet wurden; die Authentizität des Schlüssels selbst kann die Software nicht validieren.

Sofern Sie Schlüssel aus einer nicht unbedingt vertrauenswürdigen Quelle verwenden, empfiehlt es sich, deren Authentizität mithilfe der entsprechenden Hash-Werte zu überprüfen. Die müssen Sie über einen vertrauenswürdigen Weg beziehen und mit den lokalen Hash-Werten der vorhandenen Schlüssel abgleichen. Erst bei einer Übereinstimmung der Hash-Werte können Sie von gesichert authentischen Schlüsseln ausgehen.

GPA

Der GNU Privacy Assistant (GPA) ist das Standard-Frontend für GnuPG [1]. Die Software findet sich in den Repositories aller gängigen Distributionen eingepflegt und lässt sich daher bequem über die jeweilige Paketverwaltung installieren. Das auf dem GTK+-Toolkit basierende Programm können Sie zusätzlich als TAR.BZ2-Archiv von der Projektseite beziehen [2]. GPA öffnet beim ersten Start einen Assistenten, der in einem überlagernden Fenster anbietet, einen Schlüssel zu generieren (Abbildung 1).

Abbildung 1: Der GNU Privacy Agent hilft mit einem Assistenten beim Einstieg.

Nachdem Sie auf die Schaltfläche Jetzt Schlüssel erzeugen geklickt haben, fragt das Tool in mehreren weiteren Schritten Name, E-Mail-Adresse und Passphrase des Schlüsselinhabers ab. Beim Anlegen der Passphrase prüft die Software, ob diese gewissen Mindestanforderungen an die Sicherheit genügt. Ist die Passphrase nicht mindestens acht Zeichen lang und besteht nicht aus Ziffern und Buchstaben, weist GPA in einem gesonderten Dialog darauf hin. Sie können dann dieses Defizit beheben. Anschließend legt die Software einen 2048 Bit langen RSA-Schlüssel an, den sie in einem wahlfreien Verzeichnis sichert. Im Hauptfenster der Anwendung erscheint der Schlüssel danach mitsamt einigen Detaildaten im unteren Bereich des Fensters (Abbildung 2).

Abbildung 2: Die Schlüsselliste ist in GPA sehr einfach gestaltet.

Um weitere Schlüssel zu generieren, klicken Sie in der Menüleiste auf den Eintrag Schlüssel und anschließend auf die Option Neuer Schlüssel…. Die Software öffnet erneut den Assistenten, mit dessen Hilfe Sie bereits den ersten Schlüssel angelegt haben. Alle generierten Schlüssel listet GPA anschließend mit Ihren wichtigsten Daten untereinander im Hauptfenster auf.

Einstellungen

Bei GPA verteilen sich die Konfigurationsoptionen auf mehrere Dialoge, wobei sich auch Einstellungen zum GnuPG-Backend vornehmen lassen. Im Menü Bearbeiten | Einstellungen nehmen Sie die schlüsselspezifische Konfiguration vor. Dabei aktivieren Sie bei Bedarf durch Setzen eines Häkchens im gesonderten Dialog auch fortgeschrittene und erweiterte Einstellungen, die sich im Hauptfenster als zusätzliche Optionsdialoge bemerkbar machen. In diesem Dialog geben Sie auch an, ob GPA Schlüssel bei der automatisierten Suche der Software nur lokal oder zusätzlich auf Key-Servern suchen soll.

Sobald Sie im Hauptfenster einen der gelisteten Schlüssel mit der rechten Maustaste anklicken, öffnet sich ein Kontextmenü, in dem Sie mithilfe der beiden Optionen Geheimen Schlüssel bearbeiten… und Schlüssel-Vertrauen einstellen verschiedene nur für den aktiven Schlüssel gültige Einstellungen vornehmen. Dabei prüfen Sie zum einen anhand einer Liste, die das Programm in einem gesonderten Fenster mit ausführlichen Definitionen vorgibt, durch Aktivieren eines Optionsfelds die Vertrauenswürdigkeit des Schlüssels. Zum anderen modifizieren Sie hier gegebenenfalls das Passwort und das Verfallsdatum für den aktiven Schlüssel.

Ein im Bearbeiten-Menü über die Option “Backend” Einstellungen erreichbarer, sehr umfangreicher Dialog beschäftigt sich ausschließlich mit der Konfiguration des Backends. Üblicherweise stellen Sie diese Parameter bei Nutzung von GnuPG ohne Frontend am Prompt manuell ein, was allerdings die Kenntnis der Optionen erfordert. Im grafischen Dialog finden Sie dagegen Auswahlfelder, mit deren Hilfe Sie die gewünschten Anpassungen vornehmen. Beachten Sie dabei, dass diese Einstellungen nicht nur auf einen Schlüssel wirken, sondern alle neu generierten Schlüssel betreffen.

Verschlüsseln

Haben Sie alle Einstellungen vorgenommen, so können Sie Daten auf verschiedenen Wegen verschlüsseln. Grundsätzlich stehen dazu alle Schlüssel zur Verfügung, die die Applikation auflistet. Sie nutzen im Menü Fenster entweder die Option Dateiverwaltung oder die Zwischenablage zum Verschlüsseln von Daten.

Im Menü Zwischenablage verschlüsseln Sie Texte, die nicht in Form einer lokal gesicherten Datei vorliegen. Dabei kann es sich um E-Mails handeln, aber auch um Texte, die Sie in die Zwischenablage kopiert haben.

Mithilfe der Dateiverwaltung verschlüsseln Sie dagegen lokal gespeicherte Dateien. Dazu stellt GPA einen kleinen Dateimanager zur Auswahl der fraglichen Daten zur Verfügung. Die ausgewählten Dateien erscheinen im neu geöffneten Fenster Dateiverwaltung in einer tabellarischen Übersicht. Über das Menü Datei bearbeiten Sie anschließend die ausgewählten Dateien. Zum Verschlüsseln dient dabei der gleichnamige Punkt, daneben stehen auch die Optionen Prüfen, Signieren und Entschlüsseln zur Verfügung.

Beim Verschlüsseln einer Datei öffnet GPA ein weiteres Fenster, in dem Sie den gewünschten Schlüssel auswählen. Dort geben Sie auch an, ob Sie die Datei signieren möchten, und auch eine ASCII-Verpackung ist möglich (Abbildung 3). Haben Sie die Auswahl abgeschlossen, müssen Sie vor dem Verschlüsseln noch die Passphrase des Schlüssels eingeben. Erst danach legt GPA die verschlüsselte Datei am angegebenen Ort ab.

Abbildung 3: Der Verschlüsselungsdialog fällt leicht verständlich aus.

Über den Schalter Signatur der ausgewählten Datei prüfen prüfen Sie gegebenenfalls vorhandene Signaturen, wozu Sie erneut das Passwort eingeben. Sind im Fenster Dateiverwaltung mehrere Dateien markiert, so prüft die Software alle Signaturen und zeigt bei Dateien ohne gültige Signatur eine entsprechende Warnung an. Sie können analog dazu auch mehrere Dateien simultan verschlüsseln, die GPA anschließend im Fenster Dateiverwaltung auflistet.

Kgpg

Das Frontend Kgpg zählt zu den festen Bestandteilen der KDE-Plasma-Arbeitsoberfläche [3]. Die Software verfügt für die Ersteinrichtung über einen Assistenten und bietet für die schnellere Einarbeitung auch Tooltipps, die Sie individuell abschalten können.

Nach dem ersten Start bindet sich Kgpg zudem in die Autostart-Routinen ein und legt ein Icon im System-Tray ab. Dadurch müssen Sie die Anwendung nicht mehr in jeder Sitzung manuell starten, und auch während einer Session lässt sich das Programm dank des Icons sofort ohne den Umweg über eine Menühierarchie auf den Desktop holen oder minimieren.

Oberfläche

Die übersichtliche Oberfläche von Kgpg umfasst neben einem großen Bereich für die tabellarische Auflistung der Schlüssel lediglich eine Menüleiste und eine Leiste mit wenigen Schaltflächen für die wichtigsten Funktionen. Dabei graut das Tool nicht nutzbare Schaltflächen aus. Kgpg kann Schlüssel von lokalen Datenträgern importieren oder von Schlüsselservern im Internet beziehen. Beide Bezugsquellen nutzen Sie über die Schaltflächen oberhalb der Schlüsseltabelle (Abbildung 4).

Abbildung 4: Die Oberfläche von Kgpg sticht durch die farbig hervorgehobene Vertrauensstufe der einzelnen Schlüssel ins Auge.

Neue Schlüssel generieren Sie über das Menü, indem Sie den Eintrag Schlüssel aufrufen und im sich öffnenden Untermenü die Option Schlüsselpaar generieren anklicken. In einem neuen Dialog geben Sie nun die notwendigen Daten zur Schlüsselgenerierung ein, wobei Sie auch die Gültigkeitsdauer der Schlüssel und die verwendeten Algorithmen anhand entsprechender Auswahlfelder festlegen. Nach Abschluss der Konfiguration geben Sie noch eine Passphrase ein, woraufhin Kgpg das neue Schlüsselpaar anlegt und automatisch in die Tabelle übernimmt.

Einstellungssache

Die detaillierten Einstellungsdialoge (Abbildung 5) der Anwendung folgen den gängigen KDE-Plasma-Konventionen und lassen sich daher intuitiv bedienen. Den programmspezifischen Konfigurationsdialog finden Sie im Menü Einstellungen unter dem Eintrag Kgpg einrichten. Sie geben hier grundlegende Einstellungen zum Ver- und Entschlüsseln von Daten vor, definieren gegen einen Schlüsselserver und ändern einige GnuPG-Konfigurationsoptionen.

Abbildung 5: Der Konfigurationsdialog von Kgpg fällt umfangreich aus.

Eine besondere Einstellungsmöglichkeit eröffnet die Option Erscheinungsbild | Schlüsselfarben: Hier geben Sie an, welche Farben im Hauptfenster die Vertrauenswürdigkeit der einzelnen Schlüsselpaare symbolisieren sollen. Dazu blendet Kgpg hinter jedem Schlüssel einen entsprechenden Farbbalken ein, sodass Sie auf einen Blick erkennen, welche Schlüssel als vertrauenswürdig gelten dürfen und welche weniger Vertrauen genießen. Die jeweilige Vertrauenswürdigkeit korreliert mit Ihren individuellen Einstellungen: So stuft das Programm die selbst generierten Schlüssel voreingestellt stets als absolut vertrauenswürdig ein.

Weitere Einstellungen nehmen Sie vor, indem Sie mit einem Rechtsklick einen Schlüssel markieren. Im sich öffnenden Kontextmenü signieren Sie nicht nur einen Schlüssel, sondern können über die Schlüsseleigenschaften auch Modifikationen vornehmen. So korrigieren Sie etwa in einem weiteren Dialog die Vertrauensstufe des aktiven Schlüssels oder ändern das Ablaufdatum. Das aktuelle Ablaufdatum erscheint in der gleichnamigen Zeile im Dialog, während Sie unten rechts mit einem Klick auf die Schaltfläche Ablaufdatum ändern ein neues Verfallsdatum festlegen. In der darunter befindlichen Schaltfläche Passphrase ändern geben Sie im Bedarfsfall eine neues Passphrase für den jeweiligen Schlüssel an.

Verschlüsselung

Kgpg bietet drei Möglichkeiten, um Daten zu verschlüsseln. Eine davon erreichen Sie im Hauptfenster der Anwendung über Dialog Datei | Editor öffnen. Den Editor starten Sie alternativ durch Anklicken des blauen Kgpg-Icons im System-Tray mit der rechten Maustaste. In einem neuen Fenster geben Sie nun in einem Eingabebereich wahlfreien Text ein, den Kgpg später verschlüsseln soll. Der Editor gestattet dabei freilich keine aufwendige Formatierung des eingegebenen Texts.

Sie chiffrieren den Text, indem Sie unten links im Editorfenster auf die Option Verschlüsseln klicken. In einem kleinen überlappenden Fenster wählen Sie nun den Schlüssel dazu aus. Der verschlüsselte Text erscheint anschließend im Editor, wo Sie ihn weiterbearbeiten können. Zum Entschlüsseln eines kryptografisch behandelten Texts klicken Sie unten im Editorfenster auf die Schaltfläche Entschlüsseln. Kgpg fordert Sie daraufhin in einem gesonderten Dialog auf, die Passphrase einzugeben. Danach entschlüsselt es den Text und zeigt ihn im Editor an.

Eine weitere Möglichkeit, Daten zu verschlüsseln, nutzen Sie ohne Öffnen der jeweiligen Datei direkt mithilfe des Dateimanagers Dolphin. Sie öffnen dazu den KDE-Dateimanager und navigieren darin zur gewünschten Datei. Anschließend öffnen Sie durch einen Rechtsklick auf die betreffende Datei das zugehörige Kontextmenü und wählen die Option Datei verschlüsseln an. Kgpg öffnet nun erneut das Schlüsselfenster, in dem es alle im System verfügbaren Keys auflistet. Sie wählen einen davon aus und nehmen anschließend bei Bedarf noch durch einen Klick auf Optionen einige Einstellungen vor. Alternativ klicken Sie direkt auf OK und verschlüsseln damit die Datei.

Die verschlüsselte Version legt Kgpg im selben Verzeichnis wie das unverschlüsselte Original ab, ergänzt jedoch voreingestellt den Dateinamen um die Extension ».asc«. Somit lassen sich verschlüsselte Daten sofort von den Originalen unterscheiden. Um eine verschlüsselte Datei wieder in einen lesbaren Zustand zu versetzen, klicken Sie mit der rechten Maustaste darauf und wählen im sich öffnenden Kontextmenü die Option Mit Kgpg öffnen. Die Software speichert nach Eingabe der Passphrase für den Schlüssel die Datei am gewünschten Ort.

Auch Daten in der Zwischenablage vermag Kgpg zu verschlüsseln. Dazu steht im Kontextmenü des Miniprogramms im System-Tray der Eintrag Zwischenablage verschlüsseln bereit. Es öffnet sich der Schlüsseldialog, in dem Sie den gewünschten Key auswählen. Die Software zeigt den erfolgreichen Abschluss des Vorgangs in einer kurz auf dem Desktop eingeblendeten Statusmeldung an. Das Entschlüsseln von Daten aus der Zwischenablage klappt ebenfalls über das Miniprogramm im System-Tray, wobei Sie die Option Zwischenablage entschlüsseln wählen. Die entschlüsselten Daten zeigt Kgpg im Editorfenster an, das sich automatisch öffnet. Über die Option Zwischenablage signieren fügen Sie bei Bedarf eine Signatur an, wobei Sie ebenfalls in einem gesonderten Dialog den Schlüssel auswählen. Die Signatur erscheint anschließend im Editorfenster.

Seahorse

Seahorse [4] bietet ein einfaches Frontend zur Arbeit mit GnuPG. Die Software liegt in den Repositories aller gängigen Distributionen. Neue, zum Teil noch in der Testphase befindliche Versionen der Anwendung finden Sie auf der Webseite des Projekts. Seahorse entstammt dem Softwarefundus des Gnome-Projekts und folgt daher den entsprechenden Bedienkonzepten.

Das Hauptfenster zeigt nach dem Start eine überaus einfach gehaltene Oberfläche ohne Menü- oder Schalterleisten (Abbildung 6). Es gibt lediglich ein Hamburger-Menü, das die wichtigsten Einstellungen und Bedienoptionen enthält, sowie einen einzigen Button zur Neuanlage von Schlüsseln. Beide Elemente logieren, wie bei Gnome üblich, in der Titelleiste des Programmfensters.

Abbildung 6: Die Oberfläche von Seahorse wirkt sehr spartanisch.

Neue Schlüssel

Um einen neuen Schlüssel oder einen Schlüsselbund zu generieren, klicken Sie im Hauptfenster oben links auf das Plus-Symbol. Im sich daraufhin öffnenden Kontextmenü geben Sie dann die Art des zu generierenden Schlüssels an. Auch eine Importfunktion für bereits vorhandene Keys steht zur Verfügung. Je nach gewählter Funktion nehmen Sie anschließend in einem weiteren Dialog die notwendigen Einstellungen vor und übernehmen den Schlüssel in die tabellarische Anzeige. Die erreichen Sie, indem Sie im Hauptfenster der Software auf die jeweilige, von der Software vorgegebene Kategorie klicken.

Um sich einzelne Schlüssel näher anzusehen, klicken Sie in der tabellarischen Anzeige auf den gewünschten Key. In einem neuen Fenster mit mehreren Reitern erhalten Sie danach Detailinformationen und können in den entsprechenden Dialogen einige Modifikationen vornehmen. So ist es beispielsweise möglich, die Passphrase oder das Ablaufdatum des Schlüssels zu ändern. Auch die Vertrauensstufe lässt sich modifizieren (Abbildung 7).

Abbildung 7: Seahorse bietet einen übersichtlichen Dialog zur Modifikation von Schlüsselparametern.

Möchten Sie den betreffenden Schlüssel exportieren, so erledigen Sie das im selben Dialog mithilfe des Buttons In Datei exportieren. Dabei wählen Sie, ob der geheime oder der öffentliche Schlüssel exportiert werden soll. Über einen anschließend eingeblendeten Dateimanager legen Sie den Pfad zur Ablage fest.

Möchten Sie für einen bestehenden Schlüssel auch Unterschlüssel anlegen, nutzen Sie dazu den Dialog Unterschlüssel in der Detailansicht des markierten Schlüssels. Dort öffnen Sie durch einen Klick auf die Schaltfläche + Hinzufügen einen Dialog, in dem Sie die Daten zum Unterschlüssel definieren. Dabei legen Sie fest, für welche Funktionen der Unterschlüssel genutzt werden darf, welcher Algorithmus zur Verschlüsselung dient und ob der Unterschlüssel zu einem bestimmten Datum ablaufen soll. Nach einer Authentifizierung durch die Passphrase des Schlüssels übernimmt Seahorse den neuen Unterschlüssel in die tabellarische Detailansicht.

Signatur

Mit Seahorse lassen sich auch Schlüssel signieren. Dazu klicken Sie in der Anzeige des Schlüsselbunds mit der rechten Maustaste auf den zu signierenden Schlüssel und wählen im sich öffnenden Kontextmenü die Option Eigenschaften aus. Im Reiter Namen und Signaturen klicken Sie nun erneut auf den Schlüssel und anschließend links neben der Schlüsselanzeige auf den Button Signieren.

Daraufhin öffnet sich ein umfangreicherer Dialog zur Signatur, in dem Sie nicht nur über ein Auswahlfeld den Signierer angeben, sondern auch die Vertrauensstufe einstellen und zusätzlich festlegen, ob sich die Signatur widerrufen lässt und ob sie öffentlich sichtbar sein soll (Abbildung 8). Haben Sie alle Einstellungen vorgenommen, klicken Sie oben rechts auf Signieren. Nach einer Authentifizierung signiert Seahorse den Schlüssel.

Abbildung 8: In wenigen Schritten lässt sich in Seahorse auch ein Schlüssel signieren.

Server

Auch Seahorse kann beliebige Key-Server nutzen. Zunächst geben Sie dazu die URL des gewünschten Servers in den Einstellungen der Software an, die Sie im Hauptfenster über das Hamburger-Menü erreichen. Im entsprechenden Dialog geben Sie zudem durch Setzen eines Häkchens an, ob Seahorse die Keys automatisch vom Server abruft und ob es einen Abgleich von veränderten Schlüsseln zwischen der lokalen Instanz und dem Key-Server vornimmt.

Nach dem Abschluss der Konfiguration können Sie jederzeit aus dem Hamburger-Menü heraus mithilfe der Optionen Entfernte Schlüssel suchen… und Schlüssel abgleichen und veröffentlichen… auf die Datenbestände des Key-Servers zugreifen. Dadurch entfällt der aufwendige manuelle Schlüsselaustausch zwischen Kommunikationspartnern.

Verschlüsseln

Beim direkten Verschlüsseln von Daten geht die Anwendung den Weg über den jeweiligen Dateimanager des Systems. Für Nautilus, Caja und Nemo gibt es entsprechende Plugins, die den Dateimanager um Funktionen zum direkten Verschlüsseln von Daten erweitern. Sie finden sich in den Repositories der gängigen Distributionen. Nach der Installation sehen Sie bei einem Rechtsklick auf eine Datei oder ein Verzeichnis im Dateimanager einen entsprechenden Eintrag im Kontextmenü. In Nautilus öffnet die Option Verschlüsseln einen eigenen kleinen Dialog, in dem Sie alle nötigen Eintragungen in einem Rutsch vornehmen (Abbildung 9).

Abbildung 9: Über die Dateimanager Nemo, Caja und Nautilus (hier im Bild) können Sie Daten direkt mit Seahorse verschlüsseln.

Fazit

Die vorgestellten Frontends für den Umgang mit GnuPG sorgen bei der manuellen Datenverschlüsselung für mehr Komfort. Alle drei getesteten Anwendungen vereinfachen den Umgang mit Schlüsseln und Signaturen enorm, wobei es lediglich in den Details Unterschiede gibt. Diese betreffen fast ausschließlich die Bedienung, da die Tools sich in Sachen Bedienkonzept an bestimmte Arbeitsumgebungen anlehnen und daher beispielsweise Menü- oder Schalterleisten fehlen. Tatsächlich können Sie also ein GnuPG-Frontend ganz nach ihrem Gusto auswählen, ohne Abstriche bei der Funktionalität befürchten zu müssen. (jlu)