[solved] kmail und Verschlüsselung?

Geier0815 · 25 Jan. 2006

Moin, Moin,

ich habe gerade ein kleines Verständnissproblem:
Ich habe zwei Konten unter Kmail User A und User Z mit jeweils unterschiedlichen Namen und E-Mailadressen.
Für beide hab ich per KGpg jeweils ein Schlüßelpaar erzeugt und jeweils den öffentlichen Schlüssel auf hkp://wwwkeys.eu.pgp.net exportiert. Diese öffentlichen Schlüssel hab ich zur Sicherheit noch wieder importiert.
Wenn ich jetzt als User A an User Z eine verschlüsselte Nachricht verschicken will, muß ich sie ja mit dessen (User Zs) öffentlichen Schlüssel verschlüsseln. Soweit klar.
Wenn ich das mache und als User Z meine Post nachgucke, erhalte ich eine nicht entschlüsselbare Nachricht. Wenn ich diese Lesen will, speicher ich sie ab und öffne Sie mit KGpg. Und nun kommt der Hammer: Um sie lesen zu können, muß ich die Passphrase (das Mantra) von User A eingeben.

Wie man sieht, läuft hier irgendwas ganz falsch! Kann mir einer einen Hinweis geben wo der Fehler liegt oder liegen könnte? Bin ich zu blöde? OK, das war eine rethorische Frage, ich weiß daß ich das bin.

Dieses Problem habe ich auch schon im kanotixforum gepostet, aber ich hoffe das mir jetzt keiner wegen des Crossposts böse ist.

b3ll3roph0n · 25 Jan. 2006

Ist nur so ein Gedanke (genau weiß ich es leider auch nicht):

Da scheint irgendetwas mit der Reihenfolge der Schüssel nicht zu stimmen.
KMail verschlüsselt seine Mail zusätzlich noch mit dem Schlüssel des Absenders (damit dieser auch die Möglichkeit hat die Mail zu lesen).
Wenn also der geheime Schlüssel von User Z nicht Verfügbar ist versucht KGpg die Nachricht automatisch mit dem Schlüssel von User A zu entschlüsseln.

Edit:
Ist mir bisher gar nicht aufgefallen, aber es scheint, dass da bei der Integration von kgpg in Kontact/KMail irgendwie der Wurm drin ist.
(seit dem Update auf KDE 3.5.0)
Keine Nachricht (weder erhalten, noch versendet) lässt sich mehr in KMail entschlüsseln.

Grothesk · 25 Jan. 2006

Hast du denn in kmail unter Identitäten auch beide User angelegt und dort auch für jden im Reiter Kryptographie den entsprechenden Schlüssel an die Identität gebunden?

@b3ll3roph0n: Kann mich nicht beklagen. Hier läuft verschlüsseln/entschlüssen sowohl in kmail wie auch in kopete (jabber) einwandfrei. In kopete (irc) allerding nicht mehr. Da ist die Formatierung umgestellt worden.

Keepers · 25 Jan. 2006

Wenn man eine verschluesselte Mail spaeter auch noch selbst lesen moechte muss man mit seinem eigenen Schluessel auch noch vor sich selbst signieren.

Geier0815 · 25 Jan. 2006

Moin Keepers,

wieso hat KMail dann unter den Sicherheitseinstellungen die Möglichkeit verschlüsselt versendete Nachrichten im Klartext lokal zu speichern?

b3ll3roph0n,

ich hab jetzt rausgefunden das man den msg.asc Teil der Nachricht lokal speichern muß und ihn dann im Editor von KGpg öffnen und entschlüsseln kann.
So wie es aussieht ist da bei KDE3.5 etwas extrem daneben gegangen.

Ich persönlich finde es sehr daneben wenn derjenige der mir eine Nachricht schicken will sich erstmal selber ein Schlüsselpaar bauen muß damit das Versenden überhaupt geht.

Grothesk · 25 Jan. 2006

Geier0815 schrieb:
wieso hat KMail dann unter den Sicherheitseinstellungen die Möglichkeit verschlüsselt versendete Nachrichten im Klartext lokal zu speichern?

Die Einstellung finde ich bei mir nicht. Kannst du mal genau beschreiben wo die sein soll? Screenie?

Ich persönlich finde es sehr daneben wenn derjenige der mir eine Nachricht schicken will sich erstmal selber ein Schlüsselpaar bauen muß damit das Versenden überhaupt geht.

Aber das ist genau das Prinzip der asymmetrischen Verschlüsselung. Oder versteh ich da jetzt was komplett verkehrt?

b3ll3roph0n · 25 Jan. 2006

@Grothesk
KMail Einstellungen :arrow: Sicherheit :arrow: Nachrichten erstellen :arrow: "Versandte Nachrichten Verschlüsselt speichern"

Dort kann man übrigens auch das "Verschlüsseln mit dem eigenen Schlüssel" deaktivieren.

Keepers schrieb:
Wenn man eine verschluesselte Mail spaeter auch noch selbst lesen moechte muss man mit seinem eigenen Schluessel auch noch vor sich selbst signieren.

Ne, daran liegt es nicht (die Schlüssel sind auch signiert). Es fehlt der Dialog zum eingeben der Passphrase. Statt dessen kommt die Fehlermeldung.

Code:

Verschlüsselte Nachricht (keine Entschlüsselung möglich)
Grund: Das Krypto-Modul "openpgp" kann die Daten nicht entschlüsseln.
Fehler: Falsche Passphrase

@Keepers
Trotzdem Danke für den Hinweis. :wink:

Geier0815 schrieb:
So wie es aussieht ist da bei KDE3.5 etwas extrem daneben gegangen.

Den Eindruck habe ich auch.

Geier0815 · 25 Jan. 2006

Der Punkt 'Nachrichten immer auch mit eigenem Schlüssel verschlüsseln' ist doch relativ eindeutig.

Asymmetrisch bedeutet nur das der öffentliche und der private Schlüssel nicht identisch sind. Das Prinzip ist das jemand mit meinem öffentlichen Schlüssel verschlüsseln kann, aber nur ich mit meinem Privaten wieder entschlüsseln kann.
Sämtliche anderen Verfahren die darauf beruhen das der Sender und der Empfänger die gleiche Verschlüsselung verwenden, nennt man symmetrisch. Der Nachteil dabei ist das wirklich beide Seiten den Schlüssel geheim halten müßen. Code der über ein Buch unter angabe der Seitenzahl, Reihe und Position des Buchstabens gebildet wird, ist ein gutes Beispiel für symetrische Verschlüsselung.
Ein, nicht wirklich passendes, Beispiel für asymmetrisch wäre Schlüssel und Schloß.

Grothesk · 25 Jan. 2006

Wenn ich das mache und als User Z meine Post nachgucke, erhalte ich eine nicht entschlüsselbare Nachricht. Wenn ich diese Lesen will, speicher ich sie ab und öffne Sie mit KGpg. Und nun kommt der Hammer: Um sie lesen zu können, muß ich die Passphrase (das Mantra) von User A eingeben.

Du meinst damit die eigene, versendete Nachricht oder die Antwort des Empfängers? Kann ja sein, das der Empfänger mit dem falschen öffentlichen Schlüssel verschlüsselt.

Geier0815 · 25 Jan. 2006

Nachdem ich mir jetzt den gesamten Nachmittag um die Ohren gehauen hab, hab ich einen Teil des Fehlers gefunden. Unter Idendität wird als Standard automatisch der Schlüssel zum Verschlüsseln gesetzt der auch zum Signieren verwendet wird. Wenn man den löscht, dann klappts auch mit dem Verschlüsseln per öffentlichem Schlüssel des Empfängers! Was für ein Scheiß! Und das KMail sich einen Dreck um die Einstellungen kümmert und zu versendende Nachrichten immer mit einem eigenen Schlüssel speichern will, ist ja wohl auch extrem daneben. Genauso das KMail die Nachrichten nicht entschlüsseln kann und man erst den Anhang msg.asc lokal speichern muß um ihn dann per Editor von KGpg zu öffnen und entschlüsseln zu können.

Ich frage mich bei dem Ganzen nur wie man weite Teile der Öffentlichkeit oder auch nur seine Freunde von der steigenden Notwendigkeit von Verschlüsselung überzeugen soll wenn das Ganze in der praktischen Anwendung so daneben ist.

OK, bis hierhin erstmal besten Dank für die Hilfe, für mich hat sich das Thema bis zum nächsten update von KMail erstmal erledigt.

Hab ich gerade im anderen Forum gepostet. So wie es aussieht ist KMail in Verbindung mit KGpg im Moment ziemlich buggy. Sollte jemand noch eine Lösung parat haben, würde mich das sehr freuen.

Grothesk · 25 Jan. 2006

Genauso das KMail die Nachrichten nicht entschlüsseln kann und man erst den Anhang msg.asc lokal speichern muß um ihn dann per Editor von KGpg zu öffnen und entschlüsseln zu können.

Also mein kmail kann das. Ich wähle eine verschlüsselte Mail aus, ein Dialog popt auf, in dem ich mein Mantra eingebe und dann kann ich meine Mail auch lesen. Ich habe noch nie eine Mail exportiert und dann mit kgpg die Mail gelesen.
Aber mir dämmert was da falsch läuft...

Grothesk · 25 Jan. 2006

Was steht denn in der ~/.gnupg/gpg.conf drin?
Bei mir ist da ganz am Ende ein Eintrag
use-agent
und einer
# --gpg-agent-info=<path>:<pid>:1
Vielleicht mal use-agent auskommentieren. Und dann kde neustarten. Bei mir hat das erst nach einem Reboot richtig hingehauen.

Geier0815 · 25 Jan. 2006

Moin Grothesk,

war echt ein guter Einfall. Leider klappt das bei mir mit pinentry nicht. Wenn der agent läuft und pinentry installiert ist, werd ich nach meinem Mantra gefragt aber die Eingabe stimmt angeblich nicht. Ich vermute daß das daher kommt das ich Umlaute und Sonderzeichen in meinem Mantra habe. Evtl. muß ich auch nur den agent entsprechend konfigurieren, hab ich aber noch nicht nachgeguckt.

Grothesk · 25 Jan. 2006

Hm. Also Umlaute ist eher schlecht im Mantra. Besonders wenn du im Ausland bist... Die Tastaturen dort sind schon mal gerne ohne Umlaute, warum auch immer... Ich hab eben nochmal geschaut, also bei mir war 'use-agent' einkommentiert, das hat auch bis vor ein paar Tagen wohl funktioniert (so viele verschlüsselte Mails bekomme ich nicht, das mir das unbedingt auffällt, wenn sich da was tut...). Damit hat es aber bei mir eben beim Nachvollziehen aber auch nicht mehr funktioniert. Ich hab 'use-agent' dann auskommentiert und jetzt reagiert Kmail wieder wie gewünscht.
Und worin genau besteht denn dein Problem mit den lokalen Mails? Ist doch egal, ob die verschlüsselt sind?. Die sind ja mit deinem Schlüssel verschlüsselt und den kennst du ja.

Geier0815 · 25 Jan. 2006

Moin Grothesk,

das Problem ist das ich Leute noch davon überzeugen kann kgpg zu starten und meinen Schlüssel herunter zu laden. Wenn sie dann aber immer noch nicht verschlüsselt an mich senden können, werden die sich garantiert niemals mit dem Gedanken anfreunden das auch haben zu wollen. Du weißt doch: easy going beim vorführen hilft bei der Überzeugungsarbeit. Und wenn einer jetzt solche Probleme dabei kriegt wie ich jetzt, wird der nie wieder was mit Kryptographie zu tun haben wollen.

Grothesk · 25 Jan. 2006

Krypto ist eh so ein schwer zu vermittelnder Fall.
Der Empfänger braucht doch auf jedenfall einen Key, denn du verschlüsselst ja mit dessen öffentlichem Key. Oder geht es nur im Signatur?

Geier0815 · 25 Jan. 2006

Nein, aber wenn ich demjenigen zeigen kann daß Krypto ja soooo einfach ist das selbst er mir was verschlüsseltes schicken kann, dessen Ergebnis er sich bei mir angucken kann, dann wird er sich wohl drauf einlassen. Weißt doch: Wasch mich aber mach mich nicht naß. Das gilt nicht nur für die Fälle die ich im Auge habe, sondern wohl für die Mehrheit. Zumindest befürchte ich das.

b3ll3roph0n · 26 Jan. 2006

Grothesk schrieb:
Bei mir hat das erst nach einem Reboot richtig hingehauen.

Ähh, ja ... nach einem Neustart funktioniert alles wie gewohnt. :? :?
Danke für die Hilfe :wink:

@Geier0815
Das Problem ist offensichtlich schon mal aufgetaucht:
http://bugs.kde.org/show_bug.cgi?id=115834

Geier0815 · 26 Jan. 2006

Nach etlichen Stunden bin ich auf die Lösung gekommen! Erstens muß man tatsächlich 'use-agent' verwenden. Dazu braucht man das Paket 'pinentry-qt'. Und wenn man Umlaute im Mantra hat, klappt es nicht wenn man nicht utf-8 verwendet. pinentry hat zwar eine Option lc-ctype aber die zeigt keinerlei Funktion. Selbst wenn man pinentry-qt in der Konsole aufruft und dann
OPTION lc-ctype=de_DE@euro [Enter]
SETDESC TestDesc [Enter]
GETPIN [Enter]
eingibt und dann im sich öffnenden Fenster einen Umlaut eingibt, wird dieser hinterher als utf-8 Zeichen dargestellt. Wer das mal nachspielen möchte mit [strg][d] verläßt man den interaktiven Modus von pinentry.
Letztlich hat es nur geholfen per 'gpg --edit-key [UserID]' '>passwd' das Mantra zu ändern.

Grothesk · 26 Jan. 2006

Ah. Gut zu wissen!
Aber wie oben schon gesagt, Umlaute sollte man eh partout nicht im Mantra haben. Am sichersten sind wohl nur Zeichen aus dem ASCII-Code