Die von mir viel gelobte Volksverschlüsselung ist endlich da! Mal sehen, ob wir davon noch hören werden, oder ob das Projekt – so wie ich es erwarte – in der Versenkung verschwinden wird. Übrigens würde ich mich über einen Vortrag von Linus Neumann auf dem diesjährigen CCC freuen, indem er nicht „E-Mail Made in Germany“ zerlegt, sondern „Volksverschlüsselung Made in Germany“ ;-)
Volksverschlüsselung ist gestartet
Warum die Volksverschlüsselung mit X.509 nicht die Lösung ist
Die Telekom hat zusammen mit dem Fraunhofer-Institut für Sichere Informationstechnologie (SIT) die Initiative „Volksverschlüsselung“ gestartet. Ziel ist es, die End-to-End E-Mail Verschlüsselung in Deutschland zum Standard zu machen und den Bürgern benutzerfreundliche, einfache Software dafür zur Verfügung zu stellen. Ein guter Freund hat mich gestern auf die Initiative aufmerksam gemacht, also habe ich mir das mal angesehen. Was zuerst einen vielversprechenden Eindruck gemacht hat, hat mich allerdings schnell enttäuscht, denn bereits jetzt halte ich das Projekt für ungeeignet, um die E-Mail Kommunikation ernsthaft abzusichern. Dafür gibt es natürlich auch einen Grund – und der heißt X.509.
Die Initiative will Public-Key-Infrastruktur (PKI) auf Basis des X.509-Standards zur Beglaubigung ihrer Zertifikate nutzen. Wem X.509 etwas sagt, der kennt sehr wahrscheinlich auch die große Schwäche des Standards: Zentrale Beglaubigungsstellen – auch „Certificate Authorities“, CAs, genannt. Ich will im Folgenden erklären, was X.509 bedeutet und wieso ich es für ungeeignet halte. Wer die Probleme kennt, für den wird hier nichts neues zu lesen sein … ;)