Die Telekom hat zusammen mit dem Fraunhofer-Institut für Sichere Informationstechnologie (SIT) die Initiative „Volksverschlüsselung“ gestartet. Ziel ist es, die End-to-End E-Mail Verschlüsselung in Deutschland zum Standard zu machen und den Bürgern benutzerfreundliche, einfache Software dafür zur Verfügung zu stellen. Ein guter Freund hat mich gestern auf die Initiative aufmerksam gemacht, also habe ich mir das mal angesehen. Was zuerst einen vielversprechenden Eindruck gemacht hat, hat mich allerdings schnell enttäuscht, denn bereits jetzt halte ich das Projekt für ungeeignet, um die E-Mail Kommunikation ernsthaft abzusichern. Dafür gibt es natürlich auch einen Grund – und der heißt X.509.
Die Initiative will Public-Key-Infrastruktur (PKI) auf Basis des X.509-Standards zur Beglaubigung ihrer Zertifikate nutzen. Wem X.509 etwas sagt, der kennt sehr wahrscheinlich auch die große Schwäche des Standards: Zentrale Beglaubigungsstellen – auch „Certificate Authorities“, CAs, genannt. Ich will im Folgenden erklären, was X.509 bedeutet und wieso ich es für ungeeignet halte. Wer die Probleme kennt, für den wird hier nichts neues zu lesen sein … ;)