{"id":1442,"date":"2016-05-26T06:00:23","date_gmt":"2016-05-26T04:00:23","guid":{"rendered":"https:\/\/www.my-it-brain.de\/wordpress\/?p=1442"},"modified":"2016-10-21T23:27:33","modified_gmt":"2016-10-21T21:27:33","slug":"roundcube-mit-pgp-unterstuetzung","status":"publish","type":"post","link":"https:\/\/www.my-it-brain.de\/wordpress\/roundcube-mit-pgp-unterstuetzung\/","title":{"rendered":"Roundcube mit PGP-Unterst\u00fctzung"},"content":{"rendered":"

Vor Kurzem wurde Roundcube Webmail[1. Roundcube Webmail<\/a>] in Version 1.2.0 ver\u00f6ffentlicht. Zu einer der Neuerungen z\u00e4hlt die Unterst\u00fctzung von PGP. Dabei hat man die Wahl zwischen der client-seitigen Verschl\u00fcsselung, basierend auf der Browser-Erweiterung Mailvelope und der server-seitigen Variante mittels Enigma-Plugins.<\/p>\n

In diesem Artikel stelle ich beide Varianten kurz vor und zeige einige Punkte auf, die beim Einsatz zu beachten sind.<\/p>\n

Zu Beginn noch einmal kurz zur Erinnerung: OpenPGP verwendet asymmetrische Verschl\u00fcsselung[2. Asymmetrische Verschl\u00fcsselung<\/a>], bestehend aus einem privaten und einem \u00f6ffentlichen Schl\u00fcssel. Dabei gilt, dass der private Schl\u00fcssel unbedingt vor unberechtigtem Zugriff zu sch\u00fctzen ist.<\/p>\n

Enigma-Plugin<\/h2>\n

Das Enigma-Plugin ist bereits Bestandteil von Roundcube 1.2.0. Aleksander Machniak beschreibt in seinem englischsprachigen Blog die Installation und Nutzung des Plugins.[3. Enigma plugin (PGP encryption)<\/a>]<\/p>\n

Das Plugin befindet sich demnach bereits auf dem gleichen Server, auf dem auch die Roundcube-Installation l\u00e4uft. Besitzt man selbst die vollst\u00e4ndige Kontrolle \u00fcber diesen Server, ist die Nutzung des Enigma-Plugins eine komfortable L\u00f6sung.<\/p>\n

In meinem Fall l\u00e4uft der Server, welcher die Roundcube-Installation hostet, jedoch bei einem Hosting-Provider. Zwar habe ich root<\/code>-Zugriff auf diesen Host, doch besitze ich nicht die vollst\u00e4ndige Kontrolle \u00fcber diesen Server. Es besteht die M\u00f6glichkeit, dass beim Provider ein Zugriff auf meinen Server und damit auch auf meinen privaten Schl\u00fcssel erfolgen kann.<\/p>\n

Mir pers\u00f6nlich ist das Risiko der Kompromittierung meines privaten Schl\u00fcssels bei dieser Variante zu gro\u00df. Daher scheidet sie f\u00fcr mich aus.<\/p>\n

Mailvelope<\/h2>\n

Mailvelope[4. Mailvelope Webseite<\/a>] stellt \u00fcber eine Browser-Erweiterung eine client-seitige OpenPGP-Verschl\u00fcsselung f\u00fcr Webmailer bereit. Es existieren Erweiterungen f\u00fcr Chrome und Firefox. Die Schl\u00fcssel werden dabei im Benutzerverzeichnis von Chrome bzw. im Profilordner von Firefox gespeichert.[5. Mailvelope – Wo werden meine Schl\u00fcssel gespeichert?<\/a>] Die Chrome-Einstellung „Nutzungsstatistiken und Absturzberichte automatisch an Google senden“, sollte man jedoch besser deaktivieren. Andernfalls k\u00f6nnten im Falle eines Absturzes Speicherinhalte mit privaten Schl\u00fcsseln an Google gesendet werden.<\/p>\n

Verschl\u00fcsselt man die Festplatte mit der Installation, in der sich der private Schl\u00fcssel befindet, ist dieser zus\u00e4tzlich bei Verlust oder Diebstahl des Endger\u00e4ts gesch\u00fctzt.<\/p>\n

Der Vorteil dieser Variante liegt in jedem Fall darin, dass sich die Schl\u00fcssel auf einem Endger\u00e4t befinden, \u00fcber das der Besitzer in der Regel die vollst\u00e4ndige Kontrolle hat. Gerade wenn die Roundcube-Installation bei einem Hosting-Provider betrieben wird, ist diese Variante daher in meinen Augen vorzuziehen.<\/p>\n

Fazit<\/h2>\n

Dass Roundcube nun zwei Varianten zur Nutzung von OpenPGP-Verschl\u00fcsselung unterst\u00fctzt, finde ich grunds\u00e4tzlich positiv. F\u00fcr beide genannten Varianten gibt es sinnvolle Einsatzszenarien.<\/p>\n

In jedem Fall sollte man f\u00fcr einen konkreten Anwendungsfall abw\u00e4gen, bei welcher Variante der private Schl\u00fcssel besser gesch\u00fctzt ist.<\/p>\n

F\u00fcr mich pers\u00f6nlich habe ich beschlossen, dass keine der beiden beschriebenen Varianten f\u00fcr mich in Frage kommen. Die Variante mit dem Enigma-Plugin scheidet f\u00fcr mich aus, da mein Mailserver bei einem Hosting-Provider betrieben wird und ich nicht die vollst\u00e4ndige Kontrolle \u00fcber den Host habe.<\/p>\n

Die Variante mit Mailvelope kommt f\u00fcr mich nicht in Frage, da es mir nicht gef\u00e4llt, dass die Schl\u00fcssel im Webbrowser gespeichert und verwaltet werden. Ich besuche mit meinem Webbrowser t\u00e4glich dutzende Webseiten und nutze verschiedenste Webdienste. Dabei besteht grunds\u00e4tzlich das Risiko, dass mein Webbrowser durch Malware kompromittiert wird. Mir pers\u00f6nlich ist die Gefahr zu gro\u00df, dass dabei auch mein privater Schl\u00fcssel kompromittiert bzw. entwendet wird.<\/p>\n

Meinen E-Mail-Client verwende ich hingegen ausschlie\u00dflich zum Lesen und Schreiben von E-Mails. Die Angriffsfl\u00e4che ist hier wesentlich kleiner und das Risiko geringer, dass mein privater Schl\u00fcssel kompromittiert wird.<\/p>\n","protected":false},"excerpt":{"rendered":"

Vor Kurzem wurde Roundcube Webmail[1. Roundcube Webmail] in Version 1.2.0 ver\u00f6ffentlicht. Zu einer der Neuerungen z\u00e4hlt die Unterst\u00fctzung von PGP. Dabei hat man die Wahl zwischen der client-seitigen Verschl\u00fcsselung, basierend auf der Browser-Erweiterung Mailvelope und der server-seitigen Variante mittels Enigma-Plugins. In diesem Artikel stelle ich beide Varianten kurz vor und zeige einige Punkte auf, die [Weiterlesen…]<\/a><\/span><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_metis_text_type":"","_metis_text_length":0,"_post_count":0,"footnotes":""},"categories":[1],"tags":[399,398,211,430,252,305,349],"class_list":["post-1442","post","type-post","status-publish","format-standard","hentry","category-allgemein","tag-enigma","tag-mailvelope","tag-openpgp","tag-osbn","tag-pgp","tag-planet","tag-roundcube"],"_links":{"self":[{"href":"https:\/\/www.my-it-brain.de\/wordpress\/wp-json\/wp\/v2\/posts\/1442","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.my-it-brain.de\/wordpress\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.my-it-brain.de\/wordpress\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.my-it-brain.de\/wordpress\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.my-it-brain.de\/wordpress\/wp-json\/wp\/v2\/comments?post=1442"}],"version-history":[{"count":6,"href":"https:\/\/www.my-it-brain.de\/wordpress\/wp-json\/wp\/v2\/posts\/1442\/revisions"}],"predecessor-version":[{"id":1448,"href":"https:\/\/www.my-it-brain.de\/wordpress\/wp-json\/wp\/v2\/posts\/1442\/revisions\/1448"}],"wp:attachment":[{"href":"https:\/\/www.my-it-brain.de\/wordpress\/wp-json\/wp\/v2\/media?parent=1442"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.my-it-brain.de\/wordpress\/wp-json\/wp\/v2\/categories?post=1442"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.my-it-brain.de\/wordpress\/wp-json\/wp\/v2\/tags?post=1442"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}