PGP-Verschlüsselung für Webbrowser: BSI-Projekt verbessert Open-Source-Software Mailvelope
Zusammenfassung
Das BSI stellte 2019 die Ergebnisse eines geförderten Projekts vor, das die Browser-Erweiterung Mailvelope für PGP-verschlüsselte E-Mails verbesserte. Neu war unter anderem, dass Webseitenbetreiber Kontaktformulare Ende-zu-Ende verschlüsseln können, die Schlüssel werden dabei über das Web Key Directory abgerufen. Ein Audit von SEC Consult fand und schloss vier Lücken in Mailvelope und drei in der Bibliothek OpenPGP.js.
Ideen
- Browser-Erweiterungen bringen PGP in bestehende Webmail-Dienste.
- Verschlüsselte Kontaktformulare schützen Nachrichten schon im Browser des Absenders.
- Das Web Key Directory findet öffentliche Schlüssel automatisch per HTTPS.
- Kritische Aktionen verlangen nun ausdrücklich eine Nutzeraktion.
Einsichten
- Benutzerfreundlichkeit entscheidet bei Verschlüsselung über die tatsächliche Nutzung.
- Öffentlich geförderte Audits stärken Open-Source-Werkzeuge, auf die viele angewiesen sind.
- Kryptografie im Browser tauscht etwas Sicherheit gegen deutlich bessere Bedienbarkeit.
Fakten
- Das Projekt lief seit Januar 2018 und wurde von Mailvelope GmbH und Intevation umgesetzt.
- Als Einsatzfelder nannte das BSI vor allem Ärzte und Banken.
Referenzen
Kritik
- Die Einschätzung zur geringen Verbreitung in Arztpraxen stützt sich auf wenige Gespräche der Redaktion.
Empfehlungen
- Veröffentliche deinen PGP-Schlüssel per Web Key Directory unter der eigenen Domain.
- Nutze Ende-zu-Ende-Verschlüsselung für Formulare mit sensiblen Daten wie Gesundheitsangaben.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.