Nun sind wir unter uns. Die Überschrift hat die DAUs sowieso verschreckt. Sie kennen selbstredend weder den einen noch den anderen Begriff. Ich hätte auch titeln können: Asunka Parottquat, jukati Okrundik. Kurzum: ich habe mir mal Ciphire angesehen. Asymmetrische Kryptografie für jedermann und so. Also etwas Simples; wir bleiben ganz cool. Die Windows-Version läuft nur mit XP oder Windows 2000. Da ich so etwas nicht habe, musste ich die Angelegenheit auf dem Rechner meines Vaters testen.

Bei diesen Themen schaut man sich vorher bei den einschlägigen Verdächtigen um, also nicht in den Medien. Letztere schreiben meistens groben Unfug über das Thema Verschlüsselung oder propagieren proprietären Quatsch statt Open Source; und wenn sie die einschlägige Software wie PGP lobend erwähnen, kann man davon ausgehen, dass sie diese selbst nicht anwenden. Dem Autor dieses unmaßgeblichen Zeilen ist kein relevantes deutsches Medium bekannt, dessen Redakteurinnen und Redakteuren man einen elektronischen Brief schreiben kann - nur Postkarten sind erlaubt.

Ein Hacker, der aufgefordert wurde, Ciphire zu testen, blieb prinzipiell misstrauisch, gab aber zu, dass Bruce Schneier in seiner Expertise dem System ein gutes Design testiert hatte. Das ist so, als wenn Karpov einer Schachpartie bescheinigte, sie sei elegant geführt worden. Freshmeat, Heise und Golem berichteten über die "kostenlose PGP-Alternative". Und FC'05 (Financial Cryptography and Data Security) ist Ciphire ebenfalls ein Thema.

Die PCWelt schreibt: "Der große Vorteil des Programms: Die Handhabung ist tatsächlich sehr einfach. Der Nachteil: Die Verschlüsselung funktioniert nur, wenn der Empfänger ebenfalls das Tool installiert hat. Vorhandene PGP-Schlüssel lassen sich nicht nutzen." Netzwelt.de fasst etwas suggestiv zusammen: "Anders als bei Lösungen wie PGP, bei denen die Verschlüsselung in jedem Fall separat vorgenommen werden muss, merkt der Nutzer bei Ciphire nichts von der Aktivität des Programms. Für ihn arbeitet sein Mail-Client wie immer, ohne nervige Extra-Optionen." Und: "Ciphire hingegen arbeitet richtig. Vom Mailclient aus greift Ciphire die Email ab und prüft online, ob der Empfänger ebenfalls Ciphire-Nutzer ist. Wenn das zutrifft, wird die Email verschlüsselt, ansonsten nur signiert. Erst dann wird sie an den normalen SMTP-Server des Benutzers weitergeleitet."

Diese Argumentation überzeugt nicht. Wer PGP oder GnuPG verstanden hat, wird durch nichts genervt, und einfach zu bedienen ist die Software auch. Der Unterschied: Der Anwender muss bei Ciphire nicht mehr begreifen, was er warum macht. Das ist nicht unbedingt ein Vorteil, aber vermutlich volkstümlich.

Und das geht so: Man installiert das Programm. Dann wird man aufgefordert, einen neuen Account zu eröffnen. [Screenshot]. Dann: Passphrase eingeben. Dann dröselt, die Software, insgesamt sieben Schritte.

Nach dem dritten Schritt wartet eine Fehlerquelle - man muss eine Mail von Ciphire erwidern. Das funktioniert nicht per Webmail - in diesem Fall erscheint die Meldung, die Anmeldung sei gescheitert. Mit POP jedoch funktioniert alles. Anschließend wird man gefragt, ob man Ciphire auch auf anderen Rechnern benutzen wolle. Das funktioniert ähnlich wie bei PGP: man exportiert den Schlüssel - die proprietäre Datei heisst nicht, wie bei PGP, .pkr/.skr, sondern .conf.

Dann kann man - wie bei PGP - verschlüsseln - in diesem Fall habe ich eine nur signierte Mail an mich selbst gesendet. Die Optionen lassen offen, ob man immer automatisch versuchen soll zu verschlüsseln, der Server bei Ciphire übernimmt die Aufgabe des klassischen PGP-Servers und sucht selbst nach öffentlichen Schlüsseln des Empfängers. Das Ciphire Message Log [Screenshot 1][Screenshot 2] protokolliert die Aktivität des Programms.

Fazit: Wer PGP oder GnuPG schon nutzt, braucht Ciphire nicht. Der große Nachteil: die Software ist nicht kompatibel mit PGP, das sich seit mehr als zehn Jahren faktisch als Standard etabliert hat. Ich habe auch nicht begriffen, wie das Unternehmen einen Key-Fingerprint ermöglichen will. Man muss der Firma schlicht vertrauen, dass die benutzten öffentlichen Schlüssel auch zu der Person gehören, der man eine Nachricht schickt. Allerdings ist das System aus mathematischer Sicht offenbar vertrauenswürdig: "Each Ciphire certificate is reduced to a hash, an abbreviated mathematical identifier. Since the relationship between the hash and the certificate is reciprocal, the original hash would not match a certificate in which there was even the slightest change. We refer to the hash of a certificate as its fingerprint."

Ich habe ebensowenig etwas gefunden, dass eine man-in-the-middle-Attacke auf die Server von Ciphire prinzipiell ausschließt.

Da ich PGP seit Jahren nur per Zwischenablage benutze, interessiert mich weniger, mit welchem MUA die Software kompatibel ist. Mein Forté Agent für Windows ist nicht dabei. Mit Debian habe ich Ciphire noch nicht getestet. Demnächst in diesem Theater.

---------------------------------------------------------------------------------------

BURKS ONLINE 27.02.2005
Alle Rechte vorbehalten.
Vervielfältigung nur mit Genehmigung des BurksVEB.