[Datenschleuder] [61]    Corporate Message Recovery

Corporate Message Recovery Nach jahrelanger Entwicklungsarbeit war es endlich soweit: die neue Version von PGP, mit der Nummer 5.0 für nichtkommerziellen und 5.5 für kommerziellen Einsatz, erschien. Jetzt ist eine Diskussion um ein neues Feature dieser Version aufgekommen, im Zusammenhang mit der in Anbetracht der bisherigen US-Politik merkwürdigen Export-Freigabe von PGP. Das neue Feature heißt Corporate Message Recovery (CMR). Es sorgt dafür, daß man public keys so konfigurieren kann, daß Mails, die an den Besitzer dieses Schlüssels geschickt werden, auch mit dem public key eines weiteren Benutzers verschlüsselt werden. Gedacht ist das ganze für Firmen, die gerne PGP einsetzen wollen, aber auch dann noch die Nachrichten eines Mitarbeiters lesen können müssen, wenn dieser vom Bus überfahren wird. Der Vorwurf wurde laut, PGP hätte jetzt eine Software, die GAK-fähig (Government Access to Keys) sei, und nur deshalb hätte PGP eine Exportgenehmigung bekommen. Mithin seien PGP jetzt die Bösen. Allerdings bestehen zwischen GAK und CMR gewisse Unterschiede. Der wichtigste Unterschied ist der, daß CMR es zwar dem Besitzer des CMR-Schlüssels erlaubt, die Dokumente zu entschlüsseln, die mit aktiviertem CMR erstellt wurden, nicht jedoch Nachrichten des Original-Schlüsselbesitzers zu fälschen oder gar jede an den Original-Schlüsselinhaber gerichtete Mail zu entschlüsseln. GAK hingegen erlaubt das, und generell alles, was auch der Original-Schlüsselbesitzer kann. Außerdem bietet CMR die Möglichkeit, ein flexibles, vernetztes System zum Wiederherstellen von Nachrichten zu bilden, es muß mitnichten immer der Firmenchef sein, der alle Nachrichten lesen kann, es kann auch nur der jeweils Vorgesetzte oder ein Kollege sein. Die Lösung für Skeptiker von CMR ist einfach: der Source von PGP ist verfügbar, und ein Entfernen von 10 leicht zu findenden Zeilen schaltet CMR ab, schließlich findet CMR ja beim Sender statt. Insofern kann man PGP nur dazu gratulieren, eine Lösung für ein Problem geschaffen zu haben, von dem die US-Regierung behauptet, nur GAK könne es lösen. Und diese Lösung kommt ohne die Nachteile von GAK aus. Und besser als das bisherige Vorgehen der Firmen, einfach eine Sicherheitskopie des private key des Mitarbeiters in den Tresor zu legen, ist CMR allemal. andreas@ccc.de

[Datenschleuder] [61]    Corporate Message Recovery