SELECT * FROM // c[_]~~

Der GNU Privacy Guard bietet unter Anderem die Funktionalität für Verschlüsselungen und Signaturen nach dem OpenPGP Standard (RFC2440). Dieses Program lässt sich zwar “nur” über die Kommandozeile bedienen, jedoch können seine Funktionen auch von anderen Programmen genutzt werden.

1. Download

Für die Installation muss man erstmal die richtige Datei im Netz finden. Bei der Suche hilft diese Liste von Spiegelservern, aus der ich mir dann dieses Verzeichnis ausgesucht habe. Dort kann man sich die neueste Version herunterladen (in diesem Fall gnupg-w32cli-1.4.7.exe) und dazu die Signatur-Datei (gnupg-w32cli-1.4.7.exe.sig).

2. Verifikation

Haben wir das echte Programm oder wurde uns etwas untergeschoben? Das wird jetzt so ein “Henne-Ei-Problem”: Es wäre schlau, das Programm vor dem Installieren zu verifizieren. Dazu brauchen wir aber ein bereits verifiziertes Verifikations-Programm.

Wenn wir schon ein vertrauenswürdiges Programm haben, zum Beispiel eine ältere, bereits installierte Version von GPG, können wir damit die Signatur unserer heruntergeladenen Version mit diesem Befehl in der Kommandozeile prüfen:

gpg --verify gnupg-w32cli-1.4.7.exe.sig

Wer GPG zum ersten Mal installiert, hat es schon schwerer. Man könnte mit einem Programm wie sha1sum wenigstens die SHA-1-Prüfsumme der Installationsdatei überprüfen. Linux-Nutzer sind hier im Vorteil, Windows-Nutzer müssen sich das Programm erst organisieren. Ich habe dazu von einem weiteren Server die Datei “sha1sum.exe” geholt.

Mit dem folgenden Befehl

sha1sum gnupg-w32cli-1.4.7.exe

erzeugt man dann die folgende Prüfsumme,

b806e8789c93dc6d08b129170d6beb9e1a5ae68f gnupg-w32cli-1.4.7.exe

die man mit den entsprechenden Angaben vergleichen kann.

Auch wenn Verfahren wie SHA1 oder MD5 nicht zu hundert Prozent sicher sind, kann man mit großer Wahrscheinlichkeit davon ausgehen, dass bei einer korrekten Prüfsumme die Installationsdatei nicht verändert wurde.

Noch etwas zur Demotivation: Wer sagt eigendlich, dass diese Prüfsumme korrekt übers Netz übertragen wurde? Um sich etwas sicherer zu fühlen könnte man sich die entsprechende Seite mit der Prüfsumme über verschiedene Internet-Provider ansehen oder sie telefonisch mit Freunden vergleichen, aber ein Restrisiko bleibt immer.

3. Installation & Anwendung

Jetzt kann das Installationsprogramm ausgeführt und seinen Anweisungen gefolgt werden.

Wie bereits erwähnt, hat GPG keine grafische Oberfläche. Für den Anfang hilft sicherlich der folgende Befehl weiter:

gpg --help

Viele weitere Programme (mit grafischer Oberfläche) setzen auf dieser GPG-Installation auf. Eine Auswahl von ihnen werden wir demnächst hier vorstellen.

Quellen & Weiterführende Links

GnuPG.org
GnuPG.org - Downloadseite
GnuPG.org - Liste der FTP-Spiegelserver
GnuPG.org - Binärdateien (Executables)
GnuPG.org - Überprüfung der Integrität
GnuPG.org - Signaturschlüssel

Wikipedia - Pretty Good Privacy
Wikipedia - Kryptografie
Wikipedia - Elektronische Signatur