% gpg4win-compendium-de.tex
% Note, that this a HyperLaTeX source and not plain LaTeX!

\documentclass[a4paper,11pt, oneside,openright,titlepage,dvips]{scrbook}

% define packages
\usepackage{hyperlatex}
\usepackage{a4wide}
\usepackage{times}
\usepackage[latin1]{inputenc}
\usepackage[T1]{fontenc}
\usepackage{german}
\usepackage{graphicx}
\usepackage{alltt}
\usepackage{moreverb}
\usepackage{ifthen}
\usepackage{fancyhdr}
\W\usepackage{rhxpanel}
\W\usepackage{sequential}
\usepackage[table]{xcolor}
\usepackage{color}


% write any html files directly into this directory
% XXX: This is currently deactivated, but sooner or later
% we need this to not let smae filenames overwrite each other
% when we have more than one compendium. The Makefile.am needs
% to be updated for this as well - not a trivial change.
%\W\htmldirectory{./compendium-de-html}

% Hyperref should be among the last packages loaded
\usepackage{hyperref}

% page header
\T\fancyhead{} % clear all fields
\T\fancyhead[LO,RE]{Das Gpg4win-Kompendium \compendiumVersionDE
    %\T\manualinprogress
    \T\\
    \T\itshape\nouppercase{\leftmark}}
\T\fancyhead[RO,LE]{\includegraphics[width=1cm]{gpg4win-logo}}
\T\fancyfoot[C]{\thepage}
\T\pagestyle{fancy}

% define custom commands
\newcommand{\Button}[1]{[\,#1\,]}
\newcommand{\Menu}[1]{\emph{#1}}
\newcommand{\Filename}[1]{\texttt{#1}}
\newcommand{\Email}{E-Mail}
\newcommand{\EchelonUrl}{http://www.heise.de/tp/r4/artikel/6/6928/1.html}
\newcommand\margin[1]{\marginline {\sffamily\scriptsize #1}}
% Note: Do not include more than one image on a source line.
\newcommand{\IncludeImage}[2][]{\texorhtml{%
\includegraphics[#1]{#2}%
}{%
\htmlimg{#2.png}%
}}

% custom colors
\definecolor{gray}{rgb}{0.4,0.4,0.4}
\definecolor{lightgray}{rgb}{0.7,0.7,0.7}

\T\DeclareGraphicsExtensions{.eps.gz,.eps}
\T\parindent 0cm
\T\parskip\medskipamount

% Get the version information from another file.
% That file is created by the configure script.
\input{version.tex}


% Define universal url command.
% Used for latex _and_ hyperlatex (redefine see below).
% 1. parameter = link text (optional);
% 2. parameter = url
% e.g.: \uniurl[example link]{http:\\example.com}
\newcommand{\uniurl}[2][]{%
\ifthenelse{\equal{#1}{}}
{\texorhtml{\href{#2}{#2}}{\xlink{#2}{#2}}}
{\texorhtml{\href{#2}{#1}}{\xlink{#1}{#2}}}}


%%% HYPERLATEX %%%
\begin{ifhtml}
    % HTML title
    \htmltitle{Gpg4win-Kompendium}
    % TOC link in panel
    \htmlpanelfield{Inhalt}{hlxcontents}
    % name of the html files
    \htmlname{gpg4win-compendium-de}
    % redefine bmod
    \newcommand{\bmod}{mod}
    % use hlx icons (default path)
    \newcommand{\HlxIcons}{}

    % Footer
    \htmladdress{$\copyright$ \compendiumDateDE, v\compendiumVersionDE
        %\manualinprogress
    \html{br/}
    \html{small}
    Das Gpg4win-Kompendium ist unter der
    \link{GNU Free Documentation License v1.2}{fdl} lizensiert.
    \html{/small}}

    % Changing the formatting of footnotes
    \renewenvironment{thefootnotes}{\chapter*{Fußnoten}\begin{description}}{\end{description}}

    % redefine universal url for hyperlatex (details see above)
    \newcommand{\linktext}{0}
    \renewcommand{\uniurl}[2][]{%
        \renewcommand{\linktext}{1}%
        % link text is not set
        \begin{ifequal}{#1}{}%
            \xlink{#2}{#2}%
            \renewcommand{linktext}{0}%
        \end{ifequal}
        % link text is set
        \begin{ifset}{linktext}%
             \xlink{#1}{#2}%
    \end{ifset}}

    % german style
    \htmlpanelgerman
    \extrasgerman
    \dategerman
    \captionsgerman


    % SECTIONING:
    %
    % on _startpage_: show short(!) toc (only part+chapter)
    \setcounter {htmlautomenu}{1}
    % chapters should be <H1>, Sections <H2> etc.
    % (see hyperlatex package book.hlx)
    \setcounter{HlxSecNumBase}{-1}
    % show _numbers_ of parts, chapters and sections in toc
    \setcounter {secnumdepth}{1}
    % show parts, chapters and sections in toc (no subsections, etc.)
    \setcounter {tocdepth}{2}
    % show every chapter (with its sections) in _one_ html file
    \setcounter{htmldepth}{2}

    % set counters and numberstyles
    \newcounter{part}
    \renewcommand{\thepart}{\arabic{part}}
    \newcounter{chapter}
    \renewcommand{\thecapter}{\arabic{chapter}}
    \newcounter{section}[chapter]
    \renewcommand{\thesection}{\thechapter.\arabic{section}}
\end{ifhtml}


%%% TITLEPAGE %%%

\title{\htmlattributes*{img}{width=300}\IncludeImage[width=8cm]{gpg4win-logo}\\
Das Gpg4win-Kompendium}

\author{ \
    % Hyperlatex: Add links to pdf versions and Homepage
    \htmlonly{
        \xml{p}\small
        \xlink{Aktuelle PDF-Version zum Download}{http://wald.intevation.org/frs/?group_id=11}\xml{br}
        Zur \xlink{Gpg4win-Homepage}{http://www.gpg4win.de/}\xml{p}
    }
    % Authors
    Eine Veröffentlichung des Gpg4win-Projekts\\
      \small Basierend auf einem Original von
    \T\\
      \small Manfred J. Heinze, Karl Bihlmeier, Isabel Kramer
    \T\\[-0.2cm]
      \small Dr. Francis Wray und Ute Bahn.
    \\[0.2cm]
      \small Überarbeitet von
    \T\\
      \small Werner Koch, Emanuel Schütze, Dr. Jan-Oliver Wagner und
      Florian v. Samson.
}

\date{Version \compendiumVersionDE~vom \compendiumDateDE
    %\manualinprogress
    }


%%% BEGIN DOCUMENT %%%

\begin{document}

\maketitle

\T\section*{Impressum}
\W\chapter*{Impressum}

\thispagestyle{empty}
Copyright \copyright{} 2002 Bundesministerium für Wirtschaft und
Technologie\footnote{Wenn dieses Dokument kopiert, verteilt und/oder
verändert wird, soll außer dieser Coypright-Notiz in keiner Form der
Eindruck eines Zusammenhanges
mit dem Bundesministerium für Wirtschaft und Technologie erweckt
werden.}\\
Copyright \copyright{} 2005 g10 Code GmbH\\
Copyright \copyright{} 2009 Intevation GmbH

Permission is granted to copy, distribute and/or modify this document
under the terms of the GNU Free Documentation License, Version 1.2 or
any later version published by the Free Software Foundation; with no
Invariant Sections, no Front-Cover Texts, and no Back-Cover Texts. A
copy of the license is included in the section entitled "`GNU Free
Documentation License"'.

{\small [Dieser Absatz is eine unverbindliche Übersetzung des
oben stehenden Hinweises.]}\\
Es wird die Erlaubnis gegeben, dieses Dokument zu kopieren, zu
verteilen und/oder zu verändern unter den Bedingungen der GNU Free
Documentation License, Version 1.2 oder einer späteren, von der Free
Software Foundation veröffentlichten Version.  Es gibt keine
unveränderlichen Abschnitte, keinen vorderen Umschlagtext und keinen
hinteren Umschlagtext.  Eine Kopie der "`GNU Free Documentation
License"' findet sich im Anhang mit dem gleichnamigen Titel.
Inoffizielle Übersetzungen dieser Lizenz finden Sie unter
http://www.gnu.org/licenses/translations.html.



%%\clearpage
%% Orginal page  6
%% We don't use these foreword anymore because Mr. Müller is not
%% anymore minister of economic and technology.  We might want to ask
%% for a new foreword by the current head of that minister.

\clearpage
%% Orginal page 7
\chapter*{Über dieses Kompendium \htmlonly{\html{br}\html{br}}}

Das Gpg4win-Kompendium besteht aus drei Teilen:

\begin{itemize}
\item \textbf{Teil~\ref{part:Einsteiger} "`Für Einsteiger"'}: Der
    Schnelleinstieg in Gpg4win.

\item \textbf{Teil~\ref{part:Fortgeschrittene} "`Für
    Fortgeschrittene"'}:
    Das Hintergrundwissen zu Gpg4win.

\item \textbf{Anhang}: Weiterführende technische Informationen zu
    Gpg4win.\\
\end{itemize}

\textbf{Teil~\ref{part:Einsteiger} "`Für Einsteiger"'} führt Sie kurz
und knapp durch die Installation
und die alltägliche Benutzung der Gpg4win-Programmkomponenten.
Der Übungsroboter \textbf{Adele} wird Ihnen dabei behilflich sein und
ermöglicht Ihnen, die \Email{}-Ver- und Entschlüsselung 
(mit OpenPGP) so lange zu üben, bis Sie sich vertraut im Umgang mit
Gpg4win gemacht haben.

Der Zeitbedarf für das Durcharbeiten des Schnelleinstiegs hängt unter anderem davon
ab, wie gut Sie sich mit Ihrem PC und Windows auskennen. Sie sollten sich in
etwa eine Stunde Zeit nehmen.\\

\textbf{Teil~\ref{part:Fortgeschrittene} "`Für Fortgeschrittene"'}
liefert Hintergrundwissen, das Ihnen die
grundlegenden Mechanismen von Gpg4win verdeutlicht und die etwas
seltener benutzten Fähigkeiten erläutert.

Teil 1 und 2 können unabhängig voneinander benutzt werden. Zu
Ihrem besseren Ver\-ständnis sollten Sie aber möglichst beide Teile in
der angegebenen Reihenfolge lesen.\\

Im \textbf{Anhang} finden Sie Details zu spezifischen technischen
Themen rund um Gpg4win, unter anderem zum Outlook-Plugin
\textit{GpgOL}.\\

Wie das Kryptographie-Programmpaket Gpg4win selbst, wurde diese Dokument
nicht für Mathematiker, Geheimdienstler und Kryptographen geschrieben,
sondern für jedermann.

%TODO: Adele
%\textbf{Der Übungsroboter Adele} steht Ihnen im Internet zur
%Verfügung. Adele empfängt und sendet verschlüsselte OpenPGP \Email{}s und
%entschlüsselt sie auch. Sie können also mit Adele einen kompletten
%Verschlüsselungsdialog so lange üben, bis Sie sich völlig mit dem
%Gebrauch der Software vertraut gemacht haben.

%Adele ist im Rahmen des alten GnuPP Projektes entstanden und
%läuft dort noch immer. "`Das Gpg4win-Kompendium"' verwendet diesen
%zuverlässigen Übungsroboter und dankt den Inhabern von gnupp.de
%für den Betrieb von Adele.



\clearpage %% End of original page 4.

\tableofcontents




%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
% Part I
\clearpage
\T\part{Für Einsteiger}
\W\part*{\textbf{I Für Einsteiger}}
\label{part:Einsteiger}
\addtocontents{toc}{\protect\vspace{0.3cm}}
\addtocontents{toc}{\protect\vspace{0.3cm}}


%% Orginal page 8
\chapter{Was ist Gpg4win?}

\textbf{Das Projekt Gpg4win (GNU Privacy Guard for Windows) ist eine
Verschlüsselungssoftware für \Email{}s und Dateien.
Gpg4win bezeichnet ein Gesamtpaket, welches in Version 2 die folgenden
Programme umfasst:}

\begin{itemize}
    \item \textbf{GnuPG}\\ GnuPG ist das Kernstück von Gpg4win: Die Verschlüsselungs-Software.
    \item \textbf{Kleopatra}\\ Die zentrale Zertifikatsverwaltung von Gpg4win.
        Unterstützt OpenPGP und X.509\linebreak (S/MIME) und sorgt für
        eine einheitliche Benutzerführung für alle
        kryptographischen Operationen.
    \item \textbf{GpgOL}\\ GnuPG für Outlook (GpgOL) ist eine Erweiterung für Microsoft
        Outlook 2003 und 2007, die verwendet wird, um Nachrichten mit OpenPGP
        oder S/MIME zu signieren / verschlüsseln.
    \item \textbf{GpgEX}\\ GPG Explorer eXtension (GpgEX) ist eine Erweiterung für
        den Windows Explorer, die es ermöglicht, Dateien über das
        Kontextmenü zu signieren / verschlüsseln.
    \item \textbf{GPA}\\ Der GNU Privacy Assistent (GPA) ist neben Kleopatra ein
        alternatives Programm zum Verwalten von OpenPGP- und X.509-Zertifikaten.
    \item \textbf{Claws Mail}\\ Claws Mail ist ein vollständiges
        \Email{}-Programm mit sehr guter Unterstützung für GnuPG.
\end{itemize}


Mit dem Verschlüsselungsprogramm GnuPG (GNU Privacy Guard) kann
jedermann \Email{}s  sicher, einfach und kostenlos verschlüsseln. GnuPG
kann ohne jede Restriktion privat oder kommerziell benutzt werden. Die
von GnuPG eingesetzte Verschlüsselungstechnologie ist 
sicher und kann nach dem heutigen
Stand von Forschung und Technik nicht gebrochen werden.

GnuPG ist \textbf{Freie Software}\footnote{oft auch als Open Source
Software (OSS) bezeichnet}. Das bedeutet, dass jedermann das Recht hat, sie
nach Belieben kommerziell oder privat zu nutzen.  Jedermann darf den
Quellcode, also die eigentliche Programmierung des Programms, genau
untersuchen und auch selbst Änderungen durchführen und diese
weitergeben.\footnote{Obwohl dies ausdrücklich erlaubt ist, sollte man
ohne ausreichendes Fachwissen nicht leichtfertig Änderungen
durchführen, da hierdurch die Sicherheit der Software beeinträchtigt
werden kann.}

Für eine Sicherheits-Software ist diese garantierte Transparenz des
Quellcodes eine unverzichtbare Grundlage. Nur so läßt sich die
Vertrauenswürdigkeit eines Programmes wirklich prüfen.

GnuPG basiert auf dem internationalen Standard \textbf{OpenPGP} (RFC 2440), ist
vollständig kompatibel zu PGP und benutzt auch die gleiche Infrastruktur
(Zertifikatsserver etc.) wie dieser. Seit Version 2 von GnuPG wird auch der
kryptographische Standard \textbf{S/MIME} (IETF RFC 3851, ITU-T X.509
und ISIS-MTT/Common PKI) unterstützt.

PGP ("`Pretty Good Privacy"') ist keine Freie Software, sie war
lediglich vor vielen Jahren kurzzeitig zu ähnlichen Bedingungen wie
GnuPG erhältlich.  Diese Version entspricht aber schon lange nicht
mehr dem Stand der Technik.

Die Vorläufer von Gpg4win wurden durch das Bundesministerium für
Wirtschaft und Technologie, Gpg4win und Gpg4win2
durch das Bundesamt für Sicherheit in der Informationstechnik
unterstützt.

Weitere Informationen zu GnuPG und weiteren Projekten der Bundesregierung
zum Schutz des Internets finden Sie auf den Webseiten
\uniurl[www.bsi.de]{http://www.bsi.de} und
\uniurl[www.bsi-fuer-buerger.de]{http://www.bsi-fuer-buerger.de}
des Bundesamtes für Sicherheit in der Informationstechnik.


\clearpage
%% Original page 6
\chapter{Warum überhaupt verschlüsseln?}
\label{ch:why}

Die Verschlüsselung von Nachrichten wird manchmal als das zweitälteste
Gewerbe der Welt bezeichnet. Verschlüsselungstechniken benutzten schon
der Pharao Khnumhotep II, Herodot und Cäsar.  Dank Gpg4win ist
Verschlüsselung nunmehr für jedermann frei und kostenlos
zugänglich.

\begin{center}
\htmlattributes*{img}{width=300}
\IncludeImage[width=0.9\textwidth]{egyptian-stone}
\end{center}

Die Computertechnik hat uns phantastische Mittel in die Hand gegeben,
um rund um den Globus miteinander zu kommunizieren und uns zu
informieren. Aber Rechte und Freiheiten, die in anderen
Kommunikationsformen längst selbstverständlich sind, muss man sich in
den neuen Technologien erst sichern. Das Internet ist so schnell und
massiv über uns hereingebrochen, dass man mit der Wahrung unserer Rechte
noch nicht so recht nachgekommen sind.

Beim altmodischen Briefschreiben schützen Sie die Inhalte von
Mitteilungen ganz selbstverständlich mit einem Briefumschlag.
Der Umschlag schützt die Nachrichten vor fremden Blicken,
eine Manipulation am Umschlag kann man leicht bemerken. Nur wenn etwas
nicht ganz so wichtig ist, schreibt man es auf eine ungeschützte
Postkarte, die auch der Briefträger oder andere lesen können.


\clearpage
%% Original page 7

Ob die Nachricht wichtig, vertraulich oder geheim ist, das bestimmen
Sie selbst und niemand sonst.

Diese Entscheidungsfreiheit haben Sie bei \Email{} nicht. Eine normale
\Email{} ist immer offen wie eine Postkarte, und der elektronische
"`Briefträger"' -- und andere -- können sie immer lesen. Die Sache
ist sogar noch schlimmer: Die Computertechnik bietet nicht nur die
Möglichkeiten, die vielen Millionen \Email{}s täglich zu befördern und
zu verteilen, sondern auch, sie zu kontrollieren.

Niemand hätte je ernsthaft daran gedacht, alle Briefe und Postkarten zu
sammeln, ihren Inhalt auszuwerten oder Absender und Empfänger zu
protokollieren. Das wäre einfach nicht machbar gewesen, oder es hätte
zu lange gedauert. Mit der modernen Computertechnik ist das technisch
möglich. Es gibt mehr als einen Hinweis darauf, dass dies genau heute
schon im großen Stil mit Ihrer \Email{}
geschieht\footnote{Hier sei nur an das 
\uniurl[Echelon-System]{\EchelonUrl} erinnert%
\T ~(siehe \uniurl{\EchelonUrl})%
.}.

Denn: Der Umschlag fehlt.

\begin{center}
\htmlattributes*{img}{width=300}
\IncludeImage[width=0.3\textwidth]{sealed-envelope}
\end{center}

\clearpage
%% Original page 8

Vorschlag: Verwenden Sie einen "`Umschlag"' für Ihre
elektronischen Briefe. Ob Sie ihn benutzen, wann, für wen und wie oft,
ist ganz allein Ihre Sache. Software wie Gpg4win gibt Ihnen lediglich
die Wahlfreiheit zurück. Die Wahl, ob Sie persönlich eine Nachricht
für wichtig und schützenswert halten oder nicht.

Das ist der Kern des Rechts auf Brief-, Post- und Fernmeldegeheimnis
im Grundgesetz, und dieses Recht können Sie mit Hilfe des
Softwarepakets Gpg4win wahrnehmen. Sie müssen diese Software nicht benutzen --
Sie müssen ja auch keinen Briefumschlag benutzen. Aber es ist Ihr gutes Recht.

Um dieses Recht zu sichern, bietet Gpg4win Ihnen sogenannte "`starke
Verschlüsselungstechnik"'. "`Stark"' bedeutet hier: mit keinem
gegenwärtigen Mittel zu knacken. In vielen Ländern waren starke
Verschlüsselungsmethoden bis vor ein paar Jahren den Militärs und
Regierungsbehörden vorbehalten. Das Recht, sie für jeden Bürger
nutzbar zu machen, haben sich die Internetnutzer mühsam erobert;
manchmal auch mit der Hilfe von klugen und weitsichtigen Menschen in
Regierungsinstitutionen, wie im Falle der Portierung von GnuPG auf
Windows.  GnuPG wird von Sicherheitsexperten in aller Welt als eine
praktikable und sichere Software angesehen.

\textbf{Wie wertvoll diese Sicherheit für Sie ist, liegt ganz in Ihrer
Hand.}

Sie allein bestimmen das Verhältnis zwischen Bequemlichkeit bei
der Verschlüsselung und größtmöglicher Sicherheit.  Dazu gehören die
wenigen, aber umso wichtigeren Vorkehrungen, die Sie treffen müssen,
um Gpg4win richtig zu nutzen. In diesem Kompendium werden wir
Ihnen dieses Vorgehen Schritt für Schritt erläutern.


\clearpage
\chapter{Zwei Wege, ein Ziel: OpenPGP \& S/MIME}
\label{ch:openpgpsmime}

Wie so oft gibt es für das gleiche Ziel verschiedene Wege, ähnlich ist
es auch in der Verschlüsselung Ihrer \Email{}s mit den Standards OpenPGP
und S/MIME. Beide Standards und ihre Umsetzungen in Software ermöglichen die
\Email{}-Veschlüsselung mit Freier Software, wie z.B. Gpg4win.

Beim Verschlüsseln bzw. bei der Sicherheit der geheimen Datenübertragung
sind zwei Perspektiven wichtig, einmal die Gewährleistung der \textbf{Geheimhaltung}
und zum anderen die \textbf{Authentizität} des Absenders. Authentizität bedeutet
hier, dass der Inhalt auch tatsächlich vom besagten Absender versandt
wurde.

\subsubsection{Die Gemeinsamkeit: Das "`Public-Key"' Verfahren}
Konzeptionell steckt hinter OpenPGP und S/MIME die gleiche Methode zur Geheimhaltung,
und zwar das "`Public-Key"' Verfahren. Was heißt das?

Stellen Sie sich vor, die \Email{} oder die Datei sei in einer Truhe verschlossen.
Im Gegensatz zu einem "`normalen"' Schloss mit einem Schlüssel gibt es beim
"`Public-Key"' Verfahren zum Verschlüsseln / Entschlüsseln ein \textbf{Schlüsselpaar}.
So gibt es einen beglaubigten Schlüssel zum Verschlüsseln (der
"`\textbf{öffentliche Schlüssel}"') und einen Schlüssel zum Entschlüsseln (der
"`\textbf{geheime Schlüssel}"').

Betrachtet man den öffentlichen Schlüssel zusammen mit
Angaben über den Schlüssel (sogenannten Metadaten), so spricht man
von einem öffentlichen \textbf{Zertifikat}.
Metadaten können z.B. die zum Schlüssel zugehörige \Email{}-Adresse,
die Benutzer-Kennung oder der Gültigkeitszeitraum sein (vgl.
Kapitel~\ref{ch:CertificateDetails}).

Die Eigenschaften geheim / privat bzw. öffentlich / publik sind völlig
unabhängig (orthogonal) davon, ob sie sich auf einen reinen
("`nackten"') Schlüssel oder ein Zertifikat (Schlüssel mit Metadaten)
beziehen.\\
Anmerkung: \textit{Technisch} werden für die eigentliche Kryptografie
(Verschlüsseln und Signieren) nur Schlüssel verwendet;
\textit{praktisch} handhabt man ausschließlich Zertifikate (z.B. in
den Gpg4win-Pro\-grammkomponenten).

Bezogen auf das obige Beispiel mit der Truhe klingt es komisch,
ein öffentlichen und geheimen Schlüssel zu haben. Aber bei
Software löst diese Idee das Problem, dass man seinen Schlüssel
für jeden Empfänger aus der Hand geben müsste.
Denn normalerweise muss ein Schlüssel zum Verschlüsseln / Abschließen auch
zum Entschlüsseln bzw. Aufschließen benutzt werden. Also müsste man Ihnen,
wenn man etwas für Sie in der Truhe verschließt, die Truhe \textbf{und}
den Schlüssel geben. Wenn der Schlüssel bei der Übertragung
abhanden kommt oder jemand davon eine Kopie erstellt, ist das ein
großes Problem.

Beim "`Public-Key"' Verfahren verschließt man mit Ihrem
\textbf{öffentlichen Schlüssel} (aus dem Zertifikat)
die Truhe und Sie schließen die Truhe mit Ihrem \textbf{geheimen Schlüssel} auf.
Man muss also nur die Truhe zu Ihnen transportieren lassen.
Das ist auf jeden Fall sicherer als den geheimen Schlüssel mit zu
transportieren, selbst wenn er einen anderen Weg als die Truhe zu Ihnen nehmen
würde.

Trotz dieses gleichen Ansatzes zur Geheimhaltung unterscheiden sich
OpenPGP und S/MIME aber z.B. bei der Schlüsselerzeugung
(Näheres erfahren Sie später im Kapitel~\ref{ch:CreateKeyPair}).

\textbf{Falls Sie sich jetzt fragen, wie das "`Public-Key"' Verfahren so
funktionieren kann, lesen Sie einmal
Kapitel~\ref{ch:FunctionOfGpg4win}.}
\textbf{Wenn Sie sich dann noch fragen, warum Gpg4win so sicher ist,
sind vermutlich die Kapitel~\ref{ch:themath} und
\ref{ch:secretGnupg} genau das richtige für Sie!}
Mit ein wenig Interesse und Zeit kann man dort auch die kleinen mathematischen
Geheimnisse verstehen. Viel Spaß beim Entdecken.

% TODO: Grafik?! (z.B. Alice - Bob Transport-Problem)

\clearpage
\subsubsection{Der Unterschied: Die Authentisierung / Beglaubigungen}

Der wesentliche Unterschied zwischen OpenPGP und S/MIME liegt
im Bereich der Authentisierung / Beglaubigungen.

Um die Authentizität des Absenders festzustellen, ist bei
\textbf{S/MIME} ein Zertifikat notwendig, welches die Authentizität
des Schlüsselpaar-Besitzers unzweifelhaft beglaubigt.  Das heißt, dass
Sie Ihren öffentlichen Schlüssel von einer dazu berechtigten
Organisation beglaubigen lassen müssen, bevor er wirklich
nutzbar wird. Das Zertifikat dieser Organisation wurde wiederum mit
dem Zertifikat einer höher stehenden Organisation beglaubigt usw. bis man zu einem
Wurzelzertifikat kommt. Vertraut man nun diesem Wurzelzertifkat, so
vertraut man automatisch allen darunter liegenden Zertifikaten. Das
nennt man \textbf{hierarchisches Vertrauenskonzept}. Zumeist ist die
Kette nur 3 Komponenten lang: Wurzelzertifikat, Zertifikat der Zertifizierungsstelle
(auch CA für Certificate Authority genannt), Anwenderzertifikat.

Im Gegensatz dazu verwendet \textbf{OpenPGP} in der Regel eine direkte
("`peer-to-peer"') Beglaubigung (Anwender A beglaubigt Anwender B, B
beglaubigt A und C usw.) und macht damit aus einem
Beglaubigungs-Baum ein Beglaubigungs-Netz, das sogenannte
\textbf{Web-of-Trust}. Im Fall der direkten Authentisierung bei
OpenPGP haben Sie also die Möglichkeit, \textit{ohne} die
Beglaubigung von einer höheren Stelle, verschlüsselte Daten und
\Email{}s auszutauschen. Dafür reicht es aus, wenn Sie der
\Email{}-Adresse und dem dazugehörigen Zertifikat ihres
Kommunikationspartners vertrauen.

\textbf{Nähere Informationen zu Authentisierungswegen, wie z.B. dem
Web-of-Trust oder den Zertifizierungsstellen, erhalten Sie
in Kapitel~\ref{ch:trust}.}

% TODO: Grafik?! (z.B. Alice - Bob Authentizität-Problem)

\clearpage
\subsubsection{Kurz zusammengefasst}

Was bedeutet das für Sie?
\begin{itemize}
\item Sowohl \textbf{OpenPGP} als auch \textbf{S/MIME} kann Ihnen die notwendige Sicherheit
    bieten.
\item Beide Verfahren sind \textbf{nicht kompatibel} miteinander. Sie
    bieten zwei separate Wege bei der Authentisierung Ihrer geheimen Kommunikation.
    Man sagt, sie sind nicht interoperabel.
\item \textbf{Gpg4win} als Freie Software ermöglicht Ihnen die bequeme
\textbf{parallele} Nutzung beider Verfahren.
\end{itemize}

Falls Ihnen das etwas zuviel Informationen waren, machen Sie sich keine
Sorgen: In den folgenden Kapiteln wird jeder Schritt von der Installation bis
hin zur Verschlüsselung  sowohl mit OpenPGP als auch
mit S/MIME detailliert erklärt.

Die beiden nachfolgenden Symbole weisen Sie in diesem Kompendium
auf spezifische Erklärungen zu OpenPGP bzw. S/MIME hin, so dass Sie immer
schnell überblicken, welche Besonderheiten bei welchem Konzept zu
beachten sind.

\begin{center}
\IncludeImage[width=2cm]{openpgp-icon}
\hspace{1cm}
\IncludeImage[width=2cm]{smime-icon}
\end{center}



\clearpage
%% Orginal page 9
\chapter{Sie installieren Gpg4win}

Beginnen Sie nun mit der Installation von Gpg4win. Beachten Sie, dass
Sie dafür Administratorrechte auf Ihrem Windows-Betriebssystem benötigen.

Sollte bereits eine GnuPG basierte Anwendung, wie z.B.
GnuPP, GnuPT, WinPT oder GnuPG Basics, auf Ihrem Rechner installiert sein, so lesen
sie jetzt bitte zuerst den Anhang \ref{ch:migration}, um zu erfahren
wie Sie Ihre vorhandenen Zertifikate übernehmen können.

Falls Sie Gpg4win aus dem Internet heruntergeladen haben:
\vspace{-0.28cm}
\begin{quote}
Klicken Sie
bitte auf diese neu abgespeicherte Datei, die folgenden Namen haben
sollte:\\
\texttt{gpg4win-2.0.0.exe} (oder mit einer höheren Versionnummer).

Achten Sie unbedingt darauf, dass Sie die Datei von
einer vertrauenswürdigen Seite erhalten haben, z.B.:
\uniurl[www.gpg4win.de]{http://www.gpg4win.de}
\end{quote}

Falls Sie Gpg4win auf einer CD-ROM erhalten haben:
\vspace{-0.28cm}
\begin{quote}
    Legen Sie diese CD-ROM in das CD-ROM-Laufwerk Ihres PCs.
 Öffnen Sie Ihren "`Arbeitsplatz"' und klicken Sie dort auf das CD-ROM-Icon mit
dem Titel "`Gpg4win"'. Anschließen klicken Sie auf das Installations-Icon mit dem Titel "`Gpg4win"'.
\end{quote}

Die weitere Installation ist dann identisch:

Die Frage, ob Sie das Programm installieren wollen, beantworten Sie
mit \Button{Ja}.

\clearpage
Der Installationsassistent startet und befragt Sie zuerst nach der
Sprache für den Installationsvorgang:
% screenshot: Installer Sprachenauswahl
\begin{center}
\IncludeImage[width=0.35\textwidth]{sc-inst-language_de}
\end{center}

Bestätigen Sie Ihre Sprachauswahl mit \Button{OK}.

Anschließend begrüßt Sie dieser Willkommensdialog:

% TODO screenshot: Installer Willkommensseite
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-inst-welcome_de}
\end{center}

Beenden Sie alle auf Ihrem Rechner laufenden Programme, und klicken Sie dann auf \Button{Weiter}.

\clearpage
%% Orginal page 10

Auf der Seite mit dem \textbf{Lizenzabkommen}, können Sie Informationen zu den
Lizenzen dieser Software lesen. 

Wenn Sie die Software lediglich installieren und einsetzen wollen, so
haben Sie immer das Recht dazu und sind nicht angehalten diese Texte
zu lesen.  

Geben Sie allerdings diese Software weiter oder wollen Sie sie
verändern, so müssen Sie sich mit den Bedingungen der Lizenzen vertraut
machen.  

% screenshot: Lizenzseite des Installers
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-inst-license_de}
\end{center}


Klicken Sie auf \Button{Weiter}.


\clearpage
%% New page (not in original document)

Auf der Seite mit der \textbf{Komponentenauswahl} können
Sie entscheiden, welche Programme Sie installieren
möchten.

Eine Vorauswahl der normalerweise installierende Komponenten ist
bereits getroffen. Den Rest können Sie bei Bedarf auch später installieren.

Wenn Sie die Maus über eine Gpg4win-Komponente ziehen, dann erscheint
jeweils rechts eine Kurzbeschreibung die Ihnen bei der
Entscheidung hilft.

Die Anzeige des benötigen Speichers auf der Festplatte von allen zur
Installation ausgewählten\linebreak Gpg4win-Komponenten kann auch sehr
hilfreich sein.

% screenshot: Auswahl zu installierender Komponenten
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-inst-components_de}
\end{center}

Klicken Sie auf \Button{Weiter}.


\clearpage
%% Original page 11

In der nun folgenden \textbf{Installationsverzeichnis-Auswahl} können Sie 
einen Dateiordner auf Ihrem PC
aussuchen, in dem Gpg4win installiert wird. Sie können hier in der
Regel den vorgeschlagenen Programm-Ordner übernehmen, z.B.:
\Filename{C:$\backslash$Programme$\backslash$GNU$\backslash$GnuPG}

% screenshot: Auswahl des Installationsverzeichnis.
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-inst-directory_de}
\end{center}

Klicken Sie anschließend auf \Button{Weiter}.

\clearpage

Auf der folgenden Seite können Sie festlegen, welche
\textbf{Verknüpfungen} installiert werden.  Voreingestellt ist
lediglich eine Verknüpfung mit dem Startmenü.  
Diese Verknüpfungen können auch jederzeit später mit den Bordmitteln von
Windows verändert werden.

% screenshot: Auswahl der Startlinks
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-inst-options_de}
\end{center}

Klicken Sie anschließend auf \Button{Weiter}.

\clearpage
%% Original page 12

Falls Sie auf der vorhergehenden Seite eine \textbf{Verknüpfung mit dem
Startmenü} ausgewählt haben (dies ist die Voreinstellung), so wird
Ihnen nun eine Seite angezeigt, mit der Sie den Namen dieses
Startmenüs festlegen können.

% screenshot:  Startmenu auswählen
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-inst-startmenu_de}
\end{center}

Am einfachsten übernehmen Sie den vorgeschlagenen Namen und
klicken dann auf \Button{Installieren}.

\clearpage

Während der nun folgenden \textbf{Installation} sehen Sie einen
Fortschrittsbalken und Informationen, welche Datei momentan
installiert wird.  Sie können jederzeit auf \Button{Details~anzeigen}
drücken, um ein Protokoll der Installation sichtbar zu machen.

% screenshot: Ready page Installer
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-inst-progress_de}
\end{center}

Nachdem die Installation abgeschlossen ist, drücken Sie bitte auf
\Button{Weiter}.

\clearpage
%% Original page 13

Nach erfolgreicher Installation wird Ihnen diese letzte Seite des Installationsvorgangs angezeigt:

% screenshot: Finish page Installer
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-inst-finished_de}
\end{center}

Sofern Sie die README-Datei nicht ansehen wollen, deaktivieren Sie die
Option auf dieser Seite.

Klicken Sie schließlich auf \Button{Fertig stellen}.

\clearpage

In einigen Fällen kann es vorkommen, dass Windows neu gestartet werden
muss.  In diesem Fall sehen Sie statt der vorherigen die folgende Seite:

% screenshot: Finish page Installer with reboot
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-inst-finished2_de}
\end{center}

Sie können hier auswählen, ob Windows sofort oder später manuell neu gestartet werden
soll.

Klicken Sie auf \Button{Fertig stellen}.


% FIXME TODO:  Wir müssen erklären wie man Word als Standard Editor in
% Outlook ausschaltet.

\clearpage
%% Original page 14

\textbf{Das war's schon!}

Sie haben Gpg4win erfolgreich installiert und können es gleich zum ersten Mal
starten.

Vorher sollten Sie aber Kapitel~\ref{ch:FunctionOfGpg4win} lesen.
Dort erfahren Sie den genialen Trick, mit dem Gpg4win Ihre \Email{}s
sicher und bequem verschlüsselt.
Gpg4win funktioniert zwar auch, ohne dass Sie verstehen warum, aber im
Gegensatz zu anderen Programmen wollen Sie Gpg4win schließlich Ihre
geheime Korrespondenz anvertrauen. Da sollten Sie schon wissen, was
vor sich geht.

Außerdem ist die ganze Angelegenheit ziemlich spannend$\ldots$

In Kapitel~\ref{ch:passphrase} bekommen Sie einige Tipps,
mit denen Sie sich einen sicheren
und trotzdem leicht zu merkenden Passphrase ausdenken können.

Für Informationen zur \textbf{automatischen Installation} von Gpg4win (wie sie
z.B. für Soft\-ware\-verteilungs-Systeme interessant ist), 
lesen Sie bitte im Anhang \ref{ch:auto} "`Automatische Installation von Gpg4win"' 
weiter.


\clearpage
%% Original page 15
\chapter{Sie erzeugen Ihr Schlüsselpaar}
\label{ch:CreateKeyPair}

Spätestens nachdem Sie gelesen haben, warum GnuPG eigentlich so sicher ist
(Kapitel \ref{ch:themath})
und wie eine gute Passphrase als Schutz für Ihren geheimen Schlüssel
entsteht (Kapitel \ref{ch:passphrase}),
möchten Sie nun Ihr persönliches Schlüsselpaar erzeugen.

Ein Schlüsselpaar besteht, wie Sie im Kapitel~\ref{ch:openpgpsmime} gelernt haben,
aus einem \textbf{öffentlichen} und einem  \textbf{geheimen Schlüssel}.
Ergänzt mit den Metadaten (\Email{}-Adresse, Benutzer-Kennung etc.), die
Sie bei der Erstellung Ihres Schlüsselpaars angeben, erhalten Sie Ihr
persönliches Zertifikat mit dem öffentlichen und geheimen Schlüssel.

Diese Definition gilt sowohl für OpenPGP wie auch für S/MIME (die Zertifikate
entsprechen einem Standard mit der Bezeichnung "`X.509"').

~\\
\textbf{Eigentlich müsste man diesen wichtigen Schritt der
Schlüsselpaar-Erzeugung ein paar Mal üben können$\ldots$}

Genau das können Sie tun -- und zwar für OpenPGP:

\T\margin{\IncludeImage[width=1.5cm]{openpgp-icon}}
Sie können den gesamten Ablauf der Schlüsselpaar-Erzeugung,
Verschlüsselung und Entschlüsselung durchspielen,
so oft Sie wollen, bis Sie ganz sicher sind.

Ihr Vertrauen in Gpg4win wird sich durch diese "`Trockenübung"' festigen,
und die "`heisse Phase"' der OpenPGP-Schlüsselpaar-Erzeugung wird danach kein
Problem mehr sein.

Ihr Partner bei diesen Übungen wird \textbf{Adele} sein.

Adele ist ein Testservice, der noch aus dem alten GnuPP-Projekt
stammt und ist bis auf weiteres noch in Betrieb.
"`Das Gpg4win-Kompendium"' verwendet diesen
zuverlässigen Übungsroboter und dankt den Inhabern von gnupp.de
für den Betrieb von Adele.

Mit Hilfe von Adele können Sie Ihr
OpenPGP-Schlüsselpaar, das Sie gleich erzeugen werden, ausprobieren und
testen, bevor Sie damit Ernst machen. Doch dazu später mehr.

\clearpage
%% Original page 16
\textbf{Los geht's!}
Rufen Sie das Programm Kleopatra über das Windows-Startmenü auf:

% TODO screenshot Startmenu with Kleopatra highlighted
\begin{center}
\htmlattributes*{img}{width=400}
\IncludeImage[width=0.45\textwidth]{sc-kleopatra-startmenu_de}
\end{center}

Daraufhin sehen Sie das Hauptfenster von Kleopatra -- die
Zertifikatsverwaltung:

% TODO screenshot: Kleopatra main window
\begin{center}
\htmlattributes*{img}{width=508}
\IncludeImage[width=0.6\textwidth]{sc-kleopatra-mainwindow-empty_de}
\end{center}

Zu Beginn ist diese Übersicht leer, da Sie noch keine
Zertifikate erstellt (oder importiert) haben. Dies können Sie jetzt
nachholen...

\clearpage
Klicken Sie auf \Menu{Datei$\rightarrow$Neues~Zertifikat}. 

Im folgenden Dialog entscheiden Sie sich für ein Format,
in dem anschließend ein Zertifikat erstellt werden soll.
Sie haben die Wahl zwischen \textbf{OpenPGP} (PGP/MIME) oder \textbf{X.509} (S/MIME).
Zu deren Unterschieden lesen Sie bitte Kapitel \ref{ch:openpgpsmime}.

\label{chooseCertificateFormat}
% TODO screenshot: Kleopatra - New certificate - Choose format
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-kleopatra-ChooseCertificateFormat_de}
\end{center}

%% Original page 17

~\\Die weitere Vorgehensweise zum Erzeugen eines Schlüsselpaars
gliedert sich an dieser Stelle in zwei Abschnitte:

\begin{itemize}
    \item Abschnitt \ref{createKeyPairOpenpgp}: \textbf{OpenPGP-Schlüsselpaar erstellen}
     \T(siehe nächste Seite)
     und
    \item Abschnitt \ref{createKeyPairX509}:
        \textbf{X.509-Schlüsselpaar erstellen} 
        \T (siehe Seite \pageref{createKeyPairX509}).
        
\end{itemize}

Lesen Sie den entsprechenden Abschnitt weiter, je nachdem für welches Zertifikatsformat 
Sie sich entschieden haben.


\clearpage
%% OpenPGP %%
%% Original page 1
\section{OpenPGP-Schlüsselpaar erstellen}
\label{createKeyPairOpenpgp}

Klicken Sie im obigen Auswahldialog auf die Schaltfläche
\Button{Persönliches OpenPGP-Schlüsselpaar erzeugen}.

\T\margin{\IncludeImage[width=1.5cm]{openpgp-icon}}

Geben Sie im nun folgenden Fenster Ihren Namen und Ihre
\Email{}-Adresse an.

% TODO screenshot: New Certificate - Personal details
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-kleopatra-openpgp-personalDetails_de}
\end{center}


Wenn Sie die OpenPGP-Schlüsselpaar-Erzeugung zunächst einmal \textbf{testen} wollen, dann
können Sie einfach einen beliebigen Namen und irgendeine ausgedachte
\Email{}-Adresse eingeben, z.B.:\\ \verb-Heinrich Heine- und \verb-heinrichh@gpg4win.de-.

Optional können Sie einen Kommentar zum Schlüsselpaar eingeben.
Normalerweise bleibt dieses Feld leer; wenn sie aber einen
Testschlüssel erzeugen, sollten Sie dort als Erinnerung "`test"'
eingeben.  Dieser Kommentar ist Teil Ihrer User-ID und genau wie der
Name und die \Email{}-Adresse später öffentlich sichtbar.

Die \textbf{erweiterten Einstellungen} benötigen Sie nur in Ausnahmefällen.
Sie können sich im Kleopatra Handbuch (über \Menu{Hilfe$\rightarrow$Kleopatra Handbuch})
über die Details informieren.

Klicken Sie auf \Button{Weiter}.

\clearpage
Es werden nun noch einmal alle wesentlichen Eingaben und Einstellungen zur
\textbf{Kontrolle} aufgelistet. Falls Sie sich für die
(voreingestellten) Experten-Einstellungen interessieren, können Sie
diese über die Option \textit{Alle Details} einsehen.

% TODO screenshot: New Certificate - Review Parameters
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-kleopatra-openpgp-reviewParameters_de}
\end{center}

Sofern alles korrekt ist, klicken Sie anschließend auf
\Button{Schlüssel erzeugen}.


\clearpage
%% Original page 19
Jetzt folgt der wichtigste Teil: Die Eingabe Ihrer \textbf{Passphrase}!

Während der Schlüsselgenerierung werden Sie aufgefordert Ihre persönliche
Passphrase einzugeben:

% screenshot: New certificate - pinentry
\begin{center}
\IncludeImage[width=0.45\textwidth]{sc-kleopatra-openpgp-pinentry_de}
\end{center}

Im Kapitel~\ref{ch:passphrase} 
\T (Seite \pageref{ch:passphrase})
erhalten Sie einige wertvolle Tipps, was Sie bei der Erzeugung einer
\textbf{sicheren Passphrase} beachten sollten. Nehmen Sie die
Sicherheit Ihrer Passphrase ernst!

Sie sollten nun eine geheime, einfach zu merkende und schwer
zu knackende Passphrase parat haben und im obigen Dialog eintragen.

Auch an dieser Stelle können Sie ­-- wenn Sie wollen ­-- zunächst
eine \textbf{Test-Passphrase} eingeben oder auch gleich "`Ernst machen"'.

Um sicher zu gehen, dass Sie sich nicht vertippen, müssen Ihre geheime
Passphrase zweimal eingeben. Bestätigen Sie
Ihre Eingabe jeweils mit \Button{OK}.\\


Nun wird Ihr OpenPGP-Schlüsselpaar angelegt: 
% TODO screenshot: New Certificate - Create Key
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-kleopatra-openpgp-createKey_de}
\end{center}

Dies kann u.U. einige Minuten dauern. Sie können in der Zwischenzeit
mit einer anderen Anwendung Ihres Rechner weiterarbeiten und erhöhen
hierdurch sogar leicht die Qualität des erzeugten Schlüsselpaars.

\clearpage
Sobald die \textbf{Schlüsselpaargenerierung erfolgreich} abgeschlossen ist,
erhalten Sie folgenden Dialog:

%TODO screenshot: New certificate - key successfully created
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-kleopatra-openpgp-keyPairCreated_de}
\end{center}

Im Ergebnis-Textfeld wird der 40-stellige "`Fingerabdruck"' Ihres neu
generierten OpenPGP-Zertifikats angezeigt. Dieser Fingerabdruck
(engl. "`Fingerprint"') ist weltweit eindeutig, d.h. keine andere Person besitzt
ein Zertifikat mit identischem Fingerabdruck. Es ist sogar vielmeher so,
dass es schon mit 8 Zeichen ein ausserordentlicher Zufall wäre, wenn
diese weltweit ein zweites mal vorkämen. Daher werden oft nur die letzten
8 Zeichen des Fingerabdrucks verwendet bzw. angezeigt.
Dieser Fingerabdruck identifiziert die Identität des Zertifikats wie
der Fingerabdruck einer Person.

Sie brauchen sich den Fingerabdruck nicht zu merken oder abschzureiben.
In den Zertifikatsdetails von Kleopatra können Sie sich diese jederzeit
später anzeigen lassen.

\clearpage
Als nächstes \textit{können} Sie eine oder mehrere der folgenden
drei Schaltflächen betätigen:
\begin{description}
    \item[Sicherheitskopie Ihres (geheimen) Zertifikats erstellen...]~\\
    Geben Sie hier den Pfad an, wohin Ihr vollständiges Zertifikat
    (das Ihr neues Schlüsselpaar enthält) exportiert werden soll:

    % TODO screenshot: New certificate - export key
    \begin{center}
    \IncludeImage[width=0.45\textwidth]{sc-kleopatra-openpgp-exportSecretKey_de}
    \end{center}

    Kleopatra wählt automatisch den Dateityp und speichert Ihr
    Zertifikat als \textit{.asc} bzw. \textit{.gpg} Datei ab --
    abhängig davon, ob Sie die Option \textit{ASCII-geschützt} (engl.
    "`ASCII armor"') ein- bzw. ausschalten.

    Klicken Sie anschließend zum Exportieren auf \Button{OK}.

    \textbf{Wichtig:} Falls Sie die Datei auf der Festplatte
    abgespeichern, so sollten Sie
    baldmöglichst diese Datei auf einen anderen Datenträger (USB
    Stick, Diskette oder CDROM) kopieren und diese Orginaldatei 
    rückstandslos löschen (nicht im Papierkorb belassen).
    Bewahren Sie diesen Datenträger sicher auf.

    Sie können eine Sicherheitskopie auch jederzeit später anlegen;
    wählen Sie hierzu aus dem Kleopatra-Hauptmenü:
    \Menu{Datei$\rightarrow$Geheimes Zertifiakt exportieren...} (vgl.
    Kapitel \ref{ch:ImExport}).

    \item[Zertifikat per \Email{} versenden...]~\\
    Nach Drücken dieser Schaltfläche sollte eine neue \Email{} erstellt
    werden -- mit Ihrem neuen öffentlichen Zertifikat im Anhang. 
    Ihr geheimer OpenPGP-Schlüssel wird
    selbstversändlich \textit{nicht} versendet.
    Geben Sie eine Empfänger-\Email{}-Adresse an und
    ergänzen Sie ggf. den vorbereiteten Text dieser \Email{}.

    \textbf{Beachten Sie:} Nicht alle
    \Email{}-Programme unterstützen diese Funktion. Sollte kein neues
    \Email{}-Fenster aufgehen, so beenden Sie den
    Zertifikatserstellungs-Assistenten, speichern Ihr
    öffentliches Zertifikat durch
    \Menu{Datei$\rightarrow$Zertifikat exportieren} und versenden
    diese Datei per \Email{} an Ihre Korrespondenzpartner 
    (Details im Abschnitt \ref{sec_publishPerEmail}).

    %TODO-Kleo: Verzeichnisdienst -> Zertifikatsserver
    \item[Zertifikate zu Zertifikatsserver senden...]~\\
    Wie genau Sie einen weltweit verfügbaren OpenPGP-Zertifikatsserver
    in Kleopatra einrichten und wie Sie anschließend Ihr öffentliches Zertifikat
    auf diesen Server publizieren, erfahren Sie in Kapitel~\ref{ch:keyserver}.
\end{description}

~\\
Beenden Sie anschließend den Kleopatra-Assistenten mit
\Button{Fertigstellen}, um die Erzeugung Ihres OpenPGP-Zertifikats
abzuschließen.

Weiter geht's mit dem Abschnitt \textit{Schlüsselpaar-Erzeugung abgeschlossen}
auf Seite~\pageref{sec_finishKeyPairGeneration}. Von da an
sind die Erklärungen für OpenPGP und X.509 wieder identisch.



%% X.509 %%
%% Original page 21
\clearpage
\section{X.509-Schlüsselpaar erstellen}
\label{createKeyPairX509}

Klicken Sie im Zertifikatsformat-Auswahldialog von
\T\margin{\IncludeImage[width=1.5cm]{smime-icon}}
Seite~\pageref{chooseCertificateFormat} auf die Schaltfläche\\
\Button{Persönliches X.509-Schlüsselpaar und Beglaubigungs-Anfrage erstellen}.


Geben Sie im nun folgenden Fenster Ihren Namen (CN), Ihre
\Email{}-Adresse (EMAIL), Ihre Organisation (O) und Ihren Ländercode
(C) an. Optional können Sie noch Ort (L) und Abteilung (OU) ergänzen.

Wenn Sie die X.509-Schlüsselpaar-Erzeugung zunächst einmal \textbf{testen} wollen, dann
machen Sie beliebige Angaben für Name, Organisation und
Ländercode sowie geben irgendeine ausgedachte \Email{}-Adresse
ein, z.B. \texttt{CN=Heinrich Heine,O=Test,C=DE,EMAIL=heinrichh@gpg4win.de}.

% TODO screenshot: New X.509 Certificate - Personal details
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-kleopatra-x509-personalDetails_de}
\end{center}


Die \textbf{erweiterten Einstellungen} benötigen Sie nur in Ausnahmefällen.
Sie können sich im Kleopatra Handbuch (über \Menu{Hilfe$\rightarrow$Kleopatra Handbuch})
über die Details informieren.

Klicken Sie auf \Button{Weiter}.

\clearpage
Es werden nun noch einmal alle Eingaben und Einstellungen zur
\textbf{Kontrolle} aufgelistet. Falls Sie sich für die
(voreingestellten) Experten-Einstellungen interessieren, können Sie
diese über die Option \textit{Alle Details} einsehen.

% TODO screenshot: New Certificate - Review Parameters
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-kleopatra-x509-reviewParameters_de}
\end{center}

Sofern alles korrekt ist, klicken Sie anschließend auf 
\Button{Schlüssel erzeugen}.


\clearpage
%% Original page 19
Jetzt folgt der wichtigste Teil: Die Eingabe Ihrer \textbf{Passphrase}!

Während der Schlüsselgenerierung werden Sie aufgefordert Ihre
Passphrase einzugeben:

%TODO screenshot: New certificate - pinentry
\begin{center}
\IncludeImage[width=0.45\textwidth]{sc-kleopatra-x509-pinentry_de}
\end{center}

Beachten Sie, dass dieses Pinentry-Fenster unter
Umständen  im Hintergrund geöffnet werden könnte
(und damit auf dem ersten Blick nicht sichtbar ist).

Im Kapitel~\ref{ch:passphrase}, Seite \pageref{ch:passphrase},
erhalten Sie wertvolle Tipps, was Sie bei der Erzeugung einer
\textbf{sicheren Passphrase} beachten sollten. Nehmen Sie die
Sicherheit Ihrer Passphrase ernst!

Sie sollten nun eine geheime, einfach zu merkende und schwer
zu knackende Passphrase parat haben und im obigen Dialog eintragen.

Falls die Passphrase nicht sicher genug sein sollte (z.B. weil sie zu kurz
ist oder keine Zahlen / Sonderzeichen enthält), werden Sie darauf hingewiesen.

Auch an dieser Stelle können Sie ­-- wenn Sie wollen ­-- zunächst
eine \textbf{Test-Passphrase} eingeben oder auch gleich "`Ernst machen"'.

Um sicher zu gehen, dass Sie sich nicht vertippen, müssen Ihre geheime
Passphrase zweimal eingeben. Abschließend werden Sie noch ein
drittes Mal aufgefordert Ihre Passphrase einzugeben, um Ihre
Zertifikatsanfrage mit Ihrem neuen geheimen Schlüssel zu signieren.
Bestätigen Sie Ihre Eingaben jeweils mit \Button{OK}.\\

\clearpage
Nun wird Ihr X.509-Schlüsselpaar angelegt:
% TODO screenshot: New Certificate - Create Key
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-kleopatra-x509-createKey_de}
\end{center}

Dies kann u.U. einige Minuten dauern. Sie können in der Zwischenzeit
mit einer anderen Anwendung Ihres Rechner weiterarbeiten und erhöhen
hierdurch sogar leicht die Qualität des erzeugten Schlüsselpaars.

\clearpage
Sobald die \textbf{Schlüsselpaargenerierung erfolgreich} abgeschlossen ist,
erhalten Sie folgenden Dialog:

%TODO screenshot: New certificate - key successfully created
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-kleopatra-x509-keyPairCreated_de}
\end{center}


Als nächstes \textit{können} Sie eine oder mehrere der folgenden
drei Schaltflächen betätigen:

\begin{description}
    \item[Anfrage in Datei speichern...]~\\
    Geben Sie den genauen Pfad an, wohin Ihre X.509-Zertifikatsanfrage
    gespeichert werden soll und bestätigen Sie Ihre Eingabe.
    Kleopatra fügt beim Speichern automatisch die Dateiendung 
    \textit{.p10} hinzu. Sie könnne diese Datei dann später
    auf verschiedene Weise an eine Zertifizierungsstelle geben.

    \item[Anfrage per \Email{} versenden...]~\\
    Es wird eine neue \Email{} erstellt -- mit der soeben erstellen
    Zertifikatsanfrage im Anhang.
    Geben Sie eine Empfänger-\Email{}-Adresse an (in der Regel die
    Ihrer zuständigen Zertifizierungsstelle (CA)) und ergänzen Sie ggf. den
    vorbereiteten Text dieser \Email{}.

    \textbf{Beachten Sie:} Nicht alle
    \Email{}-Programme unterstützen diese Funktion. Sollte kein neues
    \Email{}-Fenster aufgehen, so speichern Sie Ihre Anfrage zunächst in eine
    Datei (siehe oben) und versenden diese Datei per \Email{} an 
    Ihre Zertifizierungsstelle.

    Sobald der Request von der CA bestätigt wurde, erhalten Sie von
    Ihrem zuständigen CA-Systemadministrator das fertige und unterzeichnete
    X.509-Zertifikat Ihres Schlüsselpaars. Dieses müssen Sie dann nur noch in Kleopatra
    importieren (vgl. Kapitel \ref{ch:ImExport}).
\end{description}


Beenden Sie anschließend den Kleopatra-Assistenten mit 
\Button{Fertigstellen}.



\clearpage
\subsubsection{Erstellung eines X.509-Schlüsselpaars mit www.cacert.org}
CAcert ist eine gemeinschaftsbetriebene, nicht-kommerzielle
Zertifizierungsstelle (CA), die kostenlos X.509-Zertifikate ausstellt.

Damit Sie sich ein (Client-)Zertifikat bei CAcert erstellen können, müssen Sie
sich zunächst unter \uniurl[www.cacert.org]{http://www.cacert.org}
registrieren.

Anschließend können Sie sich mit Ihrem CAcert-Account ein (oder
mehrere) Client-Zertifikat(e) erstellen: Sie sollten dabei auf eine
ausreichende 
Schlüssellänge (z.B. 2048 Bit) achten. In dem startenden Assistenten legen Sie
Ihre sichere Passphrase für Ihr Zertifikat fest.

Ihre X.509-Zertifikatsanfrage wird nun erstellt.

Im Anschluß daran erhalten Sie eine \Email{} mit zwei Links zu Ihrem neu
erstellten X.509-Zertifikat und dem dazugehörigen CAcert-Root-Zertifikat.
Laden Sie sich beide Zertifikate herunter.

Folgen Sie den Anweisungen und installieren Ihr Zertifikat mit Ihrem
Browser. Mit Firefox können Sie danach z.B. über
\Menu{Bearbeiten$\rightarrow$Einstellungen$\rightarrow$Erweitert$\rightarrow$Zertifikate}
Ihr installiertes Zertifikat unter dem ersten Reiter "`Ihre
Zertifikate"' mit dem Namen (CN) \textit{CAcert WoT User} finden.

\textbf{Anmerkung:} Sie können auch ein personalisiertes Zertifikat ausstellen, das z.B.
Ihren Namen (im CN-Feld) trägt. Dazu müssen Sie sich mit Ihrem
CAcert-Account von anderen Mitglieder bestätigen lassen. Das
sogenannte "`CACert-Web-of-Trust"' wächst dadurch. Was Sie für so eine
Bestätigung tun müssen, erfahren Sie auf den Internetseiten von
CAcert.

Speichern Sie abschließend eine Sicherungskopie Ihres
X.509-Schlüsselpaars in einem X.509-Zerti\-fikat (\textit{.p12}
Datei).
\textbf{Achtung:} Diese \textit{.p12} Datei enthält Ihren
öffentlichen und Ihren zugehörigen geheimen Schlüssel.
Achten Sie darauf, dass diese Datei nicht in unbefugte Hände gelangt.

Wie Sie Ihr privates X.509-Zertifikat in Kleopatra importieren erfahren Sie
in Kapitel \ref{ch:ImExport}.

~\\
Weiter geht's mit Abschnitt \ref{sec_finishKeyPairGeneration}
auf der nächsten Seite. Von nun an
sind die Erklärungen für OpenPGP und X.509 wieder identisch.


\clearpage
%% Original page 23

\section{Schlüsselpaar-Erstellung abgeschlossen}
\label{sec_finishKeyPairGeneration}

\textbf{Damit ist die Erzeugung Ihres OpenPGP- bzw.
X.509-Schlüsselpaares abgeschlossen.  Sie besitzen nun einen
einzigartigen elektronischen Schlüssel.}

%TODO: X.509-Zertifikat noch nicht in Kleopatra sichtbar!
Sie sehen jetzt wieder das Hauptfenster von Kleopatra. 
Das soeben erzeugte OpenPGP- oder X.509-Schlüs\-selpaar finden Sie in der
Zertifikatsverwaltung unter dem Reiter \textit{Meine Zertifikate} 
(hier und im weiteren wird exemplarisch ein OpenPGP-Zertifikat verwendet):

%TODO screenshot: Kleopatra with new openpgp certificate
\begin{center}
\htmlattributes*{img}{width=508}
\IncludeImage[width=0.6\textwidth]{sc-kleopatra-withOpenpgpTestkey_de}
\end{center}

Doppelklicken Sie auf Ihr neues Zertifikat, um alle Zertifikatsdetails
sehen zu können:

%TODO screenshot: details of openpgp certificate
\begin{center}
\htmlattributes*{img}{width=508}
\IncludeImage[width=0.6\textwidth]{sc-kleopatra-openpgp-certificateDetails_de}
\end{center}

Was bedeuten die einzelnen Zertifikatsdetails?

Ihr Zertifikat ist unbegrenzt gültig, d.h. es hat kein
"`eingebautes Verfallsdatum"'. Um die Gültigkeit nachträglich
zu verändern, klicken Sie auf \Button{Ablaufdatum ändern}.

\textbf{Weitere Informationen zu den Zertifikatsdetails finden Sie im
Kapitel~\ref{ch:CertificateDetails}. 
Sie können dieses Kapitel jetzt lesen oder später, wenn Sie diese
Informationen benötigen.}



\clearpage
%% Original page 24
\chapter{Sie publizieren Ihr öffentliches Zertifikat}
\label{ch:publishCertificate}

Beim täglichen Gebrauch von Gpg4win ist es sehr praktisch, dass Sie es
beim Verschlüsseln und Signaturprüfen stets nur mit 
"`ungeheimen"' (also öffentlichen) Zertifikaten zu tun haben, die nur 
öffentliche Schlüssel enthalten. Solange Ihr
eigener geheimer Schlüssel und die ihn schützende Passphrase sicher
sind, haben Sie das Wichtigste zur Geheimhaltung bereits erledigt.

Jedermann darf und soll Ihr öffentliches Zertifikat haben, und Sie können und sollen 
öffentliche Zertifikate von Ihren Korrespondenzpartnern haben -- je mehr, desto besser.

Denn:

\textbf{Um sichere \Email{}s austauschen zu können, müssen beide Partner jeweils
das öffentliche Zertifikat des anderen besitzen und benutzen. Natürlich
braucht der Empfänger auch ein Programm, das mit Zertifikaten umgehen
kann, wie z.B. das Softwarepaket Gpg4win mit der Zertifikatsverwaltung Kleopatra.}

Wenn Sie also an jemanden verschlüsselte \Email{}s schicken wollen,
müssen Sie dessen öffentliches Zertifikat haben und zum Verschlüsseln benutzen.

Wenn ­-- andersherum ­-- jemand Ihnen verschlüsselte \Email{}s schicken
will, muss er Ihr öffentliches Zertifikat haben und zum Verschlüsseln
benutzen.

Deshalb sollten Sie nun Ihr öffentliches Zertifikat 
zugänglich machen. Je nachdem, wie groß der Kreis Ihrer
Korrespondenzpartner ist und welches Zertifikatsformat Sie einsetzen, 
gibt es verschiedene Möglichkeiten. Verbreiten Sie Ihr öffentliches Zertifikat
beispielsweise...

\begin{itemize}
    \item ... direkt per \textbf{\Email{}} an bestimmte
    Korrespondenzpartner (vgl. Abschnitt~\ref{sec_publishPerEmail}).
    \item ... auf einem \textbf{OpenPGP-Zertifikatsserver};
    gilt \textit{nur} für OpenPGP (vgl. Abschnitt~\ref{sec_publishPerKeyserver}).
    \item ... über die eigene Homepage.
    \item ... persönlich, z.B. per USB-Stick.
\end{itemize}

Die ersten beiden Varianten können Sie sich nun auf den folgenden Seiten
näher anschauen.

%% Original page 25
\clearpage
\section{Veröffentlichen per \Email{}}
\label{sec_publishPerEmail}

Sie wollen Ihr öffentliches Zertifikat Ihrem Korrespondenzpartner bekannt machen?
Schicken Sie ihm doch einfach ihr exportiertes öffentliches Zertifikat per
\Email{}. Wie das genau funktioniert, erfahren Sie in diesem
Abschnitt.

~\\
Üben Sie jetzt diesen Vorgang einmal mit Ihrem öffentlichen OpenPGP-Zertifikat!
Adele soll Ihnen dabei behilflich sein. \textbf{Achtung:} Die folgenden
Übungen gelten nur für OpenPGP! Anmerkungen zum Publizieren von
öffentlichen X.509-Zertifikaten finden Sie auf
Seite~\pageref{publishPerEmailx509}.
\T\margin{\IncludeImage[width=1.5cm]{openpgp-icon}}

\textbf{Adele}
ist ein sehr netter \Email{}-Roboter, mit dem Sie zwanglos
korrespondieren können. Weil man gewöhnlich mit einer klugen und
netten jungen Dame lieber korrespondiert als mit einem Stück Software
(was Adele in Wirklichkeit natürlich ist), können Sie sich Adele so
vorgestellen:

% Cartoon:  Adele mit Buch ind er Hand vor Rechner ``you have mail"'
\begin{center}
\IncludeImage{adele01}
\end{center}

Schicken Sie zunächst Adele Ihr öffentliches OpenPGP-Zertifikat. Mit
Hilfe des öffentlichen Schlüssel aus diesem Zertifikat sendet 
Ihnen Adele eine verschlüsselte \Email{} an Sie zurück.

Diese Antwort von Adele entschlüsseln Sie mit Ihrem eigenen geheimen
Schlüssel. Damit Sie wiederum Adele verschlüsselt antworten können,
legt Adele ihr eigenes öffentliches Zertifikat bei.

Adele verhält sich also genau wie ein richtiger Korrespondenzpartner.
Allerdings sind Adeles \Email{}s leider bei weitem nicht so interessant
wie die Ihrer echten Korrespondenzpartner. Andererseits können Sie
mit Adele so oft üben, wie Sie wollen -- was Ihnen ein menschlicher
Adressat wahrscheinlich ziemlich übel nehmen würde.

Exportieren Sie also nun Ihr öffentliches OpenPGP-Zertifikat und senden dieses per
\Email{} an Adele. Wie das geht, erfahren Sie auf den nächsten Seiten.


\clearpage
%% Original page 26
\subsubsection{Exportieren Ihres öffentlichen OpenPGP-Zertifikats}

Selektieren Sie in Kleopatra das zu exportierende öffentliche Zertifikat
(durch Klicken auf die entsprechende Zeile in der Liste der
Zertifikate) und klicken Sie dann auf
\Menu{Datei$\rightarrow$Zertifikate exportieren...} im Menü.
Wählen Sie einen geeigneten Dateiordner auf Ihrem PC aus und
speichern Sie das öffentliche Zertifikat im Dateityp \textit{.asc}
ab, z.B.: \Filename{mein-OpenPGP-Zertifikat.asc}.
(Die beiden anderen zur Auswahl stehenden Dateitypen, \textit{.gpg} oder
\textit{.pgp}, speichern Ihr Zertifikat im Binärformat. D.h. sie sind,
anders als eine \textit{.asc}-Datei, nicht im Texteditor lesbar.)

\textbf{Wichtig:} Achten Sie beim Auswählen des Menüpunktes darauf,
dass Sie auch wirklich nur Ihr öffentliches Zertifikat exportieren
-- und \textit{nicht} aus Versehen das Zertifikat Ihres kompletten
Schlüsselpaars mit zugehörigem geheimen Schlüssel.


%% Original page 27
Sehen Sie sich zur Kontrolle diese Datei an. Nutzen Sie dazu den
Windows Explorer und wählen denselben Order aus, den Sie beim
Exportieren angegeben haben.

\textbf{Öffnen} Sie die exportierte Zertifikats-Datei mit einem
Texteditor, z.B. mit WordPad. Sie sehen Ihr öffentliches OpenPGP-Zertifikat im
Texteditor so, wie es wirklich aussieht -- ein ziemlich wirrer Text-
und Zahlenblock:

% screenshot: Editor mit ascii armored key
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-wordpad-editOpenpgpKey_de}
\end{center}


\clearpage
%% Original page 28

\subsubsection{Variante 1: Öffentliches OpenPGP-Zertifikat als \Email{}-Text
versenden}

Die hier zuerst gezeigte Möglichkeit funktioniert immer, selbst wenn
Sie ­-- z.B. bei manchen \Email{}-Services im Web ­-- keine Dateien
anhängen können. Zudem bekommen Sie so Ihr öffentliches Zertifikat zum ersten Mal
zu Gesicht und wissen, was sich dahinter verbirgt und woraus das
Zertifikat eigentlich besteht.

\textbf{Markieren} Sie nun im Texteditor das gesamte öffentliche
Zertifikat von

\verb+-----BEGIN PGP PUBLIC KEY BLOCK-----+\\
bis\\
\verb+-----END PGP PUBLIC KEY BLOCK-----+

und \textbf{kopieren} Sie es mit dem Menübefehl oder mit dem
Tastaturkürzel \texttt{Strg+C}. Damit haben Sie das Zertifikat in den Speicher
Ihres Rechners (bei Windows Zwischenablage genannt) kopiert.

Nun starten Sie Ihr \Email{}-Programm ­-- es spielt keine Rolle, welches
Sie benutzen -- und fügen Ihr öffentliches Zertifikat in eine leere \Email{} ein.
Der Tastaturbefehl zum Einfügen ("`Paste"') lautet bei Windows
\texttt{Strg+V}.
Es ist sinnvoll vorher das \Email{}-Programm so zu konfigurieren, dass
reine Textnachrichten gesendet werden und keine HTML-formatierte
Nachrichten (vgl. Abschnitt \ref{sec_brokenSignature} und Anhang \ref{appendix:gpgol}).

Diesen Vorgang ­-- Kopieren und Einfügen ­-- kennen Sie vielleicht als
"`Copy \& Paste"'.

\textbf{Adressieren} Sie nun diese \Email{} an \verb-adele@gnupp.de- und
schreiben in die Betreffzeile z.B. \textit{Mein öffentliches OpenPGP-Zertifikat}.

So etwa sollte Ihre \Email{} nun aussehen:

%TODO screenshot:  #öffentlich ergänzen# Outlook composer fenster mit openpgp zertifikat.
\begin{center}
\IncludeImage[width=0.55\textwidth]{sc-ol-adele-sendOpenpgpKey-inline_de}
\end{center}

\T\enlargethispage{2\baselineskip}
Schicken Sie die \Email{} an Adele ab.

Nur zur Vorsicht: Natürlich
sollten Ihre \Email{}s nicht \verb-heinrichh@gpg4win.de- oder ein andere
Beispieladresse als Absender haben, sondern Ihre \textit{eigene}
  \Email{}-Adresse. Denn sonst werden Sie nie Antwort von Adele
bekommen$\ldots$


\clearpage
%% Original page 29
\subsubsection{Variante 2: Öffentliches OpenPGP-Zertifikat als \Email{}-Anhang
versenden}

Alternativ zu Variante 1 können Sie natürlich Ihr exportiertes
öffentliches OpenPGP-Zertifikat auch direkt als \textbf{\Email{}-Dateianhang}
versenden. Das ist oftmals das
einfachere und gebräuchlichere Verfahren. Sie haben oben
die "`Copy \& Paste"'-Methode zuerst kennengelernt, weil sie
transparenter und leichter nachzuvollziehen ist.

Schreiben Sie Adele nun noch einmal eine neue \Email{} -- diesmal mit der
Zertifikatsdatei im Anhang:

Fügen Sie die oben exportierte Zertifikatsdatei als Anhang zu Ihrer neuen
\Email{} hinzu -- genauso wie Sie es mit jeder anderen Datei auch
machen (z.B. durch Ziehen der Datei in das leere \Email-Fenster).
Ergänzen Sie den Empfänger
(\verb-adele@gnupp.de-) und einen Betreff, z.B.:
\textit{Mein öffentliches OpenPGP-Zertifikat - als Dateianhang}.

Selbstverständlich dürfen Sie auch noch ein paar erklärende Sätze dazuschreiben.
Adele braucht diese Erklärung jedoch nicht, denn sie ist zu nichts anderem
als zu diesem Übungszweck programmiert worden.

Ihre fertige \Email{} sollte dann etwa so aussehen:

%TODO screenshot: Outlook composer fenster mit openpgp zertifikat im Anhang
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-ol-adele-sendOpenpgpKey-attachment_de}
\end{center}

Senden Sie nun die \Email{} mit Anhang an Adele ab.

\clearpage
\subsubsection{Kurz zusammengefasst}

Sie haben Ihr öffentliches OpenPGP-Zertifikat in
Kleopatra in eine Datei exportiert. Anschließend haben Sie einmal den
Inhalt der Datei direkt in eine \Email{} kopiert und einmal die
komplette Datei als \Email{}-Anhang beigefügt. Beide \Email{}s haben
Sie an einen Korrespondenzpartner (in Ihrem Fall Adele) geschickt.

Genauso gehen Sie vor, wenn Sie Ihr öffentliches Zertifikat an eine echte
\Email{}-Adresse senden. Sie entscheiden sich dabei natürlich für eine
der beiden oben vorgestellten Varianten -- in der Regel sollten Sie
öffentliche Zertifikate als Dateianhang versenden. Dies ist für Sie und
Ihren Empfänger das Einfachste. Und es hat den Vorteil, dass
Ihr Empfänger Ihre Zertifikatsdatei direkt (ohne Umwege) in seine Zertifikatsverwaltung
(z.B. Kleopatra) importieren kann.

~\\Nachdem \label{publishPerEmailx509}
Sie gelernt haben, wie Sie Ihr öffentliches OpenPGP-Zertifikat per
\T\margin{\IncludeImage[width=1.5cm]{smime-icon}}
\Email{} veröffentlichen, wird Sie sicher interessieren wie das
Gleiche für öffentliche \textbf{X.509-Zertifikate} funktioniert (vgl. auch
Kapitel~\ref{ch:openpgpsmime}).

Die Antwort lautet: Sie können es so wie bei OpenPGP machen. Sie exportieren
Ihr öffentliches X.509-Zertifikat in Kleopatra, speichern dieses z.B. im Dateiformat
\textit{.pem} ab und versenden die Datei als \Email{}-Anhang.
Aber konkret ist das bei S/MIME unnötig. Es genügt, wenn Sie Ihrem
Korrespondenzpartner eine signierte S/MIME-\Email{} senden.
Ihr öffentliches X.509-Zertifikat ist in dieser Signatur enthalten und kann von dem
Empfänger in die Zertifikatsverwaltung importiert werden.

Der einzige Unterschied zum oben beschriebenen OpenPGP-Vorgehen: Sie
können Adele nicht benutzen! \textbf{Adele unterstützt nur OpenPGP!} 
Zum Üben sollten Sie sich also einen anderen Korrespondenzpartner
aussuchen oder Sie schreiben testweise an sich selber.

Beim Exportieren Ihres öffentlichen X.509-Zertifikats haben Sie die Wahl, ob Sie
die vollständige öffentliche Zertifikatskette (in der Regel:
Wurzelzertifikat -- CA-Zertifikat -- Persöngliches Zertifikat) oder nur Ihr
öffentliches Zertifikat in
eine Datei abspeichern wollen. Ersteres ist empfehlenswert, denn
Ihrem Korrespondenzpartner fehlen möglicherweise Teile der Kette, die er sonst
zusammensuchen müsste.
Klicken Sie dazu in Kleopatra alle Elemente einer Zertifikatskette mit
gedrückter Shift-Taste an und exportieren Sie diese markierten
Komponenten.

Hatte Ihr Korrespondenzpartner das Wurzelzertifkat noch nicht,
so muss er diesem Wurzelzertifikat das Vertrauen aussprechen bzw. durch
einen Administrator ausprechen lassen, um letztlich auch Ihnen
zu vertrauen. Ist das bereits vorher geschehen (z.B. weil sie
beide zu der selben "`Wurzel"' gehören), dann besteht diese
Vertrauensstellung bereits, und ist wirksam unmittelbar
mit der Verfügbarkeit der Kette.

\clearpage
%% Original page 30
\section{Veröffentlichen per OpenPGP-Zertifikatsserver}
\label{sec_publishPerKeyserver}

\textbf{Wichtig: Die Verbreitung Ihres öffentlichen Zertifikats auf einem
OpenPGP-Zertifikatsserver ist nur für OpenPGP-Zertifikate möglich!}
\T\margin{\IncludeImage[width=1.5cm]{openpgp-icon}}

Die Publizierung Ihres öffentlichen OpenPGP-Zertifikats auf einem
öffentlichen Zertifikatsserver bietet sich eigentlich
immer an, selbst wenn Sie nur mit wenigen Partnern verschlüsselte
\Email{}s austauschen. Ihr öffentliches Zertifikat ist dann für jedermann
zugänglich auf einem Server im Internet verfügbar. Sie ersparen sich
dadurch die Versendung Ihres Zertifikats per \Email{} an jeden Ihrer
Korrespondenzpartner.


\textbf{Vorsicht: Die Veröffentlichung Ihrer E-Mail-Adresse
auf einem Zertifikatsserver birgt leider das Risiko, dass Ihnen
auch ungebetene Personen E-Mails schreiben können und die
SPAM-Menge für Ihre E-Mail-Adresse dadurch zunehmen kann.
Sie sollten daher im zweiten Fall einen ausreichenden SPAM-Schutz nutzen.
Falls Sie keinen wirksamen Spamfilter benutzen,
sollten Sie u.U. von der Veröffentlichung Ihres öffentlichen Zertifikats auf einem
Zertifikatsserver absehen.}

~\\
\textbf{Und so geht's:} Wählen Sie Ihr öffentliches 
OpenPGP-Zertifikat in Kleopatra aus und klicken im
Menü auf \Menu{Datei$\rightarrow$Zertifikate nach Server exportieren...}.

Sofern Sie noch keinen Zertifikatsserver
definiert haben, bekommen Sie eine Warnmeldung:

% TODO screenshot: Kleopatra keyserver export warning
\begin{center}
\IncludeImage[width=0.45\textwidth]{sc-kleopatra-exportCertificateToServer_de}
\end{center}

Wie Sie an der Meldung erkennen können, ist der öffentliche
OpenPGP-Zertifikatsserver\linebreak
\texttt{keys.gnupg.net} bereits voreingestellt.
Klicken Sie auf \Button{Fortsetzen}, um Ihr ausgewähltes öffentliches Zertifikat an
diesen Server zu schicken. Von dort aus wird Ihr öffentliches Zertifikat an alle, weltweit
verbundenen Zertifikatsserver weitergereicht.
Jedermann kann Ihr öffentliches Zertifikat dann von einen dieser
OpenPGP-Zertifikatsserver
herunterladen und dazu benutzen, Ihnen eine sichere \Email{} zu schreiben.

Wenn Sie den Ablauf nur testen, dann schicken Sie das
Übungszertifikat bitte nicht ab, indem Sie im obigen Dialog auf \Button{Abbrechen}
klicken.  Er ist wertlos und kann nicht
mehr vom Zertifikatsserver entfernt werden. Sie glauben nicht, wieviele
Testkeys mit Namen wie "`Julius Caesar"', "`Helmut Kohl"' oder "`Bill
Clinton"' dort schon seit Jahren herumliegen$\ldots$

\clearpage
\subsubsection{Kurz zusammengefasst}
Sie wissen nun, wie Sie Ihr öffentliches OpenPGP-Zertifikat auf einen
OpenPGP-Zertifikatsserver im Internet publizieren.

\textbf{Wie Sie das öffentliche OpenPGP-Zertifikat eines Korrespondenzpartners auf
  Zertifikatsservern suchen und importieren, erfahren Sie im
  Kapitel~\ref{ch:keyserver}.
  Sie können dieses Kapitel jetzt lesen oder später, wenn Sie diese
  Funktion benötigen.}

~\\Die Verbreitung von öffentlichen X.509-Zertifikaten erfolgt in einigen
\T\margin{\IncludeImage[width=1.5cm]{smime-icon}}
Fällen durch die Zertifizierungsstelle. Das passiert typischerweise
über X.509-Zertifikatsserver, die per LDAP erreichbar sind.
Im Unterschied zu den OpenPGP-Zertifikatsservern synchronisieren sich
die X.509-Zertifikatsserver jedoch nicht weltweit untereinander.




\clearpage
%% Original page 31
\chapter{Sie entschlüsseln eine \Email{}}
\label{ch:decrypt}

Sie bekommen verschlüsselte Nachrichten Ihrer Korrespondenzpartner
und wollen diese nun entschlüsseln?
Alles was Sie dazu brauchen ist Gpg4win, das Zertifikat Ihres
Schlüsselpaars und natürlich ganz wichtig: Ihre Passphrase.

In diesem Kapitel bekommen Sie Schritt für Schritt erklärt, wie Sie Ihre
\Email{}s in Microsoft Outlook mit der Gpg4win-Programmkomponente
GpgOL entschlüsseln.

~\\
Üben Sie jetzt diesen Vorgang einmal mit Adele und Ihrem
öffentlichen OpenPGP-Zertifikat!\\
\textit{Achtung: Die folgenden Übungen gelten nur für OpenPGP!
Anmerkungen zur Entschlüsselung von S/MIME-\Email{}s finden Sie am
Ende dieses Kapitels auf Seite \pageref{encrypt-smime}.}
\T\margin{\IncludeImage[width=1.5cm]{openpgp-icon}}\\


Im Abschnitt~\ref{sec_publishPerEmail} haben Sie Adele Ihr
öffentliches OpenPGP-Zertifikat geschickt.
Mit Hilfe dieses Zertifikats verschüsselt Adele nun eine
\Email{} und sendet die Nachricht an Sie zurück.
Nach kurzer Zeit sollten Sie Adeles Antwort erhalten.


% cartoon: Adele typing and sending a mail
\begin{center}
\IncludeImage{adele02}
\end{center}


\clearpage
%% Orginal page 32
\subsubsection{Nachricht mit MS Outlook und GpgOL entschlüsseln}

Für die meisten \Email{}-Programme gibt es spezielle Programmerweiterungen
(engl. "`plugins"'), mit denen die Ver- und Entschlüsselung direkt im
jeweiligen \Email{}-Programm erledigt werden kann --
\textbf{GpgOL} ist eine solche Programmerweiterung für MS Outlook,
dass in diesem Abschnitt benutzt wird, um die \Email{} von Adele zu
entschlüsseln.

Hinweise zu weiteren Software-Lösungen finden Sie im Anhang~\ref{ch:plugins}.
Sie können diesen Abschnitt jetzt lesen oder später, wenn Sie diese Funktion benötigen.

~\\
Starten Sie MS Outlook und öffnen Sie die Antwort-\Email{} von Adele.

Kleopatra haben Sie bisher nur als Zertifikatsverwaltung kennengelernt.
Das Programm leistet aber weitaus mehr: Es kann die eigentliche Verschlüsselungs-Software
GnuPG steuern und damit nicht nur Ihre Zertifikate verwalten, sondern
auch sämtliche kryptografischen Aufgaben (eben mit Hilfe von GnuPG) erledigen.
Kleopatra sorgt für die graphische Benutzeroberfläche, also die
Dialoge, die Sie als Benutzer sehen während Sie eine \Email{} ver- oder entschlüsseln.
Das heißt auch, dass Sie immer die gleichen Dialog sehen, egal ob
Sie mit Outlook, einem anderen \Email{}-Programm oder auch mit dem Windows Explorer
etwas verschlüsseln.

Kleopatra bearbeitet also die verschlüsselte \Email{} von
Adele. Diese \Email{} hat Adele mit \textit{Ihrem} öffentlichen
OpenPGP-Schlüssel verschlüsselt.

Um die
Nachricht zu entschlüsseln, fragt Kleopatra Sie nun nach Ihrer (Ihren
privaten Schlüssel schützenden) Passphrase. Geben Sie diese in den
aufkommenden Dialog ein. Sofern Ihre Eingabe korrekt war, erhalten Sie
einen Statusdialog (siehe nachfolgende Abbildung).
Mit 
%TODO-Kleo: Buttonname ändern/prüfen
\Button{Details anzeigen} können Sie sich
weitere Informationen der \Email{}-Überprüfung anzeigen lassen.

%TODO screenshot: Kleopatra - successfully encrypt/verify dialog
\begin{center}
\IncludeImage[width=0.45\textwidth]{sc-kleopatra-encryptVerify_de}
\end{center}

Die Entschlüsselung war erfolgreich! Schließen Sie den Dialog, um die
entschlüsselte \Email{} zu lesen.

Möchten Sie den Prüfdialog nach dem Lesen der \Email{} noch einmal manuell aufrufen,
so klicken Sie im Menü der geöffneten \Email{} auf \Menu{Extras$\rightarrow$GpgOL
Entschlüsseln / Prüfen}.

Doch nun wollen Sie sicher das Ergebnis, die entschlüsselte Nachricht, endlich einmal sehen...



%So sollte Adeles Antwort-\Email{} etwa aussehen:
%
%\begin{verbatim}
%From: Adele (Der freundliche E-Mail-Roboter) <adele@gnupp.de>
%Subject: Re: Mein OpenPGP-Zertifikat
%To: heinrichh@gpg4win.de
%Date: Thu, 08 Jul 2008 09:17:28 +0100
%
%-----BEGIN PGP MESSAGE-----
%Version: GnuPG v1.4.1 (GNU/Linux)
%
%hQEOA9FS8I3hSvdPEAP/W6W6f4MBwqTdzd9O/7FOTDHh//bQ+GUWoT0k9Y0i96UZ
%QO1VhQSia6a8DZrFQj7SlJWmB1MM7RNhkmhfZsD5Bn9ICmwwOt2xJDBkCQ34gu5N
%NxQ92WXZjHCaI0dSlynNziNbK8Ik26YPBYkQjLUDhHN4CRZ7q67eVEd/B9DI04wD
%
%...
%
%ujbjyj09L/9NvoBniWrgqVUayKr1Ls8OIZkyiex6mKypPGADJFAzvTwjubj5S6zJ
%A+QvSXUB9Hj8Ft2Nt3j0B/gWn5no3Er2/15UcBn/UPSxW9or0w9seDxCuSXvpakX
%bcneOm/pcJNEHcApXWXpoNOxRZ1MksM300w+79M6p2w=
%=VCHb
%-----END PGP MESSAGE-----
%\end{verbatim}

%\textit{(Aus Gründen der Übersichtlichkeit sehen Sie den Verschlüsselungsblock
%stark gekürzt.)}


%\textbf{Diese \Email{} werden Sie nun mit Microsoft Outlook entschlüsseln.}




\clearpage
%% Original page 36
\subsubsection{Die entschlüsselte Nachricht}

Die entschlüsselte Antwort von Adele sieht in etwa so aus\footnote{Abhängig
  von der Softwareversion von Adele kann dies auch etwas
  unterschiedlich aussehen.}:
%TODO: lieber ein OL-Screenshot der mail.
%TODO: Schlüssel -> Zertifikat

\begin{verbatim}
Hallo Heinrich Heine,

hier ist die verschlüsselte Antwort auf Ihre E-Mail.

Ihr öffentlicher Schlüssel mit der Schlüssel-ID
0EA6E039B5821A91 und der Bezeichnung
`Heinrich Heine <heinrichh@gpg4win.de>'
wurde von mir empfangen.

Anbei der öffentliche Schlüssel von adele@gnupp.de,
dem freundlichen E-Mail-Roboter.

Viele Grüße,
adele@gnupp.de
\end{verbatim}

Der Textblock, der darauf folgt, ist das öffentliche Zertifikat von Adele.

Im nächsten Kapitel werden Sie dieses Zertifikat importieren und
zu Ihrer Zertifikatsverwaltung hinzufügen. Importierte öffentliche Zertifikate können
Sie jederzeit zum Verschlüsseln von Nachrichten an Ihren
Korrespondenzpartner benutzen oder dessen signierte \Email{}s prüfen.

\clearpage
\subsubsection{Kurz zusammengefasst}

\begin{enumerate}
\item Sie haben eine verschlüsselte \Email{} mit Ihrem geheimen
  Schlüssel entschlüsselt.

\item Ihr Korrespondenzpartner hat sein eigenes öffentliches Zertifikat
    beigelegt, damit Sie ihm verschlüsselt antworten können.
\end{enumerate}

\label{encrypt-smime}
~\\Nachdem 
Sie gelernt haben, wie Sie \Email{}s mit Ihrem geheimen OpenPGP-Schlüssel
\T\margin{\IncludeImage[width=1.5cm]{smime-icon}}
entschlüsseln, werden Sie nun noch erfahren, wie Sie verschlüsselte
\textbf{S/MIME}-\Email{}s entschlüsseln.

Die Antwort lautet auch hier: Genauso wie bei OpenPGP!
Der Unterschied zu OpenPGP ist lediglich, dass S/MIME \textit{nicht}
von Adele unterstützt wird und somit die obige Übung nur für OpenPGP
gilt.

Zum Entschlüsseln einer S/MIME-verschlüsselten \Email{} öffnen Sie
die Nachricht in Outlook und geben im Pinentry-Dialog Ihre Passphrase ein.
Sie bekommen einen ähnlichen
Statusdialog wie bei OpgenPGP. Nach dem Schließen dieses Dialogs sehen Sie die
entschlüsselte S/MIME \Email{}.


\clearpage
%% Original page 37
\chapter{Sie importieren ein öffentliches Zertifikat}
\label{ch:importCertificate}

Ihr Korrespondenzpartner muss nicht jedes Mal sein öffentliches Zertifikat
mitschicken, wenn er Ihnen signiert schreibt.
Sie bewahren sein öffentliches Zertifikat einfach in Ihrer
Zertifikatsverwaltung (z.B. Kleopatra) auf.


\subsubsection{Öffentliches Zertifikat abspeichern}

Bevor Sie ein öffentliches Zertifikat in Kleopatra importieren,
müssen Sie es in einer Datei abspeichern. Abhängig davon, ob Sie das
Zertifikat als \Email{}-Dateianhang oder als Textblock innerhalb Ihrer
\Email{} bekommen haben, gehen Sie wie folgt vor:

\begin{itemize}
\item Liegt das öffentliche Zertifikat einer \Email{} als \textbf{Dateianhang}
    bei, speichern Sie es (wie Sie es in Ihrem \Email{}-Programm
    gewohnt sind) auf einem Ort Ihrer Festplatte ab.


\item Sollte das öffentliche Zertifikat als \textbf{Textblock} innerhalb Ihrer
    \Email{} übermittelt worden sein, so müssen Sie zunächst das
    vollständige Zertifikat markieren:

Bei (öffentlichen) OpenPGP-Zertifikaten markieren Sie den Bereich von

\verb+-----BEGIN PGP PUBLIC KEY BLOCK-----+\\
bis\\
\verb+-----END PGP PUBLIC KEY BLOCK-----+

so wie Sie es im Abschnitt~\ref{sec_publishPerEmail} schon getan haben.

Setzen Sie den markierten Abschnitt per Copy \& Paste in einen
Texteditor ein und speichern Sie das öffentliche Zertifikat ab. Als Dateiendung
sollten Sie für OpenPGP-Zertifikate \textit{.asc} oder \textit{.gpg} und für X.509-Zertifikate 
\textit{.pem} oder \textit{.der} wählen.

\end{itemize}

%% Original page 38/39
\clearpage
\subsubsection{Öffentliches Zertifikat in Kleopatra importieren}

Ob Sie nun das öffentliche Zertifikat als \Email{}-Anhang oder als Textblock abgespeichert
haben, ist egal: In beiden Fällen importieren Sie dieses
abgespeicherte Zertifikat in Ihre Zertifikatsverwaltung Kleopatra.


Starten Sie dafür Kleopatra, sofern das Programm noch nicht läuft.

Klicken Sie im Menü auf
\Menu{Datei$\rightarrow$Zertifikat importieren...},
suchen das eben abgespeicherte öffentliche Zertifikat aus und
importieren es.
Sie erhalten einen Informations-Dialog mit dem Ergebnis des Importvorgangs:

% screenshot: Kleopatra - certificate import dialog
\begin{center}
\IncludeImage[width=0.45\textwidth]{sc-kleopatra-import-certificate_de}
\end{center}


Das erfolgreich importierte, öffentliche Zertifikat wird nun in Kleopatra angezeigt
-- und zwar unter einem separatem Reiter "`Importierte
Zertifikate von \textit{<Pfad-zur-Zertifikatsdatei>}"':

% screenshot Kleopatra with new certificate
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-kleopatra-withAdeleKey_de}
\end{center}

Dieser Reiter dient zur Kontrolle, weil einer Datei durchaus auch mehr als nur ein
Zertifikat enthalten kann. Schließen Sie diesen Reiter über
das Menü \Menu{Fenster$\rightarrow$Reiter schließen} (oder über die
"`Reiter-schließen"' Schaltfläche am rechten Fensterrand.

Wechseln Sie auf den Tab "`Andere Zertifikate"'. Hier sollten Sie nun
das von Ihnen importierte öffentliche Zertifikat sehen.

Damit haben Sie ein fremdes Zertifikat~-- in diesem Beispiel das
öffentliche OpenPGP-Zertifikat von Adele -- in Ihre
Zertifikatsverwaltung importiert. Sie können dieses Zertifikat jederzeit benutzen, um
verschlüsselte Nachrichten an den Besitzer dieses Zertifikats zu
senden und dessen Signaturen zu prüfen.

Sobald Sie \Email{}-Verschlüsselung häufiger und mit vielen
Korrspondenzpartnern betreiben, werden Sie aus Gründen des Komforts
die Zertifikate über global erreichbare Zertifikatsserver suchen und importieren
wollen. Wie das geht, können Sie im Kapitel~\ref{ch:keyserver} nachlesen.


\clearpage
\subsubsection{Bevor Sie weitermachen, eine wichtige
Frage:}
Woher wissen Sie eigentlich, dass das öffentliche
OpenPGP-Zertifikat wirklich von Adele stammt? Man kann \Email{}s auch
unter falschem Namen versenden -- die Absenderangabe besagt eigentlich
gar nichts.

Wie können Sie also sichergehen, dass ein öffentliches Zertifikat auch wirklich
seinem Absender gehört?

\textbf{Diese Kernfrage der Zertifikatsprüfung wird im
Kapitel~\ref{ch:trust} erläutert. Lesen Sie bitte jetzt dort weiter, bevor
Sie danach an dieser Stelle fortfahren.}



\clearpage
%% Original page 42
\chapter{Sie verschlüsseln eine \Email{}}
\label{ch:encrypt}

Jetzt wird es noch einmal spannend: Sie versenden eine verschlüsselte \Email{}!

In diesem Beispiel brauchen Sie dazu Outlook (das geht auch mit anderen
\Email{}-Klienten, die Kryptographie unterstützen), Kleopatra und natürlich
ein öffentliches Zertifikat Ihres Korrespondenzpartners.

%% Original page 45
\textbf{Hinweis nur für OpenPGP:}\\Sie können zum Üben dieses Vorgangs
mit OpenPGP wieder Adele nutzen. S/MIME wird von Adele nicht
unterstützt! \T\margin{\IncludeImage[width=1.5cm]{openpgp-icon}}
Adressieren Sie dazu Ihre zu verschlüsselnde \Email{} an
\verb-adele@gnupp.de-. Der Inhalt der Nachricht ist beliebig -- Adele kann
nicht wirklich lesen...


\textbf{Hinweis nur für S/MIME:}\\
Nach der Installation von Gpg4win ist die
\T\margin{\IncludeImage[width=1.5cm]{smime-icon}}
S/MIME-Funktionalität in GpgOL deaktiviert. Wenn Sie S/MIME (mit
GnuPG) nutzen möchten, müssen Sie zuvor wie in dem nachfolgend
dargestellten GpgOL-Optionsdialog unter
\Menu{Extras$\rightarrow$Optionen$\rightarrow$GpgOL} die Option
\textit{S/MIME Unterstützung einschalten} aktivieren:

% TODO screenshot: GpgOL options
\begin{center}
\IncludeImage[width=0.45\textwidth]{sc-gpgol-options_de}
\end{center}

Lesen Sie sich die angezeigten Informationen sorgfältig durch,
vor allem dann wenn Sie schon vorher mit S/MIME unter einem anderen
Krypto-Produkt gearbeitet haben.

\clearpage
\subsubsection{Nachricht verschlüsselt versenden}

Verfassen Sie zunächst in Outlook eine neue \Email{} und adressieren Sie diese an Ihren
Korrespondenzpartner.

Jetzt fehlt nur noch die Angabe, dass Sie Ihre Nachricht auch wirklich
verschlüsselt versenden wollen:
Wählen Sie im Menü des Nachrichtenfensters den Punkt
\Menu{Extras$\rightarrow$Nachricht verschlüsseln}.
Die Schaltfläche mit dem Schloss-Icon in der
Symbolleiste ist aktiviert (Sie können auch gleich direkt auf diese
Schaltfläche klicken).

Ihre Outlook-Nachrichtenfenster sollte nun etwa so aussehen:

% TODO screenshot: OL composer with Adele's address and body text
\begin{center}
\IncludeImage[width=0.7\textwidth]{sc-ol-sendEncryptedMail_de}
\end{center}
Um die Verschlüsselungsoption wieder zu deaktivieren genügt ein
erneuter Klick auf die o.g. Schaltfläche.

Klicken Sie nun auf \Button{Senden}.

~\\
\textbf{Hinweis:}\label{encryptProtocol}\\
Im Normalfall erkennt Gpg4win automatisch in welchem Protokoll
(OpenPGP oder S/MIME) das passende öffentliche Zertifikat Ihres
Korrespondenzpartners vorliegt.

Bei Bedarf können Sie das Protokoll explizit für diese \Email{}
über das Menü \Menu{Extras$\rightarrow$GnuPG Protokoll}
im geöffneten Outlook-Nachrichtenfensters auf
\textit{PGP/MIME}, \textit{S/MIME} oder \textit{automatisch}
(Standardeinstellung) setzen.

Wenn Sie sich unsicher sind, belassen Sie es bei der Voreinstellung
\textit{automatisch}. Sie haben später im Verschlüsselungsprozess
noch die Möglichkeit zwischen PGP/MIME und
S/MIME zu wählen.

Haben Sie ein bevorzugtes GnuPG-Protokoll?\\
Dann können Sie unter den GpgOL-Optionen
(\Menu{Extras$\rightarrow$Optionen$\rightarrow$GpgOL})
PGP/MIME oder S/MIME für alle signierte und verschlüsselte
Nachrichten als Voreinstellung definieren.



\clearpage
\subsubsection{Zertifikatsauswahl}
Daraufhin öffnet Kleopatra ein Fenster, in dem Sie das öffentliche Zertifikat des
Empfängers bestätigen müssen. Kleopatra wählt -- abhängig von der
Empfänger-\Email{}-Adresse -- in der Regel das passende öffentliche Zertifikat aus
Ihrer Zertifikatsverwaltung automatisch aus.

Sollte Kleopatra das öffentliche Zertifikat Ihres Korrespondenzpartners nicht
finden, haben Sie es vermutlich noch nicht in Ihrer
Zertifikatsverwaltung importiert (vgl.
Kapitel~\ref{ch:importCertificate}).

% TODO screenshot: kleopatra encryption dialog - certificate selection
% (with Adele + my own certificate)
\begin{center}
\IncludeImage[width=0.7\textwidth]{sc-kleopatra-openpgp-encryptDialog_de}
\end{center}

Im Normalfall können Sie dieses vorausgewähte öffentliche Zertifikat mit
\Button{Weiter} bestätigen.

\clearpage
Sollte Kleopatra im Dialog auf der vorherigen Seite
\textbf{nicht} das richtige öffentliche Zertifikat ausgewählt haben (z.B. weil zu
der Empfänger-\Email{}-Adresse 
mehrere öffentliche Zertifikate existieren), dann drücken Sie auf die
\Button{...}-Schaltfläche neben der Auswahlliste.

Sie können hier auch bewusst ein anderes öffentliches Zertifikat
(eines das nicht zu der \Email{}-Adresse passt) auswählen. Das macht
praktisch aber wenig Sinn und kann Ihnen (und Ihrem Empfänger) eher
Probleme bereiten...

Sie bekommen einen Kleopatra-Dialog mit einer Liste aller
öffentlichen Zertifikate des
gewählten Zertifikatstyps angezeigt, die in Ihrer Zertifikatsverwaltung
existieren (also der öffentlichen Zertifikate, die von Ihnen bis dahin importiert wurden).
Exemplarisch sehen Sie hier eine Auswahl von verfügbaren öffentlichen
OpenPGP-Zertifikaten:

% TODO screenshot: kleopatra encryption dialog 2 - openpgp certificate list
\begin{center}
\IncludeImage[width=0.7\textwidth]{sc-kleopatra-encryption-chooseOpenpgpCertificate_de}
\end{center}

Wählen Sie das korrekte öffentliche Zertifikat Ihres Korrespondenzpartners aus, denn
damit muss Ihre Nachricht schließlich verschlüsselt werden.

Sie erinnern sich an den Grundsatz:
\begin{quote}
    \textbf{Wenn Sie an jemanden verschlüsselte \Email{}s schicken wollen,
  müssen Sie dessen öffentliches Zertifikat haben und zum Verschlüsseln benutzen.}
\end{quote}

Klicken Sie auf \Button{Weiter}. Ihre Nachricht wird nun verschlüsselt.

\clearpage
\subsubsection{Verschlüsselung abschließen}
Wurde Ihre Nachricht erfolgreich verschlüsselt und versandt, erhalten
Sie eine Meldung, die Ihnen dies bestätigt:

% TODO screenshot: kleopatra encryption successfully
\begin{center}
\IncludeImage[width=0.7\textwidth]{sc-kleopatra-encryption-successful_de}
\end{center}

\textbf{Herzlichen Glückwunsch! Sie haben Ihre erste \Email{}
verschlüsselt!}




%% Original page 37 & 40
\chapter{Sie signieren eine \Email{}}
\label{ch:sign}
Sie haben in Kapitel~\ref{ch:trust} gelesen, wie Sie sich von der
Echtheit eines öffentlichen OpenPGP-Zertifikats überzeugen und es dann mit Ihrem eigenen
geheimen OpenPGP-Schlüssel signieren können.

Dieses Kapitel beschäftigt sich damit,
wie Sie nicht nur ein Zertifikat, sondern auch eine komplette
\textbf{\Email{} signieren} können. Das bedeutet, dass Sie die \Email{} mit
einer elektronischen Signatur (einer Art elektronischem Siegel) versehen.

Der Text ist dann zwar noch für jeden lesbar, aber Ihr Empfänger kann
feststellen, ob die \Email{} unterwegs manipuliert oder verändert
wurde.

Die Signatur garantiert Ihrem Empfänger, dass die Nachricht
tatsächlich von Ihnen stammt. Und: wenn Sie mit jemandem
korrespondieren, dessen öffentliches Zertifikat Sie nicht haben~(aus welchem
Grund auch immer), können Sie so die Nachricht wenigstens
mit Ihrem eigenen privaten Schlüssel "`versiegeln"'.

\textbf{Achtung:} Verwechseln Sie diese elektronische Signatur nicht
mit der \Email{}-"`Signatur"', die man unter eine \Email{} setzt und
die z.B. Ihre Telefonnummer, Ihre Adresse und Ihre Webseite enthalten.
Während diese \Email{}-Signaturen einfach nur als eine Art Visitenkarte
fungieren, schützt die elektronische Signatur Ihre \Email{} vor
Manipulationen und bestätigt den Absender.

Übrigens ist die elektronische Signatur auch nicht mit der
qualifizierten digitalen Signatur gleichzusetzen, wie sie im
Signaturgesetz vom 22.~Mai 2001 in Kraft getreten ist. Für die
private oder berufliche \Email{}-Kommunikation erfüllt sie allerdings
genau denselben Zweck.

% cartoon:  Müller mit Schlüssel
\begin{center}
\htmlattributes*{img}{width=300}
\IncludeImage[width=0.35\textwidth]{man-with-signed-key}
\end{center}



\clearpage
%% Original page 38
\section{Signieren mit GpgOL}


Tatsächlich ist die Signierung einer \Email{} noch einfacher als die
Verschlüsselung (vgl. Kapitel~\ref{ch:encrypt}). Nachdem Sie eine neue
\Email{} verfasst haben, gehen Sie -- analog zur Verschlüsselung --
folgende Schritte durch:

\begin{itemize}
        %TODO: automodus nutzen, aber nicht beschreiben! So einfach
        %wie möglich! Nicht das Verfahren beschreiben!
    \item Nachricht signiert versenden
    \item Zertifikatsauswahl
    \item Signierung abschließen
\end{itemize}

Auf den nächsten Seiten werden diese Schritte im Detail beschrieben.

\clearpage
\subsubsection{Nachricht signiert versenden}

Verfassen Sie zunächst in Outlook eine neue \Email{} und addressieren
Sie diese an Ihren Korrespondenzpartner.


%TODO: Kleo-Protokoll-Auswahl-Dialog beschreiben (sofern Kleo das
%nicht mehr ändert)!


Bevor Sie Ihre Nachricht abschicken, geben Sie noch an, dass
Ihre Nachricht signiert versendet werden soll:
Dazu aktivieren Sie den Menüeintrag \Menu{Extras$\rightarrow$Nachricht
signieren}. Die Schaltfläche mit dem signierenden Stift
wird aktiviert.

Ihr \Email{}-Fenster sollte anschließend etwa so aussehen:
% TODO screenshot: OL composer with Adele's address and body text
\begin{center}
\IncludeImage[width=0.7\textwidth]{sc-ol-sendSignedMail_de}
\end{center}

Wie beim Verschlüsseln können Sie natürlich auch die Signieroption
jederzeit mit einem erneuten Klick auf die Schaltfläche wieder deaktivieren.

Klicken Sie nun auf \Button{Senden}.

~\\
\textbf{Hinweis:}\\
Genauso wie beim Verschlüsseln von \Email{}s erkennt Gpg4win
automatisch in welchen Protokoll (OpenPGP oder S/MIME) Ihre eignes
Zertifikat (mit dem geheimen Schlüssel zum Signieren) vorliegt.

Sollen Sie das Protokoll manuell setzen wollen, nutzen Sie dazu 
das Menü \Menu{Extras$\rightarrow$GnuPG Protokoll} im
Outlook-Nachrichtenfenster und wählen Sie \textit{PGP/MIME},
\textit{S/MIME} oder \textit{automatisch} -- die Erläuterungen und
Hinweise vom Verschlüsseln (siehe Seite~\pageref{encryptProtocol}) gelten auch
für das Signieren.


\clearpage
\subsubsection{Zertifikatsauswahl}
Daraufhin öffnet Kleopatra ein Fenster, in dem -- anders als beim
Verschlüsseln -- Ihre \textbf{eigenen} Zertifikate (also alle die
Zertifikate, zu denen Ihnen jeweils ein geheimer Schlüssel vorliegt)
angezeigt werden.


% TODO screenshot: kleopatra sign dialog - certificate selection
\begin{center}
\IncludeImage[width=0.7\textwidth]{sc-kleopatra-openpgp-signDialog_de}
\end{center}

Denn:
\begin{quote}
    \textbf{Signieren können Sie nur mit Ihrem eigenen geheimen Schlüssel.}
\end{quote}
Logisch, denn nur Ihr geheimer Schlüssel bestätigt Ihre
Identität. Der Korrespondenzpartner kann dann mit Ihrem öffentlichen Zertifikat, das
er bereits hat oder sich besorgen kann, Ihre Identität prüfen.
Denn nur Ihr geheimer Schlüssel passt zu Ihrem öffentlichen Zertifikat.


Im Normalfall können Sie im obigen Dialog Ihr vorausgewähtes Zertifikat mit
\Button{Weiter} bestätigen.

Beim ersten Durchlauf des Signierprozesses müssen
Sie zunächst Kleopatra Ihr bevorzugtes Zertifikat zum Signieren  mit OpenPGP
bzw. S/MIME mitteilen.
Sollte also noch kein Zertifikat ausgewählt oder nicht Ihr richtiges
Zertifikat angezeigt sein -- z.B. weil Sie mehrere Zertifikate
besitzen -- klicken Sie auf \Button{Signaturzertifikate ändern...}.


\clearpage
Sie möchten Ihr Signaturzertifikat ändern?

Dann erhalten Sie an dieser Stelle einen Auswahl-Dialog
mit einer Auflistung aller Ihrer
eigenen Zertifikate des vorher gewählten Protokolls,
die in Ihrer Zertifikatsverwaltung existieren.

Nachfolgend ein Beispieldialog für OpenPGP:
% TODO screenshot: kleopatra sign dialog 2 - choose certificate
\begin{center}
\IncludeImage[width=0.45\textwidth]{sc-kleopatra-sign-chooseOpenpgpCertificate_de}
\end{center}

Wählen Sie Ihr korrektes Zertifikat aus, mit dem Sie Ihre Nachricht
signieren wollen.

Klicken Sie anschließend auf \Button{OK}. Ihr ausgewähltes Zertifikat
wird in den letzten "`\Email{} signieren"'-Dialog übernommen.

Bestätigen Sie Ihr Zertifikat mit \Button{Weiter}.


\clearpage
\subsubsection{Signierung abschließen}
Um die Signierung Ihrer \Email{} abzuschließen, werden Sie
aufgefordert im folgenden Fenster Ihre geheime Passphrase einzugeben:

% TODO screenshot: kleopatra sign dialog 2 - choose certificate
\begin{center}
\IncludeImage[width=0.45\textwidth]{sc-kleopatra-sign-OpenpgpPinentry_de}
\end{center}

Dies ist notwendig, weil Sie mit Ihrem eignen geheimen Schlüssel
signieren. Bestätigen Sie Ihre Eingabe mit \Button{OK}.

Ihre Nachricht wird nun signiert und versandt.
Nach erfolgreicher Signierung Ihrer Nachricht, erhalten
Sie folgenden Dialog:

% TODO screenshot: kleopatra sign successful
\begin{center}
\IncludeImage[width=0.7\textwidth]{sc-kleopatra-sign-successful_de}
\end{center}

\textbf{Herzlichen Glückwunsch! Sie haben Ihre erste \Email{}
signiert!}


\clearpage
\subsubsection{Kurz zusammengefasst}
Sie haben gelernt, wie Sie eine \Email{} mit Ihrem eigenen Zertifikat
(das Ihren geheimen Schüssel enthält) \textbf{signieren}.

Seit dem letzten Kapitel wissen Sie nun auch, wie Sie eine
\Email{} mit dem öffentlichen Zertifikat Ihres Korrespondenzpartners
\textbf{verschlüsseln}.

Damit beherschen Sie nun die beiden wichtigsten Techniken für einen
sicheren \Email{}-Versand: verschlüsseln und signieren.

Natürlich können Sie beide Techniken auch kombinieren. Entscheiden Sie
ab sofort bei jeder neuen \Email{}, wie Sie Ihre Nachricht versenden wollen
-- je nachdem, wie wichtig und schutzbedürftig der
Inhalt Ihrer \Email{} ist:

\begin{itemize}
    \item unverschlüsselt
    \item verschlüsselt
    \item signiert
    \item signiert und verschlüsselt \textit{(Mehr dazu im
        Abschnitt~\ref{sec_encsig}, S.~\pageref{sec_encsig})}
\end{itemize}

Diese vier Kombinationen können Sie entweder mit OpenPGP oder mit
S/MIME realisieren.



\clearpage
\section{Signatur mit GpgOL prüfen}
%% Original page 41
Angenommen Sie erhalten eine signierte \Email{} Ihres
Korrespondenzpartners.

Die Überprüfung dieser elektronischen Signatur ist sehr einfach.
Alles was Sie dazu brauchen, ist das öffentliche OpenPGP- oder X.509-Zertifikat
Ihres Korrespondenzpartners.
Dessen öffentliches Zertifikat sollten Sie vor der Überprüfung bereits
in Ihre Zertifikatsverwaltung importiert haben
(vgl. Kapitel~\ref{ch:importCertificate}).

Um eine signierte OpenPGP- oder S/MIME-\Email{} zu prüfen,
gehen Sie genauso vor, wie bei der Entschlüsselung einer \Email{}
(vgl. Kapitel~\ref{ch:decrypt}):

Starten Sie Outlook und öffnen Sie eine signierte \Email{}.

GpgOL übergibt die \Email{} automatisch an Kleopatra zur
Prüfung der Signatur. Kleopatra  meldet das Ergebnis
in einem Statusdialog, z.B.:

%TODO screenshot: Kleopatra - successfully encrypt/verify dialog
\begin{center}
\IncludeImage[width=0.45\textwidth]{sc-kleopatra-encryptVerify_de}
\end{center}

Die Signaturprüfung war erfolgreich! Schließen Sie den Dialog, um die
signierte \Email{} zu lesen.

Möchten Sie die Überprüfung noch einmal manuell aufrufen,
so wählen Sie im Menü der geöffneten \Email{} \Menu{Extras$\rightarrow$GpgOL
Enschlüsseln/Prüfen}.

Sollte die Signaturprüfung fehlt schlagen,
% TODO: ggf. Screenshot mit neg. Meldung.
wurde die Nachricht bei der Übertragung verändert.
Aufgrund der technischen Gegebenheiten im Internet ist es
nicht auszuschließen, dass die \Email{} durch eine fehlerhafte Übertragung
verändert wurde. Das ist zunächst der wahrscheinlichste Fall. Es kann
jedoch auch bedeuten, dass der Text absichtlich verändert wurde.

Wie Sie in einem solchen Fall mit der gebrochenen Signatur umgehen sollten,
erfahren Sie im Abschnitt~\ref{sec_brokenSignature}.


\clearpage
\subsubsection{Übrigens...}
Wenn Sie kein Gpg4win installiert haben und eine signierte
\Email{} öffnen, lässt sich die Signatur natürlich nicht prüfen.
Sie sehen dann den \Email-Text umrahmt von merkwürdigen Zeilen -- das
ist die Signatur.

Exemplarisch für OpenPGP sehen Sie, wie dann so eine
OpenPGP-signierte \Email{} in Ihrem \Email-Programm aussehen würde:

Die \Email{} beginnt mit:
\T\margin{\IncludeImage[width=1.5cm]{openpgp-icon}}

\begin{verbatim}
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
\end{verbatim} 

und endet unter der \Email{}-Nachricht mit:

\begin{verbatim}
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.2 (MingW32)

iEYEARECAAYFAjxeqy0ACgkQcwePex+3Ivs79wCfW8u
ytRsEXgzCrfPnjGrDDtb7QZIAn17B8l8gFQ3WIUUDCMfA5cQajHcm
=O6lY
-----END PGP SIGNATURE-----
\end{verbatim}

\textit{Dies ist ein Beispiel -- Abwandlungen sind möglich.}


\clearpage
%% Original page 40
\section{Gründe für eine gebrochene Signatur}
\label{sec_brokenSignature}


Es gibt mehrere Gründe, die zu einem Bruch einer Signatur führen können:

Wenn Sie eine \Email{} mit dem Vermerk "`Bad signature"'
oder "`Überprüfung fehlgeschlagen"' erhalten, ist das ein Warnsignal,
dass Ihre \Email{} manipuliert sein könnte! D.h. jemand hat vielleicht
den Inhalt oder den Betreff der \Email{} verändert.

Eine gebrochene Signatur muss aber nicht zwangsläufig bedeuten, 
dass Ihre \Email{} manipuliert wurde.
Aufgrund der technischen Gegebenheiten ist es nicht
auszuschließen, dass die \Email{} durch eine fehlerhafte Übertragung
verändert wurde.


\textbf{Wichtig: Nehmen Sie eine gebrochene Signatur ernst! Sie sollten in jedem Fall
die \Email{} erneut beim Absender anfordern!}


Anmerkung: \\
Es wird grundsätzlich empfohlen Ihr \Email{}-Programm  so
einzustellen, dass Sie \Email{}s nur im "`Text"'-Format und
\textbf{nicht} im "`HTML"'-Format versenden.
Sollten Sie dennoch HTML für signierte oder verschlüsselte \Email{}s
verwenden, können dabei beim Empfänger die Formatierungsinformationen
verloren gehen.

Bei Outlook 2003 und 2007 können Sie unter
\Menu{Extras$\rightarrow$Optionen$\rightarrow$E-Mail-Format} das Nachrichtenformat
auf \textit{Nur Text} umstellen.



\clearpage
%% Original page 42
\section{Verschlüsseln und Signieren}
\label{sec_encsig}

Normalerweise verschlüsseln Sie eine Nachricht mit dem öffentlichen Zertifikat 
Ihres Korrespondenzpartners, der dann mit seinem geheimen Schlüssel die
\Email{} entschlüsselt.

Die umgekehrte Möglichkeit -- man würde mit dem geheimen Schlüssel
verschlüsseln -- macht zum Verschlüsseln keinen Sinn,
weil alle Welt das dazugehörigen öffentliche Zertifikat kennt und die
Nachricht damit entschlüsseln könnte.

Es gibt aber ein anderes Verfahren, um mit Ihrem geheimen Schlüssel
eine Datei zu erzeugen: die Signatur (wie Sie am Anfang dieses
Kapitels bereits gelesen haben).
Solch eine elektronische Signatur bestätigt eindeutig
die Urheberschaft -- denn wenn jemand Ihr öffentliches Zertifikat
auf diese Datei (die Signatur) anwendet und diese Prüfung erfolgreich
ist, so kann diese Datei nur von Ihrem privaten Schlüssel
kodiert worden sein. Und zu dem dürfen ja nur Sie selbst Zugang
haben.

Sie können beide Möglichkeiten
kombinieren, also die \Email{} verschlüsseln und signieren:

\begin{enumerate}
    \item Sie \textbf{signieren} die Botschaft mit Ihren eigenen geheimen
  Schlüssel. Damit ist die Urheberschaft nachweisbar.
\item Dann \textbf{verschlüsseln} Sie den Text mit dem öffentlichen Zertifikat
  des Korrespondenzpartners.
\end{enumerate}

Damit hat die Botschaft sozusagen zwei Sicherheitsmerkmale:

\begin{enumerate}
\item Ihren Siegel auf der Nachricht (die
  Signatur mit Ihrem geheimen Schlüssel).
\item Einen soliden äußeren Umschlag (die Verschlüsselung mit dem
  öffentlichen Zertifikat des Korrespondenzpartners).
\end{enumerate}

Ihr Korrespondenzpartner öffnet die äußere, starke Hülle mit seinem eigenen
geheimen Schlüssel. Hiermit ist die Geheimhaltung gewährleistet, denn
nur dieser Schlüssel kann den Text dekodieren. Das Siegel liest
er mit Ihrem öffentlichen Zertifikat und hat den Beweis Ihrer
Urheberschaft, denn wenn Ihr öffentliches Zertifikat passt, kann er nur mit Ihrem
geheimen Schlüssel kodiert worden sein.

Sehr trickreich und~-- wenn man ein wenig darüber nachdenkt -- auch
ganz einfach.



\clearpage
%% Original page 47
\chapter{Wie Sie Ihre \Email{}s verschlüsselt archivieren \htmlonly{\html{br}\html{br}}}
\label{ch:archive}

Eine wichtige Einstellung müssen Sie nun noch vornehmen, um Gpg4win
sinnvoll nutzen zu können: Es geht um Ihre
\Email{}s, die Sie verschlüsselt versenden.

Wie können Sie diese wichtigen Nachrichten sicher archivieren?
Natürlich können Sie einfach eine Klartextversion Ihrer Texte aufbewahren,
aber das wäre eigentlich nicht angebracht. Wenn Ihre Mitteilung geheimhaltungsbedürftig war,
sollte sie auch nicht im Klartext auf Ihrem Rechner gespeichert sein.
Sie sollten also stets Ihre verschlüsselt gesendeten \Email{}s auch
\textit{verschlüsselt} aufbewahren!

Sie ahnen das Problem: Zum Entschlüsseln Ihrer archivierten
(versendeten) \Email{}s braucht Sie aber den geheimen Schlüssel des
Empfängers -- und den haben Sie nicht und werden Sie nie haben$\ldots$

Also was tun?

Ganz einfach: \textbf{Sie verschlüsseln zusätzlich auch an sich
selbst!}

Die Nachricht wird einmal für Ihren eigentlichen Korrespondenzpartner
(z.B. Adele) verschlüsselt und ein weiteres Mal auch für Sie, mit
Hilfe Ihres eigenen öffentlichen Zertifikats. So können Sie die \Email{} später einfach
mit Ihrem eigenen geheimen Schlüssel wieder lesbar machen.

Jede verschlüsselte Nachricht wird von Gpg4win automatisch auch an ihr
eigenes Zertifikat verschlüsselt. Dazu nutzt Gpg4win Ihre
Absender-E-Mail-Adresse. Sollten Sie mehrere Zertifikate zu einer
Adresse besitzen, so müssen Sie sich beim Verschlüsselungsvorgang
entscheiden, an welches Zertifikat verschlüsselt werden soll.



\clearpage
%% Original page 49
\subsubsection{Kurz zusammengefasst}

\begin{enumerate}
\item Sie haben mit dem öffentlichen Zertifikat Ihres Korrespondenzpartners eine
  \Email{} verschlüsselt und ihm damit geantwortet.
\item Kleopatra verschlüsselt Ihre gesendeten verschlüsselten \Email{}s auch
  zusätzlich mit Ihrem eigenen öffentlichen Zertifikat, so dass die Nachrichten für
  Sie lesbar bleiben.
\end{enumerate}

\vspace{1cm}
\textbf{Das war's! Zum Ende dieses ersten Teils des Kompendiums werden
Sie nun ein sehr fundiertes Einsteigerwissen über Gpg4win besitzen.}

\textbf{Willkommen in der Welt der freien und sicheren \Email{}-Verschlüsselung!}

Für ein noch besseres Verständnis, wie Gpg4win im Hintergrund wirklich
funktioniert, wird empfohlen, dass Sie sich nun mit dem zweiten,
fortgeschrittenen Teil von Gpg4win beschäftigten. Sie werden sehen,
dass Sie viele spannende Dinge darin entdecken werden!

Genau wie das Kryptographiesystem Gpg4win wurden dieses Kompendium nicht nur
für Mathematiker, Geheimdienstler und Kryptographen geschrieben,
sondern \textbf{für jedermann.}







%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
% Part II

% page break in toc
\addtocontents{toc}{\protect\newpage}

\clearpage
\T\part{Für Fortgeschrittene}
\W\part*{\textbf{II Für Fortgeschrittene}}
\label{part:Fortgeschrittene}
\addtocontents{toc}{\protect\vspace{0.3cm}}


\clearpage
%% Original page 9
\chapter{Wie funktioniert Gpg4win?}
\label{ch:FunctionOfGpg4win}

Das Besondere an Gpg4win und der zugrundeliegenden "`Public-Key"' Methode
ist, dass sie jeder verstehen kann und soll. Nichts daran ist
Geheimwissen ­-- es ist nicht einmal besonders schwer zu verstehen.

Die Benutzung der Gpg4win-Programmkomponenten ist sehr einfach, seine Wirkungsweise
dagegen ziemlich kompliziert. Sie werden in diesem Kapitel erklärt bekommen,
wie Gpg4win funktioniert ­-- nicht in allen Details, aber so, dass die Prinzipien
dahinter deutlicher werden. Wenn Sie diese Prinzipien kennen, werden
Sie ein hohes Vertrauen in die Sicherheit von Gpg4win gewinnen.

Am Ende dieses Buches, in Kapitel \ref{ch:themath}, können Sie
­-- wenn Sie wollen ­-- auch noch die letzten Geheimnisse um die
"`Public-Key"' Kryptographie lüften und entdecken, warum mit Gpg4win
verschlüsselte Nachrichten nach heutigem Stand der Technik nicht zu
knacken sind.


\clearpage
%% Original page 10
\subsubsection{Der Herr der Schlüsselringe}

Wenn man etwas sehr Wertvolles sichern will, schließt man es am besten
ein -- mit einem Schlüssel. Noch besser mit einem Schlüssel, den es
nur einmal gibt und den man ganz sicher aufbewahrt.

\begin{center}
\htmlattributes*{img}{width=300}
\IncludeImage[width=0.4\textwidth]{schlapphut-with-key}
\end{center}

Denn wenn dieser Schlüssel in die falschen Hände fällt, ist es um die
Sicherheit des wertvollen Gutes geschehen. Dessen Sicherheit steht und
fällt mit der Sicherheit des Schlüssels.  Also hat man den Schlüssel
mindestens genauso gut abzusichern, wie das zu sichernde Gut selbst.
Die genaue Form des Schlüssels muss völlig geheim gehalten werden.


\clearpage
%% Original page 11

Geheime Schlüssel sind in der Kryptographie ein alter Hut: Schon immer
hat man Botschaften geheimzuhalten versucht, indem man den Schlüssel
geheimhielt.  Dies wirklich sicher zu machen ist sehr umständlich und
dazu auch sehr fehleranfällig.

\begin{center}
\htmlattributes*{img}{width=300}
\IncludeImage[width=0.4\textwidth]{tangled-schlapphut}
\end{center}

Das Grundproblem bei der "`gewöhnlichen"' geheimen Nachrichtenübermittlung
ist, dass für Ver- und Entschlüsselung derselbe Schlüssel benutzt wird
(symmetrische Verschlüsselung)
und dass sowohl der Absender als auch der Empfänger diesen geheimen
Schlüssel kennen.

Dies führt zu einer ziemlich paradoxen Situation: Bevor man mit einer
solcher Methode ein Geheimnis (eine verschlüsselte Nachricht)
mitteilen kann, muss man schon vorher ein anderes Geheimnis (den
Schlüssel) mitgeteilt haben.  Und da liegt der Hase im Pfeffer: Man
muss sich ständig mit dem Problem herumärgern, dass der Schlüssel
unbedingt ausgetauscht werden muss, aber auf keinen Fall von einem
Dritten abgefangen werden darf.



\clearpage
%% Original page 12

Gpg4win dagegen arbeitet ­-- außer mit dem geheimen Schlüssel -- mit einem
weiteren Schlüssel (engl. "`key"'), der vollkommen frei und öffentlich
(engl. "`public"') zugänglich ist.

Man spricht daher auch von einem "`Public-Key"' Verschlüsselungssystem.

Das klingt widersinnig, ist es aber nicht. Der Witz an der Sache: Es
muss kein geheimen Schlüssel mehr ausgetauscht werden. Im Gegenteil: Der
geheimen Schlüssel darf auf keinen Fall ausgetauscht werden!
Weitergegeben wird nur der öffentliche Schlüssel (im öffentlichen 
Zertifikat)~-- und den kann sowieso jeder kennen.

Mit Gpg4win benutzen Sie also ein Schlüsselpaar -- einen geheimen und
einen zweiten öffentlichen Schlüssel.  Beide Schlüssel sind durch
eine komplexe mathematische Formel untrennbar miteinander verbunden.
Nach heutiger wissenschaftlicher und technischer Kenntnis ist es
unmöglich, einen Schlüsselteil aus dem anderen zu berechnen und damit
das Verfahren zu knacken. In Kapitel \ref{ch:themath} bekommen Sie
erklärt, warum das so ist.

% Note: The texts on the signs are empty in the current revision.
% However, I used the original images and wiped out the texts ``Open
% Source"' and ``gratis"' - need to replace with something better.
% What about ``Artikel 10"' and ``von GnuPG erzeugt"'?
\begin{center}
\htmlattributes*{img}{width=300}
\IncludeImage[width=0.4\textwidth]{verleihnix}
\end{center}


\clearpage
%% Original page 13
Das Prinzip ist wie gesagt recht einfach:

Der \textbf{geheime Schlüssel}, auch \textbf{private Schlüssel} genannt
(engl. ,,secret key'' oder ,,private key''), muss geheim gehalten werden.

Der \textbf{öffentliche Schlüssel} (engl. "`public key"'), soll so
öffentlich wie möglich gemacht werden.

Beide Schlüsselteile haben ganz und gar unterschiedliche Aufgaben:

\bigskip

\begin{quote}
    Der geheime Schlüsselteil \textbf{entschlüsselt} Nachrichten.
\end{quote}

\begin{center}
\htmlattributes*{img}{width=300}
\IncludeImage[width=0.7\textwidth]{key-with-shadow-bit}
\end{center}

\begin{quote}
    Der öffentliche Schlüsselteil \textbf{verschlüsselt} Nachrichten.
\end{quote}


\clearpage
%% Original page 14

\subsubsection{Der öffentliche Brieftresor}


In einem kleinen Gedankenspiel
wird die Methode des "`Public-Key"' Verschlüsselungssystems
und ihr Unterschied zur "`Non-Public-Key"' Methode deutlicher...

\bigskip

\textbf{Die "`Non-Public-Key"' Methode geht so:}

Stellen Sie sich vor, Sie stellen einen Brieftresor vor Ihrem Haus
auf, über den Sie geheime Nachrichten übermitteln wollen.

Der Brieftresor ist mit einem Schloss verschlossen, zu dem es nur
einen einzigen Schlüssel gibt. Niemand kann ohne diesen Schlüssel
etwas hineinlegen oder herausnehmen. Damit sind Ihre geheimen
Nachrichten zunächst einmal gut gesichert.

\begin{center}
\htmlattributes*{img}{width=300}
\IncludeImage[width=0.7\textwidth]{letter-into-safe}
\end{center}

Da es nur einen Schlüssel gibt, muss Ihr Korrespondenzpartner denselben
Schlüssel wie Sie haben, um den Brieftresor damit auf- und zuschließen
und eine geheime Nachricht deponieren zu können.


\clearpage
%% Original page 15
Diesen Schlüssel müssen Sie Ihrem Korrespondenzpartner auf geheimem
Wege übergeben.

\bigskip
\bigskip

\begin{center}
\htmlattributes*{img}{width=300}
\IncludeImage[width=0.7\textwidth]{secret-key-exchange}
\end{center}

\clearpage
%% Original page 16
Erst wenn der andere den geheimen Schlüssel hat, kann er den Brieftresor
öffnen und die geheime Nachricht lesen.

Alles dreht sich also um diesen Schlüssel: Wenn ein Dritter ihn kennt,
ist es sofort aus mit den geheimen Botschaften. Sie und Ihr
Korrespondenzpartner müssen ihn also \textbf{genauso} geheim austauschen wie
die Botschaft selbst.

Aber ­-- eigentlich könnten Sie ihm bei dieser Gelegenheit ja auch
gleich die geheime Mitteilung übergeben\ldots


\textbf{Übertragen auf die \Email{}-Verschlüsselung:} Weltweit müssten alle
\Email{}-Teilnehmer geheime Schlüssel besitzen und auf geheimem Wege
austauschen, bevor sie geheime Nachrichten per \Email{} versenden
könnten.

Vergessen Sie diese Möglichkeit am besten sofort wieder\ldots

\begin{center}
\htmlattributes*{img}{width=300}
\IncludeImage[width=0.7\textwidth]{letter-out-of-safe}
\end{center}

\clearpage
%% Original page 17
\textbf{Nun zur "`Public-Key"' Methode:}

Sie installieren wieder einen Brieftresor vor Ihrem Haus.  Aber:
dieser Brieftresor ist ­-- ganz im Gegensatz zu dem ersten Beispiel
-- stets offen.  Direkt daneben hängt --­ weithin öffentlich sichtbar
-- ein Schlüssel, mit dem jedermann den Brieftresor zuschließen kann
(asymmetrisches Verschlüsselungsverfahren).

\textbf{Zuschließen, aber nicht aufschließen:} das ist der Trick!

\begin{center}
\htmlattributes*{img}{width=300}
\IncludeImage[width=0.7\textwidth]{pk-safe-open}
\end{center}

Dieser Schlüssel gehört Ihnen, und -- Sie ahnen es: Es ist Ihr
öffentlicher Schlüssel.

Wenn jemand Ihnen eine geheime Nachricht hinterlassen will, legt er
sie in den Brieftresor und schließt mit Ihrem öffentlichen Schlüssel
ab.  Jedermann kann das tun, denn der Schlüssel dazu ist ja völlig
frei zugänglich.

Kein anderer kann den Brieftresor nun öffnen und die Nachricht lesen.
Selbst derjenige, der die Nachricht in dem Brieftresor eingeschlossen
hat, kann ihn nicht wieder aufschließen, z.B. um die
Botschaft nachträglich zu verändern.

Denn die öffentliche Schlüsselhälfte taugt ja nur zum Abschließen.

Aufschließen kann man den Brieftresor nur mit einem einzigen
Schlüssel: Ihrem eigenen geheimen, privaten Schlüsselteil.

\clearpage
%% Original page 18

\textbf{Wieder übertragen auf die \Email{}-Verschlüsselung:} Jedermann
kann eine \Email{} an Sie verschlüsseln. Er benötigt dazu keineswegs
einen geheimen, sondern ganz im Gegenteil einen vollkommen
öffentlichen, "`ungeheimen"' Schlüssel. Nur ein einziger Schlüssel
entschlüsselt die \Email{} wieder: Ihr privater, geheimer Schlüssel.

Spielen Sie das Gedankenspiel noch einmal anders herum:

Wenn Sie einem anderen eine geheime Nachricht zukommen lassen wollen,
benutzen Sie dessen Brieftresor mit seinem öffentlichen, frei
verfügbaren Schlüssel.

Sie müssen Ihren Briefpartner dazu nicht persönlich kennen, ihn
getroffen oder je mit ihm gesprochen haben, denn sein öffentlicher
Schlüssel ist überall und jederzeit zugänglich. Wenn Sie Ihre
Nachricht hinterlegt und den Brieftresor des Empfängers mit seinem
öffentlichem Schlüssel wieder verschlossen haben, ist sie völlig
unzugänglich für jeden anderen, auch für Sie selbst.  Nur der
Empfänger kann den Brieftresor mit seinem privaten Schlüssel öffnen
und die Nachricht lesen.

\begin{center}
\htmlattributes*{img}{width=300}
\IncludeImage[width=0.7\textwidth]{pk-safe-opened-with-sk}
\end{center}


\clearpage
%% Original page 19 
\textbf{Was ist nun eigentlich gewonnen:} Es gibt immer noch einen
geheimen Schlüssel!?

Der Unterschied gegenüber der "`Non-Public-Key"' Methode ist
allerdings ein gewaltiger:

Ihren privater Schlüssel kennen und benutzen nur Sie selbst.  Er wird
niemals einem Dritten mitgeteilt ­-- die Notwendigkeit einer geheimen
Übergabe entfällt, sie verbietet sich sogar.

Es muss überhaupt nichts Geheimes mehr zwischen Absender und Empfänger
ausgetauscht werden -- weder eine geheime Vereinbarung noch ein
geheimes Codewort.

Das ist ­-- im wahrsten Sinne des Wortes -- der Knackpunkt: Alle
gewöhnlichen (symmetrischen) Verschlüsselungsverfahren können geknackt werden, weil ein
Dritter sich beim Schlüsselaustausch in den Besitz des Schlüssels
bringen kann.

Dieses Risiko entfällt, weil ein geheimer Schlüssel nicht ausgetauscht
wird und sich nur an einem einzigen Ort befindet: dem eigenen Schlüsselbund.


\clearpage
%% Original page 20
\chapter{Die Passphrase}
\label{ch:passphrase}

Wie Sie im letzten Kapitel gelesen haben, ist der private Schlüssel eine der
wichtigsten Komponenten in einem "`Public-Key"' (asymmetrischen)
Verschlüsselungsverfahren. Man muss
(und darf) ihn zwar nicht mehr auf geheimem Wege mit seinen
Korrespondenzpartnern austauschen, aber nach wie vor ist seine
Sicherheit der Schlüssel zur Sicherheit des "`ganzen"' 
Kryptografieverfahrens.

Es ist deswegen eminent wichtig, diesen privaten Schlüssel sicher
abzuspeichern. Dies geschieht auf zweierlei Weise:

\begin{center}
\htmlattributes*{img}{width=300}
\IncludeImage[width=0.3\textwidth]{think-passphrase}
\end{center}

Jeder andere Benutzer des Rechners, auf dessen Festplatte dieser
Schlüssel gespeichert ist, darf keinen Zugriff auf ihn erhalten --
weder zum Schreiben noch zum Lesen.  Es ist deswegen unbedingt zu
vermeiden, den Schlüssel in einem öffentlichen Dateiordner
(z.B. \verb=C:\Temp= oder \verb=C:\WINNT=) abzulegen.  Gpg4win
speichert den Schlüssel deswegen im sogenannten "`Heimatverzeichnis"'
("`Eigene Dateien"') von GnuPG ab.
Dies kann sich je nach konfiguriertem Betriebssystem an unterschiedlichen Orten
befinden; für einen Benutzer mit
dem Anmeldenamen "`Harry"' könnte es z.B.:\newline
\verb=C:\Dokumente und Einstellungen\harry\Anwendungsdaten\gnupg= \newline
sein.  Der geheime Schlüssel befindet sich dort in einer Datei mit dem
Namen \verb=secring.gpg=.

Dieser Schutz allein ist allerdings nicht ausreichend: Zum einen kann
der Administrator des Rechners immer auf alle Dateien zugreifen --
also auch auf Ihren geheimen Schlüssel.  Zum anderen könnte der Rechner
abhanden kommen oder durch "`Malware"' (Viren-, Würmer-,
Trojanersoftware) kompromittiert werden. 

Ein weiterer Schutz ist deswegen notwendig.  Dieser besteht aus einer
Passphrase.

Die Passphrase sollte nicht nur aus einem Wort bestehen, sondern z.B.
aus einem Satz. Sie sollten diese Passphrase wirklich "`im Kopf"'
behalten und niemals aufschreiben müssen.

Trotzdem darf sie nicht erraten werden können. Das klingt vielleicht
widersprüchlich, ist es aber nicht. Es gibt einige erprobte Tricks,
mit deren Hilfe Sie sich eine völlig individuelle, leicht zu
merkende und nur sehr schwer zu erratende Passphrase ausdenken
können.


\clearpage
%% Original page 21
Eine \textbf{gute Passphrase} kann so entstehen:

Denken Sie an einen Ihnen gut bekannten Satz, z.B.: 

$\qquad$\verb-Ein blindes Huhn findet auch einmal ein Korn.-

Aus diesem Satz nehmen Sie beispielsweise jeden dritten Buchstaben:

$\qquad$\verb-nieufdahnlnr- 
\texttt{\scriptsize{(Ei\textbf{n}
bl\textbf{i}nd\textbf{e}s H\textbf{u}hn \textbf{f}in\textbf{d}et
\textbf{a}uc\textbf{h} ei\textbf{n}ma\textbf{l} ei\textbf{n}
Ko\textbf{r}n.)}}


Diesen Buchstabensalat können Sie sich zunächst sicher nicht gut
merken, aber Sie werden ihn eigentlich nie vergessen, solange Sie den
ursprünglichen Satz im Kopf haben. Im Laufe der Zeit und je öfter Sie
ihn benutzen, prägt sich so eine Passphrase in Ihr Gedächtnis. Erraten
kann diese Passphrase niemand.


Denken Sie an ein Ereignis, das sich bereits fest in Ihrem
persönlichen Langzeitgedächtnis verankert hat.  Vielleicht gibt es
einen Satz, mit dem sich Ihr Kind oder Ihr Partner "`unvergesslich"'
gemacht hat. Oder eine Ferienerinnerung, oder einer Textzeile aus
einem für Sie wichtigen Liedes.


Verwenden Sie kleine und große Buchstaben, Nummern, Sonder- und
Leerzeichen durcheinander. Im Prinzip ist alles erlaubt, auch "`Ö"',
"`ß"', "`\$"' usw.

Aber Vorsicht -- falls Sie Ihren geheimen Schlüssel im Ausland an
einem fremden Rechner benutzen wollen, bedenken Sie, dass
fremdsprachige Tastaturen diese Sonderzeichen oft nicht haben.
Beispielsweise werden Sie kein "`ä"' auf einer englischen
Tastatur finden.


%% Original page  22
Machen Sie Rechtschreibfehler, z.B. "`feLer"' statt "`Fehler"'.
Natürlich müssen Sie sich diese "`feLer"' gut merken können.  Oder
wechseln Sie mittendrin die Sprache.  Aus dem schönen Satz:

$\qquad$\verb-In München steht ein Hofbräuhaus.-

könnten man beispielsweise diese Passphrase machen:

$\qquad$\verb-inMinschen stet 1h0f breuhome-

Denken Sie sich einen Satz aus, der möglichst unsinnig ist, den Sie
sich aber doch merken können, wie z.B.:

$\qquad$\verb-Es blaut so garstig beim Walfang, neben Taschengeld, auch im-

$\qquad$\verb-Winter.-

Eine Passphrase in dieser Länge ist ein sicherer Schutz für Ihren
geheimen Schlüssel.

Sie darf auch kürzer sein, wenn Sie einige Buchstaben groß schreiben,
z.B. so:

$\qquad$\verb-Es blAut nEBen TaschengeLd auch im WiNter.-

Das ist nun kürzer, aber nicht mehr so leicht zu merken. 
Wenn Sie eine noch kürzere Passphrase verwenden, 
indem Sie hier und da Sonderzeichen benutzen,
haben Sie zwar bei der Eingabe weniger zu tippen, aber die
Wahrscheinlichkeit, dass Sie Ihre Passphrase vergessen, wird dabei
noch größer.

Ein extremes Beispiel für eine möglichst kurze, aber dennoch sehr
sichere Passphrase ist dieses hier:

$\qquad$\verb-R!Qw"s,UIb *7\$-

In der Praxis haben sich solche Zeichenfolgen allerdings als recht
wenig brauchbar herausgestellt, da man einfach zu wenig Anhaltspunkte
für die Erinnerung hat.

\clearpage
%% Original page 23
Eine \textbf{schlechte Passphrase} ist blitzschnell "`geknackt"', wenn
sie...

\begin{itemize}
\item ... schon für einen anderen Zweck benutzt wird (z.B. für einen
  \Email{}-Account oder Ihr Handy). Die gleiche Passphrase wäre damit
  bereits einer anderen, möglicherweise unsicheren Software bekannt.

\item ... aus einem Wörterbuch stammt. Passphrase-Knackprogramme
    prüfen binnen Minuten umfangreiche elektronische Wörterbücher.

\item ... aus einem Geburtsdatum, einem Namen oder anderen öffenlichen
    Informationen besteht. Wer vorhat, Ihre \Email{}
    zu entschlüsseln, wird sich diese Daten beschaffen.

\item ... ein landläufiges Zitat ist; wie z.B. "`das wird böse enden"' oder "`to
  be or not to be"'. Auch mit derartigen gängigen Zitaten testen
  Passphrase-Knackprogramme routinemäßig und blitzschnell eine Passphrase.

\item ... aus nur einem Wort oder aus weniger als 8 Zeichen besteht.
  Denken Sie sich unbedingt eine längere Passphrase aus.

\end{itemize}

Wenn Sie nun Ihre Passphrase zusammenstellen, nehmen Sie
\textit{auf gar keinen Fall} eines der oben angeführten Beispiele.  Denn es liegt auf
der Hand: Wenn sich jemand ernsthaft darum bemüht Ihre
Passphrase herauszubekommen, würde er zuerst ausprobieren, ob Sie
nicht eines dieser Beispiele genommen haben.

\bigskip

\textbf{Seien Sie kreativ!} Denken Sie sich jetzt eine Passphrase aus!
Unvergesslich und unknackbar.

Lesen Sie dann im Kapitel~\ref{ch:CreateKeyPair} weiter, um Ihre neue
Passphrase bei der Erzeugung Ihres Schlüsselpaars festzulegen.




\clearpage
%% Original page 24
\chapter{Zertifikat im Detail}
\label{ch:CertificateDetails}

Auf Seite \pageref{sec_finishKeyPairGeneration} haben Sie sich schon
den Detaildialog Ihres erzeugten Zertifikats angesehen. Viele Angaben
zu Ihrem Zertifikat sind dort aufgelistet. Im
folgenden Abschnitt bekommen Sie einen Überblik über die wichtigsten
Punkte (beachten Sie dabei die Unterschiede für
OpenPGP- und X.509-Zertifikate):

\begin{itemize}
\item die Benutzer-Kennung
\item den Fingerabdruck
\item die Gültigkeit
\item das Vertrauen in den Zertifikatsinhaber \textit{(nur OpenPGP)}
\item die Beglaubigungen \textit{(nur OpenPGP)}
\end{itemize}

\textbf{Die Benutzer-Kennung} besteht aus dem Namen und der
\Email{}-Adresse, die Sie während der Zertifikatserzeugung eingegeben
haben, also z.B.: \verb=Heinrich Heine <heinrichh@gpg4win.de>=\\
Für OpenPGP-Zertifikate können Sie mit Kleopatra über den Menüpunkt
\Menu{Zertifikate $\rightarrow$ Benutzer-Kennung hinzufügen...} Ihr
Zertifikat um weitere Benutzer-Kennungen erweitern. Das ist dann
sinnvoll, wenn Sie z.B. für eine weitere \Email{}-Adressen das selbe
Zertifikat nutzen möchten.\\
\textit{Beachten Sie: Hinzufügen neuer Benutzer-Kennungen ist in Kleopatra
nur für OpenPGP-Zertifikate (nicht aber für X.509) möglich.}

\textbf{Der Fingerabdruck} wird verwendet, um mehrere
Zertifikate voneinander zu unterscheiden. Mit dieser Kennung können
Sie nach (öffentlichen) Zertifikaten suchen, die z.B. auf einem
weltweit verfügbaren OpenPGP-Zertifikatsservern (engl. "`key server"') oder auf einem
X.509-Zertifikatsserver liegen.
Was Zertifikatsserver sind, erfahren Sie im folgenden Kapitel.

\textbf{Die Gültigkeit} von Zertifikaten wird stets unter dem
zeitlichen Aspekt betrachtet. Für OpenPGP-Zertifikate ist die
Gültigkeit normalerweise auf "`Unbegrenzt"' gesetzt. Sie können dies
selbständig mit Kleopatra ändern, indem Sie auf die Schaltfläche
"`Ablaufdatum ändern"' in den Zertifikatsdetails klicken (oder den Menü
\Menu{Zertifikate$\rightarrow$Ablaufdatum ändern} auswählen) 
und ein neues Datum eintragen. Damit können
Sie Zertifkate als nur für eine begrenzte Zeit gültig erklären, z.B. 
um sie an externe Mitarbeiter auszugeben.\\
Die Gültigkeit von X.509-Zertifikaten wird bei der Zertifkatsausstellung
von der Zertifizierungsstelle (CA) festgelegt und kann nicht vom Nutzer
geändert werden.

\textbf{Das Vertrauen in den Zertifikatsinhaber} beschreibt das Maß an Zuversicht, das
Sie subjektiv in den Besitzer des OpenPGP-Zertifikats setzen, andere
OpenPGP-Zertifikate korrekt zu beglaubigen.
Sie können das Vertrauen über die Schaltfläche \Button{Vertrauen in
den Zertifikatsinhaber ändern} in den Zertifikatsdetails (oder über das Menü
\Menu{Zertifikate$\rightarrow$Vertrauensstatus ändern}) einstellen.\\
\textit{Beachten Sie: Der Vertrauensstatus ist nur für OpenPGP-Zertifikate
relevant. Für X.509-Zertifikate gibt es diese Vertrauensmethode
nicht.}

\textbf{Die Beglaubigungen} Ihres OpenPGP-Zertifikats beinhalten die
Benutzer-Kennungen derjenigen Zertifikatsinhaber, die sich von der Echtheit
Ihres Zertifikats überzeugt und es dann auch beglaubigt haben. Das
Vertrauen in die Echtkeit Ihres Zertifikats steigt mit der Anzahl an
Beglaubigungen, die Sie von anderen Nutzern erhalten.\\
\textit{Beachten Sie: Beglaubigungen sind nur für OpenPGP-Zertifikate
relevant. Für X.509-Zertifikate gibt es diese Vetrauensmethode nicht.}

~\\
Diese Zertifikatsdetails sind für die tagtägliche Benutzung von Gpg4win nicht
unbedingt erforderlich. Sie werden relevant, wenn Sie neue Zertifikate
erhalten oder ändern. 

Wie Sie fremde Zertifikate prüfen und beglaubigen und was genau das
"`Netz des Vertrauens"' ist, erfahren Sie im Kapitel \ref{ch:trust}.


\clearpage
%% Original page 25
\chapter{Die Zertifikatsserver}
\label{ch:keyserver}


Die Nutzung eines Zertifikatsservers zum Verbreiten Ihres
öffentlichen (OpenPGP- oder X.509-) Zertifikats wurde bereits im
Abschnitt~\ref{sec_publishPerKeyserver} einführend erläutert. Dieses
Kapitel beschäftigt sich mit den Details von Zertifikatsservern und
zeigt Ihnen, wie sie diese mit Kleopatra nutzen können.

Zertifikatsserver können von allen Programmen benutzt werden, die den
OpenPGP- bzw. X.509-Standard unterstützen.

Kleopatra unterstützt zwei Arten von Zertifikatsservern:
\begin{itemize}
    \item OpenPGP-Zertifikatsserver
    \item X.509-Zertifikatsserver
\end{itemize}


\begin{description}
    \item[OpenPGP-Zertifikatsserver] (im Englischen auch "`key server"' genannt)
sind dezentral organisiert und synchronisieren sich weltweit
miteinander. Aktuelle Statistiken
über ihre Zahl oder die Anzahl der dort liegenden OpenPGP-Zertifikate gibt es
nicht. Dieses verteilte Netz von
\T\margin{\IncludeImage[width=1.5cm]{openpgp-icon}}
OpenPGP-Zertifikatsservern sorgt für eine bessere
Verfügbarkeit und verhindert, dass einzelne Systemadministratoren
Zertifikate löschen, um so die Kommunikation unmöglich zu machen
("`Denial of Service"'-Angriff).
\begin{center}
\htmlattributes*{img}{width=300}
\IncludeImage[width=0.3\textwidth]{keyserver-world}
\end{center}

\item[X.509-Zertifikatsserver]
   werden in der Regel
von den Zertifizierungsstellen (CAs) über LDAP bereitgestellt und
\T\margin{\IncludeImage[width=1.5cm]{smime-icon}} werden manchmal
auch als Verzeichnisdienste für X.509-Zertifikate
bezeichnet.
\end{description}




\clearpage
\section{Zertifikatsserver einrichten}
\label{configureCertificateServer}

Öffnen Sie den Konfigurationsdialog von Kleopatra:
\Menu{Einstellungen$\rightarrow$Kleopatra einrichten...}

Legen Sie unter der Gruppe
\Menu{Zertifikatsserver} einen neuen
Zertifikatsserver an, indem Sie auf die Schaltfläche \Menu{Neu}
klicken. Wählen Sie zwischen \Menu{OpenPGP} oder \Menu{X.509}.

Bei \Menu{OpenPGP} wird in die Liste ein voreingestellter OpenPGP-Zertifikatsserver 
mit der Serveradresse \verb=hkp://keys.gnupg.net= (Port: 11371,
Protokoll: hkp) hinzugefügt. Sie können diesen ohne Änderung direkt
verwenden - oder Sie nutzen eine der vorgeschlagenen
OpenPGP-Serveradressen von der nächsten Seite.

Bei \Menu{X.509} erhalten Sie folgende Vorbelegungen für einen
X.509-Zertifikatsserver: (Protokoll: ldap, Severname: server,
Server-Port: 389).
Vervollständigen Sie die Angaben zu Servername und
Basis-DN Ihres X.509-Zertifikatsservers und prüfen Sie den
Server-Port.

Sollte Ihr Zertifikatsserver Benutzername und
Passwort fordern, so aktivieren Sie die Option
\Menu{Benutzerauthentisierung notwendig} und tragen Ihre
gewünschten Angaben ein.

Der folgende Screenshot zeigt einen konfigurierten
OpenPGP-Zertifikatsserver:
%TODO screenshot: Kleopatra OpenPGP certificate server config dialog
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-kleopatra-configureKeyserver_de}
\end{center}


Bestätigen Sie abschließend Ihre Konfiguration mit \Button{OK}. Ihr
Zertifikatsserver ist nun erfolgreich eingerichtet.

Um sicherzugehen, dass Sie den Zertifikatsserver korrekt konfiguriert
haben, ist es hilfreich z.B. eine Zertifikatssuche auf dem Server zu
starten (Anleitung siehe Abschnitt~\label{searchAndImportCertificateFromServer}).

\textbf{Proxy-Einstellung:} Falls Sie einen Proxy in Ihrem
Netzwerk nutzen, sollten Sie die Zertifikatsserver-Adresse in der
Spalte "`Servername"' um den Parameter
\texttt{http-proxy=<proxydomain>} ergänzen. Der vollständige
Servername könnte also z.B. lauten:\\
\texttt{keys.gnupg.net http-proxy=proxy.hq}\\
Kontrollieren und ggf. korrigieren können Sie die Zertifikatsserver-Konfigurationen auch in
der Datei: \Filename{\%APPDATA\%\back{}gnupg\back{}gpg.conf}



%% Original page 26
\clearpage
\subsubsection{OpenPGP-Zertifikatsserver-Adressen}
\T\margin{\IncludeImage[width=1.5cm]{openpgp-icon}}
Es wird empfohlen, nur moderne OpenPGP-Zertifikatsserver zu verwenden,
da nur diese mit den neueren Merkmalen von OpenPGP umgehen können.

Hier eine Auswahl von gut funktionierenden Zertifikatsservern:
\begin{itemize}
\item hkp://blackhole.pca.dfn.de
\item hkp://pks.gpg.cz
\item hkp://pgp.cns.ualberta.ca
\item hkp://minsky.surfnet.nl
\item hkp://keyserver.ubuntu.com
\item hkp://keyserver.pramberger.at
\item http://keyserver.pramberger.at
\item http://gpg-keyserver.de
\end{itemize}

Sollte Sie Probleme mit einer Firewall haben, so versuchen Sie am
besten die Zertifikatsserver, deren URL mit \verb-http://- beginnen.
%TODO#: Verweis auf Proxy-Konfiguration

Die Zertifikatsserver unter den Adressen
\begin{itemize}
    \item hkp://keys.gnupg.net \textit{(Vorauswahl von Kleopatra,
        siehe letzte Seite)}
\item hkp://subkeys.pgp.net
\end{itemize}
sind ein Sammelpunkt für ein ganzes Netz dieser Server; es wird
dann zufällig ein konkreter Server ausgewählt.

\textbf{Achtung:} Nicht \verb=ldap://keyserver.pgp.com= als Zertifikatsserver benutzen, weil er sich nicht mit den anderen Servern synchronisiert (Stand: August 2009).

\clearpage
\section{Zertifikate auf Zertifikatsserver suchen und importieren}
\label{searchAndImportCertificateFromServer}
%% Original page 27
Nachdem Sie mindestens einen Zertifikatsserver eingerichtet haben,
können Sie nun dort nach Zertifikaten suchen und diese anschließend
importieren.

Klicken Sie dazu in Kleopatra auf
\Menu{Datei$\rightarrow$Zertifikate auf Server suchen...}.

Sie erhalten einen Suchdialog, in dessen Eingabefeld Sie den
Namen des Zertifikatsbesitzers, oder eindeutiger und daher besser
geeignet, seine \Email{}-Adresse
oder den Fingerabdruck seines Zertifikats eingeben können.

%TODO screenshot: Kleopatra certification search dialog
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-kleopatra-certificateSearchOnKeyserver_de}
\end{center}

Um die Details eines ausgewählten Zertifikats zu sehen, klicken Sie
auf die Schaltfläche \Button{Details...}.


%% Original page 28
Möchten Sie nun eines der gefundenen Zertifikate in Ihre lokale
Zertifikatssammlung hinzufügen? Dann selektieren Sie das
Zertifikat aus der Liste der Suchergebnisse und
klicken Sie auf \Button{Importieren}.

Kleopatra zeigt Ihnen anschließend einen Dialog mit den
Ergebnissen des Importvorgangs an. Bestätigen Sie diesen mit
\Button{OK}.

War der Import erfolgreich, finden Sie nun das ausgewählte Zertifikat in
der Zertifikatsverwaltung von Kleopatra.



\section{Zertifikate auf OpenPGP-Zertifikatsserver exportieren}

Wenn Sie einen OpenPGP-Zertifikatsserver eingerichtet haben (siehe
\T\margin{\IncludeImage[width=1.5cm]{openpgp-icon}}
Abschnitt \ref{configureCertificateServer}), genügt ein Maus\-klick
und Ihr öffentliches OpenPGP-Zertifikat ist unterwegs rund um die Welt:

Wählen Sie Ihr OpenPGP-Zertifikat in Kleopatra aus und klicken 
anschließend auf den Menüeintrag:
\Menu{Datei$\rightarrow$Zertifikate nach Server exportieren...}.

Sie brauchen Ihr Zertifikat nur an irgendeinen der verfügbaren
OpenPGP-Zertifikatsserver zu senden, denn fast alle synchronsieren sich weltweit
miteinander. Es kann ein, zwei Tage dauern, bis Ihr OpenPGP-Zertifikat wirklich überall
verfügbar ist, aber dann haben Sie ein "`globales"' Zertifikat.

Sollten Sie Ihr Zertifikat exportieren ohne zuvor einen
OpenPGP-Zertifikatsserver eingerichtet zu haben, so schlägt Ihnen
Kleopatra den bereits voreingestellten Server
\texttt{hkp://keys.gnupg.net} zur Verwendung vor.




\clearpage
%% Original page 31
\chapter{Die Zertifikatsprüfung}
\label{ch:trust}

Woher wissen Sie eigentlich, dass das fremde Zertifikat
wirklich vom genannten Absender stammt? Und umgekehrt -- warum sollte Ihr
Korrespondenzpartner glauben, dass das Zertifikat, das Sie
ihm geschickt haben, auch wirklich von Ihnen stammt?  Die
Absenderangabe auf einer \Email{} besagt eigentlich gar nichts,
genauso wie die Absenderangabe auf einem Briefumschlag.

Wenn Ihre Bank z.B. eine \Email{} mit Ihrem Namen und der Anweisung
erhält, Ihr sämtliches Guthaben auf ein Nummernkonto auf den Bahamas
zu überweisen, wird sie sich hoffentlich weigern -- \Email{}-Adresse
hin oder her.  Eine \Email{}-Adresse besagt überhaupt nichts über die
Identität des Absenders.

\clearpage
\subsubsection{Der Fingerabdruck}
Wenn Sie nur einen kleinen Kreis von Korrespondenzpartnern haben, ist
die Sache mit der Identität schnell geregelt: Sie prüfen den
Fingerabdruck des anderen Zertifikats.

Jedes Zertifikat trägt eine einmalige Kennzeichnung, die
es zweifelsfrei identifiziert; besser noch als ein Fingerabdruck
eines Menschen. Deshalb bezeichnet man diese Kennzeichnung eben als
Fingerabdruck.

Wenn Sie sich zu einem Zertifikat die Details in Kleopatra anzeigen
lassen (z.B. durch Doppelklick auf das Zertifikat), sehen Sie u.a.
dessen 40-stelligen Fingerabdruck:

%TODO: mit Adeles Zertifikat
% screenshot:  GPA key listing with fingerprint
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-kleopatra-openpgp-certificateDetails_de}
\end{center}

Der Fingerabdruck des oben dargestellten OpenPGP-Zertifikats ist also:\\
\texttt{88B7ECA18E9EDA347436D7690EA6E039B5821A91}



%% Original page 32
~\\
Wie gesagt -- der Fingerabdruck identifiziert das Zertifikat und seinen
Besitzer eindeutig.

Rufen Sie Ihren Korrespondenzpartner einfach an, und lassen Sie sich
von ihm den Fingerabdruck seines Zertifikats vorlesen. Wenn die Angaben
mit dem Ihnen vorliegenden Zertifikat übereinstimmen, haben Sie
eindeutig das richtige Zertifikat.

Natürlich können Sie sich auch persönlich mit dem Eigentümer des
Zertifikats treffen oder auf jedem anderen Wege sicher stellen, dass Zertifikat und Eigentümer zusammen
gehören. Häufig ist der Fingerabdruck auch auf Visitenkarten abgedruckt;
wenn Sie also eine authentische Visitenkarte haben, so können Sie sich
den Anruf ersparen.


\clearpage
\subsubsection{OpenPGP-Zertifikat beglaubigen}

Nachdem Sie sich "`per Fingerabdruck"' von der Echtheit des
Zertifikats überzeugt haben, haben Sie nun die Möglichkeit,
dieses Zertifikat zu beglaubigen.


\textit{Beachten Sie: \T\margin{\IncludeImage[width=1.5cm]{openpgp-icon}}
Beglaubigen von Zertifikaten durch Benutzer ist nur mit OpenPGP
möglich. Bei X.509 ist das Zertifizierungsstellen (CAs) vorbehalten!}

Durch das Beglaubigen eines (fremden) Zertifikats teilen Sie anderen
(Gpg4win-)Benutzern mit, dass Sie dieses
Zertifikat für echt halten: Sie übernehmen so etwas wie die "`Patenschaft"' über
dieses Zertifikat und erhöhen das allgemeine Vertrauen in seiner
Echtheit.

~\\
\textbf{Wie funktioniert das Beglaubigen nun genau?}\\
Selektieren Sie in Kleopatra das OpenPGP-Zertifikat, dass Sie für echt
halten und beglaubigen möchten. Wählen Sie anschließend im Menü:
\Menu{Zertifikate$\rightarrow$Zertifikat beglaubigen...}

Im nachfolgenden Dialog bestätigen Sie nun noch einmal das zu
beglaubigende OpenPGP-Zertifikat mit \Button{Weiter}:

% TODO screenshot: Kleopatra certify certificate 1
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-kleopatra-certifyCertificate1_de}
\end{center}

\clearpage
Im nächsten Schritt wählen Sie Ihr eigenes OpenPGP-Zertifikat aus, mit dem Sie das
(im letzten Schritt ausgewählte) Zertifikat beglaubigen wollen:
% TODO screenshot: Kleopatra certify certificate 2
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-kleopatra-certifyCertificate2_de}
\end{center}

Entscheiden Sie hier, ob Sie
\Button{Nur für mich selbst beglaubigen} oder
\Button{Für alle sichtbar beglaubigen} wollen. Bei
letzterer Variante haben Sie die Option, das beglaubigte Zertifikat
anschließend auf einen OpenPGP-Zertifikatsserver hochzuladen und damit der Welt ein
mit Ihrer Beglaubigung versehenes, aktualisiertes Zertifikat 
zur Verfügung zu stellen.

Bestätigen Sie Ihre Auswahl mit \Button{Beglaubigen}.

Wie beim Signieren einer \Email{} müssen Sie auch beim Beglaubigen eines
Zertifikats (mit Ihrem privaten Schlüssel) Ihre Passphrase eingeben.
Erst nach korrekter Eingabe ist die Beglaubigung abgeschlossen.

\clearpage 

Nach erfolgreicher Beglaubigung erhalten Sie folgendes Fenster:
% TODO screenshot: Kleopatra certify certificate 3
\begin{center}
\IncludeImage[width=0.6\textwidth]{sc-kleopatra-certifyCertificate3_de}
\end{center}

~\\
Wollen Sie die erfolgte Beglaubigung nun einmal prüfen?\\
Dann öffnen Sie die Zertifikatsdetails des eben beglaubigten
Zertifikats. Wählen Sie den Reiter \linebreak \textit{Benutzer-Kennungen und
Beglaubigungen} und klicken auf die Schaltfläche \Button{Hole
Beglaubigungen ein}.

Sortiert nach den Benutzer-Kennungen sehen sie alle Beglaubigungen, die in
diesem Zertifikat enthalten sind. Hier sollte Sie auch Ihr
Zertifikat wiederfinden, mit dem Sie eben beglaubigt haben.

\clearpage
%% Original page 33/34

\subsubsection{Das Netz des Vertrauens}

Durch das Beglaubigen von Zertifikaten entsteht -- auch über den Kreis von
Gpg4win-Benutzern und Ihrer täglichen Korrespondenz hinaus -- ein "`Netz
des Vertrauens"', bei dem Sie nicht mehr zwangsläufig darauf
angewiesen sind, ein OpenPGP-Zertifikat direkt zu prüfen.
\T\margin{\IncludeImage[width=1.5cm]{openpgp-icon}}

\begin{center}
\htmlattributes*{img}{width=300}
\IncludeImage[width=0.9\textwidth]{key-with-sigs}
\end{center}

Natürlich steigt das Vertrauen in ein Zertifikat,
wenn mehrere Leute es beglaubigen. Ihr eigenes OpenPGP-Zertifikat
wird im Laufe der Zeit die Beglaubigungen vieler anderer GnuPG-Benutzer
tragen. Damit können immer mehr Menschen darauf vertrauen, dass dieses
Zertifikat wirklich Ihnen und niemandem sonst gehört.

Wenn man dieses "`Web of Trust"' weiterspinnt, entsteht eine flexible
Beglaubigungs-Infra\-struktur.

Eine einzige Möglichkeit ist denkbar, mit dem man diese Zertifikatsprüfung 
aushebeln kann: Jemand schiebt Ihnen einen falsches
Zertifikat unter. Also einen öffentlichen OpenPGP-Schlüssel, der vorgibt, von X
zu stammen, in Wirklichkeit aber von Y ausgetauscht wurde.  Wenn ein
solches gefälschtes Zertifikat beglaubigt wird, hat das "`Netz des
Vertrauens"' natürlich ein Loch. Deshalb ist es so wichtig, sich zu
vergewissern, ob ein Zertifikat, wirklich zu der Person
gehört, der es zu gehören vorgibt.

Was aber, wenn eine Bank oder Behörde prüfen möchte, ob die
Zertifikate ihrer Kunden echt sind? Alle anzurufen, kann hier sicher
nicht die Lösung sein\ldots


\clearpage
%% Original page 35
\subsubsection{Zertifizierungsinstanzen}

Hier braucht man eine "`übergeordnete"' Instanz, der alle Benutzer
vertrauen können.  Sie prüfen ja auch nicht persönlich den
Personalausweis eines Unbekannten durch einen Anruf beim Ein\-wohner\-melde\-amt,
sondern vertrauen darauf, dass die ausstellende
Behörde diese Überprüfung korrekt durchgeführt und beglaubigt hat.

Solche Zertifizierungsinstanzen gibt es auch für OpenPGP.
In Deutschland bietet unter anderem z.B. die
Zeitschrift c't schon lange einen solchen Dienst kostenlos an, ebenso
wie viele Universitäten.
\T\margin{\IncludeImage[width=1.5cm]{openpgp-icon}}

Wenn man also ein OpenPGP-Zertifikat erhält, dem eine
Zertifizierungsstelle per Beglaubigung seine Echtheit bestätigt, kann man
sich darauf verlassen.

~\\
Derartige Beglaubigungsinstanzen oder "`Trust Center"' sind auch bei
anderen Verschlüsselungsverfahren -- wie z.B. S/MIME  --
\T\margin{\IncludeImage[width=1.5cm]{smime-icon}}
vorgesehen.
Im Gegensatz zum ,,Web of Trust'' sind sie hierarchisch strukturiert: Es gibt eine "`Oberste
Beglaubigungsinstanz"', die weitere "`Unterinstanzen"' beglaubigt und
ihnen das Recht vergibt, Benutzerzertifikate zu beglaubigen
(vgl. Kapitel~\ref{ch:openpgpsmime}).

Am besten ist diese Infrastruktur mit einem Siegel vergleichbar: Die
Plakette auf Ihrem Autonummernschild kann Ihnen nur eine dazu
berichtigte Institution geben, die die Befugnis dazu wiederum von einer
übergeordneten Stelle erhalten hat.


%% Original page 36

Mit der hierarchischen Zertifizierungs-Infrastruktur entspricht dieses
Modell natürlich wesentlich besser den Bedürfnissen staatlicher und
behördlicher Instanzen als das lose, auf gegenseitigem Vertrauen
beruhende "`Web of Trust"' von GnuPG. Der Kern der
Beglaubigung selbst ist allerdings völlig identisch: Gpg4win
unterstützt neben dem "`Web of Trust"' (OpenPGP) zusätzlich auch 
eine hierarchische Zertifizierungsstruktur (S/MIME). Demnach
bietet Gpg4win eine Grundlage um dem strengen Signaturgesetz der
Bundesrepublik Deutschland zu entsprechen.


Wenn Sie sich weiter für dieses Thema interessieren, dann
können Sie sich z.B. bei folgenden Webadressen 
über dieses und viele andere IT-Sicherheits-Themen informieren:
\begin{itemize}
    \item \uniurl[www.bsi.de]{http://www.bsi.de} des BSIs,
    \item \uniurl[www.bsi-fuer-buerger.de]{http://www.bsi-fuer-buerger.de}
    \item \uniurl[www.gpg4win.de]{http://www.bsi.de}
\end{itemize}

Eine weitere exzellente, mehr technische Informationsquelle zum Thema
der Beglaubigungsinfrastrukturen bietet das 
\uniurl[Original GnuPG Handbuch]{http://www.gnupg.org/gph/de/manual},
das Sie ebenfalls im Internet finden%
\T\linebreak(\uniurl[www.gnupg.org/gph/de/manual]{http://www.gnupg.org/gph/de/manual})
.



\clearpage
%% Original page 43
\chapter{Dateianhänge verschlüsseln}

Wenn Sie eine verschlüsselte \Email{} versenden und
Dateien anhängen, so wollen Sie in der Regel sicherlich auch, dass
diese Anhänge verschüsselt werden.

Bei einer komfortablen Integration von GnuPG in Ihr \Email{}-Programm
sollten Anhänge genauso behandelt werden wie der eigentlichen
Text Ihrer \Email{}, also signiert, verschlüsselt oder beides zusammen.

\textit{GpgOL übernimmt die Verschlüsselung und Signierung von
Anhängen automatisch.}

Bei weniger komfortabel in einem \Email{}-Programm integrierten
Verschlüsselungswerkzeug müssen Sie aufpassen: Die
Anhänge werden oft unverschlüsselt mitgesendet.

Was kann man in so einem Fall tun?
Ganz einfach: Sie verschlüsseln den Anhang getrennt und hängen ihn
dann in verschlüsseltem Zustand an die \Email{} an.
Es läuft also auf ein ganz gewöhnliches Verschlüsseln von Dateien
hinaus, das in Kapitel~\ref{ch:EncFiles} beschrieben ist.


\clearpage
\chapter{Dateien signieren und verschlüsseln}
\label{ch:EncFiles}

Nicht nur \Email{}s, sondern auch einzelne Dateien können Sie mit
Gpg4win signieren und verschlüsseln. Das Prinzip ist das gleiche: 

\begin{itemize}
    \item Sie \textbf{signieren} eine Datei mit Hilfe Ihres
        Zertifikats, um sicherzugehen, dass die
      Datei unverändert bei Ihrem Empfänger ankommt.

  \item Sie \textbf{verschlüsseln} eine Datei mit Hilfe des Zertifikat des Empfängers, um
        die Datei vor unbefugten Personen geheim zu halten.
\end{itemize}



Mit der Anwendung \textbf{GpgEX} können Sie Dateien ganz einfach aus
Ihrem Windows Explorer heraus signieren oder verschlüsseln -- egal ob
OpenPGP oder S/MIME.
Dieses Kapitel erläutert Ihnen, wie das genau funktioniert.

Sollten Sie eine Datei als \Email{}-Anhang verschicken, übernimmt z.B. GpgOL
automatisch die Signierung bzw. Verschlüsselung der Datei zusammen mit
Ihrer \Email{}.
Sie brauchen sich in diesem Fall nicht gesondert darum kümmern.


\clearpage
%% Original page 41
\section{Dateien signieren und prüfen}
\label{sec_signFile}

Beim Signieren einer Datei kommt es vorrangig nicht auf die
Geheimhaltung, sondern auf die Unverändertheit (Integrität) der Datei an.

Die Signierung können Sie bequem mit \textbf{GpgEX} aus dem Kontextmenü des
Windows Explorer ausführen. Selektieren Sie eine (oder mehrere)
Datei(en) und öffnen Sie mit der rechten Maustaste das Kontextmenü:

% TODO screenshot GpgEX contextmenu sign/encrypt
\begin{center}
\IncludeImage[width=0.25\textwidth]{sc-gpgex-contextmenu-signEncrypt_de}
\end{center}

Dort wählen Sie \Menu{Signieren und verschlüsseln} aus.

\clearpage
Selektieren Sie im erscheinenden Fenster die Option \Menu{Signieren}:

%TODO screenshot GpgEX sign file, step 1
\begin{center}
\IncludeImage[width=0.7\textwidth]{sc-kleopatra-signFile1_de}
\end{center}

Klicken Sie anschließend auf \Button{Weiter}.

\clearpage

Im folgenden Dialog wählen Sie -- sofern nicht
schon vorausgewählt -- Ihr privates (OpenPGP oder S/MIME) Zertifikat
aus, mit dem Sie die Datei signieren möchten.

% screenshot sign/encrypt file, step 2: choose sign certificates

%TODO###
\begin{center}
\IncludeImage[width=0.7\textwidth]{sc-kleopatra-signFile2_de}
\end{center}

Bestätigen Sie Ihre Auswahl mit \Button{Signieren}.

Sie müssen nun Ihre Passphrase in den aufkommenden Pinentry-Dialog eingeben.

\clearpage
Nach erfolgreicher Signierung erhalten Sie folgendes Fenster:

%TODO screenshot GpgEX sign file, step 3: finish
\begin{center}
\IncludeImage[width=0.7\textwidth]{sc-kleopatra-signFile3_de}
\end{center}

Sie haben damit Ihre Datei erfolgreich signiert.

Abhängig davon, ob Sie OpenPGP oder S/MIME zum Signieren genutzt
haben, erhalten Sie als Ergebnis eine Datei mit der Endung
\textit{.sig} (bei OpenPGP) oder \textit{.p7s} (bei S/MIME).

Beim Signieren einer Datei wird stets eine "`abgetrennte"' (separate) Signatur
verwendet. Dies bedeutet, dass Ihre zu signierende Datei unverändert bleibt 
und eine zweite Datei mit der eigentlichen Signatur erzeugt wird.
Um die Signatur später zu prüfen, sind beide Dateien notwendig.

Folgendes Beispiel zeigt noch einmal, welche neue Datei Sie erhalten,
wenn Sie Ihre ausgewählte Datei (hier \texttt{<dateiname>.txt}) mit OpenPGP
bzw. S/MIME signieren:

\begin{description}
    \item[OpenPGP:]~\\
        \texttt{<dateiname>.txt $\rightarrow$ <dateiname>.txt\textbf{.sig}}
    \item[S/MIME:]~\\
        \texttt{<dateiname>.txt $\rightarrow$ <dateiname>.txt\textbf{.p7s}}
\end{description}


\clearpage
\subsubsection{Signatur prüfen}
Wir wollen nun prüfen, ob die eben signierte Datei integer
(korrekt) ist.


Zum Überprüfen der Unverändertheit (Integrität) und der Authentizität
müssen die Signatur-Datei und die signierte Datei
(Originaldatei) in dem selben
Dateiordner liegen. Selektieren Sie die Signatur-Datei -- also die mit der
Endung \textit{.sig} oder \textit{.p7s} -- und wählen Sie aus dem Kontextmenü des Windows Explorer
den Eintrag  \Menu{Entschlüsseln und überprüfen}:

% screenshot GpgEX contextmenu verifiy/decrypt
\begin{center}
\IncludeImage[width=0.25\textwidth]{sc-gpgex-contextmenu-verifyDecrypt_de}
\end{center}

\clearpage
Daraufhin erhalten Sie folgendes Fenster:
% TODO screenshot kleopatra verify file, step 1
\begin{center}
\IncludeImage[width=0.7\textwidth]{sc-kleopatra-verifyFile1_de}
\end{center}
Kleopatra zeigt unter \textit{Eingabe-Datei} den vollständigen 
Pfad zur ausgewählten Signatur-Datei an.

Die Option \Menu{Eingabe-Datei ist eine angehängte Signatur} ist
aktiviert, da Sie ja Ihre Originaldatei
(hier: \textit{signierte Datei}) mit der Eingabe-Datei signiert haben.
Kleopatra findet automatisch die zugehörige signierte
Originaldatei in demselbem Datei-Ordner.

Automatisch ist auch der \textit{Ausgabe-Ordner} auf den gleichen
Pfad ausgewählt.
Der wird aber erst relevant wenn Sie mehr als eine Datei gleichzeitig
verarbeiten.

Bestätigen Sie die gegebenen Operationen mit
\Button{Entschlüsseln/prüfen}.

\clearpage
Nach erfolgreicher Überprüfung der Signatur erhalten Sie folgendes
Fenster:

% screenshot kleopatra verify file, step 2
\begin{center}
\IncludeImage[width=0.7\textwidth]{sc-kleopatra-verifyFile2_de}
\end{center}

Das Ergebnis zeigt, dass die Signatur korrekt ist --
also die Datei interger ist und somit \textbf{nicht} verändert wurde.

Selbst wenn nur ein Zeichen in der Originaldatei hinzugefügt, 
gelöscht oder geändert wurde, wird die Signatur als gebrochen
angezeigt (Kleopatra stellt das Ergebnis als rote Warnung dar):

% screenshot kleopatra verify file, step 2a (bad signature)
\begin{center}
\IncludeImage[width=0.7\textwidth]{sc-kleopatra-verifyFile2a-badSignature_de}
\end{center}



\clearpage
\section{Dateien verschlüsseln und entschlüsseln}

Genauso wie \Email{}s lassen sich Dateien nicht nur signieren, sondern auch
verschlüsseln. Das sollten Sie im folgenden Abschnitt mit GpgEX und
Kleopatra einmal durchspielen.

Selektieren Sie eine (oder mehrere) Datei(en) und öffenen Sie mit der rechten Maustaste
das Kontextmenü:

% TODO screenshot GpgEX contextmenu sign/encrypt
\begin{center}
\IncludeImage[width=0.25\textwidth]{sc-gpgex-contextmenu-signEncrypt_de}
\end{center}

Wählen Sie hier \Menu{Signieren und verschlüsseln} aus.

\clearpage
Sie erhalten den Dialog, den Sie vom Signieren einer Datei (vgl.
Abschnitt~\ref{sec_signFile}) schon kennen.

Entscheiden Sie sich im oberen Feld für die Option \Menu{Nur
Verschlüsseln}:

% TODO screenshot kleopatra encrypt file, step 1
\begin{center}
\IncludeImage[width=0.7\textwidth]{sc-kleopatra-encryptFile1_de}
\end{center}

Die Verschlüsselungseinstellungen sollten Sie nur bei Bedarf
umstellen:
\begin{description}
    \item[Ausgabe als Text (ASCII-geschützt / ASCII armor):] Bei Aktivierung dieser
        Option erhalten Sie die verschlüsselte Datei mit der
        Dateiendung \textit{.asc} (OpenPGP) bzw. \textit{.pem} (S/MIME). 
        Diese Dateitypen sind mit jedem Texteditor lesbar -- Sie würden dort
        den Buchstaben- und Ziffernsalat sehen, den Sie schon kennen.

        Ist diese Option nicht ausgewählt (Voreinstellung), so wird
        eine verschlüsselte Datei mit der Endung \textit{.gpg}
        (OpenPGP) bzw. \textit{.p7m} (S/MIME) angelegt. Diese Dateien
        sind Binärdateien -- eine Betrachtung im Texteditor ist also
        sinnlos.

        Was Sie hier benutzen ist eigentlich gleichgültig;
        Gpg4win kommt mit beiden Arten klar.

    \item[Unverschlüsseltes Original anschließend löschen:] Ist diese
        Option aktiviert, wird Ihre ausgewählte Originaldatei nach dem
        Verschlüsseln gelöscht.
\end{description}


Klicken Sie auf \Button{Weiter}.




\clearpage
An wen soll die Datei verschlüsselt werden? Wählen Sie im folgenden
Dialog einen oder mehrere Empfängerzertifikate aus:
% TODO screenshot kleopatra encrypt file, step 2
\begin{center}
\IncludeImage[width=0.7\textwidth]{sc-kleopatra-encryptFile2_de}
\end{center}

Zum Auswählen selektierten Sie im oberen Teil die gewünschten
Zertifikate und drücken Sie auf \Button{Hinzufügen}.
Sie bekommen alle ausgewählten Zertifikate im unteren Dialogteil zur
Kontrolle noch einmal angezeigt.

Abhängig vom gewählten Empfänger-Zertifikat und dessen Typ (OpenPGP oder S/MIME) 
wird Ihre
Datei anschließend mit Hilfe von OpenPGP und / oder S/MIME verschlüsselt. Haben
Sie also ein OpenPGP-Zertifikat \textbf{und} ein S/MIME-Zertifikat ausgewählt,
werden Sie zwei verschlüsselte Dateien erhalten.
Die möglichen Dateitypen der verschlüsselten Dateien finden Sie auf der nächsten Seite.

Klicken Sie nun auf \Button{Verschlüsseln}, um Ihre Datei zu verschlüsseln.

\clearpage
Nach erfolgreicher Verschlüsselung sollte Ihr Ergebnisfenster etwa so
aussehen:
% TODO screenshot kleopatra encrypt file, step 3: successful
\begin{center}
\IncludeImage[width=0.7\textwidth]{sc-kleopatra-encryptFile3_de}
\end{center}

Das war's! Sie haben Ihre Datei erfolgreich verschlüsselt!

Wie beim Signieren einer Datei hängt das Ergebnis von der gewählten
Verschlüsselungsmethode (OpenPGP oder S/MIME) ab.

Beim Verschlüsseln Ihrer Originaldatei (hier \texttt{<dateiname>.txt})
sind insgesamt vier Dateitypen als Ergebnis möglich:

\begin{description}
    \item[OpenPGP:]~\\
    \texttt{<dateiname>.txt $\rightarrow$ <dateiname>.txt\textbf{.gpg}}\\
    \texttt{<dateiname>.txt $\rightarrow$ <dateiname>.txt\textbf{.asc}}
    ~ \small (bei Ausgabe als Text/ASCII-armor)
    \normalsize

    \item[S/MIME:]~\\
    \texttt{<dateiname>.txt $\rightarrow$ <dateiname>.txt\textbf{.p7m}}\\
    \texttt{<dateiname>.txt $\rightarrow$ <dateiname>.txt\textbf{.pem}}
    ~ \small{ (bei Ausgabe als Text/ASCII-armor)}
    \normalsize
\end{description}

Eine dieser vier möglichen verschlüsselten Ergebnisdateien geben Sie nun an Ihren ausgewählten
Empfänger weiter. Anders als beim Signieren einer Datei wird die
unverschlüsselte Originaldatei natürlich \textbf{nicht} weitergegeben.

\clearpage
\subsubsection{Datei entschlüsseln}
Nun kann die zuvor verschlüsselte Datei zum Testen einmal
entschlüsseln werden.

Dazu sollten Sie vorher beim Verschlüsseln auch an Ihr eigenes Zertifikat
verschlüsselt haben -- andernfalls können Sie die Datei nicht mit
Ihrer Passphrase entschlüsseln (vgl. Kapitel~\ref{ch:archive}).

Selektieren Sie die verschlüsselte Datei -- also die mit der
Endung \textit{.gpg}, \textit{.asc}, \textit{.p7m} oder \textit{.pem} -- 
und wählen Sie aus dem Kontextmenü des Windows Explorer
den Eintrag \Menu{Entschlüsseln und überprüfen}:

% TODO screenshot GpgEX contextmenu verifiy/decrypt
\begin{center}
\IncludeImage[width=0.25\textwidth]{sc-gpgex-contextmenu-verifyDecrypt_de}
\end{center}


\clearpage
Im folgenden Entschlüsselungsdialog können Sie, bei Bedarf, noch den
Ausgabe-Ordner verändern.

% TODO screenshot kleopatra decrypt file, step 1
\begin{center}
\IncludeImage[width=0.7\textwidth]{sc-kleopatra-decryptFile1_de}
\end{center}

Klicken Sie auf \Button{Entschlüsseln/prüfen}.

Geben Sie anschließend Ihre Passphrase ein.


\clearpage
Das Ergebnis zeigt, dass die Entschlüsselung erfolgreich war:

% TODO screenshot kleopatra decrypt file, step 2
\begin{center}
\IncludeImage[width=0.7\textwidth]{sc-kleopatra-decryptFile2_de}
\end{center}

Sie sollten nun die entschlüsselte Datei problemlos lesen
oder mit einem entsprechenden Programm verwenden können.

\clearpage
\subsubsection{Kurz zusammengefasst}
Sie haben gelernt, wie Sie mit GpgEX:
\begin{itemize}
    \item Dateien signieren,
    \item signierte Dateien prüfen,
    \item Dateien verschlüsseln und
    \item verschlüsselte Dateien entschlüsseln
\end{itemize}
 können.

\subsubsection{Gleichzeitig signieren und verschlüsseln}

Ihnen ist diese Option bestimmt schon in den entsprechenden
Dialogen aufgefallen.
Wählen Sie sie aus, dann kombiniert GpgEX beide Aufgaben in einem
Schritt.

Bechten Sie, dass immer {\em zuerst signiert} erst danach verschlüsselt
wird.

Die Signatur wird also immer als geheim mitverschlüsselt.
Sie kann nur von denjenigen gesehen und geprüft werden,
die die Datei erfolgreich entschlüsseln konnten.

Möchten Sie Dateien signieren \textit{und} verschlüsseln ist das
derzeit nur mit OpenPGP möglich.



\clearpage
%% Original page 45
\chapter{Im- und Export eines geheimen Schlüssels}
\label{ch:ImExport}

In den Kapiteln \ref{ch:publishCertificate} und
\ref{ch:importCertificate}
wurde der Im- und Export von Zertifikaten erläutert. Sie haben
Ihr eigenes Zertifikat exportiert, um es zu veröffentlichen, 
und das Zertifikat Ihres Korrespondenzpartners importiert 
und am "`Schlüsselbund befestigt"'.

Dabei ging es stets um den \textit{öffentlichen} Schlüssel. Es gibt aber auch
hin und wieder die Notwendigkeit, einen \textit{geheimen} Schlüssel zu im- oder
exportieren. Wenn Sie z.B. ein bereits vorhandenes 
(OpenPGP oder S/MIME) Schlüsselpaar mit Gpg4win weiterbenutzen wollen,
müssen Sie es importieren. Oder wenn Sie Gpg4win von einem anderen Rechner aus
benutzen wollen, muss ebenfalls zunächst das gesamte Schlüsselpaar dorthin
transferiert werden --~der öffentliche und der private Schlüssel.


%% Original page 46
\clearpage
\section{Export}
Immer wenn Sie einen geheimen Schlüssel auf einen anderen Rechner
transferieren oder auf einer anderen Festplattenpartition bzw. einem
Sicherungsmedium speichern wollen, müssen Sie mit Kleopatra eine
Sicherungskopie erstellen.

Solch eine Sicherungskopie haben Sie evtl. schon einmal am Ende Ihrer
OpenPGP-Zertifikats\-erzeu\-gung angelegt. Da Ihr OpenPGP-Zertifikat aber inzwischen weitere
Beglaubigungen haben kann, sollten Sie die Sicherung erneut durchführen.


Öffnen Sie Kleopatra. Selektieren Sie Ihr eigenes Zertifikat und
klicken Sie auf \Menu{Datei$\rightarrow$Geheimen Schlüssel
exportieren}.

% TODO screenshot kleopatra export secret key
\begin{center}
\IncludeImage[width=0.45\textwidth]{sc-kleopatra-openpgp-exportSecretKey_de}
\end{center}

Wählen Sie den Pfad und den Dateinamen der Ausgabedatei.
Der Dateityp wird automatisch gesetzt. Abhängig davon ob Sie einen
geheimen OpenPGP- oder S/MIME-Schlüssel exportieren wollen, ist
standardmäßig die Dateiendung \textit{.gpg} (OpenPGP) oder
\textit{.p12} (S/MIME)
ausgewählt. Bei diesen Dateien handelt es sich um Binärdateien, die
Ihr Zertifikat (inkl. geheimen Schlüssel) verschlüsselt enthalten -- eine Betrachtung im
Texteditor ist hier also sinnlos, aber möglich (probieren Sie es aus).

Bei Aktivierung der Option \Menu{ASCII-geschützt (ASCII armor)}
erhalten Sie die Dateiendung 
\textit{.asc} (OpenPGP) bzw. \textit{.pem} (S/MIME).
Auch diese beiden Dateitypen sind mit jedem Texteditor lesbar -- Sie würden dort
den üblichen Buchstaben- und Ziffernsalat sehen.
Ob Sie diese Option nutzen oder nicht, ist eigentlich gleichgültig;
Gpg4win kommt mit beiden Varianten klar.

Beide Schlüsselteile -- der öffentliche und der geheime -- werden von
Kleopatra in \textbf{einem} einzigen geheimen Zertifikat abgespeichert.

\textbf{Achtung:} Behandeln Sie diese Datei sehr sorgfältig. Sie enthält Ihren
geheimen Schlüssel und damit eine sehr sicherheitskritische Informationen!

\clearpage
\section{Import}
Zum Importieren Ihres vorher exportierten geheimen Zertifikats
in Kleopatra, gehen Sie so vor, wie Sie es beim
Importieren von öffentlichen (fremden) Zertifikaten gewohnt sind 
(vgl. Kapitel~\ref{ch:importCertificate}):

Klicken Sie auf \Menu{Datei$\rightarrow$Zertifikat importieren...} und
wählen Sie die zu importierende Datei aus.
Handelt es sich um eine PKCS12-Datei (z.B. vom Typ \textit{.p12}), so werden
Sie zunächst nach der Passphrase zum Entsprerren des privaten Schlüssels
gefragt:
% ggf TODO screenshot pinentry p12 import (I)
\begin{center}
\IncludeImage[width=0.45\textwidth]{sc-pinentry-p12-import-a_de}
\end{center}

Setzen Sie nun eine (ggf. neue) Passphrase, die nach dem Importvorgang Ihrem privaten
Schlüssel zugeordnet werden soll:
% ggf TODO screenshot pinentry p12 import (II)
\begin{center}
\IncludeImage[width=0.45\textwidth]{sc-pinentry-p12-import-b_de}
\end{center}

Wiederholen Sie Ihre Passphrase-Eingabe.
Sollte Ihre Passphrase zu kurz sein oder nur aus Buchstaben bestehen,
werden Sie entsprechend gewarnt.

\clearpage
Nach dem erfolgreichen Importieren sehen Sie ein Informationsfenster,
das Ihnen die Ergebnisse des
Importvorgangs auflistet; hier am Beispiel eines geheimen
OpenPGP-Zertifikats:
% TODO screenshot kleopatra import secret key - status
\begin{center}
\IncludeImage[width=0.45\textwidth]{sc-kleopatra-import-openpgp-secret-key_de}
\end{center}

Kleopatra hat damit sowohl den geheimen als auch den
öffentlichen Schlüssel aus der Sicherungsdatei importiert. Ihr
Zertifikat ist damit unter "`Meine Zertifikate"' in der
Zertifikatsverwaltung von Kleopatra sichtbar.

\textit{\textbf{Achtung:} Löschen Sie danach unbedingt die oben erstellte
Sicherungskopie Ihres geheimen Schlüssels von Ihrer Festplatte und
sichern Sie vorher diese wichtige Datei möglicht irgendwo auf einem externen Medium.
Denken Sie daran die gelöschte Datei aus Ihrem "`Papierkorb"' zu
entfernen. Andernfalls stellt diese Datei ein großes Sicherheitsrisiko für
Ihre geheime \Email{}-Verschlüsselung dar!}

\textbf{Anmerkung:} Es kann in einigen Fällen vorkommen, dass Sie einen importierten
Schlüssel nicht direkt benutzen können.  Dies äußert sich darin, dass
Sie die richtige Passphrase eingeben, dieser aber nicht akzeptiert
wird.  Das kommt daher, dass einige Versionen von PGP intern den
IDEA Algorithmus verwenden.  Dieser kann von GnuPG aus rechtlichen
Gründen nicht unterstützt werden.  Um das Problem zu beheben,
ändern Sie in PGP einfach die Passphrase und
exportieren / importieren Sie den Schlüssel erneut.  Sollte dies auch
nicht funktionieren, so setzen Sie die Passphrase in PGP auf
"`leer"'; d.h. auf keinen Schutz und exportieren / importieren Sie wieder
-- In diesem Fall müssen Sie unbedingt sicherstellen, sowohl die
\textbf{Datei sicher zu löschen als auch in PGP und in Gpg4win danach wieder
  eine echte Passphrase zu setzen.}

~\\
\textbf{Herzlichen Glückwunsch! Sie haben damit erfolgreich Ihr Schlüsselpaar exportiert und
wieder importiert.}


\clearpage
\chapter{Systemweite Konfigurationen und Vorbelegungen für S/MIME}
\T\margin{\IncludeImage[width=1.5cm]{smime-icon}}
\T\enlargethispage{\baselineskip}
Im Rahmen von Softwareverteilung oder sonstigen Umgebungen,
in denen viele Anwender auf einem Rechner arbeiten,
ist es sinnvoll einige systemweite Vorgaben und Vorberlegungen
für Gpg4win einzurichten.

Das betrifft vor allem S/MIME, denn bei streng vorgegebenen
Vertrauensketten macht es Sinn, dass die Anwender die Informationen
dazu miteinander teilen.

Einige typische systemweite Einstellungen sind:

\begin{itemize}
\item Vertrauenswürdige Wurzelzertifikate

    Um zu vermeiden, dass jeder Anwender selbst die notwendigen
    Wurzelzertifikate suchen und installieren sowie deren Vertrauenswürdigkeit
    prüfen und bestätigen (beglaubigen) muss (vgl.
    Abschnitt~\ref{sec_allow-mark-trusted}), ist eine systemweite Vorbelegung der
    wichtigsten Wurzelzertifikate sinnvoll.

    Dafür sind folgende Schritte durchzuführen:
    \begin{enumerate}
    \item Die Wurzelzertifkate ablegen wie unter Abschnitt \ref{trustedrootcertsdirmngr}
    beschrieben.
    \item Die vertrauenswürdigen Wurzelzertifikate definieren wie unter
        Abschnitt \ref{sec_systemtrustedrootcerts}
    beschrieben.
    \end{enumerate}

\item Direkt verfügbare CA-Zertifkate

    Um den Anwendern zusätzlich die Mühe zu ersparen, die Zertifkate der Zertifizierungsstellen
    (Certificate Authorities, CAs) zu suchen und zu importieren, ist auch hier
    eine systemweite Vorbelegung der wichtigsten CA-Zertifkate sinnvoll.

    Folgen Sie dazu der Beschreibung unter Abschnitt
    \ref{extracertsdirmngr}.


\item Proxy für Zertifikatsserver-Suche
    %TODO#: Proxy für OpenPGP-Zertifikatsserver - Syntax beschreiben.

    Es kommt vor, dass interne Netzwerke keine direkten Verbindungen der einzelnen
    Rechner nach aussen zulassen, sondern einen sogenannten Proxy vorsehen.

    Ist dies in Ihrem Netzwerk auch für die bei GnuPG bzw. S/MIME wichtigen
    LDAP-Abfragen der Fall, so führen Sie folgende Schritte durch:

    \begin{enumerate}
    \item Stellen Sie X.509-Zertifikatsserver-Suchen auf Ihren Proxy wie unter Abschnitt
        \ref{ldapservers} ein.
    \item Stellen Sie Sperrlisten-Suchen auf Ihren Proxy ein, in dem Sie einen Eintrag
        wie z.B.:
        \small
        \verb@http-proxy http://proxy.mydomain.example:8080@\\
        \normalsize
        (ggf. analog für LDAP) als Administrator in die Datei\newline
        \small
        \Filename{C:\back{}Dokumente und Einstellungen\back{}All
        Users\back{}GNU\back{}etc\back{}dirmngr\back{}\\ dirmngr.conf}\newline
        \normalsize
        eintragen.
    \item Starten Sie den DirMngr neu (siehe Abschnitt \ref{dirmngr-restart}).
\end{enumerate}
\end{itemize}



\clearpage
\chapter{Bekannte Probleme und was man tun kann}

\section{GpgOL Menüs und Dialoge nicht mehr in Outlook zu finden}

Es kann vorkommen, dass trotz einer Aktualisierung von Gpg4win
die von GpgOL zu Outlook hinzugefügten Menüs und Dialoge nicht mehr zu finden sind.

Das kann dann vorkommen, wenn ein technisches Problem auftrat
und Outlook aus diesem Grund die GpgOL-Komponente deaktiviert.

Reaktivieren Sie GpgOL über das Outlook-Menü:\\
Outlook2007: \Menu{?$\rightarrow$Deaktivierte Elemente}\\
Outlook2003: \Menu{?$\rightarrow$Info$\rightarrow$Deaktivierte Elemente}

Um unter Outlook2003 GpgOL manuell zu (de-)aktivieren nutzen Sie den Add-In-Manager von
Outlook:
\Menu{Extras$\rightarrow$Optionen$\rightarrow$Weitere$\rightarrow$Erweiterte
Optionen...$\rightarrow$Add-In-Manger...}


\section{GpgOL-Schaltflächen sind in Outlook2003 nicht in der Symbolleiste}

Wenn bereits viele Schaltflächen in der Symbolleiste des Nachrichtenfensters
vorhanden sind, so stellt Outlook2003 die
Signieren- / Verschlüsseln-Icons von GpgOL nicht unbedingt sofort sichtbar dar.

Sie können diese Schaltflächen aber anzeigen lassen,
indem Sie in der Symbolleiste auf das kleine Icon mit dem Pfeil nach
unten klicken (\textit{Optionen für Symbolleiste}):  Sie erhalten
eine Übersicht aller nicht angezeigten Schaltflächen. Ein Klick auf
eines dieser Einträge verschiebt ihn in den sichtbaren Teil der Symbolleiste.


\section{GpgOL-Schaltflächen sind in Outlook2007 unter "`Add-Ins"'}

Mit Outlook2007 wurde die sogenannte \textit{Ribbon}-Oberfläche
eingeführt. Diese Multifunktionsleiste im Outlook-Nachrichtenfenster
besitzt verschiedene Registerkarten.
Die GpgOL-Schaltflächen (für Verschlüssln, Signieren etc.) sind
unter der Registerkarte "`Add-Ins"' eingeordnet; so wie alle
Schaltflächen von Erweiterungen durch Outlook dort angelegt werden. 
Eine Integration der GpgOL-Schaltflächen z.B. unter "`Nachrichten"' 
ist nicht möglich.

Was Sie machen können, ist Ihre \textit{Symbolleiste für den
Schnellzugriff} anzupassen und die Symbolleistenbefehle der Add-In-Registerkarte 
aufnehmen.


\section{Fehler beim Start von GpgOL}

Haben Sie Gpg4win (und damit die Programmkomponente GpgOL) auf einem Laufwerk
installiert, anschließend wieder deinstalliert und unter einem anderen
Laufwerk erneut installiert? Dann kann es sein, dass Outlook weiterhin den GpgOL-Pfad
auf dem ersten (alten) Laufwerk sucht.

Dabei wird beim Start von Outlook die Programmerweiterung GpgOL nicht mehr
gestartet und folgende Fehlermeldung erscheint:

\textit{Die Erweiterung '\Filename{<alter-Pfad-zu-gpgol.dll>}' konnte nicht installiert oder
geladen werden. Das Problem kann u.U. durch das Benutzen von 'Erkennen
und Reparieren' in der Hilfe behoben werden.}

Lösen können Sie dieses Problem, in dem Sie den Outlook-internen
(zwischengespeicherten)\linebreak Programmerweiterungs-Pfad zurücksetzen.
Löschen Sie dazu bitte folgende Datei:\\
\Filename{\%APPDATA\%\back{}Lokale
Einstellungen\back{}Anwendungsdaten\back{}Microsoft\back{}Outlook\back{}\T\\ 
extend.dat}

Dabei sollte Outlook natürlich nicht laufen. Anschließend starten Sie
Outlook erneut. Outlook und GpgOL sollte nun problemlos starten.

Beachten Sie bitte auch, dass eine Installation von Gpg4win auf einem
(mit dem Befehl \texttt{subst} simulierten) \textbf{virtuellen
Laufwerk} nicht
möglich ist. Diese virtuellen Laufwerke sind nur lokal für den
aktuellen Benutzer nutzbar. Systemdienste (wie der \textit{DirMngr})
sehen diese Laufwerke nicht. Der Installationspfad ist damit ungültig
- die Installation stoppt mit einem Fehler in der Art \textit{error:StartService: ec=3}.
Installieren Sie bitte Gpg4win auf einem systemweit verfügbaren Laufwerk.


\section{GpgOL überprüft keine InlinePGP \Email{}s von \textit{CryptoEx}}

Um signierte bzw. verschlüsselte InlinePGP \Email{}s, die von
\textit{CryptoEx} versandt wurden, zu prüfen bzw. zu
entschlüsseln, muss in den GpgOL-Optionen die S/MIME-Unterstützung
eingeschaltet sein.

Aktivieren Sie dazu in Outlook unter
\Menu{Extras$\rightarrow$Optionen$\rightarrow$GpgOL} die Option:\\
\textit{S/MIME Unterstützung einschalten}.


\section{Keine S/MIME Operationen mehr möglich (Systemdienst ,,DirMngr'' läuft nicht)}
\label{dirmngr-restart}
\T\margin{\IncludeImage[width=1.5cm]{smime-icon}}

Der \textit{Directory Manager} (\textit{DirMngr}) ist ein über 
Gpg4win installierter Dienst, der die Zugriffe auf Zertifikatsserver
verwaltet. Eine Aufgabe des "`DirMngr"' ist das Laden
von Sperrlisten (CRLs) für S/MIME Zertifikate.

Es kann vorkommen, dass die S/MIME Operationen (Signatur, Prüfung,
Ver- oder Entschlüsselung) nicht durchgeführt werden können, weil
,,DirMngr'' nicht verfügbar ist. In der Voreinstellung von Gpg4win
ist es zwingend notwendig, dass ,,DirMngr'' die Sperrliste prüft --
geschieht das nicht, darf die jeweilige Operation nicht ausgeführt
werden, da möglicherweise ein kompromittiertes Zertifkat genutzt wird.

Abhilfe schaffe ein Neustart des ,,DirMngr'' durch den
Systemadministrator.
Dies erfolgt über \linebreak
\Menu{Systemsteuerung$\rightarrow$Verwaltung$\rightarrow$Dienste}.
In der Liste finden Sie ,,DirMngr'' --
über das Kontextmenü kann der Dienst neu gestartet werden.



\clearpage
\chapter{Wo finde ich die Dateien und Einstellungen von Gpg4win?}

\section{Persönliche Einstellungen der Anwender}

Die persönlichen Einstellungen für jeden Anwender befinden sich
im Dateiordner:\\ 
\Filename{\%APPDATA\%\back{}gnupg}\\
Oft entspricht das dem
Dateiordner: \newline
\Filename{C:\back{}Dokumente und Einstellungen\back{}\textit{<name>}\back{}Anwendungsdaten\back{}gnupg\back{}}

Beachten Sie, dass es sich um einen versteckten Dateiordner handelt.
Um es sichtbar zu schalten, müssen Sie im Explorer über das Menü
\Menu{Extras$\rightarrow$Ordneroptionen}
im Reiter \Menu{Ansicht} die Option \Menu{Alle Dateien und Ordner
anzeigen} unter der Gruppe \Menu{Versteckte Dateien und Ordner} aktivieren.

In diesem Dateiordner befinden sich sämtliche persönlichen
GnuPG-Daten,
also die privaten Schlüssel, Zertifikate, Vertrauensstellungen und
Konfigurationen. Bei einer Deinstallation von Gpg4win wird dieser
Ordner \textit{nicht} gelöscht. Denken Sie daran, sich regelmäßig
Sicherheitskopien von diesem Ordner anzulegen.


\section{Zwischengespeicherte Sperrlisten}
\T\margin{\IncludeImage[width=1.5cm]{smime-icon}}

Der systemweite Dienst ,,DirMngr'' (Directory Manager) prüft unter anderem, ob
ein X.509-Zertifkat gesperrt ist und daher nicht verwendet werden darf.
Dafür werden Sperrlisten (CRLs) von den Ausgabestellen der Zertifikate
(,,Trust-Center'') abgeholt und für die Dauer ihrer Gültigkeit
zwischengespeichert.

Abgelegt werden diese Sperrlisten unter:\newline
\Filename{C:\back{}Dokumente und Einstellungen\back{}LocalService\back{}Lokale\T\newline
Einstellungen\back{}Anwendungsdaten\back{}GNU\back{}cache\back{}dirmngr\back{}crls.d\back{}}

Hierbei handelt es sich um \textit{geschützte} Dateien,
die standardmäßig vom Explorer nicht angezeigt werden. Sollten Sie
dennoch die Anzeige dieser Dateien wünschen, deaktivieren Sie die
Option \Menu{Geschützte Systemdateien ausblenden} in den
\textit{Ansicht}-Einstellungen des Windows Explorer.

In diesem Dateiordner sollten keine Änderungen vorgenommen werden.

\section{Vertrauenswürdige Wurzelzertifikate von DirMngr}
\label{trustedrootcertsdirmngr}
\T\margin{\IncludeImage[width=1.5cm]{smime-icon}}

Für eine vollständige Prüfung von X.509-Zertifkaten
muss auch den Wurzelzertifkaten vertraut werden, mit deren
Hilfe die Sperrlisten signiert wurden.

Die Wurzelzertifkate, denen der DirMngr bei den
Prüfungen vertrauen soll, müssen im folgenden Dateiordner abgelegt
werden:

\Filename{C:\back{}Dokumente und Einstellungen\back{}All
Users\back{}Anwendungsdaten\back{}GNU\back{}\T\newline
etc\back{}dirmngr\back{}trusted-certs\back{}}

\W~\\\\
\textbf{Wichtig:} Die entsprechenden Wurzelzertifikate müssen 
als Dateien im Dateiformat \textit{DER} mit \linebreak Dateinamens\--Erweiterung
\textit{.crt} oder \textit{.der}
im o.g. Dateiordners vorliegen.

Der DirMngr läuft als systemweiter Dienst und muss nach Änderungen im
"`trusted-certs"'-Dateiordner neu gestartet werden. Anschließend
sind die dort abgelegten Wurzelzertifikate für alle Anwender als
\textit{vertrauenswürdig} gesetzt.


Beachten Sie auch Abschnitt \ref{sec_systemtrustedrootcerts}, um den
Wurzelzertifikaten vollständig (systemweit) zu vertrauen.


\section{Weitere Zertifikate von DirMngr \label{extracertsdirmngr}}
\T\margin{\IncludeImage[width=1.5cm]{smime-icon}}

Wenn vor einer Krypto-Operation die X.509-Zertifizierungskette zu
prüfen ist, ist somit auch das jeweiliges Zertifkat der Zertifizierungsstelle
("`Certificate Authority"', CA) zu prüfen.

Für eine direkte Verfügbarkeit können CA-Zertifikate in diesem (systemweiten) 
Dateiordner abgelegt werden:\newline
\Filename{C:\back{}Dokumente und Einstellungen\back{}All 
Users\back{}Anwendungsdaten\back{}GNU\back{}\T\newline 
lib\back{}dirmngr\back{}extra-certs\back{}}

Zertifkate, die nicht hier oder bei den Anwendern vorliegen, müssen
entweder automatisch von X.509-Zertifikatsservern geladen werden.
Alternativ können Zertifikate auch immer manuell importiert werden.

Es ist also sinnvoll im Rahmen von systemweiten Vorgaben hier die
wichtigsten CA-Zertifkate abzulegen.


\section{Konfiguration zur Verwendung externer X.509-Zertifikatsserver \label{ldapservers}}
\T\margin{\IncludeImage[width=1.5cm]{smime-icon}}

GnuPG kann so konfiguriert werden, dass bei Bedarf fehlende X.509-Zertifkate
oder Sperrlisten auf externen X.509-Zertifikatsserver gesucht werden.

Der Systemdienst ,,DirMngr'' verwendet dafür die Liste der Dienste, die
in der Datei\newline
\Filename{C:\back{}Dokumente und Einstellungen\back{}All
Users\back{}Anwendungsdaten\back{}GNU\back{}\T\\
etc\back{}dirmngr\back{}ldapservers.conf}\\
angegeben sind.

Sind im internen Netz die Zugänge zu externen Zertifikatsservern per LDAP gesperrt, so
kann man in dieser Datei einen Proxy-Dienst für entsprechende Durchleitung
konfigurieren, wie folgende Zeile im Beispiel illustriert:

\verb#proxy.mydomain.example:389:::O=myorg,C=de#

Die genaue Syntax für die Einträge lautet:

\verb#HOSTNAME:PORT:USERNAME:PASSWORD:BASE_DN#


\clearpage
\section{Systemweite vertrauenswürdige Wurzelzertifikate}
\label{sec_systemtrustedrootcerts}
\T\margin{\IncludeImage[width=1.5cm]{smime-icon}}

Die systemweit als vertrauenswürdig vorbelegten Wurzelzertifkate
werden definiert in der Datei\\
\Filename{C:\back{}Dokumente und Einstellungen\back{}All
Users\back{}Anwendungsdaten\back{}GNU\back{}\T\\
etc\back{}gnupg\back{}trustlist.txt}

Um ein Wurzelzertifikat als vertrauenswürdig zu markieren, muss der
entsprechende Fingerabdruck des Zertifikats gefolgt von einem
Leerzeichen und einem großen \texttt{S} in die
o.g. Datei eingetragen werden.
Ein Zertifikat wird explizit als nicht vertrauenswürdig markiert, wenn
die Zeile mit dem Prefix \texttt{!} beginnt.
Sie können hier auch mehrere Wurzelzertifikate eintragen. Zu beachten
ist dann, dass jeder Fingerprint in einer neuen Zeile steht.

Wichtig: Abschließend (am Ende der Datei) muss eine Leerzeile erfolgen.

Ein Beispiel:
\begin{verbatim}
# CN=Wurzel ZS 3,O=Intevation GmbH,C=DE
A6935DD34EF3087973C706FC311AA2CCF733765B S

# CN=PCA-1-Verwaltung-02/O=PKI-1-Verwaltung/C=DE
DC:BD:69:25:48:BD:BB:7E:31:6E:BB:80:D3:00:80:35:D4:F8:A6:CD S

# CN=Root-CA/O=Schlapphuete/L=Pullach/C=DE
!14:56:98:D3:FE:9C:CA:5A:31:6E:BC:81:D3:11:4E:00:90:A3:44:C2 S

\end{verbatim}

Es kann in einigen Fällen sinnvoll sein, die Kriterien an die
Überprüfung der Wurzelzertifikate zu verringern.
Sie können dazu hinter \texttt{S} eine weitere Flagge \texttt{relax}
setzen: \verb#<FINGERPRINT> S relax#\\
Wichtig: Die Verwendung von \texttt{relax} setzt die Sicherheit herab
und sollte nur von Administratoren entschieden und nur bei Problemen
verwendet werden.

Genauere Details finden Sie in der aktuellen GnuPG-Dokumentation
(Punkt "`trustlist.txt"'):\\
\uniurl{http://www.gnupg.org/documentation/manuals/gnupg/Agent-Configuration.html}


Die genaue Syntax für die Einträge in die trustlist.txt lautet also:\\
\texttt{[!]<FINGERPRINT> S [relax]}\\
wobei \texttt{!} und \texttt{relax} optional sind.


\textbf{Wichtig:} Damit Wurzelzertifikate in Kleopatra vollständig als
vertrauenswürdig markiert werden (Zertifikat wird blau hinterlegt),
müssen die Wurzelzertifikate zusätzlich für den DirMngr abgelegt
werden, wie unter Abschnitt \ref{trustedrootcertsdirmngr}
beschrieben.


\section{Vertrauenswürdigkeit der Wurzelzertifikate durch Benutzer markieren}
\label{sec_allow-mark-trusted}

Wurzelzertifikate können auch jeweils von den einzelnen Benutzern als
vertrauenswürdig markiert werden -- eine systemweite Konfiguration
(siehe Abschnitt \ref{trustedrootcertsdirmngr} und \ref{sec_systemtrustedrootcerts}) ist dann nicht erforderlich.

Öffnen Sie das Kleopatra-Menü \Menu{Einstellungen$\rightarrow$Kleopatra
einrichten} und anschließend die Gruppe \Menu{GnuPG-System} und dann
\Menu{GpgAgent}.\\
Aktivieren Sie hier die Option \textit{Erlaube Aufrufern 
Schlüssel als 'vertrauenswürdig' zu markieren}. Dadurch werden Sie
beim Gebrauch eines bisher nicht vertrauenswürdig eingestuften 
Wurzelzertifkats gefragt, ob Sie es nun als vertrauenswürdig einstufen wollen.
Beachten Sie, dass der gpg-agent ggf. neu gestartet werden muss
(z.B. durch ausloggen und wieder einloggen).

\clearpage
\chapter{Probleme in den Gpg4win-Programmen aufspüren}

Es kann vorkommen, dass eine der Gpg4win-Programmkomponenten
nicht wie erwartet zu funktionieren scheint.

Nicht selten ist dabei eine Besonderheit der
Arbeitsumgebung verantwortlich, so dass die Softwareentwickler von
Gpg4win das beobachtete Problem gar nicht selbst nachvollziehen können.

Um die Softwareentwickler bei der Problemsuche zu
unterstützen oder um auch einmal selbst in die technischen
Detail-Abläufe reinzuschnuppern, bieten die Gpg4win-Programme
Unterstützung an.

In der Regel muss diese Unterstützung aber erst einmal
eingeschaltet werden. Eine der wichtigsten Hilfsmittel sind
Logdateien: Dort werden detaillierte Informationen zu den internen
technischen Vorgängen festgehalten, wie in einer Logdatei.
Ein Softwareentwickler kann
ein Problem und die mögliche Lösung oft leicht anhand dieser erkennen,
auch wenn das Problem auf den ersten Blick sehr unverständlich
und zu umfangreich wirken mag.

Wenn Sie einen Fehler-Bericht an die Softwareentwickler
senden wollen, so finden Sie auf dieser Web-Seite einige Hinweise:

\uniurl{http://www.gpg4win.de/reporting-bugs-de.html}

Logdateien -- unter o.g. URL als ,,Debug-Informationen'' bezeichnet --
bieten oft wertvolle Hinweise und sollten daher einem Fehlerbericht
beigefügt werden.

In diesem Kapitel wird beschrieben, wie Sie 
Programmablauf-Informationen (darum handelt es sich
letztlich bei den Logdatein) zu den einzelnen Gpg4win-Programmen
einschalten können.

\clearpage
\section{Logdatei von Kleopatra einschalten}

Die Logdatei von Kleopatra besteht aus vielen Dateien,
daher ist der erste Schritt ein Dateiordner für
die Logdatei zu erstellen. Denkbar ist z.B.:
\Filename{C:\back{}TEMP\back{}kleologdir}

Bitte beachten Sie hierbei, dass es hier um Einstellungen
des Anwenders, nicht des Systemadministrators geht.
Die Einstellungen müssen also für jeden Anwender der eine
Logdatei erstellen möchte separat vorgenommen werden und darauf
geachtet werden, dass unterschiedliche \Filename{kleologdir}
Dateiordner verwendet werden.

Der Pfad zu diesem Ordner muss nun in der neuen Umgebungsvariable
\Filename{KLEOPATRA\_LOGDIR} vermerkt werden:

Öffnen Sie dazu die Systemsteuerung, wählen dort \Menu{System}, dann
den Reiter \Menu{Erweitert} und schließlich den Knopf \Button{Umgebungsvariablen}.

Fügen Sie dort folgende neue \textit{Benutzer}variable ein:

\begin{quote}
    Name der Variable: \Filename{KLEOPATRA\_LOGDIR}

    Wert der Variable: ~~\Filename{C:\back{}TEMP\back{}kleologdir}
\end{quote}

Beachten Sie, dass der angegebene Dateiordner existieren muss. Sie können es
auch nachträglich erstellen.

Um die Logfunktion wirksam werden zu lassen, muss Kleopatra beendet
und neu gestartet werden und der Dateiordner der Logdatei existieren,
sowie für Kleopatra beschreibbar sein.

Während Kleopatra verwendet wird, zeichnet es Ablauf-Informationen in die
Datei \Filename{kleo-log}\linebreak (Haupt-Logdatei) auf, sowie möglicherweise
viele Dateien mit einem Namen nach dem Schema:\\
\Filename{pipe-input-ZEITSTEMPEL-ZUFALLSZEICHEN}

Möglicherweise reichen diese Informationen einem Softwareentwickler
nicht, um den Fehler zu erkennen. Er wird Sie dann bitten, eine weitere
Umgebungsvariable anzulegen
-- so wie Sie es schon oben getan haben:
\begin{quote}
    Name der Variable: \Filename{KLEOPATRA\_LOGOPTIONS}

    Wert der Variable: ~~\Filename{all}
\end{quote}

Möglicherweise werden die Logdateien sehr schnell sehr groß.
Sie sollten diese Logdatei\--Auf\-zeich\-nung nur einschalten, um
ein bestimmtes Fehlverhalten zu provozieren und danach aufzuzeichnen.
Anschliessend schalten
Sie die Aufzeichnung wieder aus indem Sie die Umgebungsvariable
löschen oder den Namen dieser leicht variieren (für späteres leichtes
Reaktivieren). Vergessen Sie nicht, die Logdateien zu löschen gerade
wenn sie sehr umfangreich geworden sind oder es sich um sehr viele
Dateien handelt. Bevor Sie eine neue Aufzeichnung beginnen, ist es
ebenfalls sinnvoll die Logdateien zu löschen.

\clearpage
\section{Logdatei von GpgOL einschalten}

Für das Einschalten der Logdatei von GpgOL müssen Sie den Registrierungs-Editor
starten. Geben Sie dazu das Kommando \verb:regedit: unter
\Menu{Start$\rightarrow$Ausführen} oder in einer Eingabeaufforderung ein.

Wählen Sie nun aus der Baumstruktur auf der linken Seite den
folgenden GpgOL-Schlüssel aus:\\
\verb:HKEY_CURRENT_USER\Software\GNU\GpgOL:

Auf der rechten Seite sehen Sie nun eine Liste von Einträgen
(sogenannte Zeichenfolgen) mit teilweise bereits vordefinierten Werten. 
Diese Einträge werden nach dem ersten Start von Outlook mit GpgOL
angelegt.

Zum Aktivieren der GpgOL-Logdatei führen Sie einen Doppelklick auf den Eintrag
\Filename{enableDebug} aus und setzte Sie dessen Wert auf \Filename{1}.

Als Wert für \Filename{logFile} geben Sie nun einen Dateinamen an,
wohin die Logdatei geschrieben werden soll, z.B.:
\Filename{C:\back{}TEMP\back{}gpgol.log}

Starten Sie Outlook neu, um die Aufzeichnung zu starten.

Bedenken Sie, dass diese Datei sehr umfangreich werden kann.
Stelle Sie \Filename{enableDebug} auf
\Filename{0}, sobald Sie die GpgOL-Logdatei nicht mehr benötigen.

Sollen Sie sich für fortgeschrittene technische Informationen
zu GpgOL interessieren, dann lesen Sie einmal das technische
(englischsprachige) Handbuch. Sie finden es in Ihrem
Gpg4win-Installations\-verzeichnis, in der Regel:
\Filename{C:\back{}Programme\back{}GNU\back{}GnuPG\back{}share\back{}doc\back{}gpgol\back{}gpgol.pdf}

\section{Logdatei von DirMngr einschalten}

Bei DirMngr handelt es sich um einen systemweiten Dienst und daher
ist das Einschalten der Logdatei nur mit Administatorrechten
möglich.

Um die Logdatei einzuschalten, öffnen Sie zunächst folgende
Konfigurationsdatei:\\
\Filename{C:\back{}Dokumente und Einstellungen\back{}All
Users\back{}Anwendungsdaten\back{}GNU\back{}\\
etc\back{}dirmngr\back{}dirmngr.conf}

Fügen Sie die folgenden zwei Zeilen in die Konfigurationsdatei hinzu
(den Pfad zur Logdatei können Sie natürlich anpassen):

\begin{quote}
       \verb@debug-all@ \\
       \verb@log-file C:\TEMP\dirmngr.log@
\end{quote}

Starten Sie anschließend den Dienst unter
\Menu{Systemsteuerung$\rightarrow$Verwaltung$\rightarrow$Dienste} neu,
so dass die geänderte Konfigurationsdatei neu eingelesen wird und die
vorgenommene Einstellungen somit wirksam wird.

\clearpage
\section{Logdatei von GnuPG einschalten}

Für folgende GnuPG-Programme können Sie jeweils einzeln das Anlegen
einer Logdatei einschalten:
\begin{itemize}
    \item GPG Agent
    \item GPG für S/MIME
    \item GPG für OpenPGP
    \item Smartcard Daemon
\end{itemize}

Für diese Programme können Anwender persönliche Konfigurationen vornehmen.
Dazu gehört auch das Einstellen einer Protokolldatei für den Programmablauf.

Eingeschaltet wird die jeweilige Logdatei im GnuPG Backend --
erreichbar über das Kleopatra Menü
\Menu{Einstellungen$\rightarrow$GnuPG Backend einrichten...}.
Für jede der o.g. vier Programme existieren in diesem
Konfigurationsfenster zwei Debug-Optionen:
\begin{itemize}
    \item Option \textit{Setze die Debug-Stufe auf}\\
        Hier definieren Sie die Ausführlichkeit der aufzuzeichnenden
        Informationen. Die Debugstufe \textit{Guru} ist die höchste Stufe und
        erzeugt dem entsprechend große Dateien.
        Schalten Sie daher die Logdateien wieder aus (Debugstufe
        \textit{Keine}), wenn Sie diese nicht mehr benötigen.

    \item Option \textit{Schreibe im Servermodus Logs auf DATEI}\\
        Geben Sie hier die Logdatei an, in der alle Debug-Informationen
        gespeichert werden sollen, z.B.:
        \Filename{C:\back{}TEMP\back{}gpgsm.log}
\end{itemize}

Starten Sie anschließend Kleopatra neu (ggf. müssen Sie zuvor einen
noch laufenden gpg-agent über den Task-Manager beenden -- oder aber Sie
loggen sich aus und melden sich neu an Ihrem Windows-System an).

\clearpage
%% Original page 49
\chapter{Warum Gpg4win nicht zu knacken ist~$\ldots$}
\label{ch:themath}

$\ldots$, jedenfalls nicht mit heute bekannten Methoden und sofern die
Implementierung der Programme frei von Fehlern ist. Soweit die
Theorie.

In der Realität sind genau solche Fehler in den Programmen, im
Betriebssystem oder nicht zuletzt in der Benutzung der letzte
Weg, um doch noch an die geheimen Informationen zu gelangen --
auch deshalb sollte Sie dieses Kompendium bis hierhin gelesen haben.

In jedem Beispiel dieses Kompendiums haben Sie gesehen, dass zwischen dem
geheimen und dem öffentlichen Schlüssel eine Verbindung besteht. Nur
wenn beide zueinander passen, können geheime Botschaften entschlüsselt
werden.

Das Geheimnis dieser mathematischen Verbindung müssen Sie nicht
unbedingt kennen -- Gpg4win funktioniert für Sie auch so. Man kann
diese komplexe mathematische Methode aber auch als Normalsterblicher
und Nichtmathematiker verstehen. Sie müssen eigentlich nur einfache
Additionen (z.B. $2 + 3$) und Multiplikationen (z.B. $5 * 7$) beherrschen.
Allerdings in einer ganzen anderen Rechenmethode als der, die Sie im
Alltag benutzen.  Es gehört sowohl zur Sicherheitsphilosophie der
Kryptographie wie auch zum Prinzip der Freien Software, dass es keine
geheim gehaltenen Methoden und Algorithmen gibt. Letztendlich versteht
man auch erst dann wirklich, warum GnuPG (die eigentliche Maschinerie
hinter Gpg4win) sicher ist.

Hier beginnt also sozusagen die Kür nach dem Pflichtteil:


\clearpage
%% Original page 50
\chapter{GnuPG und das Geheimnis der großen Zahlen \htmlonly{\html{p}} }
\label{ch:secretGnupg}

{\Large Kryptographie für Nicht-Mathematiker}\\

Es ist schon versucht worden, den RSA Algorithmus, auf dem GnuPG
basiert\footnote{Es wird hier RSA als Beispiel verwendet, da RSA
einfacher zu verstehen ist, als der Elgamal Algorithmus, der als
Voreinstellung von GnuPG benutzt wird.}, zu "`knacken"', also einen
privaten Schlüssel zu berechnen, wenn man lediglich den
öffentlichen Schlüssel kennt.  Diese Berechnung ist aber noch nie für
Schlüssellängen (1024 Bit und mehr), die in GnuPG verwendet werden,
gelungen.  Es ist zwar \textit{theoretisch} möglich, aber
\textit{praktisch} nicht durchführbar! Denn selbst bei genügend vorhandener 
Zeit (viele Jahre)
und Abertausenden von vernetzten Rechnern würde niemals genügen Speicher zur
Verfügung stehen, um den letzten Schritt dieser Berechnung
durchführen zu können.

Es kann allerdings durchaus möglich sein, dass eines Tages eine geniale
Idee die Mathematik revolutioniert und eine schnelle Lösung des mathematischen
Problems, welches hinter RSA steckt, liefert.  Dies wird aber wohl
kaum von heute auf morgen geschehen.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) 
veröffentlicht von Zeit zu Zeit
Prognosen und Einschätzungen, welche Schlüssellängen noch wieviele
Jahre für absolute Geheimhaltung benutzt werden sollen.  GnuPG
überschreitet mit seinen Standardeinstellungen diese
Mindestanforderungen.  Wie im vorigen Kapitel schon angerissen, ist die
Mathematik der mit Abstand sicherste Teil der praktisch
angewandten Kryptographie.


\clearpage
%% Original page  52

Im Folgenden erfahren Sie, wie diese mathematische Methode funktioniert. Nicht
in allen Einzelheiten (das würde den Rahmen dieser Anleitung bei
weitem sprengen), aber doch so, dass Sie bei etwas Mitrechnen selbst
mathematisch korrekt ver- und entschlüsseln können und dabei das
"`Geheimnis der großen Zahlen"' entdecken.

Man kann diese komplexe mathematische Methode auch als
Normalsterblicher und Nichtmathematiker verstehen. Sie müssen nur
einfache Additionen und Multiplikationen beherrschen. Wie gesagt: Hier
beginnt der Kürteil, und bei der Kür geht es immer etwas mehr zur
Sache als im Pflichtprogramm.  Letztendlich versteht man dann aber,
warum GnuPG sicher ist.

Eine Begriffsklärung vorneweg:

\begin{quote}

    \textit{Ein \textbf{Algorithmus} ist eine mathematische Prozedur zur Veränderung oder
    Transformation von Daten oder Informationen.}

    \textit{\textbf{Arithmetik} ist die Methode, nach der Sie Zahlen addieren und
    multiplizieren.}
\end{quote}


Die Verschlüsselung mit GnuPG basiert auf dem sogenannten
RSA-Algorithmus\footnote{RSA ist eigentlich optional, da aus
  Patentgründen der Elgamal Algorithmus, beruhend auf dem schwieriger
  zu erklärenden Problem des diskreten Logarithmus, als Standard in
  GnuPG verwendet wird.}.  RSA steht für die Nachnamen von Ron Rivest, Ami
Shamir und Ben Adleman, die diesen Algorithmus im Jahr 1978 entdeckt
haben. Dieser Algorithmus verwendet einen Typ der Arithmetik, die
Rechnen mit Restklassen oder "`Modulo-Arithmetik"' heißt.

\clearpage
%% Original page 53
\section{Das Rechnen mit Restklassen}

Wenn man mit Restklassen rechnet, so bedeutet dies, dass man
nur mit dem "`Rest"' rechnet, der nach einer ganzzahligen Teilung durch eine
bestimmte Zahl übrigbleibt. Diese Zahl, durch die geteilt wird,
nennt man den "`Modul"' oder die "`Modulzahl"'. Wenn Sie
beispielsweise mit dem Teiler oder der Modulzahl 5 rechnen,
sagen man auch, "`ich rechne modulo 5"'.

Wie das Rechnen mit Restklassen -- auch Modulo-Arithmetik oder
Kongruenzrechnung genannt -- funktioniert, kann man sich gut
klarmachen, wenn man sich das Zifferblattes einer Uhr vorstellt:

\begin{center}
\htmlattributes*{img}{width=300}
\IncludeImage[width=0.25\textwidth]{clock-face}
\end{center}

Diese Uhr ist ein Beispiel für das Rechnen mit modulo 12 (der Teiler
ist also 12) -- eine Uhr mit einem normalen Zifferblatt, allerdings
mit einer 0 anstelle der 12. Sie können damit Modulo-Arithmetik
betreiben, indem Sie einfach den gedachten Zeiger bewegen.

Um beispielsweise $3 + 2$ zu rechnen, beginnen Sie bei der Ziffer 2
und drehen den Zeiger um 3 Striche weiter (oder Sie starten bei der 3
und drehen 2 Striche weiter, was natürlich auf dasselbe hinausläuft)
Das Ergebnis ist 5.

Zählt man auf diese Weise $7 + 8$ zusammen, erhält man 3. Denn 3 ist
der Rest, wenn man 15 (also $7 + 8$) durch 12 teilt.  Um 5 mit 7 zu
multiplizieren, beginnt man bei 0 und dreht 7 mal jeweils um 5 Striche
weiter (oder auch bei 0 beginnend 5 mal um 7 Striche). In beiden
Fällen bleibt der Zeiger bei 11 stehen. Denn 11 ist der Rest, wenn 35
(also $7 * 5$) durch 12 geteilt wird.

\clearpage
%% Original page 54

Beim Rechnen mit Restklassen addieren und teilen Sie Zahlen also nach
den normalen Regeln der Alltagsarithmetik, verwenden dabei jedoch
immer nur den Rest nach der Teilung. Um anzuzeigen, dass Sie nach den
Regeln der Modulo-Arithmetik und nicht nach denen der üblichen
Arithmetik rechnen, schreibt man den Modul (Sie wissen schon -- den
Teiler) dazu. Man sagt dann z.B. "`4 modulo 5"',
schreibt aber kurz "`$4 \bmod 5$"'. 

Bei Modulo-5 z.B. hat man dann eine Uhr, auf deren
Zifferblatt es nur die 0, 1, 2, 3 und 4 gibt. Also:

\[ 4 \bmod 5 + 3 \bmod 5 = 7 \bmod 5 = 2 \bmod 5 \]

Anders ausgedrückt, ist in der Modulo-5 Arithmetik das Ergebnis
aus 4 plus 3 gleich 2. Sie können also auch schreiben:

\[ 9 \bmod 5 + 7 \bmod 5 = 16 \bmod 5 = 1 \bmod 5 \]

Sie sehen auch, dass es egal ist, in welcher Reihenfolge Sie
vorgehen, weil Sie nämlich auch schreiben können:

\[ 9 \bmod 5 + 7 \bmod5 = 4 \bmod 5 + 2 \bmod 5 = 6 \bmod 5 =
   1 \bmod 5                                                   \]

Denn 4 ist dasselbe wie 9, und 2 dasselbe wie 7, da Sie sich ja nur für
den jeweiligen Rest nach der Teilung durch 5 interessieren.  Daran
wird deutlich, dass Sie bei dieser Art der Arithmetik jederzeit 5 oder
ein Vielfaches von 5, wie 10, 15 und so weiter nehmen können, und das
Ergebnis stets dasselbe ist.


\clearpage
%% Original page 55
Das funktioniert auch beim Multiplizieren (Malnehmen).

Ein Beispiel:

\[ 4 \bmod 5 * 2 \bmod 5 = 8 \bmod 5 = 3 \bmod 5  \]

Ebenso können Sie schreiben:

\[ 9 \bmod 5 * 7 \bmod 5 = 63 \bmod 5 = 3 \bmod 5 \]

da Sie einfach 60, also $5 * 12$, abziehen können.

Man könnte aber auch schreiben:

\[ 9 \bmod 5 * 7 \bmod 5 = 4 \bmod 5 * 2 \bmod 5 = 8 \bmod 5 = 3 \bmod
5 \]

denn 4 entspricht 9, und 2 entspricht 7, wenn Sie nur den Rest
nach Teilung durch 5 betrachten.

Widerum können Sie feststellen, dass es egal ist, wenn Sie das Vielfache
von 5 einfach weglassen.

Da dadurch alles einfacher wird, machen Sie das, bevor Sie
Zahlen addieren oder multiplizieren. Das bedeutet, dass Sie sich
lediglich um die Zahlen 0, 1, 2, 3 und 4 kümmern müssen, wenn
Sie mit der Modulo-5 Arithmetik rechnen. Denn Sie können ja
alles, was durch 5 teilbar ist, weglassen.
Dazu noch drei Beispiele:

\[ 5 \bmod 11 * 3 \bmod 11 = 15 \bmod 11 = 4 \bmod 11 \]
\[ 2 \bmod 7 * 4 \bmod 7 = 1 \bmod 7                  \]
\[ 13 \bmod 17 * 11 \bmod 17 = 7 \bmod 17             \]

Das letzte Beispiel wird klar, wenn man bedenkt, dass in normaler
Arithmetik gerechnet $ 13 * 11 = 143 $ und $ 143 = 8 * 17 + 7 $ ist.


\clearpage
%% Original page 56
\section{RSA-Algorithmus und Rechnen mit Restklassen}

Computer speichern Buchstaben als Zahlen. Alle Buchstaben und Symbole
auf der Computertastatur werden in Wirklichkeit als Zahlen
gespeichert, die zwischen 0 und 255 liegen.

Sie können also eine Nachricht auch in eine Zahlenfolge umwandeln.
Nach welcher Methode (oder Algorithmus) dies geschieht, wird im
nächsten Abschnitt beschrieben. Darin wird Ihnen die Methode
vorgestellt, nach der die Verschlüsselung mit GnuPG funktioniert: den
RSA Algorithmus. Dieser Algorithmus wandelt eine Zahlenfolge (die ja
eine Nachricht darstellen kann) so in eine andere Zahlenfolge um
(Transformation), dass die Nachricht dabei verschlüsselt wird. Wenn
man dabei nach dem richtigen Verfahren vorgeht, wird die Nachricht
sicher kodiert und kann nur noch vom rechtmäßigen Empfänger dekodiert
werden.  Das sind die Grundlagen des RSA Algorithmus:

Sie selbst haben bei der Installation von Gpg4win während der Eingabe
Ihrer Passphrase zwei große Primzahlen erzeugt, ohne es zu
bemerken (dieser werden mit $p$ und $q$ bezeichnet). Nur Sie --­ oder
in der Praxis Ihr Computer --­ kennen diese beiden Primzahlen, und Sie
müssen für ihre Geheimhaltung sorgen.

%% Original page 57
Es werden daraus nun drei weitere Zahlen erzeugt:
\begin{description}
\item [Die erste Zahl] ist das Ergebnis der Multiplikation der beiden
  Primzahlen, also ihr Produkt.  Dieses Produkt wird als Modulus und
  dem Buchstaben $n$ bezeichnet.  Dies ist der Modul mit dem Sie
  später immer rechnen werden.

\item [Die zweite Zahl] ist der sogenannte öffentliche Exponent und
  eine Zahl an die bestimmte Anforderungen gestellt werden
  (teilerfremd zu $(p-1)(q-1)$); sie wird mit $e$ bezeichnet. Häufig
  wird hier 3, 41 oder 65537 benutzt.

\item [Die dritte Zahl] wird errechnet aus dem öffentlichem Exponent
  (der zweiten Zahl) und den beiden Primzahlen. Diese Zahl ist der
  geheime Exponent und wird mit $d$ bezeichnet.  Die komplizierte
  Formel zur Berechnung lautet:
      \[ d = e^{-1} \bmod (p - 1)(q -1) \]
\end{description}


Die erste und die zweite Zahl werden veröffentlicht ­-- das ist Ihr
öffentlicher Schlüssel.  Beide werden dazu benutzt, Nachrichten zu
verschlüsseln. Die dritte Zahl muss von Ihnen geheimgehalten werden
­-- es ist Ihr geheimer Schlüssel.  Die beiden Primzahlen werden
danach nicht mehr benötigt.

Wenn eine verschlüsselte Nachricht empfangen wird, kann sie
entschlüsselt werden mit Hilfe der ersten ($n$) und der dritten Zahl
($d$).  Nur der Empfänger kennt beide Schlüsselteile ­-- seinen
öffentlichen und seinen geheimen Schlüssel. Der Rest der Welt kennt
nur den öffentlichen Schlüssel ($n$ und $e$).

Die Trick des RSA Algorithmus liegt nun darin, dass es unmöglich ist,
aus dem öffentlichen Schlüsselteil ($n$ und $e$) den geheimen
Schlüsselteil ($d$) zu errechnen und damit die Botschaft zu
entschlüsseln -- denn: Nur wer im Besitz von $d$ ist, kann die
Botschaft entschlüsseln.


\clearpage 
%% Original page 58
\section{RSA Verschlüsselung mit kleinen Zahlen}

Sie verwenden hier erst einmal kleine Zahlen, um deutlich
zu machen, wie die Methode funktioniert. In der Praxis verwendet
man jedoch viel größere Primzahlen, die aus ­zig Ziffern bestehen.

Nehmen Sie die Primzahlen 7 und 11. Damit verschlüsseln Sie
Zahlen ­-- oder Buchstaben, was für den Computer dasselbe ist --
nach dem RSA Algorithmus.

Und zwar erzeugen Sie zunächst den öffentlichen Schlüssel.

\begin{description}
\item [Die erste Zahl] ist 77, nämlich das Ergebnis der Multiplikation
  der beiden Primzahlen, 7 und 11. 77 dient Ihnen im weiteren Verlauf
  als Modulus zur Ver- und Entschlüsselung.

\item [Die zweite Zahl] ist der öffentliche Exponent. Sie wählen hier 13.

\item [Die dritte Zahl] ist der geheime Schlüssel. Diese Zahl wird in einem
  komplizierten Verfahren errechnet, welches Sie jetzt erklärt
  bekommen:

Zunächst ziehen Sie von Ihren Primzahlen 7 und 11 jeweils die Zahl 1
ab (also $7 - 1$ und $11 - 1$) und multiplizieren die beiden
resultierenden Zahlen miteinander. In dem Beispiel ergibt das 60:
$( 7 - 1 ) * ( 11 - 1) = 60$. 60 ist Ihre Modulzahl für die
weiterführende Berechnung des geheimen Schlüssels (sie ist aber nicht
mit dem eigentlichen Modulus 77 zu verwechseln).

Sie suchen jetzt eine Zahl, die multipliziert mit dem öffentlichen
Schlüssel die Zahl 1 ergibt, wenn man mit dem Modul 60 rechnet:

\[ 13 \bmod 60 *~?~\bmod 60 = 1 \bmod 60 \]

Die einzige Zahl, die diese Bedingung erfüllt, ist 37, denn

\[ 13 \bmod 60 * 37 \bmod 60 = 481 \bmod 60 = 1 \bmod 60 \]

37 ist die einzige Zahl, die multipliziert mit 13 die Zahl 1 ergibt,
wenn man mit dem Modul 60 rechnet.

\end{description}


\clearpage
%% Original page  59
\subsubsection{Sie verschlüsseln mit dem öffentlichen Schlüssel eine Nachricht}

Nun zerlegen Sie die Nachricht in eine Folge von Zahlen zwischen 0 und
76, also 77 Zahlen, denn sowohl Verschlüsselung als auch
Entschlüsselung verwenden den Modul 77 (das Produkt aus den Primzahlen
7 und 11).

Jede einzelne dieser Zahlen wird nun nach der Modulo-77 Arithmetik 13
mal mit sich selbst multipliziert. Sie erinnern sich: Die 13 ist ja
Ihr öffentlicher Schlüssel.

Nehmen Sie ein Beispiel mit der Zahl 2: Sie wird in die Zahl 30
umgewandelt, weil
 $ 2 * 2 * 2 * 2 * 2 * 2 * 2 * 2 * 2 * 2 * 2 * 2 * 2 * 2
 = 8192 = 30 \bmod 77 $ sind.

 Ein weiteres Beispiel: 75 wird in die Zahl 47 umgewandelt, denn 75
 wird 13 mal mit sich selbst multipliziert und durch 77 geteilt, so
 dass der Rest 47 entsteht.

Wenn man eine solche Rechnung für alle Zahlen zwischen 0 und 76
durchführt und die Ergebnisse in eine Tabelle einsetzt, sieht diese so
aus:

\W\xmlattributes*{table}{BORDER}
\htmlattributes*{td}{BGCOLOR="gray"}
\begin{table}[htbp]
\begin{center}
\begin{Label}{table1}
\begin{tabular}{|r||r|r|r|r|r|r|r|r|r|r|}
\hline
\bf \T\cellcolor{gray}
&\bf 0&\bf 1&\bf 2&\bf 3&\bf 4&\bf 5&\bf 6&\bf 7& \bf 8&\bf 9\\
\hline
\hline
\bf 0& 0& 1& 30& 38& 53& 26& 62& 35& 50& 58\\
\hline
\bf 10& 10& 11& 12& 41& 49& 64& 37& 73& 46& 61\\
\hline
\bf 20& 69& 21& 22& 23& 52& 60& 75& 48& 7& 57\\
\hline
\bf 30& 72& 3& 32& 33& 34& 63& 71& 9& 59& 18\\
\hline
\bf 40& 68& 6& 14& 43& 44& 45& 74& 5& 20& 70\\
\hline
\bf 50& 29& 2& 17& 25& 54& 55& 56& 8& 16& 31\\
\hline
\bf 60& 4& 40& 13& 28& 36& 65& 66& 67& 19& 27\\
\hline
\bf 70& 42& 15& 51& 24& 39& 47& 76
\htmlattributes*{td}{BGCOLOR="gray"} & \T\cellcolor{gray}
\htmlattributes*{td}{BGCOLOR="gray"} & \T\cellcolor{gray}
\htmlattributes*{td}{BGCOLOR="gray"} & \T\cellcolor{gray}
\T\\
\hline
\end{tabular}
\texorhtml{\caption}{\htmlcaption}{~}
\end{Label}\end{center}
\end{table}

In der linken Spalte stehen die 10er-Stellen, in der oberen Zeile die
1er-Stellen.

\clearpage
%% Original page 60
\subsubsection{Entschlüsseln Sie eine Nachricht mit dem privaten Schlüssel}

Um das Beispiel mit der 2 von oben umzukehren, also die Nachricht zu
dekodieren, multiplizieren Sie 30 (die umgewandelte 2) 37 mal mit sich selbst.
Das Ergebnis wird modulo der Modulzahl 77 gerechnet. Sie erinnern
sich: 37 ist der geheime Schlüssel.

Diese wiederholte Multiplikation ergibt eine Zahl die $2 \bmod 77$
ist. Das andere Beispiel: Die Zahl $47 \bmod 77$ wird zur Zahl $75
\bmod 77$ dekodiert.

Tabelle \ref{table2} zeigt die genaue Zuordnung der 77 Zahlen zwischen 0 und 76.

\W\xmlattributes*{table}{BORDER}
\htmlattributes*{td}{BGCOLOR="gray"}
\begin{table}[htbp]
\begin{center}
\begin{Label}{table2}
\begin{tabular}{|r||r|r|r|r|r|r|r|r|r|r|}
\hline
\bf \T\cellcolor{gray}
&\bf 0&\bf 1&\bf 2&\bf 3&\bf 4&\bf 5&\bf 6&\bf 7& \bf 8&\bf 9\\
\hline
\hline
\bf 0& 0& 1& 51& 31& 60& 47& 41& 28& 57& 37\\
\hline
\bf 10& 10& 11& 12& 62& 42& 71& 58& 52& 39& 68\\
\hline
\bf 20& 48& 21& 22& 23& 73& 53& 5& 69& 63& 50\\
\hline
\bf 30& 2& 59& 32& 33& 34& 7& 64& 16& 3& 74\\
\hline
\bf 40& 61& 13& 70& 43& 44& 45& 18& 75& 27& 14\\
\hline
\bf 50& 8& 72& 24& 4& 54& 55& 56& 29& 9& 38\\
\hline
\bf 60& 25& 19& 6& 35& 15& 65& 66& 67& 40& 20\\
\hline
\bf 70& 49& 36& 30& 17& 46& 26& 76
\htmlattributes*{td}{BGCOLOR="gray"} & \T\cellcolor{gray}
\htmlattributes*{td}{BGCOLOR="gray"} & \T\cellcolor{gray}
\htmlattributes*{td}{BGCOLOR="gray"} & \T\cellcolor{gray}
\T\\
\hline
\end{tabular}
\texorhtml{\caption}{\htmlcaption}{Zahlentransformation modulo77, unter Verwendung
des geheimen Schlüssels 37}
\end{Label}\end{center}
\end{table}


Um eine Zahl mit Tabelle \ref{table2} zu transformieren, gehen Sie nach der
gleichen Methode vor wie bei Tabelle~\ref{table1}. Ein Beispiel: 60 wird
transformiert in die Zahl in Zeile 60 und Spalte 0. Also wird 60 zu 25
transformiert.

Das überrascht nicht, denn wenn man davon ausgeht, dass Sie bei der
Umwandlung von 25 mit Hilfe von Tabelle~\ref{table1} als Ergebnis 60 erhalten,
dann sollten Sie auch bei der Transformation von 60 mit Hilfe von
Tabelle \ref{table2} zum Ergebnis 25 gelangen. Dabei haben Sie den öffentlichen
Schlüssel, 13, zur Umwandlung bzw. Kodierung einer Zahl verwendet,
und den geheimen Schlüssel 37, um sie zurückzuwandeln bzw. zu
dekodieren. Sowohl für die Verschlüsselung als auch für die
Entschlüsselung haben Sie sich der Modulo-77 Arithmetik bedient.

\clearpage
%% Original page 61
\subsubsection{Zusammenfassung}

Sie haben\ldots
\begin{itemize}
\item durch den Computer zwei zufällige Primzahlen erzeugen lassen;

\item daraus das Produkt und den öffentlichen und den geheimen Subkey
  gebildet;

\item gezeigt, wie man mit dem öffentlichen Schlüssel Nachrichten
  verschlüsselt;

\item gezeigt, wie man mit dem geheimen Schlüssel Nachrichten
  entschlüsselt.
\end{itemize}

Diese beiden Primzahlen können so groß gewählt werden, dass es
unmöglich ist, sie einzig aus dem öffentlich bekannt gemachten Produkt
zu ermitteln. Das begründet die Sicherheit des RSA Algorithmus.

Sie haben gesehen, dass die Rechnerei sogar in diesem einfachen
Beispiel recht kompliziert geworden ist. In diesem Fall hat die
Person, die den Schlüssel öffentlich gemacht hat, die Zahlen 77 und 13
als öffentlichen Schlüssel bekanntgegeben.  Damit kann jedermann dieser
Person mit der oben beschriebenen Methode --­ wie im Beispiel der
Tabelle~\ref{table1} --­ eine verschlüsselte Zahl oder Zahlenfolge schicken. Der
rechtmäßige Empfänger der verschlüsselten Zahlenfolge kann diese dann
mit Hilfe der Zahl 77 und dem geheimen Schlüssel 37 dekodieren.

%% Original page 62
In diesem einfachen Beispiel ist die Verschlüsselung natürlich nicht
sonderlich sicher. Es ist klar, dass 77 das Produkt aus 7 und 11 ist.

Folglich kann man den Code in diesem einfachen Beispiel leicht
knacken. Der scharfsinnige Leser wird auch bemerkt haben, dass etliche
Zahlen, z.B. die Zahl 11 und ihr Vielfaches (also 22, 33 etc.)
und die benachbarten Zahlen sich in sich selbst umwandeln.

\W\xmlattributes*{table}{BORDER}
\htmlattributes*{td}{BGCOLOR="gray"}
\begin{table}[htbp]
\begin{center}
\begin{Label}{table3}
\begin{tabular}{|r||r|r|r|r|r|r|r|r|r|r|}
\hline
\bf \T\cellcolor{gray}
&\bf 0&\bf 1&\bf 2&\bf 3&\bf 4&\bf 5&\bf 6&\bf 7& \bf 8&\bf 9\\
\hline
\hline
\bf 0& 0& 1& 51& 31& 60& 47& 41& 28& 57& 37\\
\hline
\bf 10
\htmlattributes*{td}{BGCOLOR="lightgray"} & \T\cellcolor{lightgray}
10 \htmlattributes*{td}{BGCOLOR="lightgray"} & \T\cellcolor{lightgray}
11 \htmlattributes*{td}{BGCOLOR="lightgray"} & \T\cellcolor{lightgray}
12& 62& 42& 71& 58& 52& 39& 68\\
\hline
\bf 20& 48 \htmlattributes*{td}{BGCOLOR="lightgray"} & \T\cellcolor{lightgray}
21 \htmlattributes*{td}{BGCOLOR="lightgray"} & \T\cellcolor{lightgray}
22 \htmlattributes*{td}{BGCOLOR="lightgray"} & \T\cellcolor{lightgray}
23& 73& 53& 5& 69& 63& 50\\
\hline
\bf 30& 2& 59
\htmlattributes*{td}{BGCOLOR="lightgray"} & \T\cellcolor{lightgray}
32 \htmlattributes*{td}{BGCOLOR="lightgray"} & \T\cellcolor{lightgray}
33 \htmlattributes*{td}{BGCOLOR="lightgray"} & \T\cellcolor{lightgray}
34& 7& 64& 16& 3& 74\\
\hline
\bf 40& 61& 13& 70 \htmlattributes*{td}{BGCOLOR="lightgray"} & \T\cellcolor{lightgray}
43 \htmlattributes*{td}{BGCOLOR="lightgray"} & \T\cellcolor{lightgray}
44 \htmlattributes*{td}{BGCOLOR="lightgray"} & \T\cellcolor{lightgray} 
45& 18& 75& 27& 14\\
\hline
\bf 50& 8& 72& 24& 4 \htmlattributes*{td}{BGCOLOR="lightgray"} & \T\cellcolor{lightgray}
54 \htmlattributes*{td}{BGCOLOR="lightgray"} & \T\cellcolor{lightgray}
55 \htmlattributes*{td}{BGCOLOR="lightgray"} & \T\cellcolor{lightgray} 
56& 29& 9& 38\\
\hline
\bf 60& 25& 19& 6& 35& 15 \htmlattributes*{td}{BGCOLOR="lightgray"} & \T\cellcolor{lightgray}
65 \htmlattributes*{td}{BGCOLOR="lightgray"} & \T\cellcolor{lightgray}
66 \htmlattributes*{td}{BGCOLOR="lightgray"} & \T\cellcolor{lightgray} 
67& 40& 20\\
\hline
\bf 70& 49& 36& 30& 17& 46& 26& 76
\htmlattributes*{td}{BGCOLOR="gray"} & \T\cellcolor{gray}
\htmlattributes*{td}{BGCOLOR="gray"} & \T\cellcolor{gray}
\htmlattributes*{td}{BGCOLOR="gray"} & \T\cellcolor{gray}
\T\\
\hline
\end{tabular}
\texorhtml{\caption}{\htmlcaption}{~}
\end{Label}\end{center}
\end{table}



\clearpage

Das erscheint als ein weiterer Schwachpunkt dieser
Verschlüsselungsmethode: Man könnte annehmen, dass die Sicherheit des
Algorithmus dadurch beeinträchtigt würde.  Doch stellen Sie sich nun
vor, das Produkt zweier grosser Primzahlen, die auf absolut
willkürliche Art und Weise gewählt werden, ergäbe


\begin{verbatim}
114,381,625,757,888,867,669,235,779,976,146,612,010,
218,296,721,242,362,562,561,842,935,706,935,245,733,
897,830,597,123,563,958,705,058,989,075,147,599,290,
026,879,543,541
\end{verbatim}

%% Original page 63
Hier ist überhaupt nicht mehr ersichtlich, welche die beiden zugrunde
liegenden Primzahlen sind. Folglich ist es sehr schwierig, aufgrund
des öffentlichen Schlüssels den geheimen Schlüssel zu ermitteln.
Selbst den schnellsten Computern der Welt würde es gewaltige Probleme
bereiten, die beiden Primzahlen zu errechnen.

Man muss die Primzahlen also nur groß genug wählen, damit ihre
Berechnung aus dem Produkt so lange dauert, dass alle bekannten
Methoden daran in der Praxis scheitern.  Außerdem nimmt der Anteil der
Zahlen, die in sich selbst transformiert werden --­ wie man sie oben
in den Tabellen~\ref{table1} und \ref{table2} findet -- stetig ab, je größer die
Primzahlen werden.  Von Primzahlen in der Grössenordnung, die Sie in der
Praxis bei der Verschlüsselung verwenden, ist dieser Teil ist so
klein, dass der RSA Algorithmus davon in keiner Weise beeinträchtigt
wird.

Je größer die Primzahlen, desto sicherer die Verschlüsselung.
Trotzdem kann ein normaler PC ohne weiteres das Produkt aus den beiden
großem Primzahlen bilden. Kein Rechner der Welt dagegen kann aus
diesem Produkt wieder die ursprünglichen Primzahlen herausrechnen --­
jedenfalls nicht in vertretbarer Zeit.


\clearpage
%% Original page 64
\section{Die Darstellung mit verschiedenen Basiszahlen
\htmlonly{\html{br}\html{br}} }

Um zu verstehen, wie Nachrichten verschlüsselt werden, sollte man
wissen, wie ein Computer Zahlen speichert und vor allem, wie sie in
unterschiedlichen Zahlenbasen dargestellt werden können.

Dazu machen Sie sich zunächst mit den Zahlenpotenzen vertraut.

Zwei hoch eins, das man als $2^1$ darstellt, ist gleich 2;
zwei hoch drei, dargestellt als $2^3$, ist $2 * 2 * 2 = 8$; zwei
hoch zehn, dargestellt als $2^{10}$, ist $2*2*2*2*2*2*2*2*2*2 = 1024$.

Jede Zahl hoch 0 ist gleich 1, z.B. $2^0 = 1$ und $5^0 = 1$.
Verallgemeinert bedeutet dies, dass eine potenzierte Zahl so oft mit
sich selbst multipliziert wird, wie es die Hochzahl (Potenz) angibt.

Das Konzept einer Zahlenbasis veranschaulicht z.B. ein
Kilometerzähler im Auto: Das rechte Rad zählt nach jedem
Kilometer eine Stelle weiter und zwar nach der vertrauten Abfolge
der Zahlen

0, 1, 2, 3, 4, 5, 6, 7, 8, 9, 0, 1, 2,...

und so weiter. Jedesmal, wenn das rechte Rad wieder 0 erreicht, zählt
das Rad links davon eine Stelle hoch. Und jedesmal, wenn dieses zweite
Rad die 0 erreicht, erhöht das Rad links davon um eins \ldots und so
weiter.

%% Original page 65

\begin{center}
\htmlattributes*{img}{width=300}
\IncludeImage[width=0.4\textwidth]{mileage-indicator}
\end{center}

Das rechte Rad zählt die einzelnen Kilometer. Wenn es eine 8
angezeigt, dann sind dies 8 Kilometer. Das Rad links davon zeigt
jeweils die vollen zehn Kilometer an: eine 5 bedeutet 50 Kilometer.
Dann folgen die Hunderter: Steht dort 7, dann bedeutet dies 700
Kilometer.

Nach dem gleichen Prinzip stellen Sie ja auch Ihre normale Zahlen
mit den Ziffern 0 bis 9 dar.

"`578"', z.B., bedeutet $5 * 10^2 + 7 * 10^1 + 8 * 10^0 = 500 + 70 + 8$, und dies
entspricht 578.

Hier haben Sie die "`5"' stellvertretend für fünfhundert, "`7"' für
siebzig und "`8"' für acht. In diesem Fall ist die Basis 10, eine für
Sie vertraute Basis.

Also steht die rechte Ziffer für die Einer der betreffenden Zahl (d.h.
sie wird mit 1 multipliziert), die Ziffer links davon steht für die
Zehner (d.h. wird mit 10 multipliziert), die nächste Ziffer wiederum
für die Hunderter (d.h. sie wird mit 100 multipliziert) und so weiter.
Da man Zahlen normalerweise zur Basis 10 darstellen, machen Sie sich
nicht die Mühe, die Basis extra anzugeben. Formal würde man dies bei
der Zahl 55 mit der Schreibweise $55_{10}$ anzeigen, wobei die
tiefgestellte Zahl die Basis anzeigt.

Wenn Sie Zahlen nicht zur Basis 10 darstellen, so müssen Sie dies mit Hilfe
einer solchen tiefgestellten Basiszahl anzeigen.


%% Original page 66
Angenommen, die Anzeige des Kilometerzählers hätte statt der Ziffern 0
bis 9 nur noch 0 bis 7. Das rechte Rädchen würde nach jedem Kilometer
um eine Ziffer höher zählen, wobei die Zahlenfolge so aussehen würde:

\[ 0, 1, 2, 3, 4, 5, 6, 7, 0, 1, 2, ... \]

Ihr Tacho zur Basis 8 stellt z.B. folgende Zahl dar:

\[ 356 \]

Die 6 auf dem rechten Rädchen zählt einzelne Kilometer, also $6*8^0=6$
Kilometer.\\
Die 5 auf dem Rädchen daneben für $5 * 8^1$, also 40 Kilometer.\\
Die 3 links steht für je 64 Kilometer pro Umdrehung, also hier
$3 * 8^2$ Kilometer.

So rechnet man also mit Zahlen zur Basis 8. Ein Beispiel: 728 bedeutet
$7 * 8^1 + 2 * 8^0$, und das ist gleich "`58"'. Bei dieser Art der Darstellung
steht die "`2"' aus der 72 für 2, aber die "`7"' steht für $7 * 8$.

Größere Zahlen werden schrittweise genauso aufgebaut, so dass
$453_8$ eigentlich $4 * 64 + 5 * 8 + 3$ bedeutet, was $299_{10}$ ergibt.

Bei $453_8$ steht die "`3"' für 3, die "`5"' für $5 * 8$ und die "`4"'
für $4 * 64$, wobei sich die "`64"' wiederum aus $8 * 8$ herleitet.

Im angeführten Beispiel werden die Ziffern, von rechts nach links
gehend, mit aufsteigenden Potenzen von 8 multipliziert. Die rechte
Ziffer wird mit 8 hoch 0 (das ist 1) multipliziert, die links daneben
mit 8 hoch 1 (das ist 8), die nächste links davon mit
8 hoch 2 (das ist 64) und so weiter.\\
Wenn man Zahlen zur Basis 10 darstellt, gibt es keine höhere Ziffer
als 9 (also 10 minus 1). Sie verfügen also über keine Ziffer, die 10
oder eine größere Zahl darstellt. Um 10 darzustellen, brauchen Sie
zwei Ziffern, mit denen Sie dann die "`10"' schreiben können.\\
Sie haben also nur die Ziffern 0 bis 9.

So ähnlich ist es, wenn Sie mit
der Basiszahl 8 rechnen: Dann haben Sie nur die Ziffern 0 bis 7.
Wollen Sie zu dieser Basis eine höhere Zahl als sieben darstellen,
müssen Sie wieder zwei Ziffern verwenden. Z.B. "`9"' schreibt
man als $11_8$, "`73"' schreibt man als $111_8$.


\clearpage
%% Original page 67

Computer speichern Zahlen als eine Folge von Nullen und Einsen.
Man nennt dies Binärsystem oder Rechnen mit der Basiszahl 2,
weil Sie nur die Ziffern 0 und 1 verwenden. Stellen Sie sich vor,
Sie würden die Kilometer mit einem Tachometer zählen, auf
dessen Rädchen sich nur zwei Ziffern befinden: 0 und 1.
Die Zahl $10101_2$ z.B. bedeutet im Binärsystem

\[ 1*2^4+0*2^3+1*2^2+0*2^1+1*2^0 = 1 * 16 + 0 * 8 + 1 * 4 + 0 * 2 + 1 = 21 \].

In der Computerei verwendet man auch Gruppen von acht Binärziffern,
das wohlbekannte Byte. Ein Byte kann Werte zwischen 0 - dargestellt
als Byte $00000000_2$ -- und 255 -- dargestellt als Byte
$11111111_2$ -- annehmen. Ein Byte stellt also Zahlen zur Basis $2^8 = 256$
dar.

Zwei weitere Beispiele:

\[ 10101010_2 = 170 \] und
\[ 00000101_2 = 5 \].

Da der Computer die Buchstaben, Ziffern und Satzzeichen als Bytes
speichert, schauen Sie sich an, welche Rolle dabei die Darstellung zur
Basis 256 spielt.


\clearpage
%% Original page 68
Nehmen Sie die Silbe "`un"'. Das "`u"' wird im Computer als 117
gespeichert und das "`n"' als 110.

Diese Zahlenwerte sind für alle Computer standardisiert und werden
ASCII-Code genannt. Um alle Zahlen und Symbole darstellen zu können,
benötigen Sie auf dem Computer die 256 Zahlen von 0 bis 255.

Sie können also die Silbe "`un"' durch die Zahl $117 * 256 + 110$
darstellen.\\
Entsprechend würde man die Buchstabenfolge "`und"' mit der Zahl $117 *
65536 + 110 * 256 + 100$ darstellen, denn das "`d"' wird
durch 100 repräsentiert.\\
Sie haben hier also Zahlen und Symbole, die auf der Computertastatur
als normale Zahlen zur Basis 10 stehen, intern durch Zahlen zur Basis
256 repräsentiert.

Entsprechend können Sie aus jeder Nachricht eine große Zahl machen.
Aus einer langen Nachricht wird also eine gewaltig große Zahl. Und
diese sehr große Zahl wollen Sie nun nach dem RSA Algorithmus
verschlüsseln.

Sie dürfen allerdings dabei die Zahl, zu der die Nachricht
verschlüsselt wird, nicht größer werden lassen als das Produkt der
Primzahlen (Modulus). Ansonsten bekommen Sie Probleme, wie Sie gleich
noch sehen werden.


\clearpage
%% Original page 69

Die folgende Prozedur umfasst mehrere Schritte, die hier zunächst 
zusammengefasst werden und anschließend in Einzelschritten dargestellt
werden:

\begin{enumerate}
\item Die Nachricht \emph{aba, cad, ada} wandeln Sie -- wie gesehen -- in
  Zahlen um.
\item Diese Darstellung, beispielhaft zur Basis $2^2=4$ (statt
    $2^8=256$), wandeln Sie in eine Darstellung
  zur Basis 10 um, damit Sie zur Verschlüsselung die
  Tabelle~\ref{table1}
  benutzen können, in denen die Zahlen ja auch auf 10er-Basis
  dargestellt werden.  Dabei entsteht eine kodierte Nachricht zur
  Basis 10.

\item Um die Kodierung im Vergleich zum "`Klartext"' zu erkennen,
  rechnen Sie die zur Basis 10 kodierte Nachricht auf die Basis 4
  zurück und wandeln sie dann wieder in eine Buchstabensequenz.

\item So entsteht aus der Nachricht \emph{aba, cad, ada} die verschlüsselte
  Nachricht \emph{dbb, ddd, dac}.
\end{enumerate}


\clearpage
%% Original page 70

Und nun ausführlich:

\begin{enumerate}
    \item Die Nachricht \emph{aba, cad, ada} wandeln Sie -- wie gesehen --
        in Zahlen um.

Angenommen, Sie beschränken sich bei den Nachrichten auf die 4
Buchstaben a, b, c und d. In diesem -- wirklich sehr einfachen --
Beispiel können Sie die vier Buchstaben durch die Zahlenwerte 0, 1, 2
und 3 darstellen, und haben dann

\[ a = 0, b = 1, c = 2 ~\mbox{und}~ d = 3 \].

Verschlüsseln Sie nun die Nachricht "`abacadaca"'. Sie kodieren
diese Nachricht mit Hilfe der Primzahlen 7 und 11, mit dem
öffentlichen Schlüssel 77 und 13 und dem dazugehörenden geheimen
Schlüssel 37.  Dieses Beispiel kennen Sie bereits aus dem früheren
Kapitel: Sie haben damit die Tabellen~\ref{table1} und \ref{table2} konstruiert.

\item Diese Darstellung zur Basis 4 wandeln Sie in eine Darstellung zur
Basis 10 um. Damit können Sie zur Verschlüsselung die Tabelle~\ref{table1} benutzen,
in denen die Zahlen ja auch auf 10er-Basis dargestellt werden.

Weil Sie vier Buchstaben für die Nachricht verwenden, rechnen Sie zur
Basis 4. Für die Rechnung modulo 77 müssen Sie die Nachricht in Stücke
von je drei Zeichen Länge zerlegen, weil die größte dreiziffrige Zahl
zur Basis 4 die $333_4$ ist. Zur Basis 10
hat diese Zahl den Wert 63.

Würden Sie stattdessen die Nachricht in vier Zeichen lange Stücke
zerlegen, würde $3333_4$ den Wert $76_{10}$ übersteigen und es
würden unerwünschte Doppeldeutigkeiten entstehen.\\
Folglich würde die Nachricht in dreiziffrigen Stücken nun 

\[ aba, cad, aca \]

ergeben. Geben Sie den Zeichen nun ihre Zahlenwerte und vergessen
dabei nicht, dass die Stücke dreiziffrige Zahlen zur Basis 4
darstellen.


%% Original page 71
Da Sie die Buchstaben durch die Zahlen a = 0, b = 1, c = 2, d
= 3 darstellen, wird die Nachricht zu:

\[ 010_4, 203_4, 020_4 \]

Zur Basis 10 wird diese Nachricht durch die Zahlenfolge 4, 35,
8 dargestellt. Warum? Nehmen Sie z.B. das mittlere
Stück $203_4$:

\T\begin{eqnarray*}
\W\begin{tabular}{rrr}
 3 * 4^0, & ~\mbox{also}~ 3 * 1, & ~\mbox{also}~ 3. \\
 0 * 4^1, & ~\mbox{also}~ 0 * 4, & ~\mbox{also}~ 0. \\
 2 * 4^2, & ~\mbox{also}~ 2 * 16, & ~\mbox{also}~ 32.\\
\W\end{tabular}
\T\end{eqnarray*}


% The next clearpage is just to over come a problem with the PDF
% file.  Without it the footer logo is not correctly rendered, instead
% a tiny image of the next graphic is shown.  The clearpage somehow
% solves it.



\clearpage
\item Jetzt können Sie zur Verschlüsselung die Tabelle~\ref{table1}
    von Seite \pageref{table1} benutzen, die ja
zur Basis 10 berechnet wurde. Diese Tabelle benutzen wir, weil Sie mit
dem schon bekannten Schlüsselpaar arbeiten wollen. Dabei entsteht eine
kodierte Nachricht zur Basis 10.

Zum Verschlüsseln der Nachricht nehmen Sie jetzt die o.g.
Tabelle~\ref{table1} zur Hilfe.
Die Nachricht wird nun zu der Zahlenfolge 53, 63, 50 (zur Basis 10).


%% Original page 72
\item Wiederum zur Basis 4 konvertiert, entsteht die verschlüsselte
Nachricht.

Wird sie nun wieder zur Basis 4 konvertiert, ergibt die Nachricht nun
$311_4, 333_4, 302_4$.  Konvertiert man diese zu einer
Buchstabensequenz, erhält man dbb, ddd, dac, was sich nun erheblich
von der ursprünglichen Nachricht unterscheidet.

Man kehrt nun also den Prozeß um und transformiert die Zahlenfolge 53,
63, 50 mit Tabelle~\ref{table2} und erhält die Sequenz 4, 35, 8. Und das
entspricht, als Zahlenfolge genau der ursprünglichen Nachricht.

Anhand der Tabellen \ref{table1} und \ref{table2} können Sie ebensogut Nachrichten unter
Verwendung des geheimen Schlüssels (d.h. erst Tabelle~\ref{table2} benutzen)
verschlüsseln, dann mit dem öffentlichen Schlüssel (d.h.
Tabelle~\ref{table1} als
zweites benutzen) dekodieren und damit Ihre ursprüngliche Zahl
wieder herstellen. Das bedeutet, dass der Inhaber des geheimen
Schlüssels damit Nachrichten unter Verwendung des RSA Algorithmus
verschlüsseln kann.  Damit ist bewiesen, dass sie eindeutig nur von
ihm stammen können.
\end{enumerate}

\clearpage
%% Original page 73
\subsubsection{Fazit:}

Wie Sie gesehen haben, ist die ganze Angelegenheit zwar im Detail
kompliziert, im Prinzip aber durchaus nachvollziehbar. Sie sollen
schließlich nicht einer Methode einfach nur vertrauen, sondern ­--
zumindest ansatzweise ­-- ihre Funktionsweise durchschauen. Sehr viele
tiefergehende Details sind leicht in anderen Büchern (z.B.: R.~Wobst,
"`Abenteuer Kryptologie"') oder im Internet zu finden.


\vfill

\textbf{Immerhin wissen Sie nun:} Wenn jemand sich an Ihren verschlüsselten
\Email{}s zu schaffen macht, ist er durchaus so lange damit beschäftigt,
dass er dann keine Lust mehr haben dürfte diese dann noch zu lesen\ldots





%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
% Appendix

% page break in toc
%\addtocontents{toc}{\protect\newpage}

\appendix
\T\part{Anhang}
\W\part*{\textbf{III Anhang}}
\addtocontents{toc}{\protect\vspace{0.3cm}}

%\T\chapter{Glossar}
%\W\chapter*{A Glossar}
%\label{glossar}
%
%\begin{description}
%    \item[OpenPGP] xyz
%    \item[X.509] xyz
%\end{description}



\T\chapter{Hinweise zur Outlook-Programmerweiterung GpgOL}
\W\chapter*{A Hinweise zur Outlook-Programmerweiterung GpgOL}
\label{appendix:gpgol}

GpgOL ist eine Programmerweiterung für Microsoft Outlook, es integriert dort die
Bedienung von GnuPG.

Da Outlook ein proprietäres Produkt, also nicht als Freie Software
mit Quelltext verfügbar ist, hat die Integration eine Reihe von
,,Ecken und Kanten''. Oder mit anderen Worten: Die Bedienung ist nicht
so komfortabel wie es beispielsweise \Email{}-Programme mit integrierter
Verschlüsselungs- und Signaturkomponente bieten (z.B. KMail / Kontact).

GpgOL wird durch den Gpg4win-Installationsassistenten installiert.  Beim nächsten
Start von Outlook findet sich im Menü
\Menu{Extras$\rightarrow$Optionen} eine Karteikarte \Menu{GpgOL}:

% TODO screenshot: GpgOL options
\begin{center}
\IncludeImage[width=0.45\textwidth]{sc-gpgol-options_de}
\end{center}

\clearpage
Die Karteikarte \textit{GpgOL} unterteilt sich in drei Bereiche:
\begin{enumerate}
    \item \textbf{Allgemein:}
        %TODO#: ÜBerarbeiten
        Nach der Installation von Gpg4win ist die 
        \T\margin{\IncludeImage[width=1.5cm]{smime-icon}}
        S/MIME Funktionalität in GpgOL deaktiviert.
        Damit ist die S/MIME Unterstützung von GnuPG gemeint.
        Outlook selbst unterstützt ebenfalls X.509 und S/MIME,
        arbeitet aber natürlich nicht mit den Gpg4win-Komponenten.
        Konkret heißt das, dass alle Einstellungen,
        das Schlüsselmanagement und die Benutzerdialoge unterschiedlich
        sind. Es ist zu beachten, dass Outlook keine OpenPGP
        Unterstützung anbietet.

        \textbf{Wichtig:} Wenn Sie S/MIME in Outlook mit Gpg4win nutzen
        möchten, müssen Sie zuvor die GpgOL-Option
        \textit{S/MIME Unterstützung einschalten} aktivieren.

    \item \textbf{Senden von Nachrichten:}

        Die beiden ersten Optionen in diesem Bereich steuern, ob per
        Voreinstellung neue Nachrichten verschlüsselt und / oder signiert
        werden sollen. Sie können dies aber immer noch bei der
        Erstellung einer Nachricht individuell verändern. Lediglich
        die Schaltflächen sind schon entsprechend aktiviert.

        Die beiden letzten Optionen definieren, ob PGP/MIME
        \textit{oder} S/MIME per Voreinstellung verwendet werden soll.
        Auch hier können Sie diese Entscheidung immer noch vor dem
        Senden jeder Nachricht nachträglich ändern.

    \item \textbf{Lesen von Nachrichten:}

        \textit{Auch im Vorschaufenster entschlüsseln}

        Soll im Vorschaufenster die entschlüsselte Fassung erscheinen,
        so ist diese Option einzuschalten.
        Sie sollten dabei bedenken, dass dadurch bereits beim Durchblättern
        durch Ihre Nachrichten die Entschlüsselungs- und Prüfroutinen ausgeführt
        werden. Das heißt, es werden Dialog zum Status der \Email{}s angezeigt
        und ggf. werden Sie nach einer Passphrase zur Entschlüsselung gefragt.

        \textit{HTML-Darstellung anzeigen wenn möglich}

        Diese Option kann benutzt werden, um die HTML-Version einer Nachricht
        anzuzeigen. Im Normalfall oder falls kein HTML-Format vorhanden
        ist, so wird die Nachricht im Text-Format dargestellt.

        \textit{Verschlüsselte Nachricht als Anlage anzeigen}

        Der verschlüsselte Teil der Nachricht wird zusätzlich als Anhang
        angezeigt. Der Anwender kann so den verschlüsselten Teil separat
        speichern oder auf andere Weise weiterverarbeiten.
\end{enumerate}



Alle Optionen sind nach einer Neuinstallation bereits sinnvoll vorbelegt.

\clearpage
\label{OLandWord}
Um verschlüsselte Nachrichten mit Outlook versenden zu können, müssen Sie
sicherstellen, daß Sie \textbf{nicht} Microsoft Word zum Verfassen der
Nachrichten benutzen.

Desweiteren ist anzuraten auf HTML Nachrichten zu verzichten.
Sie können dies im Menüpunkt
\Menu{Extras$\rightarrow$Optionen} auf der Karteikarte
\Menu{E-Mail-Format} kontrollieren.  Das Nachrichtenformat sollte auf
\textit{Nur-Text} eingestellt sein (siehe markierter Bereich).
Sollten Sie dennoch HTML für signierte oder verschlüsselte \Email{}s
verwenden, können dabei beim Empfänger die Formatierungsinformationen
verloren gehen.

% screenshot: Outlook E-Mail-Format options
\begin{center}
\IncludeImage[width=0.45\textwidth]{sc-gpgol-options-textformat_de}
\end{center}


\clearpage
\T\chapter{GnuPG mit anderen \Email{}-Programme nutzen}
\W\chapter*{B GnuPG mit anderen \Email{}-Programme nutzen}
\label{ch:plugins}

Das Gpg4win-Kompendium geht vor allem auf das \Email{}-Programm
Outlook ein. GnuPG ist jedoch mit allen anderen \Email{}-Programmen
auch verwendbar. Große Unterschiede gibt es jedoch im Bedienkomfort: Je besser GnuPG
in ein \Email{}-Programm integriert ist, desto einfacher die Verwendung.

Die einfachste Methode, z.B. wenn ein \Email{}-Programm überhaupt nichts
über GnuPG weiss, ist die Verschlüsselung via Zwischenablage mit Hilfe von
Kleopatra. Dies funktioniert nur für OpenPGP, für S/MIME und kompliziertere
PGP/MIME \Email{}s werden Sie über eine Zwischenspeicherung als Datei
gehen müssen. Beide Methoden werden im ersten Teil dieses Kompendiums beschrieben.

Ein Integration in GnuPG wird derzeit für folgende
\Email{}-Programme unter Windows angeboten:

\begin{description}
\item[Thunderbird] mit 
    \textbf{Enigmail}\footnote{http://www.thunderbird-mail.de/wiki/Enigmail\_OpenPGP}.

\item[Outlook ab Version 2003] mit GpgOL. GpgOL ist
    Bestandteil des Gpg4win-Pakets.

\item[Claws Mail:] Dieses \Email{}-Programm wird im Gpg4win-Paket
  mitgeliefert und kann optional installiert werden.
  Eine solche Installation konfiguriert bereits die Programmerweiterung für
  die Verwendung von PGP/MIME und S/MIME. Diese Erweiterung verwendet
  jedoch nicht Kleopatra und bieten daher derzeit nicht denselben Komfort
  wie es die Outlook-Erweiterung GpgOL bietet.

\item[Kontact:] Eine komfortable und erprobte Integration von
  GnuPG bieten KMail und Kontact.
  Sie sind für nahezu jedes GNU/Linux-System und neuerdings auch für
  Windows und MacOS X verfügbar.
\end{description}



\clearpage
\T\chapter{Automatische Installation von Gpg4win}
\W\chapter*{C Automatische Installation von Gpg4win}
\label{ch:auto}

In diesem Kapitel wird die automatisierte Installation (ohne
Benutzerdialoge) erläutert.

In einigen Fällen, wie z.B. für Software-Verteilungssysteme, ist
es notwendig, dass die Installation von Gpg4win ohne die Interaktion
über Dialoge funktioniert. Um aber trotzdem vorab alle
Installationseinstellungen bestimmen zu können, unterstützt
Gpg4win das Setzen des Installationspfads auf der
Kommandozeile, wie auch eine Steuerungsdatei.

Der Installationspfad kann mit der Option \verb-/D=<PFAD>- angegeben
werden, welche als letzte Option auf der Kommandozeile übergeben
werden muß.
Der Dateiname (hier: \verb-gpg4win.exe-) kann je nach Version variieren.
Die Groß- / Kleinschreibung bei der Eingabe in der
Kommandozeile ist hierbei wichtig. Eventuell sind noch Zugriffrechte
(z.B. lesen und schreiben) auf den Installationsordner zu setzen.
Ein Beispiel:\\
\verb-  gpg4win.exe /D=D:\Programme\Gpg4win-

~\\Mit der Option \verb-/S- läuft die Installation "`still"' (also
ohne Dialog) ab. Ohne Angabe von weiteren
Parametern, werden alle Voreinstellungen übernommen.

Gpg4win unterstützt auch eine sogenannte Steurungsdatei.
Mit der Option \verb-/C=INIFILE- kann eine Steuerungsdatei (Name endet
üblicherweise auf \textit{.ini}) angegeben werden. 

Ein weiteres Beispiel:\\
\verb-  gpg4win.exe /S /C=C:\TEMP\gpg4win.ini-

~\\Diese \textit{.ini} Datei sollte genau einen Abschnitt \verb-[gpg4win]- enthalten.
Dort können diverse Einstellungen vorgenommen werden, darunter
absolute Pfadangaben für die zu installierenden Konfigurationsdateien.
Relative Pfade, also abhängig vom aktuellem
Arbeitsverzeichnis, dürfen hier nicht angegeben werden. Absolute Pfade
enthalten den vollständigen Pfad inkusive der Laufwerksangabe.
In der Regel sind die Einstellungen dann anzugeben, wenn nicht
die Voreinstellung verwendet werden soll.
Ausnahmen davon sind im Beispiel auf der nächsten Seite dokumentiert.

\clearpage
Hier ist ein Beispiel für den Inhalt einer Steuerungsdatei, das 
\textbf{alle} erlaubten Schlüsselworte zeigt:

\begin{verbatim}
[gpg4win]
  ; Installationseinstellungen. Weg- oder leerlassen für 
  ; Voreinstellung
  inst_gpgol = true
  inst_gpgex = true
  inst_kleopatra = true
  inst_gpa = true
  inst_claws_mail = false
  inst_compendium_de = true
  inst_man_novice_en = true

  ; Die Stellen, an denen Verknüpfungen erzeugt werden sollen.
  inst_start_menu = true
  inst_desktop = false
  inst_quick_launch_bar = false

  ; Im Gegensatz zu den anderen Optionen überschreibt diese Option
  ; die Einstellung des Benutzers im Installationsassistenten.
  inst_start_menu_folder = Gpg4win

  ; Standard-Konfigurationsdateien.
  gpg.conf = D:\config\gpg-site.conf
  gpg-agent.conf = D:\config\gpg-agent-site.conf
  trustlist.txt = D:\config\trustlist-site.txt
  dirmngr.conf = D:\config\dirmngr-site.conf
  dirmngr_ldapserver.conf = D:\config\dirmngr_ldapserver-site.conf
  scdaemon.conf = D:\config\scdaemon-site.txt
  gpa.conf = D:\config\gpa-site.conf
\end{verbatim}

Ein entsprechender Aufruf zur automatischen Installation mit einer
Steuerungsdatei \verb-gpg4win.ini- und einem Installationspfad
\verb-D:\Programme\Gpg4win- könnte also wie folgt aussehen:

\begin{verbatim}
  gpg4win.exe /S /C=C:\TEMP\gpg4win.ini /D=D:\Programme\Gpg4win
\end{verbatim}

\clearpage
\T\chapter{Umstieg von anderen Programmen}
\W\chapter*{D Umstieg von anderen Programmen}
\label{ch:migration}

Dieser Abschnitt erläutert Ihnen, wie Sie von anderen GnuPG basierten
Programmen auf Gpg4win umsteigen können.  Das Installationsprogramm
erkennt einige dieser Programme und warnt Sie in diesem Fall.

Generell ist es ratsam, eine vorhandene Installation eines anderen
GnuPG basierten Programms zu entfernen, bevor Gpg4win installiert wird.
Es ist hier wichtig, die vorhandenen Schlüssel vorher zu sichern.

Der einzige sinnvolle Weg dies zu tun, ist unter Verwendung der im
alten System vorhandenen Möglichkeiten.  Suchen Sie nach einem
Menüpunkt um die eigenen privaten (geheimen) Schlüssel zu sichern als
auch nach einem Menüpunkt um alle vorhandenen öffentlichen Schlüssel
und Zertifikate zu sichern. Sichern Sie diese dann in eine oder
mehrere Dateien.

Sobald Sie Gpg4win installiert haben, prüfen Sie, ob Ihre
alten Schlüssel bereits vorhanden sind. Sie können dies mit Kleopatra
oder GPA machen. Sind die Schlüssel schon vorhanden, so entsprach das
alte System bereits den neuen Konventionen zum Speicherort für die
Schlüssel und Sie müssen nichts weiter unternehmen.

Wenn die alten Schlüssel nicht erscheinen, so importieren Sie diese
einfach aus den erstellten Sicherungsdateien. Lesen Sie hierzu das
Kapitel~\ref{ch:ImExport}.

Falls das alte System GPA verwendet, so können Sie die dort
vorhandene Backupmöglichkeit benutzen. Diese sollte sehr ähnlich zu
der Funktion in der GPA Version aus Gpg4win sein.

Falls Sie keinen anderen Weg finden, Ihre alten Schlüssel
wiederzufinden, so suchen Sie bitte mit den Bordmitteln von Windows
nach Dateien mit den Namen \Filename{secring.gpg} und
\Filename{pubring.gpg} und importieren diese beiden Dateien mittels
Kleopatra\footnote{Dies ist nicht der offizielle Weg, funktioniert aber
noch mit allen aktuellen GnuPG Versionen.}.

\clearpage
\T\section*{Migration von Gpg4win-1.1.x nach Gpg4win-2.0.x}
\W\section*{D.1 Migration von Gpg4win-1.1.x nach Gpg4win-2.0.x}

Es wird dingend empfohlen zunächst Gpg4win-1.1.x zu deinstallieren
bevor anschließend Gpg4win-2.0.x installiert wird.

\subsubsection{Technischer Hintergrund}
Das Problem bei einer Migration \textit{ohne} Deinstallation von
Gpg4win-1.1.x ist folgende Sequenz:

1. Installation von Version X, inkl. Komponente K.\\
2. Installation von Version X+1, aber Komponente K wird diesmal deselektiert.

Effekt: Die alte Komponente von K bleibt installiert in der Version X.

3. Deinstallation von Version X+1.

Effekt: Die Komponente K in der Version X bleibt auf dem Betriebssystem verwaist
zurück.

Mögliche Lösung: 
Der Installationsassistent ruft die aktuelle Deinstallation für die Komponente K auf, falls
diese selektiert war, aber nicht mehr selektiert ist.
Diese Lösung wäre allerdings ein erheblicher Programmier- und Testaufwand,
da dies nicht von dem Installationsprogramm NSIS einfach unterstützt wird.

Alternative:
Installierte Komponenten dürfen bei einem Update nicht deselektiert
werden. Der Aufwand wäre vermutlich geringer, dies ist allerdings 
keine perfekte Lösung.\\
Technischer Grund: NSIS fehlt ein vollständiges Paketmanagement.

Dies ist eine Beschränkung von Gpg4win seit der ersten Version.

\textit{Anmerkung 1}: Bei Sprung von 1.1.x auf 2.0.x tritt dieser Fall
\textit{immer} ein, da bestimmte Komponenten K nicht mehr existieren, 
also auf jeden Fall (automatisch) als deselektiert zu betrachten sind.

\textit{Anmerkung 2}: Im Falle von MSI übernimmt Windows die Aufgabe, nicht mehr verwendete
Komponenten zu entfernen.  Das bedeutet, dass der
MSI-Installationsassistent in dem obigen
Szenario korrekt handelt (alte Komponente K in Version X ist nach Schritt 2 nicht
mehr auf dem System vorhanden).



\clearpage
\T\chapter{Deinstallation von Gpg4win}
\W\chapter*{E Deinstallation von Gpg4win}

%  TODO: Wenn die Kapitel zu S/MIME fertig sind, sollten Verweise zum Sichern
%  von Zertifikaten und Schlüssel eingefügt werden

Soll Gpg4win deinstalliert werden,
dann sollten Sie zunächst alle nicht notwendigen
Anwendungen beenden und alle Schlüssel und Zertifikate sichern.
Falls Sie auf Ihrem Rechner mit eingeschränkten Rechten arbeiten
sollten, ist es für die Deinstallation außerdem notwendig mit
\textbf{Administratorrechten} angemeldet zu sein.
Wurde die Installation bereits über Ihr Benutzerkonto
durchgeführt, so verfügt es über Administratorrechte.

~\\
\textbf{Wichtig:}\\
Bevor Sie die Deinstallation durchführen, sollten Sie unbedingt Ihre
mit GpgOL bearbeiteten \Email{}s in Outlook von den
GpgOL-Informationen "`bereinigen"'. Denn: Gpg4win / GpgOL
setzt für jede Krypto-\Email{} in Outlook eine bestimmten Markierung.
Sie müssen vor der Deinstallation diese Markierung zurücksetzen,
damit andere Krypto-Software Ihre \Email{}s später korrekt
lesen und z.B. entschlüsseln kann.

GpgOL stellt Ihnen für diese \textbf{Re-Migration} direkt in Outlook folgende Funktion bereit:\\
Wählen Sie einen Outlook-\Email{}-Ordner aus, dessen \Email{}s Sie
zurücksetzen möchten und klicken Sie im Menü von Outlook auf 
\Menu{Extras $\rightarrow$ GpgOL Eigenschaften aus diesem Ordner entfernen}.

Sie werden darauf hingewiesen, dass GpgOL (für die anschließende Deinstallation)
ausgeschaltet wird. Bestätigen Sie die Frage, ob Sie den Ordner von
GpgOL befreien wollen, mit \textit{Ja}.\\
Führen Sie dieses Kommando nun für alle Outlook-Ordner durch.

Nachdem Sie alle Ordner zurückgesetzt haben, beginnen Sie mit der Deinstallation von Gpg4win.

~\\
Es gibt zwei Möglichkeiten die Deinstallation auszuführen:

\begin{itemize}
\item Einmal mit den Bordmitteln von Microsoft Windows:

    Öffnen Sie
\Menu{Start$\rightarrow$Einstellungen$\rightarrow$Systemsteuerung$\rightarrow$Software}
und wählen Sie dann \textit{GnuPG for Windows} aus.

Mit dem Knopf \Button{Entfernen} deinstallieren Sie alle
Gpg4win-Programmkomponenten von Ihrem Betriebssystem.

\item Die zweite Möglichkeit zur Deinstallation von Gpg4win bietet
    Ihnen die ausführbare Datei \texttt{gpg4win-uninstall.exe}. 
    Sie wird mit Gpg4win mitgeliefert und
liegt im Installationsordner (in der Regel 
\Filename{C:$\backslash$Programme$\backslash$GNU$\backslash$GnuPG$\backslash$}).
Falls Sie bei der Installation einen anderen als den voreingestellten Pfad
gewählt hatten, werden Sie das Deinstallationsprogramm an entsprechender
Stelle finden.
\end{itemize}

In beiden Fällen werden alle Dateien von Gpg4win aus dem
Installationsordner sowie die Verknüpfungen im Startmenü, Desktop
und Schnellstartleiste entfernt.

\textbf{Nicht} gelöscht werden die benutzerspezifischen und
systemweiten Anwendungs-Dateiordner mit den Konfigurationseinstellungen:

\begin{itemize}
    \item Benutzerspezifische GnuPG-Anwendungsdaten\\
        in \Filename{\%APPDATA\%\back{}gnupg}, das
        entspricht in der Regel dem Dateiordner: \\
\small{\Filename{C:\back{}Dokumente und
Einstellungen\back{}\textit{<Benutzername>}\back{}Anwendungsdaten\back{}gnupg\back{}}}
\normalsize

        In diesem \texttt{gnupg}-Dateiordner befinden sich sämtliche
        persönlichen GnuPG-Daten,
        also die persönlichen Zertifikate (Schlüssel), Vertrauenseinstellungen und
        Programmkonfigurationen.

    \item Systemweite GnuPG-Anwendungsdaten\\
        in \Filename{\%COMMON\_APPDATA\%\back{}GNU}, das
        entspricht in der Regel dem Dateiordner: \\
        \Filename{C:\back{}Dokumente und Einstellungen\back{}All
Users\back{}Anwendungsdaten\back{}GNU\back{}}

\end{itemize}




\T\section*{Deinstallation von Gpg4win-1.1.3}
\W\section*{E.1 Deinstallation von Gpg4win-1.1.3}
Nach der Deinstallation von Gpg4win-1.1.3 bleiben folgende
Dateiordner bzw. Registryschlüssel zurück:

\begin{itemize}
    \item \Filename{\%APPDATA\%$\backslash$gnupg}\\
        (Wichtig: Hier sind
        Ihre persönlichen privaten und öffentlichen Schlüssel und 
        GnuPG-Ein\-stellungen enthalten.)

    \item Registryschlüssel:\\
        \Filename{HKLM$\backslash$Software$\backslash$GNU$\backslash$GnuPG}
        \textit{(Wird in der Gpg4win-2.0.0-Installation entfernt.)}\\
        \Filename{HKCU$\backslash$Software$\backslash$GNU$\backslash$GPG4Win}\\
        \Filename{HKCU$\backslash$Software$\backslash$GNU$\backslash$GpgOL} \\
        \Filename{HKCU$\backslash$Software$\backslash$GPGee}


\end{itemize}


\clearpage
\T\chapter{Historie}
\W\chapter*{F Historie}

\begin{itemize}
\item  "`GnuPP für Einsteiger"', 1. Auflage März 2002 und\\
       "`GnuPP für Durchblicker"', 1. Auflage März 2002,\\
  Autoren: Manfred J. Heinze, TextLab text+media\\
  Beratung: Lutz Zolondz, G-N-U GmbH\\
  Illustrationen: Karl Bihlmeier, Bihlmeier \& Kramer GbR\\
  Layout: Isabel Kramer, Bihlmeier \& Kramer GbR\\
  Fachtext: Dr. Francis Wray, e-mediate Ltd.\\
  Redaktion: Ute Bahn, TextLab text+media\\
  Herausgegeber: Bundesministerium für Wirtschaft und Technologie (BMWi)\\
  Verfügbar unter
  \uniurl{http://www.gnupp.de/pdf/einsteiger.pdf}
  und\\
  \uniurl{http://www.gnupp.de/pdf/durchblicker.pdf}.
%    Der Abschnitt "`History"' ist im Originaldokument nicht vorhanden
%    und wurde von Werner Koch beigefügt.
\item Revidierte nicht-veröffentlichte Version von TextLab text+media.      
\item "`Gpg4win für Einsteiger"' und "`Gpg4win für Durchblicker"', Dezember 2005 \\
       \"Uberarbeitung: Werner Koch, g10 Code GmbH\\
       Herausgegeber: das Gpg4win-Projekt
\item Dank der Erlaubnis des BMWi vom 14. November 2007 wurde
      der unveränderbare Abschnitt "`Impressum"' entfernt und an die aktuelle
      Version angepasst.
\item Das "`Gpg4win-Kompendium"' fasst "`Gpg4win für Einsteiger"' und "`Gpg4win für 
      Durchblicker"' zusammen und ist im Jahre 2009 umfassend für Gpg4win2 
      aktualisiert und ergänzt worden.\\
      \"Uberarbeitung:\\
      Emanuel Schütze, Intevation GmbH\\
      Dr. Jan-Oliver Wagner, Intevation GmbH\\
      Florian v. Samson, Bundesamt für Sicherheit in der
      Informationstechnik\\
      Werner Koch, g10 Code GmbH\\
\end{itemize}

\clearpage
\input{fdl-book.tex}

\end{document}
