PGP verwendet diverse Verschlüsselungsverfahren, darunter auch RSA und IDEA.

Entwicklung

Pretty Good Privacy wurde in der zweiten Hälfte der 80er Jahre entwickelt. Mit ihm sollte es jedem Anwender (mit seinem eigenen PC) möglich sein, Informationen zu verschlüsseln ("privacy for everyone", "public-key encryption for the masses"). Seit 1991 sind verschiedene Versionen verfügbar. Die ersten Versionen waren illegal (in den USA) benutzbar, da sie US-Patentrechte für Public-Key-Cryptography verletzten. Darüber hinaus gelten für alle US-Versionen US-Exporteinschränkungen. Die Programme dürfen nicht ausgeführt werden.

Erst seit 1994 dürfen US-Bürger PGP für den privaten Gebrauch frei benutzen, während bei einem kommerziellen Einsatz eine Lizenz von der Firma ViaCrypt erworben werden muss.

Es gibt aber gegebenenfalls noch eine weitere Hürde: Die USA und beispielsweise auch Deutschland möchten aus Sicherheitserwägungen dem Normalbürger das Verwenden der Verschlüsselungstechnik untersagen. Es gibt bereits Staaten, die das getan haben (Frankreich, Iran, Irak).

All diese Dinge haben dazu geführt, dass sich PGP nicht so durchgesetzt hat, wie es sich sein Autor erträumt hat. Es gibt eine Reihe unterschiedlicher Verfahren. Jedes möchte sich gern am Markt behaupten. Dennoch ist PGP sicher das bekannteste und insbesondere im Wissenschaftsbereich das auch am häufigsten eingesetzte Verfahren. Obwohl PGP nur zu sich selbst kompatibel ist und keinen Standard darstellt, gibt es derart viele Applikationen, die auf Funktionen von PGP zurückgreifen, dass man von einem Quasistandard sprechen kann. Vorteilhaft ist ebenfalls, dass PGP im Quellcode zur Verfügung steht und umfangreiche Dokumentationen existieren.

Einsatzbereiche

Normalerweise wird auch heute im Internet keine Verschlüsselung der Daten angewendet. Es war lange keine einfache, billige Methode verfügbar. Auch mit PGP ist der Aufwand nicht ganz gering, zumal PGP noch nicht in die gängigen Email-Programme integriert ist.

Gründe, Email zu verschlüsseln oder sie mit einer elektronischen Unterschrift zu versehen, gibt es genug:

• Die Datenleitung zwischen Sender und Empfänger kann angezapft werden.
• Daten auf den Zwischenstationen können von Unbefugten gelesen oder kopiert werden, einschließlich des Anfangs- und des Endsystems.
• In das Internet können sehr leicht Email-Briefe mit vorgetäuschten Absendern eingeschleust werden.

Es ist nicht erforderlich, private Informationen zu verschlüsseln, da niemand daran ein echtes Interesse hat. Bei Geschäftsvorgängen sieht das ganz anders aus. Wer seine Kreditkartennummer offen über das Internet verschickt, geht zumindest ein kleines Risiko ein, weil ein anderer damit Geschäfte zum Nachteil des Karteninhabers machen kann. (Es ist schwer, den Kreditkartenunternehmen nachzuweisen, dass der Auftrag nicht von Ihnen erteilt wurde, da diese Methode an sich von vielen Kunden angewendet wird und üblich ist.)

Die häufigsten Anwendungen betreffen allerdings die Echtheit der Email-Absender.

Die mathematischen Verfahren, die PGP zur Verschlüsselung von Nachrichten verwendet, bieten heute praktisch unbeschränkten Schutz vor unberechtigtem Dekodieren. Die schwächste Stelle im Gesamtsystem ist jedoch die Übermittlung der öffentlichen Schlüssel.

Nehmen wir an, A will an B eine Nachricht schicken. Dann benötigt A den öffentlichen Schlüssel von B. Ein Dritter C, kann sich nun Schlüssel erzeugen, deren äußere Kennungen so aussehen, als gehörten sie B und diese veröffentlichen. Benutzt nun A diesen gefälschten Schlüssel und fängt C die Nachricht an B ab, so kann C diese entziffern. Wenn C den richtigen öffentlichen Schlüssel von B besitzt - was kein Problem sein sollte - kann er die Nachricht mit diesem wieder verschlüsseln und an B weiterschicken. B kann diese dann auch dekodieren und wird nicht bemerken, dass ein Dritter auch vom Inhalt Kenntnis hat oder sogar den Inhalt geändert hat.

Um solche Manipulationen zu erschweren, besteht in PGP die Möglichkeit der Zertifikation von öffentlichen Schlüsseln:

Wenn eine vierte Person D von der Echtheit des Schlüssels von B überzeugt ist, weil beispielsweise B und D in einer Abteilung zusammenarbeiten, so kann D den Schlüssel von B zertifizieren. Wenn dann A die Person D persönlich kennt und dieser vertraut, so kann A davon ausgehen, dass der von D bestätigte Schlüssel von B mit großer Sicherheit echt ist.

"Garantiert" sicher können elektronische Nachrichten eigentlich nur zwischen dem eigenen, persönlichen Rechner und dem des Partners ausgetauscht werden.

Werden zum Erstellen und Lesen sicherheitsrelevanter Nachrichten beispielsweise Unix-Systeme verwendet, so gibt es einige Möglichkeiten, wie diese Nachrichten an andere gelangen können: Der Unix-Systemverwalter kann alle Dateien einsehen, die Daten eines Unix-Systems werden zur Sicherung regelmäßig auf Band kopiert, ... Wer wirklich sicherheitsrelevante Daten verschicken will, sollte sie nur auf seinem PC aufbewahren und sie auch nur dort für den Versand verschlüsseln. Der PC muss natürlich vor fremdem Zugriff geschützt werden.

Weitere Sicherheitsprobleme können durch den Einsatz bestimmter Crack-Programme entstehen. Zwar ist der Algorithmus, den PGP verwendet, prinzipiell zumindest mit heutiger Technik kaum zu knacken, jedoch hängt die Stärke der Verschlüsselung immer vom gewählten Passwortsatz ab. Dazu folgendes Zitat von "Route", Mitglied der Hacker-Gruppe "The Guilde":

Mark Miller, der Autor eines bekannten PGP-Crack Programmes (PGPCrack), meint dazu:

"Auf einem 486/66DX fand ich heraus, dass es ungefähr 7 Sekunden dauert, eine 1,2 MB Passwortsatzdatei einzulesen und zu versuchen, die Datei unter Benutzung jeden Passwortsatzes zu entschlüsseln. Wenn man bedenkt, dass die NSA, andere Regierungsbehörden und große Unternehmen über wesentlich größere Rechnerleistungen verfügen, ist der Vorteil eines großen, zufällig gewählten Passwortsatzes ersichtlich."