kein spam durch verschlüsselte emails

[kalle grabowski]

mir geht schon seit einiger zeit folgende idee durch den kopf:
wie wäre es wenn man emails nur noch verschlüsselt und signiert versenden könnte?
das würde auf einen schlag mehrere signifikante vorteile bringen:
- Absender wird eindeutig indentifiziert und ist unfälschbar
- Emails können nur vom Empfänger gelesen werden und erhöht somit missbrauch, spionage, etc
- es kann keine Adresse mehr gefälscht werden, Spam wäre beseitigt. (wer will schon von seiner persönlichen Email adresse Spam verschicken?)
- amtliche sachen könnten problemlos und rechtlich wirksam per email abgewickelt werden, weil es sicherer wäre als brief und fax zusammen (wie sicher ist schon eine Unterschrift?)
- es würde dadurch Bearbeitungszeit, Kosten und Papier gespart und auch noch die Umwelt geschont.. =)
- es wäre auch die Viren und WÜrmer Flut beträchtlich eingedämmt, da sie sich nicht so einfach bis garnicht selbstverschicken könnten.
das ganze würde sich folgendermaßen realisieren lassen:
- man muss sich um eine email adresse zu erhalten, registrieren mit personalausweis etc. (mit der einrichtung einer koppeln)
- eine zentrale stelle würde die keys verwalten (ählich denic mit domains)
- ein zentraler server würde die keys hosten (ähnlich DNS-server)
- es müssten verschlüsselungstools in email clients und webmail dienste integiert werden, was technisch wohl kein großes problem darstellen dürfte, da es plugins gibt.
das klingt alles sehr hart, aber in Deutschland kriegen wir ja auch sonst alles geregelt!
(das ganze hat natürlich auch keinen Sinn, wenn es nicht global umgesetzt wird!)
Das einzigste Problem wäre wohl das FBI und CIA. denn wenn alle emails verschlüsselt versendet würden, können die ja garnicht mehr spionieren...!!
Die Grundlage ist das Fundament der Basis.
gr kalle grabowski

[Gool]

Ja, die Ideen stimmen schon und Du bist auch nicht der erste, der mit solchen Ideen kommt, aber man müsste zunächst weltweit die Provider etc. dazu bewegen, etwas in der Richtung zu tun. Zumal jeder auch irgendwie sein eigenes Ding drehen möchte.
Zur Realisierung: Im Grunde ist das möglich, eine eindeutige Identifizierung zu fordern. Doch spielen da zum einen die Datenschützer nicht mit (*seufz*), zum anderen wird es irgendwann auch dort schwarze Schafe geben. In den Domainbedingungen der DENIC steht beispielsweise, dass die Registrierungsdaten für .de-Domains richtig sein müssen. Aber in etlichen Fällen stimmen diese Daten nicht - schlimmer noch ist, dass die DENIC bei der Meldung eines solchen Verstoßes kaum etwas unternimmt.
Ansonsten könnte man tatsächlich auf PGP zurückgreifen. PGP gibt dem Benutzer die Möglichkeit, E-Mails zu verschlüsseln, die tatsächlich nur der Empfänger dann lesen kann. Ebenso wird eine E-Mail dadurch eindeutig identifizierbar und die Schlüssel liegen zentral auf einem Server. Allerdings nehmen nur wenige Leute die Möglichkeit von PGP wahr.
--
Fuck the Spammer: [Link nur für registrierte Mitglieder sichtbar. ]

[DocSnyder]

Nur die Mail an sich zu verschlüsseln, was bereits einige User praktizieren, hat einen ganz großen Nachteil: man muss die Mail ganz reinlassen, um zu sehen ob sie überhaupt verschlüsselt ist und ob die Signatur gültig ist.
Spam-Mails würde ich nun aber am liebsten schon in der SMTP-Session abwehren, bevor die eigentliche Mail überhaupt übertragen wird.
Eine Möglichkeit wäre, die ganze SMTP-Session durch einen verschlüsselten Kanal zu schicken, der gleichzeitig die Identität des Absenders verifizierbar (über PKI) preisgibt. Die Anonymität wäre dann zwar dahin, aber für anonyme Mails muss man sich dann eben durch herkömmliches SMTP und Spamfilter quälen.
/.
DocSnyder.
--
Friss, Spammer, friss: http://docsnyder.de/spl/forum/

[Coke1984]

Das Hauptproblem bei PGP sehe ich immer noch darin, dass man allzu häufig Mails von Leuten bekommt, die mit der Materie nicht oder nur unzureichend vertraut sind, und so bekommt man eben trotz eindeutiger Hinweise nur Plaintext. Da kann man wohl kaum was dran ändern...

---
Rechtschreibfehler dienen der allgemeinen Erheiterung und können zu diesem Zweck gerne gesammelt und archiviert werden.

[kalle grabowski]

da sollte man durch aufklärung nachhelfen.
und wenn man mit registrierung einer email adresse gleich einen Key generieren würde dann wäre das problem auch erledigt. der ganze rest wird beim login dazu aufgefordert. nach und nach hat jeder einen key.
die registration müsste halt schon "sicher" sein. also nicht einfach nur drauf hoffen, das die Daten stimmen...

[kalle grabowski]

die gültigkeit einer signatur kann man doch auch shcon auf dem mailserver prüfen (bzw prüfen lassn) (einfach signatur mit dem keyserver abgleichen. entschlüsseln geht nicht, da das ja nur der rechtmäßige empfänger machen kann), dann aussortieren oder erst garnicht zustellen. sonst hat ja das ganze verschlüsseln keinen sinn.

[DocSnyder]

Wie kann man rein prinzipiell in der SMTP-Session das Vorhandensein eines Schlüssels überprüfen, ohne wenigstens ein Stück der Mail reinlaufen zu lassen? Der Rest der Session bis dahin ist weder verschlüsselt (außer optional via TLS) noch enthält die Möglichkeit, einen Schlüssel zu übergeben.
/.
DocSnyder, mit funktionierenden Shifttasten.
--
Friss, Spammer, friss: http://docsnyder.de/spl/forum/

[kalle grabowski]

ich denke mal das das prinzip den providern zu gute kommt, da angesichts des spam aufkommens ("73 Prozent des E-Mail-Verkehrs bestehe mittlerweile aus Spam, hat das Unternehmen weiter festgestellt. Im Jahr 2003 betrug der Durchschnittswert 40 Prozent." http://www.heise.de/newsticker/meldung/53962) einiges an unnötigem traffic über ihre leitungen geht. schon alleine aus dem gesichtspunkt würde das sinn machen.
zur registrierung: da müsste es halt schon eine unabhänige instanz geben, die das zuverlässig macht. key bekommt man nur mit kopie des ausweises etc. man darf also nicht nur drauf hoffen das die eingaben die der user macht richtig sind. das führt zu missbrauch.
auch mit dem datenschutz wäre das meiner ansicht nach kein problem: die public key sind in zusammenhang mit der email adresse öffentlich zugänglich, mehr nicht. warum auch? das würde ja reichen um eine verschlüsselte email an diese adresse zu schicken. (eben einfach so, wie das jetzt schon ist)
damit die Leute die möglichkeit wahrnehmen, muss aufklärung betrieben werden (oder zumindest mal bei den freemail adressen es einfach umgesetzt werden)

[Investi]

da müsste es halt schon eine unabhänige instanz geben, die das zuverlässig macht.

Das ist unbedingt nötig. Wenn ich mir überlege, daß sogar solche Unternehmen wie MeaVista heutzutage schon Inkassogeschäfte tätigen dürfen, dann graut mir vor der Vorstellung, wer alles Sicherheitszertifikate für meinen Mailverkehr abfragen oder gar erstellen dürfen soll.
Investi
--------------------------------------------------
Man möchte zuweilen ein Kannibale sein, nicht um den oder jenen aufzufressen sondern um ihn auszukotzen. (E.M. Ciovan)

[DocSnyder]

Über verschlüsselte und authentifizierte Zustellung habe ich vor einiger Zeit im Usenet philosophiert. Das Konzept würde so funktionieren, dass auf dem Clientrechner ein lokaler Spooler installiert ist, den Autschlook, OjE, Thunderbird etc. als Smarthost verwenden und der sich als Einziger um die weitere Zustellung kümmert.
Alternativ zum herkömmlichen Weg über SMTP gäbe es dann einen Alternativweg, quasi SMTP mit anderem Zielport und verschlüsselter Verbindung, die dank PKI die Authentizität des Absenders gewährleistet. Der Public Key des Absenders würde bei seinem Provider zugänglich sein und wäre wiederum von einer übergeordneten Stelle zertifiziert. Zugestellt wird dabei immer direkt - Relaying gibt`s nicht. Anonymität gibt`s erst recht nicht, im Gegenteil, dafür sind PKI und Zertifizierung gedacht. Wer anonym mailen will, dem steht nach wie vor der herkömmliche Weg offen.
Spam kann darüber zwar auch verschickt werden, aber da die Identität des Spammers bekannt ist und seine Keys ruckzuck gesperrt werden können, wäre das Risiko sehr groß. Bei falhcsen Daten könnte man die gleichen strafrechtlichen Normen ansetzen wie bei gefähclsten Ausweisen.
Sollte nun z. B. der Registrar Gandi dadurch auffallen, dass er Keys seiner Kunden bewusst mit falhcsen Daten signiert, wird Gandi aus dem Verbund der Registrare ausgeschlossen, mit der Folge, dass sämtliche via Gandi registrierte Keys ungültig und damit nicht mehr zustellfähig sind.
/.
DocSnyder.
--
Friss, Spammer, friss: http://docsnyder.de/spl/forum/