![]() |
![]() |
![]() |
Immer öfter kommt es zu Rufzeichenmissbrauch im Packetnetz. Mails werden unter falschem Rufzeichen eingespielt, wenn der Absender zu feige ist, um hinter seiner Mail zu stehen, oder auch nur, um den Ruf anderer zu schaden.
Daher ist es mittlerweile angebracht, die Echtheit einer Mail überprüfen zu können. Ein Boxpasswort ist recht unsicher, wenn man es selbst über den Funkkanal setzt, schließlich kann jeder die Aussendung mitlesen. Oder man ruft den Box-SysOp an und läßt ihn ein Passwort setzen. Das macht (zu)viel Arbeit für den SysOp und verhindert auch nicht das Einspielen von falschen Mails in einer fremden Box.
Am sinnvollsten ist es, wenn der Einspieler eine digitale Signatur an seine Einspielung anhängt. Hierfür kann man PGP/GnuPG benutzen. Dies verhindert zwar nicht die Einspielung falscher Mails ohne Signatur, aber man weiß ganz genau, ob eine unterschriebene Mail vom vermeindlichen Absender stammt oder ob ein Fälscher am Werk war.
LinKT bietet Unterstützung für GnuPG an, um dem Anwender die Einspielung von signierten (unterschriebenen) Mails zu erleichtern. Mit wenigen Klicks kann man einen Text signieren und aussenden lassen.
Hinweis: PGP und GnuPG sind dafür bekannt, dass man mit ihnen Daten verschlüsseln kann. Dies ist im Amateurfunk illegal und wird daher von LinKT auch nicht unterstützt. Es können ausschließlich Texte unterschrieben werden, um die Echtheit des Absenders überprüfen zu können.
Viele Begriffe schwirren um diese Thematik. Hier eine kurze Übersicht:
Bevor man mit Mails signieren kann, muss man sich einen eigenen PGP-Schlüssel erzeugen. Dies geschieht mit dem Befehl
$ gpg --gen-key
Üblicherweise möchte man einen DSA/ElGamal-Kombischlüssel, wählt also Option 1. Als Schlüssellänge nimmt man mindestens die voreingestellten 1024 Bit. Mehr sind im Normalfall auch unnötig und erhöhen ausserdem die Rechenzeit pro Unterschrift.
Ob man möchte, dass der Key irgendwann automatisch verfällt, also zu einem bestimmten Datum ungültig wird, ist jedem selbst überlassen. Sinnvoll mag eine Zeitdauer von zwei Jahren sein, falls der Geheimschlüssel abhanden kommt oder geklaut wird und man sonst keine Möglichkeit mehr hat, ihn in diesem Unglücksfall zu widerrufen.
Als »Vorname Nachname« gibt man den eigenen Vor- und Nachnamen an, wie er im Personalausweis steht. »E-Mail-Adresse« kann eine eigene E-Mail-Adresse oder auch Packet-Adresse enthalten; als »Kommentar« sollte man sein Rufzeichen eintragen. Man kann nach Wunsch die Felder auch anders eingeben, es sollten jedoch immer Vor-/Nachname und Rufzeichen enthalten sein, damit der Schlüssel im PR-Netz sinnvoll eingesetzt werden kann. Keys, die diese Informationen nicht enthalten, werden von der AFu-PGP-CA nicht signiert.
Nun fragt gpg nach dem »Mantra«. Dieses schützt den Geheimschlüssel davor, dass jemand, der ihn zufällig erhält (was niemals vorkommen darf), sofort missbrauchen kann. Wenn man einmal auch nur den Verdacht hat, dass ein Fremder den Geheimschlüssel in Erfahrung gebracht haben könnte, ist es äußerst ratsam, den Notfallplan einzusetzen: Bekanntgabe der Key-Revocation. Dieser Schritt wird weiter unten erklärt.
Nach Eingabe des Mantras wird der Schlüssel erzeugt. Dies dauert je nach Schlüsselgröße einige Zeit. Danach wird gpg beendet.
Um in Erfahrung zu bringen, welchen key man jetzt eigentlich hat, kann man mittels
$ gpg --list-key <rufzeichen>
pub 1024D/0A045DA1 2002-04-27 Robert Steinhäußer (DL1NC) <dl1nc@darc.de> sub 1024g/EE77B1CD 2002-04-27 [verfällt: 2004-04-26]
Dieser Beispielschlüssel hat also die Nummer 0A045DA1. Mittels
$ gpg --fingerprint 0a045da1
Es kann immer mal vorkommen, dass man seinen Geheimschlüssel verlegt oder versehentlich veröffentlicht. Das ist schlecht, da das Mantra einigemaßen leicht zu knacken ist (auf jeden Fall verglichen mit dem Schutz des Schlüsselverfahrens). In diesem Fall sollte man nicht zögern und ein revocation certificate zu diesem Key parat haben und veröffentlichen. Dies geht mit dem Befehl
$ gpg --gen-revoke 0a045da1
Für den Einsatz von GnuPG mit LinKT muss dies auf dem System installiert sein. Bei SuSE Linux wird das Paket gnupg benötigt. Nicht alle Distributionen liefern GnuPG mit; in diesem Fall muss der Quellcode von www.gnupg.org geholt und kompiliert werden. Bitte dabei der Installationsanleitung von GnuPG folgen.
Wenn LinKT eine PGP-signierte Nachricht empfängt, überprüft
es automatisch die Unterschrift. Hierzu muss allerdings unter
Voreinstellungen
Terminal
GnuPG
der Punkt »Unterschriften automatisch prüfen« aktiviert
werden.
LinKT erkennt, wenn ein PGP-Schlüssel empfangen wird und fügt diesen
in den eigenen Schlüsselbund ein. Dazu muss unter
Voreinstellungen
Terminal
GnuPG
der Punkt »Öffentliche Schlüssel automatisch
importieren« aktiviert sein. Zusätzlich kann man noch
»Vor dem Importieren fragen« einschalten, damit man eine
Anfrage erhält, ob ein empfangener Schlüssel wirklich dem eigenen
Schlüsselbund hinzugefügt werden soll.
Zum Versenden von Schlüsseln gibt es eine eigene Funktion. Durch einen Klick mit der rechten Maustaste im QSO-Fenster erscheint ein Menü. Hier wählt man den Punkt »Öffentlichen PGP-Schlüssel senden«.
Es erscheint nun ein Fenster mit allen Schlüsseln, die in dem eigenen Schlüsselbund enthalten sind. Je nach Umfang des Schlüsselbundes kann dies einige Sekunden dauern. Mit der Maus oder Pfeiltasten und Leertaste markiert man die Schlüssel, die man aussenden möchte. Im Feld »Suchfolge« kann man einen Text eintippen, der in den Benutzerkennungen der Schlüssel gesucht wird. Mit OK werden die gewählten Schlüssel als 7-Bit-Text gesendet. Es ist also keine Binärübertragung nötig.
Um eine GnuPG-signierte Nachricht zu verschicken, klickt man den GnuPG-Knopf an und erhält einen Dialog zur Texteingabe.
Die ersten zwei Zeilen dienen zur Eingabe des Sendebefehls an die Mailbox: S, SB, SP oder keinen Befehl erzeugen. Letzteres ist vorhanden, damit man direkt im QSO eine signierte Nachricht versenden oder in der Box mittels REPly oder COMment eine Mail beantworten kann. In die anderen Felder gibt man das Ziel (Rubrik oder Call) und ggf. Zielbox (@) und/oder Lifetime (#) ein. In der zweiten Zeile ist Platz für das Subject der Nachricht vorgesehen.
Im grossen Textfeld unterhalb wird die zu signierende Nachricht eingetippt. Wenn der Text bereits auf der Festplatte vorliegt, dann kann dieser über den »Import...«-Knopf in das Eingabefeld geladen werden.
Der Klick auf den »OK«-Knopf startet die Abfrage des Mantras. Wurde das korrekte Mantra eingegeben, dann erfolgt sogleich die Aussendung des unterschriebenen Texts.
Tipp: Wer mehrere PGP-Schlüssel hat, kann unter
Voreinstellungen
Terminal
GnuPG
beim Punkt »Benutze diesen privaten Schlüssel:«
seinen Amateurfunk-Key auswählen. »Voreingestellter
Schlüssel« bedeutet, dass an gpg nicht
ausdrücklich übermittelt wird, welcher Schlüssel zu benutzen
ist. gpg nimmt dann seinen Standardschlüssel.
Informationen zu PGP im Amateurfunk und zur AFu-PGP-CA gibt es im Internet und in der Rubrik PGP im Packetnetz.
![]() |
![]() |
![]() |