Das Programm "Pretty Good Privacy" kurz PGP ist seit Jahren der De-facto-Standard für sichere Kommunikation im Internet. PGP wurde vom Softwareentwickler Philip Zimmermann Anfang der 90er Jahre entwickelt, ist als Freeware erhältlich und kombiniert vorhandene Verfahren miteinander. Grundsätzlich basiert es auf dem Prinzip von öffentlichem und privatem Schlüssel. Der private Schlüssel ist durch ein zusätzliches Passwort geschützt, damit nicht Unberechtigte mit Zugang zur eigenen Festplatte den privaten Schlüssel stehlen können (man denke da an Einbrecher, Arbeitskollegen oder Eindringlinge aus dem Internet).
PGP existiert heute in der Version 8.x und arbeitet mit einer Schlüssellänge von 4096 Bit.
Es benutzt den RSA-Algorithmus, um das Public-Key-Prinzip umzusetzen, wobei jedoch nicht die gesamte Nachricht mittels RSA verschlüsselt wird. Hierfür wird das IDEA Verfahren (symmetrische Verschlüsselung mit 256 Bit) benutzt. Lediglich der IDEA-Schlüssel wird mittels RSA bzw. dem entsprechenden öffentlichen Schlüssel des Empfängers verschlüsselt.
Zur Generierung eines Schlüssels verwendet RSA zwei zufällig ermittelte große Primzahlen, die miteinander multipliziert werden und eine dritte große Zahl ergeben. Diese dritte Zahl ist der Schlüssel, der zum Kodieren oder Dekodieren des symmetrischen Schlüssels verwendet wird. Aus zeitlichen Gründen ist es fast unmöglich, vom Schlüssel (der dritten Zahl) auf die beiden Ausgangszahlen zu schließen.
Dieses Kryptografieverfahren ist heute so sicher, dass sich staatliche Behörden ernsthafte Sorgen machen, was die kriminelle oder politische Nutzung dieser Technologie angeht. Mit ihr steht nämlich zum ersten Mal eine abhörsichere Kommunikation zur Verfügung.
Beim Downloaden von PGP sollte beachtet werden, dass das Programm nicht von
einer kanadischen oder US-amerikanischen Website heruntergeladen wird, um die
Verletzung amerikanischer Exportvorschriften zu vermeiden. (Aus:
http://www.uni-hildesheim.de/~ffis0009/PGP-Homepage/ist_pgp_unknackbar.htm)
1977 wurde ein Wettbewerb von den Entwicklern des RSA-Algoritmus veranstaltet. Die Nachricht wurde mit einer 429 Bit Zahl verschlüsselt. Nach damaliger Technik sollte es 40 Billiarden Jahre dauern, bis jm den Code knacken würde.
1994 wurde der Code in 8 Monaten Arbeit von einem weltweit kooperierenden Team geknackt, das über das Internet verbunden war und über 1600 Rechner benutzte.
Die beiden tschechischen Kryptologen Vlastimil Klima und Tomas Rosa der zur ICZ Gruppe gehörenden Firma Decros hatten während einer Forschungsarbeit im Auftrag des tschechischen Geheimdienstes verschiedene Wege entdeckt, um den private key OpenPGP-kompatibler PGP-Programme (PGP, GnuPG) zu errechnen ohne Notwendigkeit, die Passphrase zu erraten oder den Algorithmus anzugreifen, mit denen der private key verschlüsselt wird.
Der Angriff wird durch fehlerhafte, bzw. fehlende Schutz- und Authentifizierungsmaßnahmen im Schlüsselformat von (Open)PGP-Keys ermöglicht.
Der Klima-Rosa-Angriff stellt zwar ein hohes Gefahrenpotential für PGP dat, setzt aber immer den physischen Zugriff auf den privatenSchlüssel voraus."
Der "Kryptografiepapst" in den USA, Robert Morris von der US National Security Agency, meint dazu: "Dont't ever underestimate what a few good hackers can do with a good algorithm and a few thousand mips years."
In Deutschland geht man mit dem am 01.08.1997 in Kraft getretenen Signaturgesetz (Artikel 3 des Informations- und Kommunikationsdienste-Gesetzes - IuKDG) in die Richtung zertifizierter und damit nachvollziehbarer private und public keys, um dem Problem der anonymen Wirtschaftskriminalität im Internet zu begegnen. Ein von einer Zertifizierungsstelle (ähnlich einer Polizeibehörde zur Ausstellung eines Personalausweises) ausgestelltes Zertifikat kann jederzeit von allen Seiten eingesehen und überprüft werden.
Am 2. Juni 1999 hat das Bundeskabinett in Form von "Eckpunkten der deutschen Kryptopolitik" entschieden, dass in Deutschland künftig Verschlüsselungsverfahren und -produkte ohne Restriktion entwickelt, hergestellt, vermarktet und genutzt werden dürfen.
Zwischenzeitlich existieren jedoch auch andere Verfahren, um diese theoretischen Lösungsansätze zu umgehen. Als Beispiel sei hier nur die so genannte Steganografie erwähnt. Bei der Steganografie werden Nachrichten in den Code z.B. von Bitmap- oder GIF-Bildern geschrieben und können dann als ganz normale Bilddateien über das Internet verschickt werden. Bei der Fülle von verschiedenen Bildern und Bildformaten im Internet ist es damit unmöglich, derart verschlüsselte Nachrichten zu entdecken und zu entschlüsseln, da niemand weiß, welche Dateien verschlüsselte Nachrichten enthalten und daher alle Bilddateien untersucht werden müssten. Zwischenzeitlich ist es auch möglich, Daten in Musikdateien verstecken.