Krypto-Systeme mit einfachem Interface findet man heutzutage sehr selten. Umso mehr habe ich mich gefreut, als ich von Freenigma hörte, einem Tool, welches asymmetrische Verschlüsselung für Webmailer mit ein paar Mausklicks ermöglicht.

Anmeldung und Konfiguration

Man meldet sich beim Anbieter an, trägt seine E-Mail-Adresse(n) ein, wählt ein Passwort (für den Private Key), installiert ein Firefox-Plugin und die Sache läuft. Von Schlüsselgenerierung und Schlüsselverwaltung bekommt man überhaupt nichts mit. Die Konfiguration dauert etwa 2 Minuten und man kann danach direkt loslegen.
Zur Zeit werden die gängigsten Webmailer wie Google Mail, Yahoo Mail, Hotmail/MSN, web.de und GMX unterstützt. Allerdings kann man mit wenigen Handgriffen das Firefox-Plugin individuell auf einen anderen Webmailer umkonfigurieren.
Möchte man nun Freenigma mit seinen E-Mail-Kontakten nutzen, muss man im gesicherten Bereich der Freenigma-Seite seine Kontakte bearbeiten und ggf. Leute einladen, oder nach bestehenden Freenigma-Nutzern suchen und diese hinzufügen.

Interface und Nutzbarkeit

Im gewohnten Interface des Webmailers erscheint eine kleine Toolbar von Freenigma, über die sich E-Mails ver- und entschlüsseln lassen.

Freenigma überprüft dabei automatisch ob sich die E-Mail-Adresse des Empfängers in der eigenen Freenigma-Buddylist befindet, oder nicht. Ist die Adresse unbekannt, verweigert Freenigma den Dienst.
Möchte man nun eine Mail ver- oder entschlüsseln reicht ein Klick auf einen Button; man wird nach seinem Passwort gefragt und die Krypto-Maschinerie startet. 1–2 Sekunden später befindet sich entweder ein Geheim- oder ein Klartext im Inhalt der Mail und der gesamte Vorgang ist abgeschlossen.

Man kann ohne Bedenken sagen, dass die Benutzung auch für technikabgeneigte Personen sehr einfach ist.

Technologie und Kehrseiten

Das Freenigma-Plugin ist mit AJAX realisiert und die gesamte Schlüsselverwaltung findet auf dem Anbieter-Server von Freenigma statt; Private und Public Keys sind nicht einsehbar. Das gesamte Krypto-Prinzip funktioniert wie bei PGP.

Die größte Schwachstelle: Möchte ich eine für mich verschlüsselte Mail entschlüsseln muss der Private Key vom Server zu meinem Client über das Internet übertragen werden. Das geschieht zwar auch verschlüsselt mit einem Session-Key, aber birgt eine potenzielle Sicherheitslücke. Eine lokale Speicherung des Private Keys wäre denkbar, würde aber wiederrum die ortsunabhängige Bedienung erschweren, da man – wie bei herkömmlichen Verfahren – seinen Private Key von Rechner zu Rechner schleppen müsste.

Als weiteren Nachteil habe ich es empfunden, dass es mir nicht möglich ist mit bestehenden Schlüsselpaaren zu arbeiten. Freenigma fragt erst gar nicht danach, ob man vielleicht schon ein PGP-kompatibles Schlüsselpaar besitzt, sondern generiert einfach ein Pärchen. Natürlich ist das so mit der aktuellen Funktionsweise von Freenigma sinnvoller, da ja die Möglichkeit fehlt mit lokalen Schlüsseln zu arbeiten.

Kai Raven hat übrigens ein paar interessante Gedanken zu den Sicherheitsrisiken von Freenigma geschrieben.

Fazit

Auch wenn Freenigma eine potenzielle Lücke aufweist, ist es immer noch besser als gar keine Kryptographie zu verwenden. Die Tatsache des simplen Interfaces macht es ebenfalls zu einem interessanten Anschauungsobjekt.