Zum Start für Unternehmenskunden
Gmail: Google kündigt clientseitige Verschlüsselung für E-Mails an
Google will Gmail-Nutzern die Möglichkeit bieten, ihre E-Mails vor dem Versand zu verschlüsseln. Allerdings dürfte noch etwas Zeit vergehen, bis diese Funktion tatsächlich für alle Nutzer des E-Mail-Angebots von Google zur Verfügung steht. Zudem wird die Funktion den aktuellen Plänen von Google zufolge nicht automatisch angewendet, sondern muss vor dem Versand der E-Mails manuell aktiviert werden.
Google hat zunächst seine Geschäftskunden über die entsprechenden Planungen informiert. Die sogenannte clientseitige Verschlüsselung wird zunächst für Google-Kunden verfügbar sein, die die Google-Dienste Workspace Enterprise Plus, Education Plus oder Education Standard benutzen. Hier haben die Administratoren die Möglichkeit, eine Teilnahme an dem von Google neu aufgesetzten, entsprechenden Beta-Programm zu beantragen.
Google bietet entsprechende Verschlüsselungsfunktionen bereits für seine Dienste Google Drive, Google Docs, Sheets und Slides, Google Meet und als Beta auch für den Google Calendar an. Mit Blick auf die über Gmail verschickten E-Mails würde Google die Bereitstellung einer entsprechenden Option gut stehen.
Google verzichtet schon länger auf Inhaltsanalysen
Lange Zeit hat die Praxis des Unternehmens, seine E-Mail-Dienstleistungen kostenlos anzubieten, die Inhalte im Gegenzug jedoch zu analysieren, um zielgerichteter Werbung ausspielen zu können, für vehemente Kritik gesorgt. Google hat sich zwar längst von dieser Praxis verabschiedet und weist schon seit geraumer Zeit ausdrücklich darauf hin, dass die Inhalte von Gmail sowie Google Drive und Google Fotos zum Schutz der Privatsphäre der Nutzer niemals für Werbezwecke genutzt werden. In den Köpfen zahlreicher Nutzer hat sich das Bild von der automatisierten E-Mail-Analyse jedoch so fest verankert, dass Google diese Praxis bis heute unterstellt wird.
Einen konkreten hinsichtlich der Bereitstellung der neuen Verschlüsselungsfunktion wollte Google bislang noch nicht nennen. Wir hoffen dann mal, dass im kommenden Jahr eine entsprechende Ankündigung alle Gmail-Nutzer betreffend folgt.
Hab mich grad mal durch die Links geklickt. Welche Verschlüsselung wird da verwendet? Ist das dann nur für Gmail Adressaten nutzbar? Mir fällt aktuell zumindest kein anderer Anbieter an der das nutzt oder?
Leider kein OpenPGP sondern S/MIME, welches durch https://efail.de/ leider kaputt ist. Aber was nicht ist, kann ja noch werden.
Nichts ist kaputt, man muss es nur richtig benutzen. Du solltest die Artikel welche Du postest auch mal komplett bis zum Ende lesen.
Und jetzt meine Damen und Herren wird uns iMick erklären, warum S/MIME ohne MDC nach efail nicht kaputt ist. Ich bin gespannt.
Die entscheidende Stelle: „Attacking S/MIME is straightforward and an attacker can break multiple (in our tests up to 500) S/MIME encrypted emails by sending a single crafted S/MIME email to the victim. As opposed to S/MIME, modern OpenPGP implementations offer a Modification Detection Code (MDC) that can detect modified plaintexts, effectively preventing the CFB gadget attack.“
Sprich, OpenPGP kann den Angriff mitigieren. S/MIME nicht.
Das wichtigste: beide standards sind angreifbar, vor allem wenn sie nicht fortlaufend aktualisiert werden.
Genau das ist der Punkt: S/MIME wurde eben nicht aktualisiert und hat auch keinen MDC, damit ist das Angriffsszenario auch nicht mitigierbar (auch wenn iMick etwas anderes behauptet ohne jegliche Details zu nennen „nichts ist kaputt“).
Kann dann ja eigentlich nur zwischen Gmail Nutzern funktionieren und ist damit eigentlich recht uninteressant. Wenn ich das will, ist das auch heute schon mit S/MIME und Co möglich….Auch unter iOS / MacOS. Mit allen dadurch entstehenden Nachteilen.
Mail, Caldav und Carddav sind einfach nicht für Verschlüsselung gemacht. Da finde ich es auch absolut in Ordnung, dass Apple das außen vor gelassen hat. Apples Advanced Data Protection bleibt für mich die News des Jahres 2022. Fotos, iCloud Drive und iCloud Backup mit E2E Verschlüsselung sorgt einfach für einen riesen Gewinn an Privatsphäre.
Jetzt muss es nur noch auch bei uns starten.
Das wird zu sehr gefeiert, erst wenn es gestartet ist. Und mal ausnahmsweise keine Probleme macht, dann kann man es ggf. begrüßen. Ebenfalls nicht nachvollziehbar das Apple es an die SW Versionen knüpft.
Nur mal Gedankenspiel:
iCloud Mail – Apple könnte die Option geben, unverschlüsselt eingehende E-Mails automatisch mit eigenem PGP oder S/MIME-Key zu verschlüsseln für mehr Sicherheit der eigenen Mailbox, falls da mal ein Dritter Zugriff drauf bekommt. Sie könnten die Option geben, den eigenen PGP Public-Key per WKD zu vertreiben. Sie könnten andersrum in Apple Mail Clients prüfen, ob Empfänger PGP-Keys per WKD anbieten und den Nutzer die Mail optional verschlüsseln lassen. Oder Autocrypt für Apple Mail Clients.
CalDAV – Wichtig, wenn man seinen Kalender-Feed extern teilen möchte, aber man könnte z. B. auch den Encryption Key in die Share-URL packen und nur bei Abfrage entschlüsseln. Für die eigenen Clients könnte man auch CalDAV anpassen und somit Nutzern, die Kalender nicht teilen (oder nur mit iCloud-Nutzern), vollständiges E2E anbieten.
CardDAV – Dasselbe wie CalDAV, nur dass hier noch mehr Nutzer wahrscheinlich vor allem auf Apple Clients setzen und daher ein Custom-Protokoll von noch mehr Leuten realistisch genutzt werden könnte.
Ich denke, es finden sich bei allen drei Diensten viele Möglichkeit, mehr abzusichern, ohne dabei die Kompatibilität mit bestehenden Standards und Protokollen (die durchaus wichtig ist!) direkt ganz aufzugeben.
Wie gut das es Dienste wie Posteo gibt die auch verschlüsselte Kalender und Kontakte per Cal/CardDAV anbieten. Vielleicht sollte Apple bei denen mal anrufen und fragen wie das geht :-)