freeX: Sichere Post mit Mutt und GnuPG

Sichere Post mit Mutt und GnuPG

Mutt wird bei den Personen immer beliebter, die viele Mails schreiben und daher ein praktisches und funktionales Werkzeug benötigen, das sie bei ihrer Arbeit unterstützt. Es soll ein Werkzeug sein und kein Spielzeug, mit dem man sich stundenlang ablenkt - und es soll die Verschlüsselung sowie digitale Unterschriften unterstützen. Wie GnuPG transparent in die Konfiguration von Mutt eingebunden wird, zeigt dieser Artikel.

1. Zusätzliche Features 2. Konfigurationsdateien 3. Einbinden von GnuPG in Mutt 4. Mails signieren 5. Signatur überprüfen 6. Wichtige Passagen hervorheben 7. Mail verschlüsseln 8. Verschlüsselte Mail lesen 9. Öffentliche Schlüssel aufnehmen 10. Nachrichten erneut lesen 11. Attachments 12. Resources

Für Profis stellt sich die Frage nach einem vernünftigen Mail-Programm längst nicht mehr. Sie ist schon lange entschieden. Für die Anhänger der "eierlegenden Wollmilchsau" Emacs ist Gnus das System der Wahl, für andere ist es Mutt. Damit wurde ELM als früher vorherrschendes Mail-Programm abgelöst. Eine Zeitlang hat PINE in dieser Riege noch mitgespielt, doch aufgrund von Lizenzproblemen kann es nicht ohne weiteres in GNU/Linux-Distributionen aufgenommen werden.

Mutt ist wegen seiner Flexibilität bei vielen Entwicklern sehr beliebt. Es läßt sich wirklich an jeden Wunsch anpassen. Wer sich eine Weile mit dem Programm beschäftigt, wird unweigerlich an ein Chameleon erinnert, denn es kann vom Benutzer sehr stark angepaßt werden. Das wird von verschiedenen Distributoren auch sehr intensiv genutzt. Als Beispiel seien nur die voreingestellten Konfigurationen von Debian und Mandrake erwähnt.

Doch darauf soll in diesem Artikel nicht weiter eingegangen werden. Die Lektüre des Handbuchs (auf Englisch allerdings), das dem Programm beiliegt, sei interessierten Personen jedoch ausdrücklich empfohlen. Die Handhabung und vor allem die Konfiguration wird dort ausführlich beschrieben. Wer effektiver arbeiten möchte, sollte zudem eine halbwegs aktuelle Version von Mutt verwenden, da immer noch neue Funktionen hinzugefügt werden.

Zusätzliche Features

Die Grundlagen für die Verwendung von GnuPG finden Sie im Artikel "GnuPG für mehr Sicherheit" in dieser Ausgabe der freeX. In diesem Artikel sehen Sie, wie man GnuPG mit Mutt verheiratet, um bequem arbeiten zu können. Mit der passenden Konfiguration haben Mutt und GnuPG über die normalen Funktionen hinaus alles zu bieten, was man im täglichen Leben braucht:

• Verifizieren von Signaturen
• Mails digital unterschreiben
• Mails verschlüsseln
• Mails entschlüsseln
• Öffentliche Schlüssel zum Schlüsselbund hinzufügen
• Verschlüsselung von Attachments

Konfigurationsdateien

Die Konfiguration für Mutt befindet sich zum einen in der systemweit gültigen Datei »/etc/Muttrc« und zum anderen in der privaten Datei »~/.muttrc«. Abhängig von dem Paket, das Sie verwenden, und von der GNU/Linux- oder BSD-Distribution, ist Mutt bereits gut vorkonfiguriert und vielleicht sogar schon für GnuPG vorbereitet. Mutt liest beim Programmstart normalerweise zuerst die sytemweite und anschließend die private Konfigurationsdatei.

Wenn Sie mit den vorgegebenen Einstellungen nicht einverstanden sind, können Sie das Einlesen der systemweiten Datei beim Start von Mutt mit dem Parameter »-n« unterbinden. Das ist genau dann sinnvoll, wenn die systemweite Konfiguration nicht den eigenen Wünschen entspricht (z.B. komplett andere Farben oder zwei statt einem Fenster hat bzw. umgekehrt). Wenn dauerhaft auf die systemweite Konfigurationsdatei verzichtet werden soll, bietet es sich z.B. für die Bash (als am häufigsten unter GNU/Linux verwendete Shell) an, einen Alias wie

   alias mutt='mutt -n'

in der Datei »~/.bashrc« oder »~/.bash_profile« festzulegen.

Einbinden von GnuPG in Mutt

In der Quellcode-Distribution von Mutt befindet sich im Verzeichnis »contrib« die Datei »gpg.rc«, die die wichtigsten Einstellungen für die Unterstützung von GnuPG bereits enthält. Oft wird die Datei in »/usr/share/doc/mutt« o.ä. installiert. Falls das nicht der Fall ist, wird sie aus dem Quellcode-Paket von Mutt (URL siehe Resources am Ende des Artikels) extrahiert. Die Basis-Konfiguration erhält man durch Einlesen dieser Datei. Um sie einzubinden, wird folgende Zeile in die private Konfigurationsdatei »~/.muttrc« aufgenommen:

   source /usr/share/doc/mutt/examples/gpg.rc

Die Anweisung »source« bewirkt dabei, daß Mutt die als Parameter angegebene Datei an dieser Stelle in die aktuelle Konfiguration einbindet. Einzelne Einstellungen können somit später noch überschrieben werden. In dieser Datei sind die für das Verschlüsseln, Entschlüsseln, Signieren und Verifizieren benötigten Befehle eingetragen, so daß Sie gleich loslegen können.

Bevor Sie diese Datei jedoch tatsächlich einbinden, überprüfen Sie bitte, ob die dort enthaltenen Befehle nicht schon in der systemweiten Konfigurationsdatei »/etc/Muttrc« enthalten sind. In dem Fall sollten die aus der aktiven systemweiten Konfigurationsdatei bevorzugt werden, da sie wahrscheinlich eher auf die lokalen Gegebenheiten Ihrer Distribution angepaßt sind.

Sie können die Konfiguration von Mutt im übrigen auch während einer laufenden Sitzung ändern, wenn Sie vor den Befehl jeweils einen Doppelpunkt (»:«) schreiben. Teilweise müssen Sie dann jedoch die zur Zeit auf dem Bildschirm dargestellte Seite neu aufbauen, z.B. indem Sie wieder in die Übersicht wechseln und die Mail erneut öffnen oder Strg-L drücken.

Mails signieren

Nach dem Start von Mutt wird wie bisher mit »m« eine neue Mail eingeleitet. Mutt startet nach Erfragen des Betreffs ("Subject") automatisch einen Editor, meistens »vi«. Nachdem der Text geschrieben ist, gelangt der Benutzer ins sogenannte Compose-Menü. In diesem Menü werden die Adressen der Mail: To, From, Cc, Reply-To und Bcc editiert bzw. können geändert werden. Wenn die Mail korrigiert werden muß, gelangt man mit »e« erneut in den Editor.

Im Compose-Menü ist auch der Punkt »PGP« enthalten. Hinter diesem verbirgt sich die Steuerung für PGP bzw. GnuPG. Aus historischen Gründen spricht Mutt überall von PGP, unabhängig davon, ob stattdessen im Hintergrund GnuPG aufgerufen wird oder tatsächlich PGP. Da oben die Konfiguration für GnuPG eingelesen wurde, wird tatsächlich GnuPG verwendet und nicht PGP, was ebenfalls installiert sein könnte. Nachdem das PGP-Menü mit der Taste »p« aktiviert wurde, erscheint es in der untersten Zeile mit den wichtigsten Optionen.

In diesem dritten Menü kann nun alles ausgewählt werden, was für die sichere Kommunikation benötigt wird. Zur Auswahl stehen die folgenden Funktionen. Jeweils in Klammern steht die zu drückende Taste:

   (e)ncrypt, (s)ign, sign (a)s, (b)oth, or (f)orget it?

Um eine Mail zu signieren, muß somit »s« gedrückt werden. Mutt bzw. GnuPG verwenden anschließend den hauptsächlichen Schlüssel, um die Mail zu signieren. Wenn Sie mehrere Schlüssel besitzen, können Sie mit der Option »sign (a)s« den zu verwendenden Schlüssel auswählen, falls nicht der vorgegebene verwendet werden soll.

Wenn Sie sich, wie im Artikel über GnuPG beschrieben, ein eigenes Schlüsselpaar erstellt haben, schreiben Sie nun als Übung eine Mail, die Sie an sich selbst addressieren, und signieren diese. Wenn alles richtig eingestellt ist, wird Mutt Sie nach dem Mantra ("PGP passphrase") fragen, mit dem der private Schlüssel gesichert ist.

Sollte Mutt sich darüber beschweren, daß das Programm »pgpewrap« nicht gefunden wird, müssen Sie die Konfiguration selbst korrigieren. Dazu kopieren Sie die Datei »gpg.rc« von oben in Ihr Heimatverzeichnis, am besten als »~/.muttrc.gpg«. Als nächstes müssen Sie den tatsächlichen Pfad des Programms »pgpewrap« herausfinden (z.B. mit dem Befehl »locate pgpewrap«). Die Vorkommen von »pgpewrap« ergänzen Sie nun um den vollständigen Pfad und ändern die »source«-Anweisung von oben auf:

   source ~/.muttrc.gpg

Wenn man sich bei der Eingabe des Mantras vertippt hat, kann die Mail nicht signiert werden und Mutt springt wieder ins Compose-Menü zurück anstatt in das Hauptmenü zurückzukehren. Wenn jedoch erneut versucht wird, die Mail mit »y« abzuschicken, wiederholt sich der Fehler nur. Um das Paßwort neu einzugeben, gibt es jetzt zwei Möglichkeiten: Fünf Minuten warten, bis Mutt es von selbst wieder vergessen hat, oder man drückt die Tasten »Strg-f« und zwingt Mutt dazu, das Mantra sofort zu vergessen, so daß es neu eingegeben werden muß.

Signatur überprüfen

Wenn Sie jetzt die Liste der Mails in Ihrer Mailbox betrachten, sehen Sie nicht nur die gerade geschriebene Mail, sondern sollten auf der linken Seite in der Übersicht auch die beiden Zeichen »Ns« sehen. Das sind Status-Kennzeichen von Mutt (siehe Kasten). Das kleine »s« bedeutet, daß jemand diese Mail signiert hat. Mutt ändert es übrigens in ein großes »S«, nachdem Sie die Mail geöffnet haben und Mutt GnuPG aufrufen konnte, um die Unterschrift zu überprüfen und dieses nicht fehlschlug.

Wichtige Passagen hervorheben

Wenn die unterschriebene Mail geöffnet ist und auf dem Terminal dargestellt wird, zeigt Mutt verschiedene Stellen hervorgehoben an, damit man zwischen Mail und Signatur unterscheiden kann. Wem das nicht auffällig genug ist, oder wer der Meinung ist, daß die falschen Zeilen farbig hervorgehoben sind, kann an dieser Stelle ansetzen und das Verhalten ändern.

Abbildung 1: Aufbau einer verschlüsselten Mail mit Attachments

Farbliche Hervorhebungen in der Darstellung von Mutt werden mit regulären Ausdrücken gesteuert. Eine einfache Zeichenkette, die in einer Mail vorkommt, ist dabei zum Beispiel der einfachste reguläre Ausdruck und ».*« paßt auf beliebig viele Zeichen. Dadurch steht eine flexible Möglichkeit zur Verfügung, Texte beliebig einzufärben. Benötigt wird dieses für den »color«-Ausdruck.

Zur Demonstration soll nun folgendes geändert werden: Die Hinweise auf Unterschriften, Texte und Anhänge (Attachments) sollen nicht mehr in einem leuchtendem gelb dargestellt werden, sondern in einem einfachen rot. Sie sind nicht so wichtig, daß es auf der Netzhaut leuchten und sich einbrennen soll. Zusätzlich sollen die wichtigsten Meldungen von GnuPG leuchtend gelb angezeigt werden, damit gleich sichtbar wird, ob die Unterschrift paßt oder nicht.

Die generelle Syntax für das »color«-Statement lautet:

   color object foreground background [ regexp ]

Der reguläre Ausdruck am Ende einer solchen Zeile wird nur dann benötigt, wenn nicht alle Zeilen dieser Klasse eingefärbet werden sollen, sondern nur der Teil, der zum jeweiligen regulären Ausdruck paßt. Als »object« stehen verschiedene Schlüsselwörter zur Verfügung, von denen für diese Demonstration »attachment« und »body« benötigt werden.

Um Hinweise auf Unterschriften und Anhänge mit rotem Text auf schwarzem Hintergrund darzustellen, wird folgende Zeile in die Konfigurationsdatei aufgenommen:

   color attachment red black

Als nächstes sollen die Zeilen in leuchtendem gelb hervorgehoben werden, die angeben, von wann der Schlüssel stammt und daß die Signatur paßt, wenn sie denn paßt. GnuPG schreibt dazu Zeilen, die mit »gpg: Signature made« und »gpg: Good signature« anfangen. Da Mutt diese Zeilen in den Textkörper kopiert, werden die beiden folgenden Zeilen zur Konfiguration hinzugefügt:

   color body brightyellow black "^gpg: Good signature.*"
   color body brightyellow black "^gpg: Signature made.*"

So werden nicht alle Zeilen des Mailkörpers farbig hervorgehoben, sondern nur die Teile, die zu diesen regulären Ausdrücken passen. Damit die Zeilen jedoch bis zum Zeilenende in leuchtendem gelb erscheinen, werden die beiden Zeichen ».*« zum eigentlichen Suchtext hinzugefügt. Die beiden Ausdrücke können auch zusammengefaßt und durch einen regulären Ausdruck dargestellt werden:

   color body brightyellow black "^gpg: (Good signature|Signature made).*"

Wenn eine Unterschrift nicht zum Text paßt oder GnuPG sie nicht verifizieren kann, wird der von GnuPG ausgegebene Text nicht mehr hervorgehoben. Da es sich in einem solchen Fall möglicherweise um ein ernsthaftes Problem handelt, sollten solche Zeilen vielleicht besser in einer Warnfarbe dargestellt werden. Dann man vielleicht auf den ersten Blick sehen, daß etwas nicht stimmt. Sehr auffällig wirkt z.B. leuchtendes weiß auf rotem Hintergrund. Die Konfiguration wird daher wie folgt erweitert:

   color body brightwhite red "^gpg: BAD signature.*"

Um das Verhalten auszuprobieren, können Sie eine digital unterschriebene Mail mit »s« in einer eigenen Datei speichern, ein Zeichen mit einem Editor ändern, und Mutt mit »mutt -f datei« neu starten. Wenn Sie nun versuchen, die Mail zu lesen, sollten Sie die Warnung sofort sehen. Auf die gleiche Weise können Sie die Zeile auch einfärben, wenn GnuPG den Schlüssel nicht findet und er zuerst vom Keyserver heruntergeladen werden müßte. In einem solchen Fall schreibt GnuPG folgenden Text:

   gpg: Can't check signature: public key not found

Mail verschlüsseln

Mails werden mit Mutt genauso einfach verschlüsselt wie unterschrieben. Wenn Sie sich an das PGP-Menü von oben erinnern, werden Sie feststellen, daß dort auch der Punkt »(e)ncrypt« aufgeführt ist. Nach dessen Aktivierung sucht Mutt anschließend unter den vorhandenen öffentlichen Schlüsseln im Schlüsselbund von GnuPG den passenden heraus und läßt GnuPG die Mail damit verschlüsseln. Wenn gar kein Schlüssel zu passen scheint bzw. keine Mail-Adresse hinreichend gut übereinstimmt, bietet Mutt ein weiteres Menü an, in dem der gewünschte Schlüssel ausgewählt werden kann oder bietet Ihnen die Möglichkeit, die passende Key-ID einzugeben.

Ist der öffentliche Schlüssel des Kommunikationspartners nicht lokal vorhanden, muß zuerst mit einem Browser z.B. auf wwwkeys.de.pgp.net nach dem passenden Schlüssel gesucht werden. Wird der Schlüssel jedoch nur von dort genommen, kann nicht sichergestellt werden, daß der Schlüssel auch tatsächlich zu der Person paßt, also gilt hier: Signaturen auf dem Schlüssel prüfen und ggf. versuchen, den Fingerabdruck mit der Person per Mail zu verifizieren (den Schlüssel jedoch auf keinen Fall ohne ein persönliches Treffen unterschreiben). Der neue Schlüssel kann von GnuPG in einem zweiten Terminal in das Schlüsselbund aufgenommen werden, damit Mutt den neuen Schlüssel in einem zweiten Versuch anzeigen und die Mail damit verschlüsseln kann.

Zum Verschlüsseln wird natürlich kein Paßwort benötigt, da der öffentliche Schlüssel des Kommunikationspartners verwendet wird. Es macht jedoch bei einigen Dokumenten Sinn, sie nicht nur zu Verschlüsseln, sondern zusätzlich auch zu signieren, damit nachträglich sichergestellt werden kann, von wem das Dokument stammt und daß es unverändert ist.

In dem Fall werden entweder nacheinander »s« und »e« gedrückt oder »b« für beides. Anschließend muß das Mantra eingegeben werden, damit auf den Inhalt des privaten Schlüsels zugegriffen werden kann, um die Mail zu signieren.

Verschlüsselte Mail lesen

Beim Lesen von verschlüsselten Mails glänzt Mutt ebenfalls mit Komfort. In der Übersicht werden Mails mit verschlüsseltem Inhalt mit einem »P« markiert. Wenn eine solche Mail geöffnet wird, fragt Mutt nach dem Mantra für den privaten Schlüssel, wenn es noch nicht bekannt ist, öffnet die Mail, läßt sie von GnuPG entschlüsseln und zeigt den Inhalt unverschlüsselt an.

Wer auf eine solche Mail antworten möchte, kann dies wie gewohnt mit »r« (engl. "reply") machen. Mutt wird die unverschlüsselte Nachricht in den Editor kopieren, in dem sie bequem wie andere Mails auch bearbeitet werden kann. Bei neueren Versionen merkt sich Mutt sogar, daß die Mail verschlüsselt ankam und wird auch versuchen, die Antwort zu verschlüsseln.

Öffentliche Schlüssel aufnehmen

Wenn öffentliche Schlüssel per Mail zugeschickt werden, sollen sie oft zum Schlüsselbund hinzugefügt werden. Mutt bietet auch hier eine recht einfache Möglichkeit, das mühsame Speichern und direkte Aufrufen von GnuPG zu erleichtern. Wenn eine Mail auf dem Terminal angezeigt wird, reicht es, »Strg-k« zu drücken. Mutt wird den Befehl ausführen, der zum Importieren eines Schlüssels benötigt wird. Welcher das im Detail ist, steht in der Datei »gpg.rc«.

Nachrichten erneut lesen

Viele Personen archivieren die Mails, die sie verschicken. So können Sie später auf das zurückgreifen, was sie anderen geschrieben haben. So können sie zudem nachsehen, was sie denn tatsächlich geschrieben haben, wenn jemand versucht, ihnen andere Worte in den Mund zu legen. Bei unverschlüsselten Nachrichten ist das kein Problem, sie können später noch gelesen werden. Digitale Unterschriften können ebenfalls überprüft werden, da hierzu der öffentliche Schlüssel vorhanden sein muß, der ja bekannt ist.

Probleme tauchen jedoch dann auf, wenn eine verschlüsselte Nachricht noch einmal gelesen werden soll. Tja, das ist nicht möglich, sie wurde ja für für eine fremde Person mit ihrem öffentlichen Schlüssel verschlüsselt und kann daher nur mit dem zugehörigen privaten Schlüssel dekodiert werden. Dieser befindet sich jedoch in der Hand der zweiten Person, nicht jedoch der Person, die die Mail geschrieben hat. Wenn solche Mails doch nur mit einem zweiten Schlüssel, nämlich dem eigenen, verschlüsselt wären...

Hier kann jedoch leicht Abhilfe geschaffen werden. Der Artikel über GnuPG beschreibt bereits die Option »encrypt-to key«, mit der immer zusätzlich mit einem weiteren Schlüssel verschlüsselt wird. Wenn GnuPG alle Daten immer auch mit einem zweiten Schlüssel verschlüsseln soll, dann wird

   encrypt-to 0xDEADBEAF

in die Datei »~/.gnupg/options« geschrieben. Anstelle von »0xDEADBEAF« muß natürlich die Key-ID des eigenen Schlüssels eingetragen werden. Diese Einstellung wirkt sich auch auf verschlüsselte Dokumente aus, die außerhalb vom Mutt erstellt werden. GnuPG wird immer einen zweiten Teil anfügen. Daher sollte gut überlegt werden, ob diese Option eingeschaltet werden soll oder ob lieber ein anderer Weg gegangen werden soll.

Die zweite Möglichkeit, dieses Problem anzugehen, besteht darin, die beiden Befehle, die für das Verschlüsseln von Mails zuständig sind, zu erweitern. Da sie die Aufrufe für GnuPG enthalten, reicht es, deren Befehlszeile derart zu erweitern, daß der Parameter »--encrypt-to 0xDEADBEAF« ebenfalls enthalten ist und somit zusätzlich mit dem eigenen Schlüssel verschlüsselt wird.

Dazu müssen zwei Zeilen in der Datei »gpg.rc« erweitert werden. Für das Verschlüsseln von Mails ist die Variable »pgp_encrypt_only_command« zuständig und für das Verschlüsseln mit anschließendem Signieren die Variable »pgp_encrypt_sign_command«. Ergänzen Sie die beiden Kommandozeilen um den obigen Parameter und starten Sie Mutt anschließend neu. Die beiden Zeilen hier abzudrucken macht leider nicht besonders viel Sinn, da sie über 160 Zeichen breit sind und daher über viele Zeilen umgebrochen werden müßten.

Wenn Sie von nun an eine verschlüsselte Mail an jemanden schicken und selbst eine Kopie behalten (z.B. indem Sie »=sent« in das Feld »Fcc« (für File-Carbon-Copy) eintragen oder in der Konfiguration »set record="=sent"« eingetragen haben), können Sie diese Mail weiterhin lesen.

Attachments

Mutt kann nicht nur herkömmliche Mails verschlüsseln, sondern auch Mails samt Attachments. Attachments sind zusätzliche Dateien, die an Mails angehängt werden. Im Gegensatz zu herkömmlichen Mails, die nur aus einem einzigen ASCII-Text bestehen, wird die Mail nun in verschiedene Teile und Container aufgeteilt, für die Dateitypen und ggf. auch Dateinamen angegeben werden. Die Mail wird dann in einem speziellen Format verschickt.

Für den Endbenutzer ändert sich dabei nichts, wenn nun Mails samt Attachments verschlüsselt oder signiert werden sollen. Unter der Oberfläche sehen die Mails jedoch komplett anders aus. Jeder solche Mail wird zweimal eingepackt. Zuerst werden alle Komponenten zusammengepackt, also die eigentliche Mail zusammen mit den Attachments. Dieses wird auf Wunsch verschlüsselt, oder zusammen mit der Signatur noch einmal eingepackt. Erst dieses Paket wird mit dem RFC-822-Mail-Header versehen und schließlich verschickt.

Das Auspacken geschieht dankenswerterweise wieder vollautomatisch. Hier nimmt Mutt einem die gesamte Arbeit des mehrfachen Auspackens und Verifizierens ab. Das wäre sonst auch eine undankbare und umständliche Aufgabe, die ein Computer viel besser erledigen kann als der Benutzer. Ein weiterer Vorteil von Mutt liegt darin, daß selbst bei verschlüsselten Mails mit Attachments die Übersicht über die Attachments, die man durch Eingabe von »v« erhält, genau die gleiche Funktionen bietet wie bei unverschlüsselten Mails. Attachments können daher genauso einfach angezeigt und gespeichert werden wie bisher.

Wer einmal nachvollziehen möchte, wie Mails mit Attachments eingepackt und wieder ausgepackt werden, mag sich selbst eine Mail mit mehreren Attachments schicken, die verschlüsselt wird. Anschließend wird die gesamte Mail zusammen mit den Headern mit »s« in einer Datei gespeichert und mit Hilfe des Programms »munpack« mehrfach ausgepackt.

Resources

• Mutt-Homepage
• Mutt-Quellcode
• GnuPG-Homepage
• The GNU Privacy Handbook
• Sichere Mails mit GnuPG, Marcus Brinkmann, freeX 3/2001, S. 28ff.
• Quellcode zu »mpack«

Quelle: freeX 3/02