Facebook erlaubt das Hinterlegen eures PGP-Schlüssels
von caschy | 31 Kommentare
Neues bei Facebook: das Soziale Netzwerk teilte mit, dass man ab jetzt unter den Kontaktinformationen auch seinen öffentlichen PGP-Schlüssel hinterlegen kann, sofern man den Browser am Desktop nutzt. Ist dieser Schlüssel hinterlegt, dann wird Facebook euch mit dem Key des Unternehmens signierte E-Mails schicken. Zwar setzt Facebook schon auf den Weg TLS, will so aber auch sicherstellen, dass die Inhalte verschlüsselt bleiben. Auch andere Leute könnten euren öffentlichen Schlüssel nutzen, um sicher mit euch Kontakt aufzunehmen. Übrigens: es ist einstellbar, ob Facebook euch verschlüsselte Mails schickt, das Ganze ist kein Muss, sondern optional.
Wird geladen ...
@Malibu
Der Fingerprint ist sozusagen nur zur Überprüfung da, ob dein Schlüssel richtig ist. Den kannst du auf deine Visitenkarte drucken.
Facebook könnte mit dem Fingerprint nur überprüfen, ob ein Schlüssel, den sie über einen KeyServer bezogen haben, richtig ist.
Du musst Facebook deinen öffentlichen Schlüssel geben. Wichtig, nur den öffentlichen, der private muss bei dir bleiben. Damit kann FB dir dann verschlüsselte Nachrichten schicken, die nur du lesen kannst. Wenn andere den Schlüssel auf Facebook auch sehen können, könne sie dir auch private Nachrichten schicken. Damit sie aber sicher gehen können, dass Facebook wirklich deinen öffentlichen Schlüssel hat, und nicht einen falschen, kannst du den Fingerprint deines Schlüssels noch über einen anderen Kanal verbreiten.
@saujung:
Danke für die Info!
Ich finde das in dem Tool (GPG Keychain) nicht sehr übersichtlich gemacht.
Gibt es da keinen einfachen Weg an den eigenen privaten Schlüssel zu kommen?
Ich sehe da nur die Möglichkeit ihn als Datei per email zu verschicken. Sehen tu ich ihn da nicht wirklich… (Müsste also erst die Datei speichern und dann mit ´nem Texteditor öffnen?)
Habe jetzt nur noch nicht verstanden, in welchem Format ich den Key im Feld eintragen soll?
Sobald ihr euren ÖFFENTLICHEN PGP Key bei Facebook in eurem Profil hinterlegt, erhaltet ihr eine Mail mit verschlüsseltem Anhang. Den gilt es zu entschlüsseln. Darin ist dann ein Link der die Verschlüsselung bestätigt/freischaltet wat ever.
Habs getestst geht genau so. PROBELM: Wer sein Passwort bei Facebook verbaselt erhält die Reset Mail dann verschlüsselt, was unter Umständen ein Problem sein könnte!
@Patrick
Nun ja, ist ein Text-Eingabfeld. Ich gehe davon aus, dass du da sowas wie:
—–BEGIN PGP PUBLIC KEY BLOCK—–
Version: GnuPG vX.Y.Z (Bla)
mQGi…
NG
=TQ+A
—–END PGP PUBLIC KEY BLOCK—–
dort einfügst, und Facebook ist glücklich. Den spuckt dir dein Schlüsselring (Verwaltung der Schlüssel) aus. Enigmail hätte z.B. die Funktion, öffentlichen Schlüssel zu versenden, da steht der dann drin.
Ich habe das gerade mal getestet:
Den Key eingeben wie saujung geschrieben hat und speichern.
Daraufhin wandelt FB das in den Fingerabdruck um. (klickt man darauf, wird wieder der komplette Key angezeigt)
Hat man die Option verschlüsselte eMails von FB zu bekommen aktiviert bekommt man eine (verschlüsselte) eMail in der man das nochmal bestätigen muss, zusammen mit dem Hinweis:
—–
This is an email to help you enable encrypted notification emails for your Facebook account.
If you prefer to not enable encrypted notification emails from Facebook, you may simply ignore this message.
If you enable encrypted notification emails, Facebook will begin encrypting notification emails to you with your public key. These may include account recovery notification emails.
BEWARE: If at some time in the future you cannot decrypt your account recovery notification emails and if you also become locked out of Facebook, you may be unable to recover your Facebook account.
—–
Ich habe mir überlegt, was der Grund dafür sein könnte, dass FB dies nun anbietet.
Dabei liegt es aus meiner Sicht auf der Hand:
Computer-affine Menschen haben häufig, wenn überhaupt, falsche Facebook- Profile, die möglichst nicht auf deren wahre Person schließen lassen.
In den Kommentaren sehe ich einige Leute, die das unbedingt ausprobieren müssen. Haben diese Leute auch daran gedacht, dass Facebook nun über das Web of Trust noch mehr aussagekräftige zwischenmenschliche Verknüpfungen erhalten kann, auch wenn diese Leute überhaupt nicht Teil von Facebook sein wollen? Oder viel mehr, dass Facebook sich ziemlich sicher sein kann, dass der Mensch, zu dem der PGP Schlüssel gehört dann auch tatsächlich der ist, für den er sich ausgibt? Immerhin ist doch neben der Verschlüsselung, die Signatur eines der Haupteinsatzszenarien von PGP. Wo wäre da der Sinn einer Fälschung?
Ich für meinen Teil würde ganz sicher nicht meinen echten GPG- Schlüssel hinterlegen, sondern einen Schrottschlüssel generieren, der sonst nirgends veröffentlicht/verwendet wird.
Damit taugt Facebook mal überhaupt nicht für die Idee, seinen öffentlichen Schlüssel verbreiten oder sein WOT erweitern zu wollen.
@Pseudo-Anonym
Warum? Es hindert dich doch niemand daran, einen Schlüssel zu erstellen, und diesen bei FB hoch zu laden, und sonst nirgends. Du kannst diesen Schlüssel ja nur für die Kommunikation mit Facebook und Menschen, die den Schlüssel von Facebook haben, nutzen. Ich nutze schon lange mehrere Schlüssel für mehrere E-Mail-Adressen und Personenkreise, ich sehe da keinen Einschränkung.
Wie gesagt, die vordergründige Motivation für Facebook liegt darin, dass sie zwar meine Daten lesen können (ich uns meine Kontakte auf Facebook geben die Daten ja Facebook), aber eben mein E-Mail-Anbieter, und wer diesen sonst noch so mitliest, eben nicht. Denn die könnten ohne Schlüssel ja alles, was ich als Notification bekomme, ebenfalls lesen.
Es gibt auch eine gewisse Sicherheit vor Phishing. Ist die email nicht signiert ist das nicht FB, die da gerne irgendwelche Passwortrückstellungen oder anderen Links für mich haben.
Da ja mittlerweile der normal DAU nicht mehr entscheiden kann was echt und was phishing ist, ist das schon mal ein fortschritt
Aber ich kann die Mails auf dem iPhone nicht mehr so ohne weiteres lesen…
Apple müsste da auch mal an einer PGP-Implementierung arbeiten.
@Herr Quer
Leider kann ein DAU sich auch keinen PGP-Schlüssel erstellen oder verstehen, wozu der da ist. DAUs erkennen also die Phishing-Attacke nicht, können sich davor aber auch nicht schützen, da sie die Technik nicht verstehen. Schade eigentlich.
@Malibu
Ohne weiteres kann niemand eine PGP-verschlüsselte E-Mail lesen. Selbst auf einem Android muss man dazu Zusatzsoftware installieren. Das ist in meine Augen auch der Hauptgrund, warum sich PGP nicht durchsetzt: Die Hürde, es zu nutzen, ist für Menschen, die ihre Geräte einfach nur nutzen wollen, viel zu hoch. Dennoch finde ich es genial, dass Facebook es anbietet. Ein Schritt in die richtige Richtung!