🚀 go-pugleaf

Erwin Karl <e.karl@link-m.de> schreibt:

>wie sicher sind eigentlich die neueren, ggf. auch kommerziellen Versionen  
>von PGP in Bezug auf Hintertuerchen ??   z.B. die von www.pgpi.com

Das beantwortet die comp.security.pgp-FAQ,
<http://www.iks-jena.de/mitarb/lutz/security/pgpfaq.html>:


|  3.1 Wie sicher ist PGP?
|  
|   Die gro�e Unbekannte in jedem Versch�sselungs-Konzept, das auf RSA
|   basiert, ist: Gibt es einen effizienten Weg zur Faktorisierung gro�er
|   Zahlen, oder: Gibt es eine Art "Hintert�r-Algorithmus", der den Code
|   ohne das Faktorisierungsproblem brechen kann? Sogar, wenn kein solcher
|   Algorithmus existiert, glaubt man immernoch, da� RSA das schw�chste
|   Glied in der PGP-Kette ist.
|   
|   Alle m�glichen Angriffe gegen-, oder m�gliche Fehler in PGP zu
|   besprechen, w�rde den Rahmen dieser FAQ sprengen. Wenn Du mehr
|   erfahren willst, als hier angeboten wird, schau nach in "infiNity's
|   PGP Attack FAQ":
|   [208]http://www.stack.nl/~galactus/remailers/attack-faq.html

|  3.15 Woher wei� ich, da� es im Programm keine "Hintert�r" gibt?
|  
|   Der Fakt, da� der gesamte Quellcode f�r die Freeware-Version
|   erh�ltlich ist, macht es so gut wie unm�glich, da� darin irgendeine
|   versteckte Hintert�r enthalten ist. Der Quellcode ist von zahllosen
|   Einzelpersonen durchsucht worden, und keine solche Hintert�r ist
|   gefunden worden. Um sicher zu gehen, da� Deine ausf�hrbare Datei
|   tats�chlich den bekannten Quellcode enth�lt, ist alles, was Du tun
|   mu�t, das ganze Programm zu rekompilieren.
|   
|  3.16 Ich habe geh�rt, da� die NSA eine "Hintert�r" in MIT-PGP eingebaut hat,
|  und da� sie nur diese manipulierte Version erlauben.
|  
|   Erstens hatte die NSA �berhaupt nichts damit zu tun, da� PGP "legal"
|   wurde. Die Legalit�tsprobleme, die mit MIT PGP gel�st worden sind,
|   betrafen das erkl�rte Patent auf dem in PGP verwendeten
|   RSA-Algorithmus.
|   
|   Zweitens werden alle Freeware-Versionen von PGP mit dem gesamten
|   Quellcode sowohl von PGP als auch der RSAREF-Bibliothek, die sie
|   verwenden, herausgegeben (so wie auch jede andere Freeware-Version
|   vorher). Damit ist das Thema bereits durch die Zusammenfassung der
|   Pr�fungsmethoden bei der vorherigen Frage abgehandelt.
|   
|  3.17 Gibt es eine "Hintert�r" in der internationalen Version?
|  
|   Nein. Die internationale Version von PGP basiert auf einer illegal
|   exportierten PGP-Version und benutzt eine RSA
|   Ver-/Entschl�sselungsbibliothek (MPILIB), die ein Patent verletzen
|   kann, das nur in den USA G�ltigkeit hat. Es gibt keinerlei wie auch
|   immer geartete Hintert�ren in der internationalen Version, und auch
|   die Verschl�sselungsfunktionalit�t ist in keinster Weise
|   eingeschr�nkt.


>... oder was ist ueberhaupt zu empfehlen?

GnuPG, <http://www.gnupg.org/>.  Das ist der GNU-Ersatz f�r PGP.
GnuPG wird auf nichtkommerzieller Basis als Open Source Software
entwickelt und basiert auf nicht-patentierten Algorithmen.  D.h. es
ist im Gegensatz zu den anderen PGPs auch legal kommerziell nutzbar
ohne, dass Lizensgeb�hren anfallen.

Um ganz praktisch die Probleme mit patentierten Algorithmen deutlich
zu machen: Es will jetzt eine Firma, die ein Patent auf einen
Algorithmus besitzt, der im popul�rsten Bildformat im Internet
Verwendung findet, Geld von Website-BetreiberInnen einfordern.

Frank
-- 
Wichtige Informationen zum CL-Netz        --> cl.netz.infos
Fragen zur Benutzung des CL-Netz          --> cl.netz.fragen
Wahlen im CL-Netz (jedeR kann teilnehmen) --> cl.netz.wahlen
Diskussionen �ber das CL-Netz             --> cl.netz.diskussion