Wie kann ich mit digitaler Unterschrift die Integrität der Nachricht
und die Authentizität des Absenders überprüfen? (1 Stunde)
Nachdem in den vorangegangenen Stunden die Frage beantwortet wurde, wie mittels Verschlüsselung Vertraulichkeit bei der E-Mail-Kommunikation hergestellt werden kann, steht im vorletzten Lernabschnitt der Unterrichtseinheit die Frage nach der Integrität und Authentizität von Nachrichten im Mittelpunkt. Hierfür werden zum einen die notwendigen theoretischen Hintergründe erarbeitet (Hashwert, digitale Signatur), zum anderen üben sich die Schülerinnen und Schüler im Umgang mit digitalen Signaturen in einem echten Verschlüsselungssystem.
Sachanalyse
Die Verschlüsselung von E-Mails reicht nicht aus, um diesen Kommunikationsweg vollständig sicher zu gestalten. Trotz der Verschlüsselung einer E-Mail kann sich der Empfänger nicht sicher sein, ob eine Nachricht auch wirklich von dem Absender stammt, der im „Header“ der E-Mail genannt ist. Auch besteht noch die Gefahr, dass die Integrität einer E-Mail beschädigt wurde – d.h. dass Teile einer E-Mail entfernt, verändert oder hinzugefügt werden können. So besteht etwa die Gefahr, dass eine Nachricht, die – anscheinend oder tatsächlich – von einem bekannten Absender stammt, Schadcode, wie etwa ein infiziertes Dokument oder Programm enthält.
Um diese Gefahr zu beseitigen, wurde die digitale Signatur erfunden, die wie folgt funktioniert: Aus dem Text der E-Mail wird ein Hashwert (auch Streuwert genannt) berechnet, den der Absender mit seinem privaten Schlüssel chiffriert. Jeder kann zwar mittels des öffentlichen Schlüssels des Senders diesen Hashwert entschlüsseln – es ist aber für jeden ersichtlich, dass die Verschlüsselung nur mit dem privaten Schlüssel des Senders erstellt worden sein konnte! Auf Empfängerseite wird der Hashwert der Nachricht erneut berechnet und mit dem empfangenen Hashwert verglichen. Sind diese beiden Werte unterschiedlich, so kann man davon ausgehen, das die Integrität der Nachricht verletzt wurde.
Zuletzt bleibt nur noch folgendes Problem bestehen: Wie kann ich mir sicher sein, dass sich hinter dem öffentlichen Schlüssel eines Nutzers auch wirklich die Person verbirgt, mit der ich E-Mail-Kontakt habe? Schließlich kann sich jeder ein Schlüsselpaar erzeugen und eine fremde E-Mail-Adresse als die eigene bezeichnen.
Dieses Problem wird auf zwei unterschiedlichen Wegen gelöst: Zum einen gibt es so genannte Trust-Center, die Zertifikate ausstellen, in denen sie die Identität des Kommunikationsteilnehmers bestätigen. Ein solches Zertifikat ist kostenfrei für ein Jahr zu erhalten – wer es für einen längeren Zeitraum nutzen möchte, der muss zahlen. Die andere Methode ist die Einbindung in ein „Web of Trust“. Hier bürgen jeweils Dritte für die Identität eines weiteren Teilnehmers im „Web of Trust“. Dadurch entsteht ein netzartige Struktur, in der jeder Teilnehmer für die Korrektheit einer bestimmten Anzahl von öffentlichen Signaturen bürgen kann.
Standardbezug
Die Schülerinnen und Schüler…
- … verstehen die Grundlagen des Aufbaus von Informatiksystemen und deren Funktionsweise und wenden diese zielgerichtet an.
- … reagieren angemessen auf Risiken bei der Nutzung von Informatiksystemen.
Stunde 17:
E-Mails digital unterschreiben
In dieser Stunde beantworten die Schülerinnen und Schüler die Frage nach der Sicherstellung von Authentizität und Integrität bei der E-Mail-Kommunikation. Zu diesem Zweck arbeiten die Schülerinnen und Schüler mit der (erweiterten) Animation, die bereits aus Stunde 11 bekannt ist. Anhand der Animation und der Erläuterung auf dem Arbeitsbogen, sind die Schülerinnen und Schüler in der Lage, die Funktionsweise der „digitalen Signatur“ zu entdecken. Dabei lernen sie ebenfalls Hashfunktionen kennen und können in Grundzügen erläutern, wie diese funktionieren. Nachdem die Schülerinnen und Schüler das Verfahren durchdrungen haben, wird die Schrittfolge beim Versenden einer verschlüsselten und signierten E-Mail festgehalten. Abschließend signieren sie E-Mails in Enigmail und prüfen erhaltene E-Mails auf eine korrekte Signatur.
Material
- Animation online
- Animationen in einer ZIP-Datei zum lokalen Verteilen gepackt herunterladen
- Lehrvideo zur Verwendung der Animation
- Arbeitsbogen mit Arbeitsaufträgen zur Animation (Schülerinnen und Schüler müssten sonst ständig zwischen Animation und Aufträgen auf und ab scrollen. Alternativ kann man auch die Animation in einem zweiten Fenster erneut öffnen und in den unteren Bereich scrollen.)