Forum: help-de

Monitor Forum | Start New Thread Start New Thread
Vertraulich Dokumente mit Kunden austauschen (RE: GpgEX) [ Reply ]
By: Michael Hottung on 2021-02-11 21:17
[forum:7706]
Nabend Bernd,

<<a) Findet die Kommunikation mehrmals statt?
ja, weil die Dienstleistung wiederkehrend ist
<<b) Wird mehr als ein Dokument ausgetauscht?
ja, weil die Dienstl. die Mitarbeiter vom Kunden betreffen
<<c) Ist der Versand automatisiert?
nein, weil unterschiedliche Situationen für die Dienstl. vorliegen, somit Individuelle Docs sich daraus ergeben

Deshalb ein "nice to be" von mir zu der PW Verschlüsselung von GpgEX, weniger ist mehr bei Software Installationen, das war mein Gedanke im eigenen IT Umfeld bzw. das wird die IT vom Kunden auch so sehen.
Jetzt im Produktiven Umfeld bei uns wird sich zeigen welcher Kunde ggf. damit umgehen kann, oder wir weitere Software in Betracht ziehen müssen.
PDF X-Change habe ich jetzt probiert und würde das unter der Prämisse sehn, der Kunde ist König und wir haben uns zumindest nach Stand der Technik auf dieselbe Umgestellt/Eingerichtet.
Da denke ich an Art 32 der DSGVO „Sicherheitsdefizit“ dazu haben wir uns auseinander gesetzt.
Ich würde deine Angebote jetzt mal nicht in Anspruch nehmen wollen, weil ich die Reaktion unserer Kunden noch nicht vorliegen habe.
Ich verspreche aber zum Thema eine Entwicklung hier im Forum zu veröffentlich und ggf. auf eure Angebote nochmals zurück zu kommen.

Danke euch, nochmals ein dicken Daumen für den Support.

Michael

RE: GpgEX [ Reply ]
By: Bernhard Reiter on 2021-02-11 15:14
[forum:7705]
Hallo Bernd,

eine portable App auszuführen ist ähnlich, wie eine Installation. Der wichtige Schritt ist die Vertrauenswürdigkeit der Software zu prüfen.

Der Teil von Gpg4win der viel Entwicklung erfahren hat, ist GpgOL.
Bei den Kernfunktionen GnuPG und Kleopatra ist es aus meiner Sicht recht stabil, deshalb frage ich mich, auf welche wiederauftauchenden Problem Du Dich konkret beziehst.

Gruß,
Bernhard

RE: GpgEX [ Reply ]
By: Bernd Leutenecker on 2021-02-11 09:40
[forum:7704]
Hallo!

Nur kleine Korrekturen/Hinweise, die aber evtl. interessant sein könnten:
Weder der Pdf-XChange Editor Free (*) in der freien Version (als Zip-Archiv laden und entpacken) noch 7-Zip müssen installiert werden, sondern können auch wie eine portable App genutzt werden.
Bei 7-Zip habe ich das gerade auf einem Rechner gemacht, auf welchem bereits 7-Zip auf diese Weise eingebunden und über die Einstellungen des Programms auch ins Kontextmenü eingebunden ist - exe heruntergeladen, diese (nach Prüfung auf virustotal.com) nicht ausgeführt, sondern entpackt. Die Datei 7zFM.exe startet dann die Bedienungsoberfläche.

Allerdings fehlt dann die Verknüpfung mit Dateitypen und die Einbindung ins Kontextmenü - da müssten User also selbst aktiv werden oder zumindest dies muss doch über ein Software-Pakt in einer verwalteten Umgebung auf den User-Rechnern eingetragen werden.

Die "Free"-Version des Pdf-XChange Editors kann auch im kommerziellen Umfeld genutzt werden, vgl.
https://www.tracker-software.com/charity-academic-discounts (Stand 2021-02-11):
"This free and advanced PDF Editor may be used without limitation for Private, Commercial, Government, Academic and all uses, provided it is not incorporated or distributed for profit/commercial gain with other software or media distribution of any type."
Dann sind aber für User auch die lizenzpflichtigen Anteile für die Bearbeitung von Pdf-Dateien (der Schutz mit einem Kennwort gehört zum kostenfreien Funktionsumfang) sichtbar, die Anzeige kann erst über das Einstellungsmenue unter "Lizenz" ausgeblendet werden.

7-Zip darf ebenfalls kostenfrei auch auf kommerziell genutzten Computern eingesetzt werden: https://7-zip.de/faq.html

Bewährt hat sich m. E. 7-Zip, da es sowieso immer wieder Bedarf für ein flexibleres Komprimierungsprogramm gibt, als die Windows-eigenen Funktionen, wenn es um mehr als nur Pdf-Dateien geht, User müssen aber sensibilisiert sein, nur AES 256 für die Verschlüsselung zu nutzen.

Wenn eine Anwendung auf User-Rechnern installiert werden soll, dann würde ich weiterhin 7-Zip wählen. Pdf XChange kenne ich nur in der portablen Variante, mit Gpg4win-Installationen (inkl. GpgOL) hatte ich über sehr, sehr viele Jahre zu oft Probleme, so dass ich persönlich bis heute keine generelle Installationsempfehlung geben kann - als Admin hat man dann ggf. immer wieder damit zusätzlichen Aufwand, aktuell nach meinem Eindruck wohl v. a. wenn auch noch S/Mime-Zertifikate im Einsatz sind. Evtl. ist die Anwendung ohne GpgOl aber auch unproblematischer - ich habe das nicht geprüft. (Allerdings gab es auch schon in den 90er-Jahren immer wieder im Einzelfall Probleme mit der freien Pgp-Version, genauer gesagt Tools dazu, um die Nutzung bequemer zu machen.). Ich persönlich würde mir wünschen, wenn es einen Stable-Zweig zum Paket Gpg4win geben würde, das Fehlerkorrekturen erhält, aber mit der Zeit dadurch auch zuverlässiger wird - und einen Zweig, der Neuerungen und Änderungen enthält, welche immer wieder aber mal zu neuen bzw. dem Wiederauftauchen alter Probleme führt ... Das findet sich nach meinem Eindruck z. B. bei 7-Zip - ich kann eine bewährte alte Version nutzen, muss nicht zwingend die neueste verwenden, wenn es noch Zweifel an deren Stabilität u. ä. geben würde.

Grüße

Bernd

Vertraulich Dokumenten mit Kunden austauschen [ Reply ]
By: Bernhard Reiter on 2021-02-11 08:46
[forum:7702]
Nachtrag,
wenn ich folgende Dokumente von Microsoft lesen, dann ist
Dateiverschlüsselung für mehrere Ordner grundsätzlich nicht in Windows 10 Home enthalten.
Also müssen viele Kunden sowieso eine zusätzliche Software-Installieren:

https://support.microsoft.com/en-us/windows/how-to-encrypt-a-file-1131805c-47b8-2e3e-a705-807e13c10da7
"File encryption is not available in Windows 10 Home."

https://community.windows.com/en-us/stories/file-encryption-windows-10

Aber ist auch nicht klar, ob diese Verschlüsslungsoptionen für einen Austausch gedacht oder geeignet sind.

Der Schutz von Einzel-Dokumenten in Microsoft Office hängt, laut https://en.wikipedia.org/wiki/Microsoft_Office_password_protection stark vom gewählten Kennwort ab,
da die Funktion, um aus einer Passphrase den eigentlichen Schlüssel zu machen (die sogenannte Key Derivation Funktion auf Englisch) nicht dem aktuellen Stand der Verschlüsselungstechnik entspricht. Wie immer sollte die Passphrase dann zufällig generiert werden, z.B. mit https://gitlab.com/sascha.l.teichmann/ppgen/-/releases

Gruß

Vertraulich Dokumente mit Kunden austauschen (RE: GpgEX) [ Reply ]
By: Bernhard Reiter on 2021-02-11 08:29
[forum:7701]
Guten Tag,

meine Gedanken gehen in die folgende Richtung:
a) Findet die Kommunikation mehrmals statt?
b) Wird mehr als ein Dokument ausgetauscht?
c) Ist der Versand automatisiert?

Besonders, wenn die Kommunikation mehrmals stattfindet, kann Gpg4win schon eine
gute Lösung sein, da das Installieren einer Software und vielleicht sogar das Generieren
und Austausch eines Schlüsselpaars nur einmal passieren muss. Das ist erklärbar.
(Wenn es hilft, machen wir dafür auch eine Wiki-Seite.)

Bei einmaliger Kommunikation, bei der ein Ordner ausgetauscht werden soll, muss mindestens
eine Packtechnik zum Einsatz kommen, und ein guter Weg, um sich die Passphrase auszuwürfeln.
Es wäre interessant zu sehen, was Windows hier als Bordmittel mitbringt. Sobald allerdings
eine extra Software notwendig ist, muss der Kunde was installieren. Dann ist der Unterschied
zu Gpg4win zu installieren recht klein. Hier hat Gpg4win den Vorteil, dass es eine gut überprüften
Weg mitbringt die Verschlüsselung einzusetzen und einen Ordner einzupacken.

Bei der Automatisierung liesse sich in der Mail selbst eine kleine Erklärung voranstellen ala:
Der Anhang ist nach dem technischen Standard OpenPGP/tar verschlüsselt, das Kenntwort
haben Sie von uns fernmündlich erhalten.
Wenn Sie das erstmal Mal eine Email nach diesem Standard erhalten, finden Sie hier
eine Anleitung: wiki.gnupg.org/Gpg4win/AnleitungAnhangEntschlüsseln

Gruß,
Bernhard Reiter

RE: GpgEX [ Reply ]
By: Michael Hottung on 2021-02-10 19:29
[forum:7699]
Nabend zusammen,
vielen Danke das ihr mir dazu Hilfestellung etc. aufzeigt.
Da ist aber vllt. auch etwas missverständlich von mir geschrieben worden.
Das GpgEX Dateien auch Verschlüsseln kann ohne das der public key zum Einsatz kommt sondern ein eigenständiges PW (Qualität der Verschlüsselung mal außen vor) ist nice to be, u. a. weil es durch das Kontext Menü im Explorer so Komfortable ist.
Und ggf. keine weitere Software Installiert werden müsste, alles unter der Prämisse das die Gegenseite bei vorliegenden Verschlüsselten Dokument das auch Entschlüsseln kann.
Und das kann ich nicht sicher garantieren, in der internen schon, das führt halt dazu das noch eine weitere Applikation dafür zum Tragen kommen muss, die in Frage kommenden sind von euch ja aufgezählt worden. Bei PDF-Xchange bin ich mir nicht sicher ob die freeware auch in Kommerziellen Umfeld genutzt werden darf.
Danke nochmal für die schnelle und kompetente Hilfe.
PS. Die Dokumente sind mit Personenbezogenen Daten zum Teil befüllt und werden von uns als Dienstleister zwischen uns und Kunden ausgetauscht. Also nicht nur der Mailinhalt sondern auch Anhängende Dokumente, und nicht jeder Kunde kann mit der Verschlüsselung, sei es die Mail selber noch dem Anhang sofern er mit OpenGPG verschlüsselt ist etwas anfangen, leider.
Andre hatte dazu auch schon seine Sichtweise geäußert, ich denke auch so.
Kompromiss ist dass in der Mail keinerlei Infos zu finden sind, mal abgesehen von Header und Anrede ggf. und Docs jeglicher Art als Anhang PW Geschützt versendet würden.

RE: GpgEX [ Reply ]
By: Wilfried Hennings on 2021-02-10 15:34
[forum:7698]
Leider erlaubt das Forum keine persönliche Nachrichten an den Autor eines Beitrags, daher also noch mal hier:
Schon die kostenlose (unlizensierte) Version von pdf Xchange Editor erlaubt die Verschlüsselung von pdf Dateien.
(pdf-Datei in pdf Xchange Editor öffnen, dann Menü: Datei - Dokumenteigenschaften - Sicherheit - Sicherheitsmethode ändern: Kennwort - Kennwort zum Öffnen des Dokuments, bestätigen, dann pdf-Datei speichern.) Die so gespeicherte Datei ist dann verschlüsselt mit Kennwort-Schutz. Die Verschlüsselungs-Methode hängt davon ab, mit welchen Versionen von Adobe Reader sie kompatibel sein soll.

RE: GpgEX [ Reply ]
By: Andre Heinecke on 2021-02-10 07:32
[forum:7697]
Ich kann da Wilfried nur zustimmen. Für die Reine passwortverschlüsselung gibt es im Zweifel bessere Tools als Gpg4win. Im Endeffekt läuft das alles aus AES heraus, was wir auch verwenden. Also von der Mathe her ist das sicher.

Was bei uns besonders ist ist das wir ein standarditisertes verfahren haben wie wir aus einem z.B. 8 Zeichen langen Wort einen Schlüssel für AES generieren.

Ist aber natürlich immer eine Frage des Bedrohungsmodells. Meinem Steuerberater z.B. schicke ich zip archive mit trivialem passwort. Da geht es mir dann gar nicht darum das das sicher ist sondern ich möchte nur verhindern das meine Kontoauszüge und Belege automatisiert in einer Datenbank landen. Und das kann halt mein Steuerberater aufmachen.

Ich könnte denen gerne mal Gpg4win erklären aber meiner Einschätzung nach wollen solche leute nicht akzeptieren das jede Mail im klartext versendet wird. Wenn Sie das aklzeptieren würden müssten Sie soviel andere Geschäftskommunikation hinterfragen das es für Sie besser ist so zu tun als würden Sie es nicht verstehen und als wäre das alles Magie. Ist traurig aber ist leider so.

RE: GpgEX [ Reply ]
By: Wilfried Hennings on 2021-02-09 19:33
[forum:7696]
Hallo,
also wenn es nur um das Verschlüsseln einer Datei mit Passwort geht, gibt es z.B. die Alternative der verschlüsselten zip-Datei.
Empfehlenswert ist die Freeware 7-zip https://www.7-zip.de/
Und eine empfehlenswerte, wesentlich preiswertere Alternative zu Adobe pdf ist pdf Xchange https://www.tracker-software.com/products
Die Lizenz ist zeitlich unbegrenzt, nur Updates sind auf den Kaufzeitraum begrenzt. Ich mache keine Werbung für Tracker Software, bin nur seit einigen Jahren zufriedener Nutzer. Ich schreibe das auch nur wegen der Klage "... werden wir für PDF´s etc. auf Adobe umsatteln müssen ..."

Allerdings ist die Verschlüsselung einer Datei nur mit Passwort relativ leicht zu knacken. Für gute Sicherheit muss man dabei ein langes Passwort verwenden, das Klein- und Großbuchstaben, Ziffern und Sonderzeichen enthält.

RE: GpgEX [ Reply ]
By: Michael Hottung on 2021-02-09 18:47
[forum:7695]
Danke für die Info, Antwort Andre.

Das sich das wie ein Packarchiv in eine .exe womöglich ergibt war jetzt nicht meine Hoffnung und auch nachvollziehbar.
Ich hatte wie du es für Linux beschreibt, die Hoffnung das man im Explorer (Win :-)) mit Bordmitteln wie ein Archiv das PW geschützt ist, extrahieren kann.
Ich bin gespannt wie unsere Kunden darauf reagieren, >95% versenden im Dialog mit uns pbD. Eigentlich nutz nur einer bei Office Docs einen PW Schutz.

Sollten die Kunden zukünftig mit der Verschlüsselung nicht kompatibel sein werden wir für PDF´s etc. auf Adobe umsatteln müssen, die freeware von Adobe kann nur Verschlüssel wenn man sich dem Geschäftsmodel unterwirft und die Applikation zum Schutz erwirb, blöd.

Aber Danke noch mal und ja es hat meinen Horizont bereichert, das auseinandersetzen mit Gpg4win, es ist DAU tauglich....... wie man an mir fest machen kann.


Gruß

Michael

RE: GpgEX [ Reply ]
By: Andre Heinecke on 2021-02-09 07:45
[forum:7694]
Moin,

erst mal freut es mich die positive Rückmeldung zu hören, man bekommt als Entwickler ja sonst meist nur mit wenn etwas nicht funktioniert ;-)

Zur Frage: Wir verwenden den OpenPGP standard für die Passwort verschlüsselung. Jedes kompatible werkzeug kann den Entschlüsseln. De facto wird es aber wohl dann wieder auf Gpg4win herauslaufen denn soviele alternativen und schon gar keine kostenfreien kenne ich nicht.
Unser Backend "GnuPG" ist aber z.b. auf jedem desktop linux system vorinstalliert und damit könnte man das direkt auch entschlüsseln.


Sowas wie ein selbst extrahierendes Archiv das als .exe kommt werden wir niemals produzieren da man keinen Code ausführen sollte den man nicht authentifiziert hat und da schließt sich sowas aus.


Schöne Grüße,
Andre

GpgEX [ Reply ]
By: Michael Hottung on 2021-02-08 16:41
[forum:7693]
Hallo zusammen,

ich habe mich mit dem GPG4win in Zusammenhang mit der DS-GVO auseinander Gesetzt und kann mit dem Plug-In unter Outlook Mails jetzt Verschlüsselt senden/empfangen.
Toll, kleinere Schwierigkeiten in der Einrichtung konnte ich als DAU dann beheben und alles funzt.
Was für unsere kleine Firma mit 5 Personen genial ist das mit der Einrichtung auch die Verschlüsselung von Dateien möglich ist.
Im Test konnte ich das super realisieren.
Jetzt das Problem:
Wenn ich mit GpgEX eine Datei verschlüssle und dafür die Funktion Mit Passwort Verschlüsseln nutze, und die anderen Funktionen deaktiviere. Weil mein gegenüber keine Mailverschlüsselung verwendet.
Muss der Gegenüber für die Datei zwingend zum Entschlüsseln das GpG4win Installiert haben.
Voraussetzung ist natürlich das ich ihm das PW mitteile.
Im Testlauf wird zum Entschlüsseln immer das Gpgwin gestartet.

Gruß Michael und schon mal ein Dank für die Hilfe