Google integriert starke PGP-Krypto für Webmail direkt in Chrome

Für Nutzer von Googles Chrome-Browser soll es zukünftig deutlich einfacher sein, ihre Kommunikation hochgradig zu schützen. Dafür erweitert das Unternehmen sein Sicherheits-Konzept in dem Bereich nun um eine Ende-zu-Ende-Verschlüsselung. Bisher müssen sich Anwender, die ihre E-Mails beispielsweise über einen Webmail-Anbieter verwalten, im Wesentlichen darauf verlassen, dass dieser die Transportwege ordentlich mit SSL und vergleichbaren Technologien schützt. Angesichts der kürzlich bekannt gewordenen Heartbleed-Schwachstelle werden die Grenzen dessen erkennbar.

Sich selbst um die Verschlüsselung zu kümmern, indem beispielsweise das bekannte PGP zum Einsatz kommt, ist hier in der Praxis kaum möglich - beziehungsweise den meisten Nutzern zu umständlich. Denn die Nachrichten müssten dann erst einmal außerhalb des Browsers verschlüsselt, kopiert und dann verschickt werden.

Kommunikation via Browser sichern

Das will Google nun ändern und stellt dafür eine Chrome-Erweiterung namens "End-to-End" zur Verfügung. Diese soll dafür sorgen, dass Mitteilungen an andere Anwender, die mit Gmail, einem anderen Webmailer oder sonstigen browserbasierten Kommunikations-Tools verschickt werden, möglichst einfach verschlüsselt werden können.

Man setzt dabei aber keineswegs auf eine eigene Technologie, da dies wohl dazu führen würde, dass der potenzielle Nutzerkreis doch recht eingeschränkt ist. Statt dessen sorgen die Google-Entwickler für Kompatibilität zum wohl verbreitetsten Krypto-Standard in dem Bereich: Das frei verfügbare OpenPGP wird komplett in JavaScript neu implementiert, um es im Browser nutzbar zu machen. Die Inhalte können somit direkt im Chrome verschlüsselt werden, bevor das Web-Formular durch einen Klick auf den Senden- oder Speichern-Button zur Verarbeitung an einen Server geschickt wird.

Größtmögliche Transparenz

End-to-End liegt derzeit in einer Alpha-Version vor. Wie Stephan Somogyi, Produktmanager in Googles Security-Bereich, erklärte, stelle man diese bereits jetzt zur Verfügung, um öffentlich nachvollziehbar zu machen, wie die Implementierung umgesetzt wird. In den Chrome Web Store werde man die Erweiterung hingegen erst dann aufnehmen, wenn sie den Ansprüchen an ein solches Tool genügt.

Um die Ernsthaftigkeit des Unterfangens zu untermauern, führte Somogyi weiter aus, dass End-to-End natürlich auch dem Vulnerability Reward Program unterliegt. Wenn externe Entwickler also Fehler im Code oder andere Ursachen für Sicherheitslücken finden, können sie mit einer finanziellen Anerkennung rechnen. Das Plugin soll außerdem auch auf verschiedenen Plattformen einsetzbar sein, wobei die Nutzer ihre Key-Sammlungen in einem eigens verschlüsselten Container über die Cloud synchronisieren können.