OpenPGP ist der offene Standard, der die Verschlüsselung und Signatur von E-Mails und Dateien beschreibt. Er legt fest, wie Schlüssel, Zertifikate und Nachrichten aufgebaut sein müssen, damit verschiedene Programme (GnuPG, Sequoia PGP, OpenKeychain) miteinander kompatibel arbeiten können.
Vom PGP zum OpenPGP-Standard
Phil Zimmermann veröffentlichte 1991 PGP (Pretty Good Privacy). Aus dieser ursprünglich kommerziellen Software entstand 1997 der offene OpenPGP-Standard, der heute von der IETF gepflegt wird. Der Nachrichtenaufbau blieb lange durch RFC 4880 aus dem Jahr 2007 festgelegt. Im Juli 2024 erschien mit RFC 9580 der sogenannte Crypto Refresh: Der Standard modernisierte die Vorgaben unter anderem für neue Verschlüsselungsalgorithmen und eine bessere Abwärtskompatibilität.
Was OpenPGP definiert
- Nachrichtenformat: Aufbau verschlüsselter Nachrichten und digitaler Signaturen
- Schlüsselmaterial: Formate für öffentliche und private Schlüssel inklusive Widerrufszertifikaten
- Kompression: optionale Paketkompression vor der Verschlüsselung
- Schlüsselmanagement: Regeln für das Aktualisieren und Verteilen von Schlüsseln
OpenPGP kombiniert symmetrische Verschlüsselung für die Daten mit asymmetrischer Verschlüsselung für den Schlüsselaustausch. Dieses hybride Verfahren ist auch im Hybrid-Verschlüsselungs-Artikel erklärt.
Das Vertrauensmodell
Anders als S/MIME setzt OpenPGP nicht auf eine zentrale Zertifizierungsstelle, sondern auf das dezentrale Web of Trust. Öffentliche Schlüssel werden über Keyserver verteilt. Die bekannteste Implementierung ist GPG (GNU Privacy Guard), die freie OpenPGP-konforme Software.
Verwandte Grundlagen: Ende-zu-Ende-Verschlüsselung, S/MIME, Digitale Signatur.