Added warning about Adeles behaviour in Compendium
[gpg4win.git] / doc / manual / gpg4win-compendium-en.tex
1 % gpg4win-compendium-en.tex
2 % Note, that this a HyperLaTeX source and not plain LaTeX!
3
4 % DIN A4
5 \documentclass[a4paper,11pt,oneside,openright,titlepage]{scrbook}
6
7 % DIN A5
8 %\documentclass[a5paper,10pt,twoside,openright,titlepage,DIV11,normalheadings]{scrbook}
9
10 \usepackage{ifthen}
11 \usepackage{hyperlatex}
12
13 % Switch between papersize DIN A4 and A5
14 % Note: please comment in/out one of the related documentclass lines above
15 \T\newboolean{DIN-A5}
16 %\T\setboolean{DIN-A5}{true}
17
18 % define packages
19 \usepackage{times}
20 \usepackage[latin1]{inputenc}
21 \usepackage[T1]{fontenc}
22 \T\usepackage[english]{babel}
23 \W\usepackage[english]{babel}
24 \usepackage[babel]{csquotes}
25 \T\defineshorthand{``}{\openautoquote}
26 \T\defineshorthand{''}{\closeautoquote}
27 \usepackage{ifpdf}
28 \usepackage{graphicx}
29 \usepackage{alltt}
30 \usepackage{moreverb}
31 \T\ifthenelse{\boolean{DIN-A5}}{}{\usepackage{a4wide}}
32 \usepackage{microtype}
33 \W\usepackage{rhxpanel}
34 \W\usepackage{sequential}
35 \usepackage[table]{xcolor}
36 \usepackage{color}
37
38 \usepackage{fancyhdr}
39 \usepackage{makeidx}
40
41
42 % write any html files directly into this directory
43 % XXX: This is currently deactivated, but sooner or later
44 % we need this to not let smae filenames overwrite each other
45 % when we have more than one compendium. The Makefile.am needs
46 % to be updated for this as well - not a trivial change.
47 \W\htmldirectory{compendium-html/en}
48
49
50 % Hyperref should be among the last packages loaded
51 \usepackage[breaklinks,
52     bookmarks,
53     bookmarksnumbered,
54     pdftitle={The Gpg4win Compendium},
55     pdfauthor={Emanuel Schütze; Werner Koch; Florian v. Samson; Dr.
56       Jan-Oliver Wagner; Ute Bahn; Karl Bihlmeier; Manfred J. Heinze;
57       Isabel Kramer; Dr. Francis Wray},
58     pdfsubject={Secure e-mail and file encryption using GnuPG for Windows},
59     pdfkeywords={Gpg4win; e-mail; file; encrypt; decrypt; sign;
60     OpenPGP; S/MIME; X.509; certificate; Kleopatra; GpgOL; GpgEX;
61     GnuPG; secure; email security; cryptography; public key;
62     Free Software; signature; verify; FLOSS; Open Source Software;
63     PKI; folder} 
64 ]{hyperref}
65
66 %\IfFileExists{hyperxmp.sty}{
67 %  \usepackage{hyperxmp}
68 %  \hypersetup{
69 %      pdfcopyright={GNU Free Documentation License (GFDL)},
70 %      pdflicenseurl={http://www.gnu.org/copyleft/fdl.html}
71 %  }
72 %}
73
74 % set graphic extension
75 \begin{latexonly}
76     \ifpdf
77         \DeclareGraphicsExtensions{.png}
78     \else
79         \DeclareGraphicsExtensions{.eps}
80     \fi
81 \end{latexonly}
82
83 % set page header/footer
84 \T\ifthenelse{\boolean{DIN-A5}}
85 {% DIN A5
86     \T\fancyhead{} % clear all fields
87     \T\fancyhead[LO,RE]{\itshape\nouppercase{\leftmark}}
88     \T\fancyhead[RO,LE]{\large\thepage}
89     \T\fancyfoot[CE]{www.bomots.de}
90     \T\fancyfoot[CO]{Sichere  }
91     \T\pagestyle{fancy}
92     \renewcommand\chaptermark[1]{\markboth{\thechapter. \ #1}{}}
93     \renewcommand{\footrulewidth}{0.2pt} 
94 }
95 {% DIN A4 
96     \T\fancyhead{} % clear all fields
97     \T\fancyhead[LO,RE]{The Gpg4win Compendium \compendiumVersionEN
98         \T\\
99         \T\itshape\nouppercase{\leftmark}}
100     \T\fancyhead[RO,LE]{\includegraphics[height=0.7cm]{images-compendium/gpg4win-logo}}
101     \T\fancyfoot[C]{\thepage}
102     \T\pagestyle{fancy}
103 }
104
105 \makeindex
106
107 % define custom commands
108 \newcommand{\Button}[1]{[\,\textit{#1}\,]}
109 \newcommand{\Menu}[1]{\textit{#1}}
110 \newcommand{\Filename}[1]{\small{\texttt{#1}}\normalsize}
111 \newcommand{\Email}{e-mail}
112 \newcommand{\EchelonUrl}{http://www.heise.de/tp/r4/artikel/6/6928/1.html}
113 \newcommand\margin[1]{\marginline {\sffamily\scriptsize #1}}
114 \newcommand{\marginOpenpgp}{\marginline{\vspace{10pt}\includegraphics[width=1.5cm]{images-compendium/openpgp-icon}}}
115 \newcommand{\marginSmime}{\marginline{\vspace{10pt}\includegraphics[width=1.5cm]{images-compendium/smime-icon}}}
116 \newcommand{\IncludeImage}[2][]{
117 \begin{center}
118 \texorhtml{%
119   \includegraphics[#1]{images-compendium/#2}%
120 }{%
121   \htmlimg{../images-compendium/#2.png}%
122 }
123 \end{center}
124 }
125
126 % custom colors
127 \definecolor{gray}{rgb}{0.4,0.4,0.4}
128 \definecolor{lightgray}{rgb}{0.7,0.7,0.7}
129
130 \T\parindent 0cm
131 \T\parskip\medskipamount
132
133 % Get the version information from another file.
134 % That file is created by the configure script.
135 \input{version.tex}
136
137
138 % Define universal url command.
139 % Used for latex _and_ hyperlatex (redefine see below).
140 % 1. parameter = link text (optional);
141 % 2. parameter = url
142 % e.g.: \uniurl[example link]{http:\\example.com}
143 \newcommand{\uniurl}[2][]{%
144 \ifthenelse{\equal{#1}{}}
145 {\texorhtml{\href{#2}{\Filename{#2}}}{\xlink{#2}{#2}}}
146 {\texorhtml{\href{#2}{\Filename{#1}}}{\xlink{#1}{#2}}}}
147
148 %%% HYPERLATEX %%%
149 \begin{ifhtml}
150     % HTML title
151     \htmltitle{Gpg4win Compendium}
152     % TOC link in panel
153     \htmlpanelfield{Contents}{hlxcontents}
154     % link to DE version
155     \htmlpanelfield{\htmlattributes*{img}{style=border:none title=German}
156         \htmlimg{../images-hyperlatex/german.png}{German}}{../de/\HlxThisUrl}
157     % name of the html files
158     \htmlname{gpg4win-compendium}
159     % redefine bmod
160     \newcommand{\bmod}{mod}
161     % use hlx icons (default path)
162     \newcommand{\HlxIcons}{../images-hyperlatex}
163
164     % Footer
165     \htmladdress{$\copyright$ \compendiumDateEN, v\compendiumVersionEN%~\compendiuminprogressEN
166     \html{br/}
167     \html{small}
168     The Gpg4win Compendium is filed under the
169     \link{GNU Free Documentation License v1.2}{fdl}.
170     \html{/small}}
171
172     % Changing the formatting of footnotes
173     \renewenvironment{thefootnotes}{\chapter*{Footnotes}\begin{description}}{\end{description}}
174
175     % redefine universal url for hyperlatex (details see above)
176     \newcommand{\linktext}{0}
177     \renewcommand{\uniurl}[2][]{%
178         \renewcommand{\linktext}{1}%
179         % link text is not set
180         \begin{ifequal}{#1}{}%
181             \xlink{#2}{#2}%
182             \renewcommand{linktext}{0}%
183         \end{ifequal}
184         % link text is set
185         \begin{ifset}{linktext}%
186              \xlink{#1}{#2}%
187     \end{ifset}}
188
189
190     % SECTIONING:
191     %
192     % on _startpage_: show short(!) toc (only part+chapter)
193     \setcounter {htmlautomenu}{1}
194     % chapters should be <H1>, Sections <H2> etc.
195     % (see hyperlatex package book.hlx)
196     \setcounter{HlxSecNumBase}{-1}
197     % show _numbers_ of parts, chapters and sections in toc
198     \setcounter {secnumdepth}{1}
199     % show parts, chapters and sections in toc (no subsections, etc.)
200     \setcounter {tocdepth}{2}
201     % show every chapter (with its sections) in _one_ html file
202     \setcounter{htmldepth}{2}
203
204     % set counters and numberstyles
205     \newcounter{part}
206     \renewcommand{\thepart}{\arabic{part}}
207     \newcounter{chapter}
208     \renewcommand{\thecapter}{\arabic{chapter}}
209     \newcounter{section}[chapter]
210     \renewcommand{\thesection}{\thechapter.\arabic{section}}
211 \end{ifhtml}
212
213
214 %%% TITLEPAGE %%%
215
216 \title{
217     \htmlattributes*{img}{width=300}
218     \IncludeImage[width=0.5\textwidth]{gpg4win-logo}%
219     \T~\newline
220     \T\ifthenelse{\boolean{DIN-A5}}%
221     % DIN A5:
222     {\begin{latexonly}
223         \LARGE The Gpg4win Compendium\\[0.3cm]
224         \large \textmd{Secure e-mail and file encryption
225         \\[-0.3cm] using GnuPG for Windows}
226      \end{latexonly}  
227     }%
228     % DIN A4:
229     {The Gpg4win Compendium \\
230       \texorhtml{\Large \textmd}{\large}
231       {Secure e-mail and file encryption using GnuPG for 
232       Windows}
233     }
234 }
235 \author{
236     % Hyperlatex: Add links to pdf versions and Homepage
237     \htmlonly{
238         \xml{p}\small
239         \xlink{PDF version as a download}{http://wald.intevation.org/frs/?group_id=11}
240         \xml{br}
241         \xlink{\htmlattributes*{img}{style=border:none title=German}
242            \htmlimg{../images-hyperlatex/german.png}{} 
243            German Version}{../de/\HlxThisUrl}
244         \xml{br}
245         To the \xlink{Gpg4win homepage}{http://www.gpg4win.org/}
246         \xml{p}
247     }
248     % Authors
249     \T\\[-1cm]
250       \small Based on a version by
251     \T\\[-0.2cm]
252       \small Ute Bahn, Karl Bihlmeier, Manfred J. Heinze,
253       \small Isabel Kramer und Dr. Francis Wray.
254       \texorhtml{\\[0.2cm]}{\\}
255       \small Extensively revised by
256     \T\\[-0.2cm]
257       \small Werner Koch, Florian v. Samson, Emanuel Schütze and Dr. Jan-Oliver Wagner.
258       \texorhtml{\\[0.2cm]}{\\}
259       \small Translated from the German original by
260     \T\\[-0.2cm]
261       \small Brigitte Hamilton
262     \T\\[0.4cm]
263 }
264
265 \date{
266     \T\ifthenelse{\boolean{DIN-A5}}%
267     % DIN A5:
268     {\begin{latexonly}
269         \large A publication of the Gpg4win Initiative
270         \\[0.2cm]
271         Version \compendiumVersionEN~from \compendiumDateEN 
272      \end{latexonly}
273     }%
274     % DIN A4:
275     {A publication of the Gpg4win Initiative
276       \\[0.2cm]
277       Version \compendiumVersionEN~from \compendiumDateEN\\
278 %      \small\compendiuminprogressDE%
279     }
280 }
281
282
283 % BEGIN DOCUMENT %%%
284
285 \begin{document}
286 \T\pdfbookmark[0]{Title page}{titel}
287 % set title page
288 \texorhtml{
289     \ifthenelse{\boolean{DIN-A5}}
290     {\noindent\hspace*{7mm}\parbox{\textwidth}{\centering\maketitle}\cleardoublepage}
291     {\maketitle}
292 }
293 {\maketitle}
294
295
296 % improved handling of long (outstanding) lines
297 \T\setlength\emergencystretch{3em} \tolerance=1000
298
299
300 \T\section*{Publisher's details}
301 \W\chapter*{Publisher's details}\\
302
303 \thispagestyle{empty}
304 Copyright \copyright{} 2002 Bundesministerium für Wirtschaft und
305 Technologie\footnote{Any copying, distribution and/or modification to
306 this document may not create any impression of an association with the
307 Bundesministerium für Wirtschaft und Technologie 
308 (Federal Ministry for
309 Economics and Technology)}\\
310 Copyright \copyright{} 2005 g10 Code GmbH\\
311 Copyright \copyright{} 2009, 2010 Intevation GmbH
312
313 Permission is granted to copy, distribute and/or modify this document
314 under the terms of the GNU Free Documentation License, Version 1.2 or
315 any later version published by the Free Software Foundation; with no
316 Invariant Sections, no Front-Cover Texts, and no Back-Cover Texts. A
317 copy of the license is included in the section entitled ``GNU Free
318 Documentation License''.
319
320
321
322 \clearpage
323 \chapter*{About this compendium}
324 \T\ifthenelse{\boolean{DIN-A5}}{\enlargethispage{2\baselineskip}}{}
325
326 The Gpg4win Compendium consists of three parts:
327
328 \begin{itemize}
329 \item \textbf{Part~\link*{1}[\ref{part:Novices}]{part:Novices}
330     ``For Novices''}: A quick course in Gpg4win.
331
332 \item \textbf{Part~\link*{2}[\ref{part:AdvancedUsers}]{part:AdvancedUsers} 
333     ``For Advanced Users''}: Background information for Gpg4win.
334
335 \item \textbf{Annex}: Additional technical information about Gpg4win.\\
336 \end{itemize}
337
338 \textbf{Part~\link*{1}[\ref{part:Novices}]{part:Novices} ``For
339 Novices''} provides a brief guide for the installation and daily use
340 of Gpg4win program components.  The practice robot \textbf{Adele}
341 will help you with this process and allow you to practice
342 the de- and encryption process (using OpenPGP) until you 
343 have become familiar with Gpg4win.
344
345 The amount of time required to work through this brief guide will
346 depend on your knowledge of your computer and Windows.
347 It should take about one hour.\\
348
349 \textbf{Part~\link*{2}[\ref{part:AdvancedUsers}]{part:AdvancedUsers}
350 ``For Advanced Users''} provides background information which
351 illustrates the basic mechanisms on which Gpg4win is based, and also
352 explains some of its less commonly used capabilities.  Part I and II can be
353 used independently of each other. However, to achieve an optimum
354 understanding, you should read both parts in the indicated sequence,
355 if possible.\\
356
357 The \textbf{Annex} contains details regarding the specific technical
358 issues surrounding Gpg4win, including the GpgOL Outlook program
359 extension.\\
360
361 Just like the cryptography program package Gpg4win, this compendium was
362 not written for mathematicians, secret service agents or
363 cryptographers, but rather was written to be read and
364 understood \textbf{by anyone.}\\
365
366 The Gpg4win program package and compendium can be obtained at: \\
367 \uniurl{http://www.gpg4win.org}
368
369 \clearpage
370 \chapter*{Legend\htmlonly{\html{br}\html{br}}}
371
372 This compendium uses the following text markers:
373 \begin{itemize} 
374     \item \textit{Italics} are used for text that appears on a screen
375         (e.g. in menus or dialogs). In addition, square
376         brackets are used to mark \Button{buttons}. 
377
378         Sometimes italics will also be used for individual words in
379         the text, if their meaning in a sentence is to be highlighted
380         without disrupting the text flow, by using \textbf{bold} fond
381         (e.g.\textit{only } OpenPGP).
382
383     \item \textbf{Bold} is used for individual words or sentences
384         which are deemed particularly important and hence must be
385         highlighted. These characteristics make it easier for readers
386         to quickly pick up highlighted key terms and important
387         phrases.
388
389     \item \texttt{Typewriter font} is used for all file names, paths,
390         URLs, source codes, as well as inputs and outputs (e.g. for
391         command lines).  
392 \end{itemize}
393
394 \cleardoublepage
395 \T\pdfbookmark[0]{\contentsname}{toc}
396 \tableofcontents
397
398 %%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
399 % Part I
400 \clearpage
401 \T\part{For Novices}
402 \W\part*{\textbf{I For Novices}}
403 \label{part:Novices}
404 \addtocontents{toc}{\protect\vspace{0.3cm}}
405 \addtocontents{toc}{\protect\vspace{0.3cm}}
406
407
408 \chapter{Gpg4win -- Cryptography for Everyone}
409 \index{Cryptography}
410
411 What is Gpg4win? Wikipedia answers this question as follows:
412
413 \begin{quote}
414     \textit{Gpg4win is an installation package for Windows
415     (2000/XP/2003/Vista) with computer programs and
416     handbooks for \Email{}and file encryption. It includes the
417     GnuPG encryption software, as well as several applications and
418     documentation. Gpg4win itself and the programs contained in
419     Gpg4win are Free Software.}
420 \end{quote}
421
422 The ``Novices'' and ``Advanced Users'' handbooks have been combined for
423 this second version under the name ``Compendium''. In Version 2,
424 Gpg4win includes the following programs:
425
426 \begin{itemize}
427     \item \textbf{GnuPG}\index{GnuPG}\\ GnuPG forms the heart of
428         Gpg4win -- the actual encryption software.
429     \item \textbf{Kleopatra}\index{Kleopatra}\\ The central
430         certificate administration\index{Certificate Administration} of
431         Gpg4win, which ensures uniform user navigation for all
432         cryptographic operations.
433     \item \textbf{GNU Privacy Assistant (GPA)}\index{GNU Privacy
434         Assistent|see{GPA}}\index{GPA}\\ is an alternative program for
435         managing certificates, in addition to Kleopatra.
436     \item \textbf{GnuPG for Outlook (GpgOL)}\index{GnuPG für
437         Outlook|see{GpgOL}}\index{GpgOL}\\ is an extension for
438         Microsoft Outlook 2003 and 2007, which is used to sign and
439         encrypt messages.
440    \item \textbf{GPG Explorer eXtension (GpgEX)}\index{GPG Explorer
441        eXtension|see{GpgEX}}\index{GpgEX}\\ is an extension for
442        Windows Explorer\index{Windows-Explorer} which can be used to
443        sign and encrypt files using the context menu.
444     \item \textbf{Claws Mail}\index{Claws Mail}\\ is a
445         full \Email{} program that offers very good support for GnuPG.
446 \end{itemize}
447
448 Using the GnuPG (GNU Privacy Guard) encryption program,
449 anyone can encrypt \Email{}s securely, easily and at no cost. GnuPG can be
450 used privately or commercially without any restrictions. The
451 encryption technology used by GnuPG is secure, and cannot be broken
452 based on today's state of technology and research.
453
454 GnuPG is \textbf{Free Software}\footnote{Often also referred to as
455 Open Source Software (OSS).}.\index{Free Software} That means that
456 each person has the right to use this software for private or
457 commercial use. Each person may and can study the source code of the
458 programs and -- if they have the required technical knowledge -- make
459 modifications and forward these to others.
460
461 With regard to security software, this level of transparency --
462 guaranteed access to the source code -- forms an indispensable
463 foundation. It is the only way of actually checking the
464 trustworthiness of the programming and the program itself.
465
466 GnuPG is based on the international standard
467 \textbf{OpenPGP}\index{OpenPGP} (RFC 4880), which is fully compatible with
468 PGP and also uses the same infrastructure (certificate server etc.) as the
469 latter. Since Version 2 of GnuPG, the cryptographic
470 standard\textbf{S/MIME}\index{S/MIME} (IETF RFC 3851, ITU-T
471 X.509\index{X.509} and ISIS-MTT/Common PKI) are also supported.
472
473 PGP (``Pretty Good Privacy'')\index{PGP} is not Free Software; many
474 years ago, it was briefly available at the same conditions as GnuPG.
475 However, this version has not corresponded with the latest state of
476 technology for some time.
477
478 Gpg4win's predecessors were supported by the Bundesministerium für
479 Wirtschaft und Technologie \index{Bundesministerium für Wirtschaft und
480 Technologie} as part of the Security on the Internet initiative.
481 Gpg4win and Gpg4win2 were supported by the Bundesamt für Sicherheit in
482 der Informationstechnik (BSI). \index{Bundesamt für Sicherheit in der
483 Informationstechnik}
484
485
486 Additional information on GnuPG and other projects undertaken by the Federal Government for security on the Internet can be found on the webpages
487 \uniurl[www.bsi.de]{http://www.bsi.de} and 
488 \uniurl[www.bsi-fuer-buerger.de]{http://www.bsi-fuer-buerger.de} of the Bundesamt für Sicherheit in der Informationstechnik.
489
490
491 \clearpage
492 \chapter{Encrypting \Email{}s: because the envelope is missing}
493 \label{ch:why}
494 \index{Envelope}
495
496 The encryption of messages is sometimes described as the second-oldest
497 profession in the world. Encryption techniques were used as far back
498 as Egypt's pharaoh Khnumhotep II, and during Herodot's and Cesar's time. Thanks
499 to Gpg4win, encryption is no longer the reserve of kings, but is
500 accessible to everyone, for free.
501
502 \htmlattributes*{img}{width=300}
503 \IncludeImage[width=0.9\textwidth]{egyptian-stone}
504
505 Computer technology has provided us with some excellent tools to
506 communicate around the globe and obtain information. However, rights
507 and freedoms which are taken for granted with other forms of
508 communication must still be secured when it comes to new technologies.
509 The Internet has developed with such speed and at such a scale that it
510 has been difficult to keep up with maintaining our rights. 
511
512 With the old-fashioned way of writing a letter, written contents are
513 protected by an envelope. The envelope protects messages from prying
514 eyes, and it is easy to see if an envelope has been manipulated. Only
515 if the information is not important, do we write it on an unprotected
516 post card, which can also be read by the mail carrier and others.
517
518 \clearpage
519 You and no one else decides whether the message is important,
520 confidential or secret. 
521
522 \Email{}s do not provide this kind of freedom. An \Email{} is like a
523 post card - always open, and always accessible to the electronic
524 mailman and others. It gets even worse: while computer technology
525 offers the option of transporting and distributing millions of
526 \Email{}s, it also provides people with the option of checking them.
527
528 Previously, no one would have seriously thought about collecting all
529 letters and postcards, analyse their contents or monitor senders and
530 recipients. It would not only have been unfeasiable, it would have
531 also taken too long. However, modern computer technology has made this
532 a technical possibility. There are indications that this is already
533 being done on a large scale. A Wikipedia article on the Echelon
534 system\footnote{\uniurl[\EchelonUrl]{\EchelonUrl}} \index{Echelon
535 system} provides interesting background information on this topic.
536
537 Why is this an issue -- because the envelope is missing.
538
539 \htmlattributes*{img}{width=300}
540 \IncludeImage[width=0.5\textwidth]{sealed-envelope}
541
542 \clearpage
543 What we are suggesting here is essentially an ``envelope'' for your
544 electronic mail. Whether you use it, when or for whom and how often -
545 that is entirely up to you. Software such as Gpg4win merely returns 
546 the right to choose to you.  The right to choose whether you think a message
547 is important and requires protection. 
548
549 This is the key aspect of the right to privacy of correspondence, post
550 and telecommunications in \index{Telecommunication secrecy}
551 \index{Mail secrecy}\index{Correspondence secrecy} the Basic Law, and
552 the Gpg4win program package allows you to exercise this right. You do
553 not have to use this software, just as you are not required to use an
554 envelope.  But you have the right.
555
556 To secure this right, Gpg4win offers a so-called ``strong encryption
557 technology''.  ``Strong'' in this sense means that it cannot be broken
558 with known tools. Until recently, strong encryption methods used to be
559 reserved for military and government circles in many countries. The
560 right to make them accessible to all citizens was championed by
561 Internet users, and sometimes also with the help of visionary people
562 in government institutions, as was the case with support for Free
563 Software for encryption purposes. Security experts around the world
564 now view GnuPG as a practical and secure software.
565
566 \textbf{It is up to you how you want to value this type of security.}
567
568 You alone decide the relationship between the convenience of encryption
569 and the highest possible level of security. These include the few but
570 important precautions you must make to implement to ensure that
571 Gpg4win can be used properly. This compendium will explain this
572 process on a step-by-step basis.
573
574
575 \clearpage
576 \chapter{How Gpg4win works}
577 \label{ch:FunctionOfGpg4win}
578 The special feature of Gpg4win and its underlying
579 \textbf{``Public Key'' method}\index{public key method@``Public Key'' Method}
580 is that anyone can and should understand it. There is nothing
581 secretive about it -- it is not even very difficult to understand.
582
583 The use of individual Gpg4win program components is very simple, even
584 though the way it works is actually quite complicated. This section
585 will explain how Gpg4win works -- not in all details, but enough to
586 explain the principles behind this software. Once you are familiar
587 with the principles, you will have considerable trust in the security
588 offered by Gpg4win. 
589
590 At the end of this book, in Chapter~\ref{ch:themath}, you can also open
591 the remaining secrets surrounding ``Public Key'' cryptography and
592 discover why it is not possible to break messages encrypted with
593 Gpg4win using current state of technology.
594
595 \clearpage
596 \subsubsection{Lord of the keyrings}
597 Anyone wishing to secure something valuable locks it away -- with a
598 key. Even better is a key that is unique and is kept in a safe
599 location. 
600
601 \htmlattributes*{img}{width=300}
602 \IncludeImage[width=0.5\textwidth]{schlapphut-with-key}
603
604 If the key should ever fall into the wrong hands, the valuables are no
605 longer secure. Their security stands and falls with the security and
606 uniqueness of the key. Therefore the key must be at least as well
607 protected as the valuables themselves. To ensure that it cannot be
608 copied, the exact characteristics of the key must also be kept secret.
609
610 \clearpage
611 Secret keys are nothing new in cryptography: it has always been that
612 keys were hidden to protect the secrecy of the messages. Making this
613 process very secure is very cumbersome and also prone to errors.
614
615 \htmlattributes*{img}{width=300}
616 \IncludeImage[width=0.5\textwidth]{tangled-schlapphut}
617
618 The basic problem with the ``ordinary'' secret transmission of messages
619 is that the same key is used for both encryption and decryption, and
620 that both the sender as well as recipient must be familiar with this
621 secret key. For this reason, these types of encryption systems are
622 also called \textbf{``symmetric encryption''}.\index{Symmetric encryption}
623
624 This results in a fairly paradoxical situation: Before we can use this
625 method to communicate a secret (an encrypted message), we must have
626 also communicated another secret in advance: the key. And that is
627 exactly the problem, namely the constantly occuring issue of
628 always having to exchange keys while ensuring that they are not
629 intercepted by third parties.
630
631
632 \clearpage
633 In contrast -- and not including the secret key -- Gpg4win works with
634 another key that is fully accessible and public. It is also described
635 as a ``public key'' encryption system. 
636
637 This may sound contradictory, but it is not. The clue: It is no longer
638 necessary to exchange a secret key. To the contrary: The secret key
639 can never be exchanged! The only key that can be passed on is the
640 public key (in the public certificate)~-- which anyone can know. 
641
642 That means that when you use Gpg4win, you are actually using a pair of
643 keys\index{Key!pair} -- a secret and a second public key. Both key
644 components are inextricably connected with a complex mathematical
645 formula. Based on current scientific and technical knowledge, it is
646 not possible to calculate one key component using the other, and it is
647 therefore impossible to break the method. 
648
649 Section \ref{ch:themath} explains why that is.
650
651 \htmlattributes*{img}{width=300}
652 \IncludeImage[width=0.5\textwidth]{verleihnix}
653
654
655 \clearpage
656 The principle behind public key encryption\index{public key method@``Public Key'' Method}
657
658 The \textbf{secret} or \textbf{private key} must be kept secret.
659
660 The \textbf{public key} should be as accessible to the general public as much as
661 possible.
662
663 Both key components have very different functions:
664
665 \bigskip
666
667 \begin{quote}
668     The secret key component \textbf{decrypts} messages.
669 \end{quote}
670
671 \htmlattributes*{img}{width=300}
672 \IncludeImage[width=0.75\textwidth]{key-with-shadow-bit}
673
674 \begin{quote}
675     The public key component \textbf{encrypts} messages.
676 \end{quote}
677
678
679 \clearpage
680 \subsubsection{The public mail strongbox}
681 \index{Mail strongbox}
682
683 This small exercise is used to explain the difference between the
684 ``public key'' encryption system and symmetric
685 encryption\index{Symmetric encryption} (``non-public key''
686 method)
687 \index{non-public key mehtod@``Non-Public Key'' Method|see{Symmetric encryption}} ...
688
689 \bigskip
690
691 \textbf{The ``secret key method'' works like this:}
692
693 Imagine that you have installed a mail strongbox in front of your
694 house, which you want to use to send secret messages. 
695
696 The strongbox has a lock for which there is only one single key. No
697 one can put anything into or take it out of the box without this key.
698 This way, your secret messages are pretty secure.
699
700 \htmlattributes*{img}{width=300}
701 \IncludeImage[width=0.75\textwidth]{letter-into-safe}
702
703 Since there is only one key, the person you are corresponding with
704 must have the same key that you have in order to open and lock the mail
705 strongbox, and to deposit a secret message.
706
707 \clearpage
708 You have to give this key to that person via a secret route.
709
710 \bigskip
711 \bigskip
712
713 \htmlattributes*{img}{width=300}
714 \IncludeImage[width=0.75\textwidth]{secret-key-exchange}
715
716 \clearpage
717 They can only open the strongbox and read the secret message once they
718 have the secret key.
719
720 Therefore everything hinges on this one key: If a third party knows
721 the key, it is the end of the secret messages.  Therefore you and the
722 person you are corresponding with \textbf{must exchange the key in a
723 manner that is as secret} as the message itself. 
724
725 But actually -- you might just as well give them the secret message
726 when you are giving them the key...
727
728 \textbf{How this applies to \Email{} encryption:} Around the world,
729 all participants would have to have secret keys and exchange
730 these keys in secret before they can send secret messages
731 per \Email{}.
732
733 So we might as well forget about this option ...
734
735 \htmlattributes*{img}{width=300}
736 \IncludeImage[width=0.75\textwidth]{letter-out-of-safe}
737
738 \clearpage
739 \textbf{Now the ``public key'' method}
740
741 You once again install a mail strongbox\index{Mail strongbox} in front of
742 your house. But unlike the strongbox in the first example, this one
743 is always open. On the box hangs a key --­ which is visible to
744 everyone -- and which can be used by anyone to lock the strongbox
745 (asymetric encryption method).
746 \index{Asymmetric encryption}
747
748 \textbf{Locking, but not opening:} that is the difference!
749
750 \htmlattributes*{img}{width=300}
751 \IncludeImage[width=0.7\textwidth]{pk-safe-open}
752
753 This key is yours and -- as you might have guessed -- it is your public key.
754
755 If someone wants to leave you a secret message, they put it in the
756 strongbox and lock it with your public key. Anyone can do this, since
757 the key is available to everyone.  
758
759 No one else can open the strongbox
760 and read the message.  Even the person that has locked the message in
761 the strongbox cannot unlock it again, e.g. in order to change the
762 message.  
763
764 This is because the public half of the key can only be used for locking purposes.
765
766 The strongbox can only be opened with one single key: your own secret
767 and private part of the key.
768
769 \clearpage
770 \textbf{Getting back to how this applies to \Email{} encryption:}
771 Anyone can encrypt an \Email{} for you.  
772
773 To do this, they do not need a secret key; quite the opposite, they
774 only need a totally non-secret \index{Key!public}, ``public'' key.
775 Only one key can be used to decrypt the \Email{}, namely your private
776 and secret key\index{Key!private}.
777
778 You can also play this scenario another way:
779
780 If you want to send someone a secret message, you use their mail
781 strongbox with their own public and freely available key.
782
783 To do this, you do not need to personally know the person you are
784 writing to, or have to speak to them, because their public key is
785 always accessible, everywhere. One you have placed your message in the
786 strongbox and locked it with the recipient's key, the message is not
787 accessible to anyone, including you. Only the recipient can open the
788 strongbox with his private key and read the message.
789
790 \T\enlargethispage{2\baselineskip}
791
792 \htmlattributes*{img}{width=300}
793 \IncludeImage[width=0.75\textwidth]{pk-safe-opened-with-sk}
794
795 \clearpage
796 \textbf{But what did we really gain:} There is still a secret
797 key!
798
799
800
801 However, this is quite different from the ``non-public key'' method:
802 You are the only one who knows and uses your secret key. The key is
803 never forwarded to a third party  ­-- it is not necessary to transfer
804 keys in secret, nor is it advised.
805
806 Nothing must be passed between sender and recipient in secret --
807 whether a secret agreement or a secret code.
808
809 And that is exactly the crux of the matter: All symmetric encryption
810 methods can be broken because a third party has the opportunity to
811 obtain the key while the key is being exchanged.
812
813 This risk does not apply here, because there is no exchange of secret
814 keys; rather, it can only be found in one and very secure location:
815 your own keyring\index{Key!pair} -- your own memory.
816
817 This modern encryption method which uses a non-secret and public key,
818 as well as a secret and private key part is also described as
819 ``asymmetric encryption''. \index{Asymmetric encryption}
820
821
822 \clearpage
823 \chapter{The passphrase}
824 \label{ch:passphrase}
825 \index{Passphrase}
826
827 As we have seen in the last chapter, the private key is one of the
828 most important components of the ``public key'' or asymmetric
829 encryption method. While one no longer needs to exchange the key with
830 another party in secret, the security of this key is nevertheless the
831 "key"  to the security of the ``entire'' encryption process.
832
833 On a technical level, a private key is nothing more than a file which
834 is stored on your computer. To prevent unauthorised access of this
835 file, it is secured in two ways:
836
837 \htmlattributes*{img}{width=300}
838 \IncludeImage[width=0.5\textwidth]{think-passphrase}
839
840 First, no other user may read or write in the file -- which is
841 difficult to warrant, since computer administrators always have access
842 to all files, and the computer may be lost or attacked 
843 by viruses\index{Viruses}, worms\index{Worms} or
844 Trojans\index{Trojans} .
845
846 For this reason we need another layer of protection: the passphrase.
847 This is not a password -- a passphrase should not consist of only one
848 word, but a sentence, for example. You really should keep this
849 passphrase ``in your head'' and never have to write it down.  
850
851 At the same time, it cannot be possible to guess it.  This may sound
852 contradictory, but it is not. There are several proven methods of
853 finding very unique and easy to remember passphrases, which cannot be
854 easily guessed.
855
856 \clearpage
857 Think of a phrase that is very familiar to you, e.g.:
858
859 $\qquad$\verb-People in glass houses should not be throwing stones.-
860
861 Now, take every third letter of this sentence:
862
863 $\qquad$\verb-oegsoehloerisn- 
864 \texttt{\scriptsize{(Pe\textbf{o}pl\textbf{e} in
865 \textbf{g}la\textbf{s}s h\textbf{o}us\textbf{e}s
866 s\textbf{h}ou\textbf{l}d n\textbf{o}t b\textbf{e}
867 th\textbf{r}ow\textbf{i}ng \textbf{s}to\textbf{n}es.)}} 
868
869
870 While it may not be easy to remember
871 this sequence of letters, it is also unlikely that you will forget how
872 to arrive at the passphrase as long as you remember the original
873 sentence. Over time, and the more often you use the phrase, you will
874 commit it to memory. No one else can guess the passphrase.
875
876 Think of an event that you know you will never forget about. Maybe
877 it's a phrase that you will always associate with your child or
878 partner, i.e. it has become ``unforgettable''.  Or a holiday memory or
879 a line of text of a song that is personally important to you.
880
881 Use capital and small letters, numbers, special characters and spaces,
882 in any order. In principle, anything goes, including umlaute, special
883 characters, digits etc. But remember -- if you want to use your secret
884 key abroad at a different computer, please remember that not all
885 keyboards may have such special characters. For example, you will
886 likely only find umlaute (ä, ö, ü usw.) on German keyboards.  
887
888 You can also make intentional grammar mistakes, e.g.  ``mustake''
889 instead of ``mistake''. Of course you also have to be able to remember
890 these ``mustakes''. Or, change languages in the middle of the phrase.
891 You can change the sentence:
892
893 $\qquad$\verb-In München steht ein Hofbräuhaus.-
894
895 into this passphrase:
896
897 $\qquad$\verb-inMinschen stet 1h0f breuhome-
898
899 Think of a sentence that does not make sense, but you can still remember
900 e.g.:
901
902 $\qquad$\verb-The expert lamenting nuclear homes-
903
904 $\qquad$\verb-Knitting an accordeon, even during storms.-
905
906 A passphrase of this length provides good protection for your
907 secret key.
908
909 It can also be shorter if you use capital letters,
910 for example:
911
912 $\qquad$\verb-THe ExPERt laMenTIng NuclEAr hoMES.-
913
914 While the passphrase is now shorter, it is also more difficult to
915 remember. If you make your passphrase even shorter by using special
916 characters, you will save some time entering the passphrase, but it is
917 also morr likely that you will forget your passphrase.
918
919 Here is an extreme example of a very short but also very secure 
920 passphrase:
921
922 $\qquad$\verb-R!Qw"s,UIb *7\$-
923
924 However, in practice, such sequences of characters have not proven
925 themselves to be very useful, since there are simply too few clues by
926 which to remember them.
927
928
929 \clearpage
930 A \textbf{bad passphrase} can be ``broken'' very quickly, if it ...
931
932 \begin{itemize}
933     \item ... is already used for another purpose (e.g. for an \Email{} account or your mobile phone). The
934         same passphrase would therefore already be known to another,
935         possibly not secure, software. If the hacker is successful,
936         your passphrase becomes virtually worthless.
937
938     \item ... comes from a dictionary. Passphrase finder programs can
939         run a password through complete digital dictionaries in a
940         matter of minutes -- until it matches one of the words.
941
942     \item ... consists of a birth date, a name or other public
943         information. Anyone planning to decrypt your
944        \Email{} will obtain this type of
945         information.
946
947     \item ... is a very common quote, such as ``to be or not to be''.
948         Passphrase finder programs also use quotes like these to break
949         passphrases.
950
951     \item ... consists of only one word or less than 8 characters. It
952         is very important that you think of a longer passphrase.
953 \end{itemize}
954
955 When composing your passphrase, please \textbf{do not use} any of the
956 aforementioned examples. Because anyone seriously interested in
957 getting his hands on your passphrase will naturally see if you used
958 one of these examples.
959
960 \bigskip
961
962 \textbf{Be creative!} Think of a passphrase now! Unforgettable and unbreakable.
963
964 In Chapter~\ref{ch:CreateKeyPair} you will need this passphrase to create your key pair.
965
966 But until then, you have to address another problem: Someone has to
967 verify that the person that wants to send you a secret message is
968 real.
969
970
971 \clearpage
972 \chapter{Two methods, one goal: OpenPGP \& S/MIME}
973 \label{ch:openpgpsmime}
974 \index{OpenPGP} \index{S/MIME}
975
976 You have seen the importance of the ``envelope'' for your
977 \Email{} and how to provide one 
978 using tools of modern information technology: a mail
979 strongbox,\index{Mail strongbox} in which anyone can deposit encrypted
980 mails which only you, the owner of the strongbox, can decrypt. It is
981 not possible to break the encryption as long as the private key to
982 your ``strongbox'' remains your secret.
983
984 Still: If you think about it, there is still another problem. A little
985 further up you read about how -- in contrast to the secret key method
986 -- you do not need to personally meet the person you are corresponding
987 with in order to enable them to send a secret message. But how can you
988 be sure that this person is actually who they say they
989 are? In the case of \Email{}s, you
990 only rarely know all of the people you are corresponding with on a
991 personal level -- and it is not usually easy to find out who is really
992 behind an \Email{} address. Hence, we not only
993 need to warrant the secrecy of the message, but also the identity of
994 the sender -- specifically \textbf{authenticity}. \index{Authenticity}
995
996 Hence someone must authenticate that the person who wants to send you
997 a secret message is real. In everyday life, we use ID, signatures or
998 certificates authenticated by authorities or notaries for
999 \index{Authentication} ``authentication'' purposes. These
1000 institutions derive their right to issue notarisations from a
1001 higher-ranking authority and finally from legislators. Seen another
1002 way, it describes a chain of trust which
1003 runs \index{Chain of trust} from ``the top'' to ``the bottom'', and is
1004 described as a \textbf{``hierarchical trust concept''}.
1005 \index{Hierarchical trust concept}
1006
1007 In the case of Gpg4win or other \Email{} encryption programs, 
1008  this concept is found in almost mirror-like fashion in
1009 \textbf{S/MIME}. Added to this is\textbf{OpenPGP}, another concept
1010 that only works this way on the Internet.  S/MIME and OpenPGP have the
1011 same task: the encryption and signing of data.  Both use the already
1012 familiar public key method.  While there are some important
1013 differences, in the end, none of these standards offer any general
1014 advantage over another. For this reason you can use Gpg4win to use
1015 both methods.
1016
1017
1018 \clearpage
1019 The equivalent of the hierarchical trust concept is called ``Secure /
1020 Multipurpose Internet Mail Extension'' or \textbf{S/MIME}. If you use
1021 S/MIME, your key must be authenticated by an accredited
1022 organisation before it can be used. The certificate of this
1023 organisation in turn was authenticated by a higher-ranking
1024 organisation etc. -- until we arrive at a so-called root certificate.
1025 This hierarchical chain of trust usually has three links: the root
1026 certificate, the certificate of the issuer of the
1027 certificate\index{Certificate issuer} (also CA\index{Certificate
1028 Authority (CA)} for Certificate Authority), and finally your own user
1029 certificate.
1030
1031 A second alternative and non-compatible notarisation method is the
1032 \textbf{OpenPGP} standard, does not build a trust hierarchy but rather
1033 assembles a \textbf{``Web of trust''}.\index{Web of Trust}
1034 The Web of Trust represents the basic structure of the
1035 non-hierarchical Internet and its users. For example, if User B trusts
1036 User A, then User B could also trust the public key of User C, whom he
1037 does not know, if this key has been authenticated by User A.
1038
1039 Therefore OpenPGP offers the option of exchanging encrypted data and 
1040 \Email{}s without authentication by a higher-ranking agency. It is
1041 sufficient if you trust the \Email{} address and
1042 associated certificate of the person you are communicating with.
1043
1044 Whether with a trust hierarchy or Web of Trust -- the authentication
1045 of the sender is at least as important as protecting the message. We
1046 will return to this important protection feature later in the
1047 compendium. For now, this information should be sufficient to install
1048 Gpg4win and understand the following chapters:
1049
1050 \begin{itemize}
1051     \item Both methods -- \textbf{OpenPGP} and\textbf{S/MIME} --
1052         offer the required security.
1053     \item The methods are \textbf{not compatible} with each other.
1054         They offer two alternate methods for authenticating your
1055         secret communication. Therefore they are not deemed to be 
1056         interoperable.
1057     \item Gpg4win allows for the convenient \textbf{and parallel} use
1058         of both methods -- you do not have to choose one or the other
1059         for encryption/signing purposes.
1060 \end{itemize}
1061
1062 Chapter~\ref{ch:CreateKeyPair} of this compendium, which discusses the
1063 creation of the key pair, therefore branches off to discuss both methods. At
1064 the end of Chapter~\ref{ch:CreateKeyPair} the information is combined
1065 again.
1066
1067 \begin{latexonly} %no hyperlatex
1068 In this compendium, these two symbols will be used to refer to the two
1069 alternative methods:
1070
1071 \begin{center}
1072 \includegraphics[width=2.5cm]{images-compendium/openpgp-icon}
1073 \hspace{1cm}
1074 \includegraphics[width=2.5cm]{images-compendium/smime-icon}
1075 \end{center}
1076 \end{latexonly}
1077
1078
1079 \clearpage
1080 \chapter{Installing Gpg4win}
1081 \index{Installation}
1082
1083 Chapters 1 to 5 provided you with information on the background
1084 related to encryption. While Gpg4win also works if you do not
1085 understand the logic behind it, it is also different from other
1086 programs in that you are entrusting your secret correspondence to this
1087 program. Therefore it is good to know how it works.  
1088
1089 With this knowledge you are now ready to install Gpg4win and set up
1090 your key pair.
1091
1092 If you already have a GnuPG-based application installed on your
1093 computer (e.g. GnuPP, GnuPT, WinPT or GnuPG Basics), please refer to
1094 the Annex~\ref{ch:migration} for information on transferring your
1095 existing certificates.
1096
1097 You can load and install Gpg4win from the Internet or a CD. To do
1098 this, you will need administrator rights to your Windows operating
1099 system. 
1100
1101 If you are downloading Gpg4win from the Internet, please ensure that
1102 you obtain the file from a trustworthy site, e.g.:
1103 \uniurl[www.gpg4win.org]{http://www.gpg4win.org}. To start the
1104 installation, click on the following file after the download:
1105
1106 \Filename{gpg4win-2.0.0.exe} (or higher version number).
1107
1108 If you received Gpg4win on a CD ROM, please open it and click on the
1109 ``Gpg4win'' installation icon.  All other installation steps are the
1110 same.
1111
1112 The response to the question of whether you want to install the
1113 program is \Button{Yes}.
1114
1115 \clearpage
1116 The installation assistant will start and ask you for the language to
1117 be used with the installation process:
1118
1119 % screenshot: Installer Sprachenauswahl
1120 \IncludeImage[width=0.5\textwidth]{sc-inst-language_en}
1121
1122 Confirm your language selection with \Button{OK}.
1123
1124 Afterwards you will see this welcome dialog:
1125
1126 % screenshot: Installer Willkommensseite
1127 \IncludeImage[width=0.85\textwidth]{sc-inst-welcome_en}
1128
1129 Close all programs that are running on your computer and click
1130 on \Button{Next}.
1131
1132 \clearpage
1133 The next page displays the \textbf{licensing agreement} -- it is only
1134 important if you wish to modify or forward Gpg4win.  If you only want
1135 to use the software, you can do this right away -- without reading the
1136 license.
1137
1138 % screenshot: Lizenzseite des Installers
1139 \IncludeImage[width=0.85\textwidth]{sc-inst-license_en}
1140
1141 Click on \Button{Next}.
1142
1143 \clearpage
1144 On the page that contains \textbf{the selection of components} you can
1145 decide which programs you want to install.
1146
1147 A default selection has already been made for you. Yo can also install
1148 individual components at a later time. 
1149
1150 Moving your mouse cursor over a component will display a brief
1151 description.  Another useful feature is the display of required hard
1152 drive space for all selected components.
1153
1154 % screenshot: Auswahl zu installierender Komponenten
1155 \IncludeImage[width=0.85\textwidth]{sc-inst-components_en}
1156
1157 Click on \Button{Next}.
1158
1159 \clearpage
1160 The system will suggest a folder for the installation, e.g.:
1161 \Filename{C:$\backslash$Programme$\backslash$GNU$\backslash$GnuPG}
1162
1163 You can accept the suggestion or select a different folder for installing
1164 Gpg4win.
1165
1166 % screenshot: Auswahl des Installationsverzeichnis.
1167 \IncludeImage[width=0.85\textwidth]{sc-inst-directory_en}
1168
1169 Then click on \Button{Next}.
1170
1171 \clearpage
1172 Now you can decide which \textbf{links} should be installed -- the
1173 system will automatically create a link with the start menu. You can
1174 change this link later on using the Windows dashboard settings.
1175
1176 % screenshot: Auswahl der Startlinks
1177 \IncludeImage[width=0.85\textwidth]{sc-inst-options_en}
1178
1179 Then click on \Button{Next}.
1180
1181 \clearpage
1182 If you have selected the default setting -- \textbf{link with start
1183 menu} -- you can define the name of this start menu on the next page
1184 or simply accept the name. 
1185
1186 % screenshot:  Startmenu auswählen
1187 \IncludeImage[width=0.85\textwidth]{sc-inst-startmenu_en}
1188
1189 Then click on \Button{Install}.
1190
1191 \clearpage
1192 During the \textbf{installation} process that follows, you will see a progress bar and information on which file is currently being installed. You can press \Button{Show~details}
1193 at any time to show the installation log.
1194
1195 % screenshot: Ready page Installer
1196 \IncludeImage[width=0.85\textwidth]{sc-inst-progress_en}
1197
1198 Once you have completed the installation, please click on
1199 \Button{Next}.
1200
1201 \clearpage
1202 The last page of the installation process is shown once the
1203 installation has been successfully completed:
1204
1205 % screenshot: Finish page Installer
1206 \IncludeImage[width=0.85\textwidth]{sc-inst-finished_en}
1207
1208 You have the option of displaying the README file, which contains
1209 important information on the Gpg4win version you have just installed.
1210 If you do not wish to view this file, deactivate this option.
1211
1212 Then click on \Button{Finish}.
1213
1214 \clearpage
1215 In some cases you may have to restart Windows. In this case, you will
1216 see the following page:
1217
1218 % screenshot: Finish page Installer with reboot
1219 \IncludeImage[width=0.85\textwidth]{sc-inst-finished2_en}
1220
1221 Now you can decide whether Windows should be restarted immediately or
1222 manually at a later time. 
1223
1224 Click on \Button{Finish}.
1225
1226 %TODO: NSIS-Installer anpassen, dass vor diesem
1227 %Reboot-Installationsdialog auch ein Hinweis auf die README-Datei
1228 %erscheint.
1229 Please read the README file which contains up-to-date information on
1230 the Gpg4win version that has just been installed. You can find this
1231 file e.g. via the start menu:\\
1232 \Menu{Start$\rightarrow$Programs$\rightarrow$Gpg4win$\rightarrow$Documentation$\rightarrow$Gpg4win README}
1233
1234 \clearpage
1235 \textbf{And that's it!}
1236
1237 You have successfully installed Gpg4win and are ready to work with the
1238 program.
1239
1240 For information on \textbf{automatically installing} Gpg4win, as may
1241 be of interest for software distribution systems, please see the
1242 Annex~\ref{ch:auto} ``Automatic installation of Gpg4win''.
1243
1244
1245 \clearpage
1246 \chapter{Creating a certificate}
1247 \label{ch:CreateKeyPair}
1248 \index{Certificate!create}
1249 \index{Key!create}
1250
1251 Now that you have found out why GnuPG is so secure
1252 (Chapter~\ref{ch:FunctionOfGpg4win}), and how a good passphrase
1253 provides protection for your private key (Chapter~\ref{ch:passphrase}),
1254 you are now ready to create your own key pair\index{Key!pair} .
1255
1256 As we saw in Chapter~\ref{ch:FunctionOfGpg4win}, a key pair consists of
1257 a public and a private key.  With the addition of an
1258 \Email{} address, login name etc., which you
1259 enter when creating the pair (so-called meta data), you can obtain
1260 your private certificate with the public \textit{and } private key.
1261
1262 This definition applies to both OpenPGP as well as S/MIME (S/MIME
1263 certificates correspond with a standard described as
1264 ``X.509''\index{X.509}).
1265
1266 ~\\ \textbf{It would be nice if I could practice this important
1267 step of creating a key pair ....}
1268
1269 \T\marginOpenpgp
1270 Not to worry, you can do just that -- but only with OpenPGP:
1271
1272 If you decide for the OpenPGP method of authentication,
1273 \index{Authentication} the ``Web of Trust'', then you can practice the
1274 entire process for creating a key pair, encryption and decryption as
1275 often as you like, until you feel very comfortable.
1276
1277 This ``dry run'' will strengtthen your trust in Gpg4win, and the ``hot
1278 phase'' of OpenPGP key pair creation will no longer be a problem for
1279 you.
1280
1281 Your partner in this exercise is \textbf{Adele} . Adele is a test
1282 service which is still derived from the GnuPP predecessor
1283 project\index{GnuPP} and is still in operation. In this compendium we
1284 continue to recommend the use of this practice robot. We would also
1285 like to thank the owners of gnupp.de for operating this practice
1286 robot. Unfortunately, we cannot ensure, that Adele is working. We know
1287 that Adele has some problems. Please inform yourself under
1288 \url{https://wiki.gnupg.org/EmailExercisesRobot} about any Issues you
1289 may encounter.
1290
1291 Using Adele, you can practice and test the OpenPGP key pair
1292 which you will be creating shortly, before you start using it in earnest.
1293 But more on that later.
1294
1295 \clearpage
1296 \textbf{Let's go!}
1297 Open Kleopatra using the Windows start menu:
1298
1299 % screenshot Startmenu with Kleopatra highlighted
1300 \htmlattributes*{img}{width=400}
1301 \IncludeImage[width=0.7\textwidth]{sc-kleopatra-startmenu_en}
1302
1303 You will see the main Kleopatra screen\index{Kleopatra} --
1304 the certificate administration:
1305 \index{Certificate administration}
1306
1307 % screenshot: Kleopatra main window
1308 \htmlattributes*{img}{width=508}
1309 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-mainwindow-empty_en}
1310
1311 At the beginning, this overview will be empty, since you have not
1312 created or imported any certificates yet. 
1313
1314 \clearpage
1315 Click on \Menu{File$\rightarrow$New~Certificate}. 
1316
1317 In the following dialog you select the format for the certificate. You
1318 can choose from the following: \textbf{OpenPGP} (PGP/MIME)
1319 or \textbf{X.509} (S/MIME).
1320
1321 The differences and common features of the two formats have already been
1322 discussed in Chapter~\ref{ch:openpgpsmime}.
1323
1324 \label{chooseCertificateFormat}
1325 % screenshot: Kleopatra - New certificate - Choose format
1326 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-ChooseCertificateFormat_en}
1327
1328 ~\\ This chapter of the compendium breaks off into two
1329 sections for each method at this point. Information is then combined
1330 at the end of the Chapter.
1331
1332 Depending on whether you chose OpenPGP or X.509 (S/MIME), you can now
1333 read either:
1334 \begin{itemize}
1335     \item Section~\ref{createKeyPairOpenpgp}:
1336         \textbf{Creating an OpenPGP certificate} \T(siehe next
1337         page) or
1338     \item Section~\ref{createKeyPairX509}:
1339         \textbf{Creating an X.509 certificate} \T (see page
1340         \pageref{createKeyPairX509}).
1341 \end{itemize}
1342
1343
1344
1345 \clearpage
1346 \section{Creating an OpenPGP certificate}
1347 \label{createKeyPairOpenpgp}
1348 \index{OpenPGP!create certificate}
1349
1350 \T\marginOpenpgp
1351 In the certificate option dialog, click on \Button{Create
1352 personal OpenPGP key pair}.
1353
1354
1355 Now enter your \Email{} address and your name in
1356 the following window. Name and \Email{} address
1357 will be made publicly visible later.
1358
1359 You also have the option of adding a comment for the key pair. Usually
1360 this field stays empty, but if you are creating a key for test
1361 purposes, you should enter "test" so you do not forget it is a test
1362 key. This comment becomes part of your login name, and will become
1363 public just like your name and \Email{} address.
1364
1365 % screenshot: Creating OpenPGP Certificate - Personal details
1366 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-openpgp-personalDetails_en}
1367
1368 If you first wish to \textbf{test} your OpenPGP key pair, you can
1369 simply enter any name and fictional 
1370 \Email{} address, e.g.:\\ \Filename{Heinrich Heine}
1371 and \Filename{heinrich@gpg4win.de}
1372
1373 The \textbf{Advanced settings are only be required in exceptional}
1374 cases. For details, see the Kleopatra handbook (via
1375 \Menu{Help$\rightarrow$Kleopatra handbook}).
1376
1377 Click on \Button{Next}.
1378
1379 \clearpage You will see a list of all of the main entries and settings
1380 for \textbf{review purposes}. If you are interested in the (default)
1381 expert settings, you can view these via the \Menu{All details}
1382 option.
1383
1384 % screenshot: Creating OpenPGP Certificate - Review Parameters
1385 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-openpgp-reviewParameters_en}
1386
1387 If everything is correct, click on \Button{Create key}.
1388
1389 \clearpage Now to the most important part: entering your
1390 \textbf{passphrase}!
1391
1392 To create a key pair, you must enter your personal passphrase:
1393
1394 % screenshot: New certificate - pinentry
1395 \IncludeImage[width=0.45\textwidth]{sc-kleopatra-openpgp-pinentry_en}
1396
1397 If you have read Chapter~\ref{ch:passphrase} you should now have an
1398 easy-to-remember but hard to break secret passphrase. Enter it in the
1399 dialog displayed at the top. 
1400
1401 Please note that this window may have been opened in the background
1402 and is not visible at first. 
1403
1404 If the passphrase is not secure enough because it is too short or does
1405 not contain any numbers or special characters, the system will tell
1406 you. 
1407
1408 At this point you can also enter a \textbf{test passphrase} or start
1409 in earnest; it's up to you. 
1410
1411 To make sure that you did not make any typing errors, the system will
1412 prompt you to enter your passphrase twice.  Always confirm your entry
1413 with \Button{OK}.
1414
1415 \clearpage
1416 Now your OpenPGP key pair is being created: 
1417
1418 % screenshot: Creating OpenPGP Certificate - Create Key
1419 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-openpgp-createKey_en}
1420
1421 This may take a couple of minutes. You can assist the creation of the
1422 required random numbers by entering information in the lower input
1423 field.  It does not matter what you type, as the characters will 
1424 not be used, only the time period between each key stroke. You can also
1425 continue working with another application on your computer, which will
1426 also slightly increase the quality of the new key pair.
1427
1428 \clearpage
1429 As soon as \textbf{the key pair creation has been successful}, you
1430 will see the following dialog:
1431
1432 % screenshot: Creating OpenPGP certificate - key successfully created
1433 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-openpgp-keyPairCreated_en}
1434
1435 The 40-digit ``fingerprint'' of your newly\index{Fingerprint}
1436 generated OpenPGP certificate is displayed in the results text field.
1437 This fingerprint is unique anywhere in the world, i.e. no other person
1438 will have a certificate with the same fingerprint. Actually, even at
1439 8 digits it would already be quite unlikely that the same sequence would 
1440 occur twice anywhere in world.  For this reason, it is often only the 
1441 last 8 digits of a
1442 fingerprint which are used or shown, and which are described as the
1443 key ID.\index{Key!ID} This fingerprint
1444 identifies the identity of the certificate as well as the fingerprint
1445 of a person. 
1446
1447 However, you do not need to remember or write down the fingerprint.
1448 You can also display it later in Kleopatra's certificate details.
1449
1450 \clearpage
1451 Next, you can activate one or more of the following three buttons:
1452
1453 \begin{description}
1454
1455 \item[Creating a backup copy of your (private) certificate...]~\\
1456     Enter the path under which your full certificate (which contains
1457     your new key pair, hence the private \textit{and } public key) should be exported:
1458
1459     % screenshot: New OpenPGP certificate - export key
1460     \IncludeImage[width=0.5\textwidth]{sc-kleopatra-openpgp-exportSecretKey_en}
1461
1462     Kleopatra will automatically select the file type and store your
1463     certificate as an \Filename{.asc} or\Filename{.gpg} file --
1464     depending on whether you activate or deactivate the \textbf{ASCII
1465     armor} option. 
1466     
1467     For export, click on \Button{OK}.
1468
1469     \textbf{Important:} If you save the file on the hard drive, you
1470     should copy the file to another data carrier (USB stick, diskette
1471     or CD-ROM) as soon as possible, and delete the original file
1472     without a trace, i.e. do not leave it in the Recycle bin! Keep
1473     this data carrier and back-up copy in a safe place.  
1474     
1475     You can also create a back-up copy later; to do this, select the
1476     following from the Kleopatra main menu:
1477     \Menu{File$\rightarrow$Export private certificate...} (see Chapter
1478     \ref{ch:ImExport}).
1479
1480 \item[Sending a certificate via \Email{} ...]~\\
1481 Clicking on this button should create a new one\Email{} --
1482     with your new public certificate in the attachment. Your secret
1483     Open PGP key will of course \textit{not} be sent. Enter a
1484     recipient \Email{} address; you can also add
1485     more text to the prepared text for this \Email{}.
1486
1487     \textbf{Please note:} Not all
1488    \Email{} programs support this function. Of course you can also do
1489     this manually: If you do not see a
1490     new\Email{} window, shut down the
1491     certificate creation assistant, save your public certificate via
1492     \Menu{File$\rightarrow$Export certificate} and sent this file
1493     via \Email{} to
1494     the people you are corresponding with. For more details see
1495     Section~\ref{sec_publishPerEmail}.
1496
1497 \item[Sending certificates to certificate servers...]~\\Chapter~ explains how
1498     to set up a globally available OpenPGP certificate server in Kleopatra,
1499     and how you can publish your public certificate on this
1500     server \ref{ch:keyserver}.
1501
1502 \end{description}
1503
1504 This completes the creation of your OpenPGP certificate. End the
1505 Kleopatra assistant with \Button{Finish}.
1506
1507 Now let's go to Section~\ref{sec_finishKeyPairGeneration} on
1508 page~\pageref{sec_finishKeyPairGeneration}. Starting at that point,
1509 the explanations for OpenPGP and X.509 will again be identical.
1510
1511
1512 \clearpage
1513 \section{Creating an X.509 certificate}
1514 \label{createKeyPairX509}
1515 \index{X.509!create certificate}
1516
1517 \T\marginSmime
1518 In the certificate format selection dialog on page~,
1519 \pageref{chooseCertificateFormat} click on the button\\
1520 \Button{Create personal X.509 key pair and authentication
1521 request}.
1522
1523 In the following window, enter your name (CN = common name), your
1524 \Email{} address (EMAIL), organisation (O) and
1525 your country code (C). Optionally, you can also add your location (L =
1526 Locality) and department (OU = Organizational Unit).
1527
1528 If you first wish to \textbf{test} the X.509 key pair creation
1529 process, you can enter any information for name, organization and
1530 country code, and can also enter a fictional 
1531 \Email{} address, e.g.:\Filename{CN=Heinrich
1532 Heine,O=Test,C=DE,EMAIL=heinrich@gpg4win.de}
1533
1534 % screenshot: New X.509 Certificate - Personal details
1535 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-x509-personalDetails_en}
1536
1537 The \textbf{Advanced settings will only be required in exceptional}
1538 cases. For details, see the Kleopatra handbook (via
1539 \Menu{Help$\rightarrow$Kleopatra handbook}).
1540
1541 Click on \Button{Next}.
1542
1543 \clearpage
1544 You will see a list of all main entries and settings for \textbf{review
1545 purposes}. If you are interested in the (default) expert settings,
1546 you can view these via the \Menu{All details} option.
1547
1548 % screenshot: New X.509 Certificate - Review Parameters
1549 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-x509-reviewParameters_en}
1550
1551 Once everything is correct, click on \Button{Creat key}.
1552
1553 \clearpage
1554 Now to the most important part: Entering your \textbf{passphrase}!
1555
1556 In order to create a key pair, you will be asked to enter your
1557 passphrase:
1558
1559 % screenshot: New X.509 certificate - pinentry
1560 \IncludeImage[width=0.45\textwidth]{sc-kleopatra-x509-pinentry_en}
1561
1562 If you have read Chapter~\ref{ch:passphrase} you should now have an
1563 easy-to-remember but hard to break secret passphrase. Enter it in the
1564 dialog displayed at the top! 
1565
1566 Please note that this window may have been opened in the background,
1567 so it may not be visible at first. 
1568
1569 If the passphrase is not secure enough because it is too short or does
1570 not contain any numbers or special characters, the system will let you
1571 know. 
1572
1573 At this point you can also enter a \textbf{test passphrase} or start
1574 in earnest; it's up to you.
1575
1576 To make sure that you did not make any typing errors, the system will
1577 prompt you to enter your passphrase twice.  Finally, you will be asked
1578 to enter your passphrase a third time: By doing that, you are sending
1579 your certificate request \index{Certificate!request} to the
1580 authenticating instance in charge.  Always confirm your entries with
1581 \Button{OK}.
1582
1583 \clearpage
1584 Now your X.509 key pair is being created:
1585 % screenshot: New  X.509 Certificate - Create Key
1586 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-x509-createKey_en}
1587
1588 This may take a couple of minutes. You can assist the creation of the
1589 required random numbers by entering information in the lower input
1590 field.  It does not matter what you type, as the characters will 
1591 not be used, only the time period between each key stroke. You can also
1592 continue working with other applications on your computer, which will
1593 slightly increase the quality of the key pair that is being created.
1594
1595 \clearpage
1596 As soon as \textbf{the key pair has been successfully} created, you
1597 will see the following dialog:
1598
1599 % screenshot: New X.509 certificate - key successfully created
1600 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-x509-keyPairCreated_en}
1601
1602 The next steps are triggered with the following buttons:
1603
1604 \begin{description}
1605
1606 \item[Save request in file...]~\\Here, you enter the path under which
1607     your X.509 certificate request should be backed up, and confirm
1608     your entry. Kleopatra will automatically add the file ending \Filename{.p10}
1609     during the saving process. This file can then be
1610     sent to an authentication instance (in short CA for Certificate
1611     Authority\index{Certificate Authority (CA)}). Further below, we
1612     will refer you to cacert.org, which is a non-commercial
1613     authentication instance (CA) that issues X.509 certificates free
1614     of charge.
1615
1616 \item[Sending an request by \Email{}  
1617     ...]~\\This
1618     creates a new \Email{} with the certificate request
1619     which has just been created in the attachment. Enter a recippient
1620     \Email{} address -- usually that of your
1621     certificate authority in charge; you can also add more text
1622     to the prepared text of this \Email{}.
1623
1624     \textbf{Please note:} Not all \Email{} programs support this
1625     function. Of course you can also do this manually: If you do not
1626     see a new \Email{}window, save your request in a file (see above)
1627     and send it by \Email{} to your certificate authority (CA). 
1628     
1629     As soon as the CA has processed your request, the CA system
1630     administrator will send you the completed X.509 certificate, which
1631     has been signed by the CA. You only need to import the file into
1632     Kleopatra (see Chapter~\ref{ch:ImExport}).
1633
1634 \end{description}
1635
1636 End the Kleopatra assistant with \Button{Finish}.
1637
1638
1639 \clearpage
1640 \subsubsection{Creating an X509 certificate using www.cacert.org}
1641
1642 \T\marginSmime
1643 CAcert\index{CAcert} is a non-commercial certificate authority which
1644 issues X.509 certificates free of charge. It offers an alternative to
1645 commercial root CAs, some of which charge very high fees for their
1646 certificates. 
1647
1648 To create a (client) certificate at CAcert, you first have to register
1649 at \uniurl[www.cacert.org]{http://www.cacert.org}. 
1650
1651 Immediately following registration, you can create one or more client
1652 certificates on cacert.org: please make sure you have sufficient key
1653 length (e.g.  2048 bits). Use the web assistant to define a secure
1654 passphrase for your certificate.
1655
1656 Your client certificate is now created.
1657
1658 Afterwards you will receive an \Email{} with two
1659 links to your new X.509 certificate and associated CAcert root
1660 certificate. Download both certificates.
1661
1662 Follow the instructions to install the certificate on your browser. In
1663 Firefox, you can use e.g. 
1664 \Menu{Edit$\rightarrow$Settings$\rightarrow$Advanced$\rightarrow$Certificates}
1665 to find your installed certificate under the first tab ``Your
1666 certificates" with the name (CN) \textbf{CAcert WoT User}.
1667
1668 You can now issue a personal X.509 certificate which has your name in
1669 the CN field. To do this, you must have your CAcert account
1670 authenticated by other members of the CACert Web of Trust. Information
1671 on obtaining such a confirmation can be found on the Internet pages of
1672 CAcert.
1673
1674 Then save a backup copy of your personal X.509 certificate. The
1675 ending \Filename{.p12} will automatically be applied
1676 to the backup copy.
1677
1678 \textbf{Attention:} This \Filename{.p12} file contains your
1679 public \textit{and } your private key. Please ensure that this file is
1680 protected againt unauthorised access.
1681
1682 To find out how to import your personal X.509 certificate in
1683 Kleopatra, see Chapter~\ref{ch:ImExport}.
1684
1685 ~\\ Let's now look at Section \ref{sec_finishKeyPairGeneration} on the
1686 next page. This is where explanations for OpenPGP and X.509 are
1687 identical again.
1688
1689
1690 \clearpage
1691 \section{Certificate creation process complete}
1692 \label{sec_finishKeyPairGeneration}
1693
1694 \textbf{This completes the creation of your OpenPGP or X.509 key pair.
1695 You now have a unique electronic key.}
1696
1697 During the course of this compendium, we will always use an OpenPGP
1698 certificate for sample purposes -- however, all information will also
1699 apply accordingly to X509 certificates.
1700
1701 %TODO: X.509-Zertifikat noch nicht in Kleopatra sichtbar!
1702
1703 You are now back in the Kleopatra main window. The OpenPGP certificate
1704 which was just created can be found in the certificate administration
1705 under the tab \Menu{My certificates}:
1706
1707 % screenshot: Kleopatra with new openpgp certificate
1708 \htmlattributes*{img}{width=508}
1709 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-withOpenpgpTestkey_en}
1710
1711 \clearpage
1712 Double-click on your new certificate to view all details related to
1713 the certificate:
1714
1715 % screenshot: details of openpgp certificate
1716 \htmlattributes*{img}{width=508}
1717 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-openpgp-certificateDetails_en}
1718
1719 What do the certificate details mean? 
1720
1721 Your certificate is valid indefinitely, i.e. it has no ``built-in
1722 expiry date''. To change its validity at a later point, click
1723 on \Button{Change expiry date}.
1724
1725 \textbf{For more details about the certificate, see
1726 Chapter~\ref{ch:CertificateDetails}.}
1727
1728
1729 \clearpage
1730 \chapter{Distribution of public certificates}
1731 \label{ch:publishCertificate}
1732 \index{Certificate!public}
1733
1734 When using Gpg4win on a daily basis, it is very practical that for the
1735 purpose of encrypting and checking signatures you are always dealing
1736 with ``public'' certificates which only contain public keys. As long
1737 as your own secret key and the passphrase which protects it are
1738 secure, you have already gone a long way towards ensuring secrecy.
1739
1740 Everyone can and should have your public certificate, and you can and
1741 should have the public certificates of your correspondence partners --
1742 the more, the better. 
1743
1744 Because:
1745
1746 \textbf{To exchange secure \Email{}s, both partners must have and
1747 use the public certificate of the other person. Of course the
1748 recipient will also require a program capable of handling certificates
1749 -- such as the Gpg4win software package with Kleopatra certification
1750 administration.}
1751
1752 Therefore, if you want to send encrypted \Email{}s to someone,
1753 you must have their public certificate to encrypt the \Email{}.
1754
1755 In turn, if someone wants to send you encrypted \Email{}s, he
1756 must have your public certificate and use it for encryption purposes.
1757
1758 For this reason you should now allow access to your public
1759 certificate.
1760
1761 Depending on how many people you corespond with, and which certificate
1762 format you are using, you have several options. For example, you can
1763 distribute your public certificate ...
1764
1765 \begin{itemize}
1766     \item ... directly via \textbf{\Email{}} to specific correspondence
1767         partners -- see Section~ \ref{sec_publishPerEmail}.
1768     \item ... on an \textbf{OpenPGP certificate server} (applies \textit{only }
1769         to OpenPGP) -- See Section~\ref{sec_publishPerKeyserver}.
1770     \item ... via your own homepage.
1771     \item ... in person, e.g. with a USB stick.
1772 \end{itemize}
1773
1774 Let's look at the first two variants on the following pages.
1775
1776 \clearpage
1777 \section{Publishing per \Email{}, with practice for OpenPGP}
1778 \label{sec_publishPerEmail}
1779
1780 Do you wish to make your public certificate accessible to the person
1781 you are corresponding with? Simply send them your exported public
1782 certificate per \Email{}. This section will show you how this
1783 works.\\ 
1784
1785 \T\marginOpenpgp
1786 Practice this process with your public OpenPGP certificate! Adele can
1787 assist you. The following exercises only apply to OpenPGP; for
1788 information on publishing public X.509 certificates, please see
1789 page~\pageref{publishPerEmailx509}.
1790
1791 \textbf{Adele} is a very nice \Email{} robot which you can use
1792 to practice correspondence. Please note, that Adele may not be
1793 working. Don't be concerned if Adele is not answering, you may better
1794 practice with a human being, because it is usually more pleasant to
1795 correspond with a smart human being rather than a piece of software
1796 (which is what Adele is, after all), you can imagine Adele this way:
1797
1798 % Cartoon:  Adele mit Buch in der Hand vor Rechner ``you have mail''
1799 \IncludeImage[width=0.5\textwidth]{adele01}
1800
1801 First, send Adele your public OpenPGP certificate. Using the public
1802 key in this certificate, Adele will send an encrypted \Email{}
1803 back to you. 
1804
1805 You then use your own secret key to decrypt Adele's response. To be
1806 able to respond to Adele with an encrypted \Email{}, Adele has
1807 attached her own public certificate. 
1808
1809 Adele acts just like a real person you are corresponding with. Of
1810 course, Adele's \Email{}s are not nearly as interesting as those from
1811 the people you are actually corresponding with. On the other hand, you
1812 can use Adele to practice as much as you like -- which a real person
1813 might find bothersome after a while. 
1814
1815 So, now you export your public OpenPGP certificate and send it via
1816 \Email{} to Adele. The following pages how how this works. 
1817
1818
1819 \clearpage
1820 \subsubsection{Exporting your public OpenPGP certificate}
1821 \index{Certificate!export}
1822
1823 Select the public certificate to be exported in Kleopatra (by clicking
1824 on the corresponding line in the list of certificates) and then click
1825 on \Menu{File$\rightarrow$Export certificates...} in the menu.
1826 Select a suitable file folder on your PC and save the public
1827 certificate with the file type\Filename{.asc} e.g.:
1828 \Filename{mein-OpenPGP-Zertifikat.asc}. The other file types, which
1829 can be selected, \Filename{.gpg} or\Filename{.pgp}, will save your
1830 certificate in binary format. That means that in contrast to an 
1831 \Filename{.asc}file, they cannot be read in the text editor. 
1832
1833 When you select the menu item, please make sure that you are only
1834 exporting your public certificate -- and \textit{not } the certificate
1835 of your entire key pair with the associated private key by mistake. 
1836
1837 Review the file once more by selecting Windows Explorer and selecting
1838 the same folder that you indicated for the export.
1839
1840 Now \textbf{open} the exported certificate file with a text
1841 editor, e.g. WordPad. The text editor will display your public OpenPGP
1842 certificate as it really looks -- a fairly confusing block of text and
1843 numbers:
1844 \T\enlargethispage{\baselineskip}
1845
1846 % screenshot: Editor mit ascii armored key
1847 \IncludeImage[width=0.85\textwidth]{sc-wordpad-editOpenpgpKey_en}
1848
1849 \clearpage
1850 When publishing your OpenPGP certificate by \Email{}, there are
1851 two variants which can take into account whether an 
1852 \Email{} program can send attachments.
1853
1854 \subsubsection{Variant 1: Send public OpenPGP certificate as an 
1855 \Email{} text}
1856
1857 This option always works, even if you are not able to attach files --
1858 as may be the case with some \Email{} services on the Web.\\ Also,
1859 it is a way of seeing your public certificate for the first time, 
1860 knowing exactly what is behind it, and what the certificate actually
1861 consists of.
1862
1863 \textbf{Highlight} the entire public certificate in the text editor from
1864
1865 \Filename{-----BEGIN PGP PUBLIC KEY BLOCK-----}\\
1866 up to\\
1867 \Filename{-----END PGP PUBLIC KEY BLOCK-----}
1868
1869 and \textbf{copy} it with the menu command or the key shortcut
1870 \Filename{Ctrl+C}. Now you have copied the certificate in the memory
1871 of your computer (Clipboard in a Windows context).
1872
1873 Now you can start your \Email{} program -- it does not matter which
1874 one you use -- and add your public certificate into an empty \Email{}.
1875 In Windows, the key command for adding (``Paste'') is
1876 \Filename{Ctrl+V}. You may know this process ­-- copying and pasting
1877 ­-- as ``Copy \& Paste''. 
1878
1879 The \Email{} program should be set up in such a way that it is
1880 possible to send only text messages and not HTML formated messages
1881 (see Section~\ref{sec_brokenSignature} and Annex
1882 \ref{appendix:gpgol}).
1883
1884 \textbf{Now address this} \Email{} to
1885 \Filename{adele@gnupp.de} and write something in the subject line e.g.
1886 \Menu{My public OpenPGP certificate}.
1887
1888 \clearpage
1889 This is approximately what your \Email{} will look like:
1890
1891 % screenshot: Outlook composer fenster mit openpgp zertifikat.
1892 \IncludeImage[width=0.85\textwidth]{sc-ol-adele-sendOpenpgpKey-inline_en}
1893
1894 Now send the \Email{} to Adele. Make sure to include your  
1895 \textit{own} \Email{} address as the sender. Otherwise you will never receive Adele's response ...
1896
1897 \clearpage
1898 \subsubsection{Variant 2: Send public OpenPGP certificate as an \Email{} attachment}
1899
1900 As an alternate to Variant 1, you can also send your exported public
1901 OpenPGP certificate directly as an \textbf{\Email{} file
1902 attachment}. This is often the simpler and more commonly used method.
1903 Above, you learnt about the ``Copy \& Paste'' method,
1904 because it is more transparent and easier to understand.
1905
1906 Now write another \Email{} to Adele -- this time with the certificate
1907 file in the attachment: 
1908
1909 Add the previously exported certificate file as an attachment to your
1910 new \Email{} -- just as you would for any other file (e.g. pulling the
1911 file into the emtpy \Email window).  Add the recipient
1912 (\Filename{adele@gnupp.de}) and a subject, e.g.: \Menu{My public
1913 OpenPGP certificate - as a file attachment}.
1914
1915 Of course you can also add a few explanatory sentences.  However,
1916 Adele does not need this explanations, because her only purpose is to
1917 help you practice this process. 
1918
1919 Your finished \Email{} should look something like this:
1920 \T\enlargethispage{2\baselineskip}
1921
1922 % screenshot: Outlook composer window with attached openpgp certificate
1923 \IncludeImage[width=0.85\textwidth]{sc-ol-adele-sendOpenpgpKey-attachment_en}
1924
1925 Now send the \Email{} and attachment to Adele.
1926
1927 \clearpage
1928 \subsubsection{In short:}
1929
1930 You have exported your public OpenPGP certificate in Kleopatra into a
1931 file. Subsequently, you have also copied the content of the file
1932 directly into an \Email{} and attached the complete file as an
1933 \Email{}attachment. Both \Email{}s have been sent to someone else
1934 -- in this case, to Adele. 
1935
1936 The same process applies if you are sending your public certificate to
1937 a real \Email{} address. Usually, you should send public certificates
1938 as a file attachment, as described in Variant 2. This is the easiest
1939 way to do it, both for you and the recipient. And it also has the
1940 advantage that your recipient can import your certificate file
1941 directly into his own certificate administration (e.g. Kleopatra).
1942
1943 \clearpage
1944 \section{Publish via OpenPGP certificate server}
1945 \label{sec_publishPerKeyserver}
1946
1947 \T\marginOpenpgp
1948 \textbf{Please note: You can only distribute your OpenPGP certificate
1949 via an OpenPGP certificate server.}
1950
1951 Publishing your public OpenPGP certificate on a public certificate server is
1952 always a good idea, even if you are only exchanging encrypted \Email{}s 
1953 with just a few people. This way, your public certificate is
1954 accessible to everyone on an Internet server. This saves you time in
1955 having to send your certificate \Email{} to all of the people
1956 you are corresponding with.
1957
1958 At the same time, publishing your \Email{} address on a certificate server can
1959 also make your \Email{} address more susceptible to spam. This can
1960 only be addressed with good spam protection.
1961
1962 ~\\ \textbf{This is how it works:} Select your public OpenPGP certificate in Kleopatra 
1963 and click on \Menu{File$\rightarrow$Export certificate to server...}. 
1964 If you have not defined a certificate server, you will see a warning:
1965
1966 % screenshot: Kleopatra keyserver export warning
1967 \IncludeImage[width=0.6\textwidth]{sc-kleopatra-exportCertificateToServer_en}
1968
1969 The public OpenPGP certificate server already contains
1970 \Filename{keys.gnupg.net} default settings. Click on
1971 \Button{Continue} to send your selected public certificate to this
1972 server. There, your public certificate is distributed to all globally
1973 connected certificate servers. Anyone can download your public certificate
1974 from one of these OpenPGP certificate servers and use it send you a secure
1975 \Email{}. 
1976
1977 If you are only testing this process, please do \textit{not} send the
1978 practice certificate: In the top dialog, click on \Button{Cancel}. The
1979 test certificate is worthless and cannot be removed by the certificate server.
1980 You would not believe how many test certificates with names like
1981 ``Julius Caesar'', ``Helmut Kohl'' or ``Bill Clinton'' are already
1982 floating around on these servers ...
1983
1984 \clearpage
1985 \subsubsection{In short:}
1986 Now you know how to publish your public OpenPGP certificate on an
1987 OpenPGP certificate server on the Internet.
1988
1989 \textbf{For information on how to search for the public OpenPGP 
1990 certificate of people you are corresponding with on a certificate server, see
1991 Chapter~\ref{ch:keyserver}. You can read this chapter now or later when
1992 you need this function.}
1993
1994
1995 \clearpage
1996 \section{Publishing X.509 certificates}
1997 \label{publishPerEmailx509}
1998
1999 \T\marginSmime
2000 In the case of public X.509 certificates, this process is even easier:
2001 all you need to do is to send a signed S/MIME \Email{} to the person
2002 you are corresponding with. Your public X.509 certificate is contained
2003 in this signature, and can be imported into the recipient's
2004 certificate administration. 
2005
2006 Unfortunately, you cannot use Adele to practice X.509 certificates
2007 since the robot only supports OpenPGP.  Therefore you should pick
2008 another person to write you, or alternately write to yourself. 
2009
2010 Some public X.509 certificates are distributed by the certificate
2011 authority. This is usually done using X.509 certificate servers, which however
2012 do not synchronize on a global basis, as is the case with OpenPGP key
2013 servers. 
2014
2015 When you export your public X.509 certificate, you can highlight the
2016 entire public certificate chain\index{Certificate!chain} and save it
2017 in a file -- generally the root certificate, CA
2018 certificate\index{Certificate!CA} and personal certificate -- or only
2019 your public certificate. 
2020
2021 The first is recommended since the person you are corresponding with
2022 may be missing some parts of the chain, which he otherwise would have
2023 to find. To do this, click on all elements of the certificate chain in
2024 Kleopatra while holding the Shift key, and export the highlighted
2025 certificate into a file. 
2026
2027 If the person you are corresponding with does not have the root
2028 certificate, he must indicate that he trusts it, or have an
2029 administrator do so, in order to finally also trust you. If this has
2030 already been done (e.g. because they are both part of the same
2031 ``root''), then this  shiop is already in place. 
2032
2033
2034 \clearpage
2035 \chapter{Decrypting \Email{}s, practicing for OpenPGP}
2036 \label{ch:decrypt}
2037 \index{E-mail!decrypt}
2038
2039 Gpg4win, the certificate of your key pair and of course your
2040 passphrase are all you need to decrypt \Email{}s. 
2041
2042 This Chapter shows you step for step how to decrypt \Email{}s in
2043 Microsoft Outlook using the Gpg4win program component GpgOL.
2044 \index{Outlook}
2045
2046 \T\marginOpenpgp
2047 Initially, you can practice this process with Adele and your public
2048 OpenPGP certificate. The following exercises again only apply to
2049 OpenPGP -- explanations regarding the decryption of S/MIME
2050 \Email{}s can be found at the end of this chapter on page
2051 \pageref{encrypt-smime}.
2052
2053 In Section~\ref{sec_publishPerEmail} you sent your public
2054 OpenPGP certificate to Adele. Using this certificate, Adele will now
2055 encrypt an \Email{} and send a message back to you. You should
2056 receive Adele's response after a short time period.
2057
2058 \T\enlargethispage{\baselineskip}
2059
2060 % cartoon: Adele typing and sending a mail
2061 \IncludeImage[width=0.5\textwidth]{adele02}
2062
2063 \clearpage
2064 \subsubsection{Decrypting a message with MS Outlook and GpgOL}
2065
2066 Most \Email{} programs also have special program extensions
2067 (``plugins''), which can be used to perform the encryption and
2068 decryption process directly in the \Email{} program.
2069 \textbf{GpgOL} is such a program extension for MS Outlook, which is
2070 used here to decrypt Adele's\Email{}s. For more information on
2071 other software solutions, please see Annex~\ref{ch:plugins}. You can
2072 read this section now, or later when you need this function.
2073
2074 ~\\Start MS Outlook and open Adele's response \Email{}. Until
2075 now, you have only known Kleopatra as a certificate administration
2076 program. However, the program can do much more than that: It can
2077 control the actual GnuPG encryption software and hence not just manage
2078 your certificates but also take care of all cryptographic tasks (with
2079 GnuPG's assistance). Kleopatra provides the visual user interface,
2080 hence the dialogs which you as the user see while you encrypt or
2081 decrypt \Email{}s. 
2082
2083 Hence Kleopatra processes Adele's encrypted
2084 \Email{}s. These \Email{}s have been encrypted by Adele using
2085 \textit{your} public OpenPGP key. 
2086
2087 To decrypt the message, Kleopatra
2088 will now ask for your passphrase that protects your private key. Enter
2089 your passphrase. 
2090
2091 The decryption is successful if you do not see an
2092 error dialog! You can now read the decrypted \Email{}. 
2093
2094 You can retrieve the exact results dialog of the decryption by
2095 clicking on \Menu{Extras$\rightarrow$GpgOL decryption/check} in the
2096 menu of the opened \Email{}. 
2097
2098 However, surely you also want to see the result, namely the decrypted
2099 message ...
2100
2101 \clearpage
2102 \subsubsection{The decrypted message}
2103
2104 Adele's decrypted response will look something like
2105 this\footnote{Depending on the software version of Adele, it may look
2106 differently. It's translated from German.}:
2107
2108 %TODO: besser ein Screenshot von einer Adele-Mail in OL.
2109 %TODO: Schlüssel -> Zertifikat
2110
2111 \begin{verbatim}
2112 Hello Heinrich Heine, 
2113
2114 here is an encrypted response to your e-mail. 
2115
2116 I received your public key with the key ID 
2117 FE7EEC85C93D94BA and the name
2118 `Heinrich Heine <heinrich@gpg4win.de>'.
2119
2120 Attached is the public key of adele@gnupp.de,
2121 the friendly e-mail robot.
2122
2123 Regards,
2124 adele@gnupp.de
2125 \end{verbatim}
2126
2127 The text block that follows is Adele's public certificate. 
2128
2129 In the next chapter, you will import this certificate and add it to
2130 your certificate administration. You can use imported public
2131 certificates at any time to encrypt messages to the people you are
2132 corresponding with, or to check their signed \Email{}s.
2133
2134 \clearpage
2135 \subsubsection{In short:}
2136
2137 \begin{enumerate}
2138     \item You have decrypted and encrypted an \Email{} using your
2139         private key.
2140     \item Your correspondence partner has attached his own public
2141         certificate, so that you can answer him in encrypted form.
2142 \end{enumerate}
2143
2144
2145 \subsubsection{\Email{} decryption using S/MIME}
2146 \label{encrypt-smime}
2147
2148 \T\marginSmime
2149 So this is how \Email{}s are decrypted using the private OpenPGP
2150 key -- but how does it work with S/MIME? 
2151
2152 The answer: The same!
2153
2154 To decrypt an encrypted S/MIME \Email{}, simply open the
2155 message in Outlook and enter your passphrase in the pin entry
2156 dialog. You will see a status dialog that is similar to that shown for
2157 OpenPGP. After closing this dialog, you will see the decrypted S/MIME 
2158 \Email{}. 
2159
2160 Differently from OpenPGP decryption, however, when
2161 using S/MIME you cannot use Adele to practice, since Adele only
2162 supports OpenPGP.
2163
2164 \clearpage
2165 \chapter{Importing a public certificate}
2166 \label{ch:importCertificate}
2167 \index{Certificate!import}
2168
2169 The person you are corresponding with does not always have to send
2170 their public certificate when they send signed \Email{}s to you. You can
2171 simply store their public certificate in your certificate
2172 administrator -- e.g. Kleopatra.
2173
2174 \subsubsection{Storing a public certificate}
2175
2176 Before you import a public certificate into Kleopatra, you must save
2177 it in a file. Depending on whether you received the certificate as an
2178 \Email{}file attachment or as a block of text contained in your \Email{}, 
2179 please proceed as follows:
2180
2181 \begin{itemize}
2182
2183 \item If the public certificate was included as an \Email{} \textbf{file
2184     attachment}, save it on your hard drive -- just as you would
2185     normally do.
2186
2187 \item If the public certificate was mailed as a block of text
2188     that \textbf{was included in the} \Email{}, you have to
2189     highlighte the entire certificate:  
2190     
2191     In the case of (public)
2192     OpenPGP certificates, please highlight the area from 
2193
2194     \Filename{-----BEGIN PGP PUBLIC KEY BLOCK-----}\\ up to\\
2195     \Filename{-----END PGP PUBLIC KEY BLOCK-----} 
2196     
2197     just as we have seen in Section~\ref{sec_publishPerEmail}. 
2198     
2199     Now use Copy \&  Paste to
2200     insert the highlighted section into a text editor and save the
2201     public certificate. For file endings, you should use
2202      \Filename{.asc} or \Filename{.gpg} for
2203     OpenPGP certificates and \Filename{.pem} or \Filename{.der}
2204     for X.509 certificates.
2205
2206 \end{itemize}
2207
2208 \clearpage
2209 \subsubsection{Importing public certificates into Kleopatra}
2210
2211 Whether you have saved the public certificate as an \Email{} 
2212 attachment or text block -- in both cases, you will be importing it
2213 into your Kleopatra certificate administration. To do this, start
2214 Kleopatra if the program is not running already. In the menu, click
2215 on \Menu{File$\rightarrow$Import certificate...}, search for
2216 the public certificate you have just saved and import it. You will
2217 receive an information dialog showing the result of the import
2218 process:
2219
2220 % screenshot: Kleopatra - certificate import dialog
2221 \IncludeImage[width=0.5\textwidth]{sc-kleopatra-import-certificate_en}
2222
2223 It displays the imported public certificate in Kleopatra, in a
2224 separate tab \Menu{Imported certificates} with the title
2225 \Menu{<Path to certification file>}'':
2226
2227 % screenshot Kleopatra with new certificate
2228 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-withAdeleKey_en}
2229
2230 This tab is used for checking purposes, since a file can contain more
2231 than one certificate. You can close the tab using the
2232 \Menu{Fenster$\rightarrow$Close tab} command or via the
2233 ``Close tab'' button on the right side of the window).
2234
2235 Now change over to the tab ``Other certificates''. You should also be
2236 able to see the public certificate you have imported. 
2237
2238 Now you have imported someone else's certificate~-- in this case
2239 Adele's public OpenPGP certificate -- into your certificate
2240 administration. You can use this certificate at any time to send
2241 encrypted messages to the owner of the certificate, and to check his
2242 signatures. 
2243
2244 As soon as you are exchanging encrypted \Email{} more
2245 frequently and with a larger number of persons, you will likely want
2246 to search and import for certificates on globally available key
2247 servers. To see how this works, please see Chapter~\ref{ch:keyserver}
2248 .\\
2249
2250 \subsubsection{Before continuing, an important question:}
2251 How do you know that the public OpenPGP certificate really came from
2252 Adele? It is possible to send \Email{}s under someone else's
2253 name -- in this respect, merely having the sender's name does not mean
2254 anything. 
2255
2256 So how can you ensure that a public certificate actually
2257 belongs to the sender? 
2258
2259 \textbf{This key question related to certificate inspections is
2260 explained in the next Chapter~\ref{ch:trust}}.
2261
2262 \clearpage
2263 \chapter{Certificate inspection}
2264 \label{ch:trust}
2265
2266 How do you know if a certificate actually belongs to the sender? And
2267 vice versa -- why should the person you are writing to believe that
2268 the certificate you sent to him is really yours? The sender's name on
2269 an \Email{} means nothing, just like putting a sender's name on
2270 an envelope.
2271
2272 If your bank, receives an \Email{} with your name,
2273 with a request to transfer your entire bank balance to a numbered
2274 account in the Bahamas, we should hope that it will refuse to do so --
2275 no matter what the \Email{} address is. On its own, an \Email{} address
2276 itself does not really say anything about the sender's identity.
2277
2278 \clearpage
2279 \subsubsection{Fingerprints}
2280 \index{Fingerprint}
2281 If you are only corresponding with a very small circle of people, it
2282 is easy to check their identity: You check the fingerprint of the
2283 other certificate.
2284
2285 Each certificate features a unique identification, which is even
2286 better than someone's fingerprint. For this reason this identification
2287 is also referred to as a ``fingerprint''. 
2288
2289 If you display the details of a certificate in Kleopatra, e.g. by
2290 double-clicking on the certificate, you will see its 40-character
2291 fingerprint, among other things:
2292
2293 % screenshot: Kleopatra certificate details with fingerprint
2294 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-openpgp-certificateDetails_en}
2295
2296 The fingerprint of the above OpenPGP certificate is therefore as
2297 follows:\\ \Filename{7EDC0D141A82250847448E91FE7EEC85C93D94BA}
2298
2299 ~\\In short - the fingerprint clearly identifies the certificate and
2300 its owner. 
2301
2302 Simply call the person you are corresponding with and let them read
2303 the fingerprint of their certificate to you. If the information
2304 matches the certificate you have on hand, you clearly have the right
2305 certificate. 
2306
2307 Of course you can also meet the owner of the certificate in person, or
2308 use another method to ensure that certificate and owner can be
2309 matched. Frequently, the fingerprint is also printed on business
2310 cards; therefore, if you have a business card whose authenticity is
2311 guaranteed, you can save yourself a phone call.
2312
2313
2314 \clearpage
2315 \subsubsection{Authenticating an OpenPGP certificate}
2316 \index{Certificate!authenticate}
2317
2318 \T\marginOpenpgp
2319 Once you have obtained confirmation of the authenticity of the
2320 certificate ``via a fingerprint'', you can authenticate it -- but only
2321 in OpenPGP. With X.509, users cannot authenticate certificates -- this
2322 can only be done by the certificate authorities (CA). 
2323
2324 By authenticating a certificate, you are letting other (Gpg4win) users
2325 know that you are of the opinion that this certificate is real --
2326 hence authentic: You are acting as a kind of ``godfather'' for this
2327 certificate, and help to increase the general level of trust in its
2328 authenticity.
2329
2330 ~\\
2331 \textbf{So how does the authentication process work?}\\ 
2332 In Kleopatra, select an OpenPGP certificate that you think is real and
2333 would like to authenticate. In the menu, select:
2334 \Menu{Certificates$\rightarrow$Authenticate certificates...}
2335
2336 Reconfirm the OpenPGP certificate to be authenticated in the following
2337 dialog, using \Button{Next}:
2338
2339 % screenshot: Kleopatra certify certificate 1
2340 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-certifyCertificate1_en}
2341
2342 \clearpage
2343 In the next step, select your own OpenPGP certificate, which you will
2344 use to authenticate the certificate selected in the last step:
2345
2346 % screenshot: Kleopatra certify certificate 2
2347 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-certifyCertificate2_en}
2348
2349 Here you decide whether to \Button{Authenticate for private use only}
2350 or or \Button{Authenticate and make visible to all}. With the last
2351 variant, you have the option of subsequently uploading the
2352 authenticated certificate to an OpenPGP certificate server, and hence make an
2353 updated and authenticated certificate available to the entire world.
2354
2355 Now confirm your selection with \Button{Authenticate}. 
2356
2357 Similar to the process of signing an \Email{}, you also have to enter
2358 your passphrase when authenticating a certificate (with your private
2359 key). The authentication proccess is only complete once this
2360 information is entered correctly.
2361
2362 \clearpage
2363 Following a successful authentication, the following window appears:
2364
2365 % screenshot: Kleopatra certify certificate 3
2366 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-certifyCertificate3_en}
2367
2368 ~\\Do you want to check the authentication one more? To do this, open
2369 the certificate details of the certificate you have just
2370 authenticated.Select the tab \Menu{User ID and authentications} and
2371 click on the button \Button{Obtain authentications}. 
2372
2373 You will now see all authentications contained in this certificate,
2374 sorted by user ID. You should also be able to see your certificate in
2375 this list, if you have just authenticated it.
2376
2377 \clearpage
2378 \subsubsection{Web of trust}
2379 \index{Web of Trust}
2380
2381 \T\marginOpenpgp
2382 The process of authenticating certificates creates a ``Web of Trust''
2383 (WoT), which extends beyond the group of Gpg4win users and their
2384 correspondence, and it means that you are not always required to
2385 verify an OpenPGP certificate for its authenticity.
2386
2387 \htmlattributes*{img}{width=300}
2388 \IncludeImage[width=0.85\textwidth]{key-with-sigs}
2389
2390 Naturally, trust in a certificate will increase if it has been
2391 authenticated by a lot of people. Your own OpenPGP certificate will
2392 receive authentications from other GnuPG users over time. This enables
2393 more and more people to trust that this certificate is really yours
2394 and not someone else's. 
2395
2396 The continued weaving of this ``Web of Trust'' creates a flexible
2397 authentication structure. 
2398
2399 There is one theoretical possibility of making this certificate test
2400 null and void: Someone plants a wrong certificate on you. In other
2401 words, you have a public OpenPGP key that pretends to be from X but in
2402 reality was replaced??  by Y. If this falsified certificate is
2403 authenticated, it clearly creates a problem for the ``Web of Trust''.
2404 For this reason it is very important to make sure that prior to
2405 authenticating a certifidate, you make absolutely sure the certificate
2406 really belongs to the person that purports to own it.
2407
2408 But what if a bank or government authority wants to check whether the
2409 certificates of their customers are real?  Surely, they cannot call
2410 them all~...
2411
2412
2413 \clearpage
2414 \subsubsection{Authentication instances}
2415 \index{Authentication instances}
2416 \index{Certificate Authority (CA)}
2417
2418 In this case, we need a ``superordinate'' instance that all users can
2419 trust. After all, you do not personally check the ID of a person not
2420 known to you by phoning the municipal office, but rather trust that
2421 the office that issued the ID will have already checked and
2422 authenticated these details.
2423
2424 \T\marginOpenpgp
2425 These types of authentication instances also exist in the case of
2426 OpenPGP certificates. In Germany, for example, the magazine c't has
2427 long been offering such a service free of charge, as have many
2428 universities. 
2429
2430 Therefore, if you have received an OpenPGP certificate
2431 whose authenticity has been confirmed by such an authentication
2432 instance, you should be able to rely on it.
2433  
2434 \T\marginSmime
2435 Such authentication instances or ``Trust Centers'' are also provided
2436 for in other encryption methods -- such as S/MIME. However, in
2437 contrast to the "Web of Trust", these feature a hierarchical
2438 structure, with a ``top authentication instance'' that authenticates
2439 additional ``sub-instances'' and entitles them to authenticate user
2440 certificates (see Chapter~\ref{ch:openpgpsmime}).
2441
2442 The best way to describe this infrastructure is to use the example of
2443 a seal: The sticker on your license plate can only be provided by an
2444 institution that is authorised to issue such stickers, and they have
2445 received that right from another superordinate body. On a technical
2446 level, an authentication is \index{Authentication} nothing more than
2447 an authenticating party signing a certificate. 
2448
2449 Of course, hierarchical authentication infrastructures are much better
2450 suited to the requirements of government and official instances than
2451 the loose ``Web ofTrust'' of GnuPG, which is based on mutual trust. At
2452 the same time, the key aspect of the authentication is the same for
2453 both: Gpg4win also supports a hierarchical authentication (S/MIME) in
2454 addition to the ``Web of Trust'' (OpenPGP). Accordingly, Gpg4win
2455 offers a basis that corresponds with the Signature Act of the Federal
2456 Republic\index{Signature law} of Germany.
2457
2458 \T\ifthenelse{\boolean{DIN-A5}}{\newpage}{}
2459 If you would like to learn more about this topic, the following websites provide more information on this and other IT security topics:
2460 \begin{itemize}
2461     \item \uniurl[www.bsi.de]{http://www.bsi.de}
2462     \item \uniurl[www.bsi-fuer-buerger.de]{http://www.bsi-fuer-buerger.de}
2463     \item \uniurl[www.gpg4win.org]{http://www.gpg4win.org}
2464 \end{itemize}
2465
2466 Another, rather technical, information source on the issue of
2467 authentication infrastructure is the GnuPG handbook, which can also be
2468 found at:\\
2469 \uniurl[www.gnupg.org/gph/en/manual.html]{http://www.gnupg.org/gph/en/manual.html}
2470
2471 \clearpage
2472 \chapter{Encrypting \Email{}s}
2473 \label{ch:encrypt}
2474 \index{E-mail!encrypt}
2475
2476 Now it is getting exciting again: You are sending an encrypted
2477 \Email{}. 
2478
2479 In this case, you will need Outlook (or another \Email{} program that
2480 supports cryptography), Kleopatra and of course the public certificate
2481 of the person you are correspondign with.
2482
2483 \textbf{Note for OpenPGP:}
2484
2485 \T\marginOpenpgp
2486 You can use Adele to practice the encryption process with OpenPGP; on
2487 the other hand, Adele does not support S/MIME. You can send the
2488 \Email{} to be encrypted to \Filename{adele@gnupp.de}. It does not
2489 matter what your write in your message, since Adele cannot read it.
2490
2491 \T\ifthenelse{\boolean{DIN-A5}}{\newpage}{}
2492
2493 \textbf{Note for S/MIMIE:}
2494
2495 \T\marginSmime
2496 Following the installation of Gpg4win, the S/MIME functionality is
2497 already activated in GpgOL. If you want to turn off S/MIME (with
2498 GnuPG), for example to use Outlook's own S/MIME function, you have to
2499 deactivate the option \Menu{Activate S/MIME support} in the following
2500 GpgOL option dialog under
2501 \Menu{Extras$\rightarrow$Options$\rightarrow$GpgOL}: 
2502
2503 % screenshot: GpgOL options
2504 \T\ifthenelse{\boolean{DIN-A5}}{
2505     \T\IncludeImage[width=0.75\textwidth]{sc-gpgol-options_en}
2506 \T}
2507 \T{
2508     \IncludeImage[width=0.55\textwidth]{sc-gpgol-options_en}
2509 \T}
2510
2511
2512 \clearpage
2513 \subsubsection{Send an encrypted message}
2514
2515 First, compose a new in Outlook and address it to the person you are
2516 writing to. 
2517
2518 To send your message as in an encrypted form, select the item
2519 \Menu{Extras$\rightarrow$Encrypt message} in the menu of the message
2520 window. The button with the lock icon in the tool bar is activated --
2521 you can also click right on the lock. 
2522
2523 Your Outlook message windows should look something like this:
2524
2525 % screenshot: OL composer with Adele's address and body text
2526 \IncludeImage[width=0.85\textwidth]{sc-ol-sendEncryptedMail_en}
2527
2528 Now click \Button{Send}.
2529
2530 \label{encryptProtocol} ~\\Gpg4win will automatically detect the
2531 protocol -- OpenPGP or S/MIME -- of the public certificate provided by
2532 the person you are corresponding with. 
2533
2534 As long as there is only one certificate that matches the recipient's
2535 \Email{} address, your message will be encrypted and sent. 
2536
2537
2538 \clearpage
2539 \subsubsection{Selecting certificates}
2540 \index{Certificate!selection}
2541 If Kleopatra is not able to clearly determine a recipient certificate
2542 using the l\Email{} address, e.g. if you have an OpenPGP
2543 \textit{and} S/MIME certificate from the person you are corresponding
2544 with, a selection dialog which allows you to select the right
2545 certificate will be displayed.
2546
2547 % screenshot: kleopatra encryption dialog - certificate selection
2548 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-encrypt-selectCertificate_en}
2549
2550 If Kleopatra is not able to find the public certificate of the person
2551 you are corresponding with, you probably have not imported it into
2552 your certificate administration yet (see
2553 Chapter~\ref{ch:importCertificate}) or perhaps have not authenticated
2554 it yet (for OpenPGP; see Chapter~\ref{ch:trust}), or have not
2555 expressed your trust in the root certificate of the certification
2556 chain (for S/MIME, see Chapter~\ref{sec_allow-mark-trusted}).
2557
2558 You need the correct public certificate of your correspondence partner
2559 to encrypt your messages.
2560
2561 Remember the principle in Chapter~\ref{ch:FunctionOfGpg4win}:
2562 \begin{quote}
2563   \textbf{You have to use someone's public certificate to send them an an encrypted \Email{}.}
2564 \end{quote}
2565
2566
2567 \clearpage
2568 \subsubsection{Completing the encryption process}
2569 Once your message was successfully encrypted and sent, you will
2570 receive a confirmation message:
2571
2572 % screenshot: kleopatra encryption successfully
2573 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-encryption-successful_de}
2574
2575 \textbf{Congratulations! You have encrypted your first \Email{}!}
2576
2577
2578 \chapter{Signing \Email{}s}
2579 \label{ch:sign}
2580 \index{E-mail!sign}
2581
2582 In Chapter~\ref{ch:trust} you learnt more about verifying the
2583 authenticity of a public OpenPGP certificate, and signing it with your
2584 own private OpenPGP key.
2585
2586 This chapter also explains how to \textbf{sign} a complete
2587 \textbf{\Email{}} rather than only the certificate. That means
2588 applying a digital signature to the \Email{} -- which is a form of an
2589 electronic seal.  
2590
2591 ``Sealed'' in this way, the text can still be read by everyone, but it
2592 allows the recipient to find out whether the \Email{} was manipulated
2593 or modified during delivery.  The signature tells the recipient that
2594 the message is really from you.  And: If you are corresponding with
2595 someone whose public certificate you do not have (for whatever
2596 reason), you can at least ``seal'' the message with your own private
2597 key.
2598
2599 You have probably noticed that this digital
2600 signature\index{Signature!digital} is not identical to an
2601 \Email{} ``signature'', which is sometimes included at the end of an
2602 \Email{} and includes such items as telephone number, address and
2603 website. While these \Email{} signatures simply function as a type of
2604 business card, a digital signature will protect your \Email{} from
2605 manipulation and clearly confirms the sender.
2606
2607 \T\ifthenelse{\boolean{DIN-A5}}{\newpage}{}
2608 Besides, a digital signature cannot be compared with a qualified
2609 electronic signature, \index{Signature!qualified electronic} as it
2610 went into effect as part of the Signature Act\index{Signature Act} 
2611 (22~May 2001). However, it serves exactly the same purpose for private
2612 or professional \Email{} communication.
2613
2614 % cartoon: Müller mit Schlüssel
2615 \htmlattributes*{img}{width=300}
2616 \T\ifthenelse{\boolean{DIN-A5}}{
2617     \T\IncludeImage[width=0.5\textwidth]{man-with-signed-key}
2618 \T}
2619 \T{
2620     \IncludeImage[width=0.35\textwidth]{man-with-signed-key}
2621 \T}
2622
2623 \clearpage
2624 \section{Signing with GpgOL}
2625 \T\enlargethispage{\baselineskip}
2626 In fact, signing an \Email{} is even easier than encrypting it (see
2627 Chapter~\ref{ch:encrypt}). Once you have composed a new \Email{}, go
2628 through the following steps -- similar to the encryption process:
2629
2630 \begin{itemize}
2631     \item Send message with signature
2632
2633     \item Select certificate
2634
2635     \item Completing the signing process
2636 \end{itemize}
2637
2638 These steps are described in detail on the following pages.
2639
2640 \subsubsection{Sending a signed message}
2641
2642 First, compose a new \Email{} in Outlook and address it to the person
2643 you are writing to.
2644
2645 Before you send your message, tell the system that your message should
2646 be sent with a signature: To do this, activate the button with the
2647 signature pen or the menu item \Menu{Format$\rightarrow$Sign message}.
2648
2649 Your \Email{} window would then look something like this:
2650
2651 % screenshot: OL composer with Adele's address and body text
2652 \IncludeImage[width=0.85\textwidth]{sc-ol-sendSignedMail_en}
2653
2654 Now click on \Button{Send}.
2655
2656 \clearpage
2657 \subsubsection{Selecting certificates}
2658
2659 Just as is the case for encrypting \Email{}s, Gpg4win automatically
2660 detects the protocol -- OpenPGP or S/MIME -- for which your own
2661 certificate (with the private key for signing) is available. 
2662
2663 If you have your own OpenPGP \textit{and} S/MIME certificate with the
2664 same \Email{} address, Kleopatra will ask you to select a protocol
2665 before the \Email{} is signed:
2666
2667 % screenshot: kleopatra format choice dialog
2668 \IncludeImage[width=0.45\textwidth]{sc-kleopatra-format-choice_de}
2669
2670 If you have several certificates (e.g. two OpenPGP certificates for
2671 the same \Email{} address) for the selected method,Kleopatra will open
2672 a window which displays your certificates (here: OpenPGP), each with
2673 its own private key:
2674
2675 % screenshot: kleopatra format choice dialog
2676 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-sign-selectCertificate_en}
2677
2678 Confirm your selection with \Button{OK}.
2679
2680
2681 \clearpage
2682 \subsubsection{Completing the signing process}
2683 In order to complete the signing process for your \Email{}, you will be asked to enter your secret passphrase in the following pin entry\index{Pinentry} window:
2684
2685 % screenshot: kleopatra sign dialog 2 - choose certificate
2686 \IncludeImage[width=0.5\textwidth]{sc-kleopatra-sign-OpenpgpPinentry_en}
2687
2688 This is required because:
2689 \begin{quote}
2690     \textbf{You can only sign with your own private key.}
2691 \end{quote}
2692 It makes sense, because only your own private key confirms your identity. The person you are corresponding with can then check your identity using your public certificate, which he already has or can obtain. Because only your private key matches your public certificate.
2693
2694 Confirm your passphrase entry with \Button{OK}. Your message is now signed and sent.
2695
2696 \T\ifthenelse{\boolean{DIN-A5}}{\newpage}{}
2697 Once your message has been signed successfully, the following dialog appears:
2698
2699 % screenshot: kleopatra sign successful
2700 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-sign-successful_de}
2701
2702 \textbf{Congratulations! You have encrypted your first \Email{}!}
2703
2704
2705 \clearpage
2706 \subsubsection{In short:}
2707 You have learnt how to \textbf{sign} an \Email{} using your own
2708 certificate -- which contains your private key. 
2709
2710 You know how to \textbf{encrypt} an \Email{} using the public
2711 certificate of the person you are writing to. 
2712
2713 Now you are familiar with the two most important techniques for
2714 sending secure \Email{}s: encryption and signatures.
2715
2716 Of course you can also combine the two techniques. From now on, eacht
2717 time you send an \Email{}, think about how you want to send it --
2718 depending on the importance and required level of protection for your
2719 \Email{}:
2720
2721 \begin{itemize}
2722     \item non-encrypted
2723
2724     \item encrypted
2725
2726     \item signed
2727
2728     \item signed and encrypted (more on this in Section~\ref{sec_encsig})
2729 \end{itemize}
2730
2731 You can use these four combinations with either OpenPGP or S/MIME.
2732
2733 \clearpage
2734 \section{Checking signatures with GpgOL}
2735 \index{Check!signature with GpgOL}
2736
2737 Let's assume you have received a signed \Email{} from the person you
2738 are corresponding with.
2739
2740 It is very easy to check this digital signature. All you need is the
2741 public OpenPGP or X.509 certificate of your correspondence partner.
2742 You should have already imported his public certificate into your
2743 certificate administration prior to performing this check (see
2744 Chapter~\ref{ch:importCertificate}). 
2745
2746 To check a signed OpenPGP or S/MIME \Email{}, proceed as you would for
2747 decrypting an \Email{} (see Chapter~\ref{ch:decrypt}):
2748
2749 Start Outlook and open a signed \Email{}. 
2750
2751 GpgOL will automatically transfer the \Email{} to Kleopatra for a
2752 signature check. Kleopatra will report the result in a status dialog,
2753 e.g.:
2754
2755 % screenshot: Kleopatra - successfully verify dialog
2756 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-verifySignedMail_en}
2757
2758 The signature check was successful! Now close to the dialog in order
2759 to read the signed \Email{}.
2760
2761 If you want to perform the check again manually, select
2762 \Menu{Extras$\rightarrow$Decrypt/Check GpgOL} in the menu of the
2763 open \Email{}. 
2764
2765 If the signature check is not successful, it means that the message
2766 was changed during the delivery process. Because of the technical
2767 nature of the Internet, it is possible that the \Email{} was
2768 unintentionally modified because of a defective transmission. That is
2769 probably the most likely cause. However, it can also mean that the
2770 text was changed intentionally.
2771
2772 Section~\ref{sec_brokenSignature} has information on how to proceed in
2773 such a case.
2774
2775 \clearpage
2776 \section{Reasons for a broken signature}
2777 \label{sec_brokenSignature}
2778 \index{Signature!broken}
2779
2780 There are several reasons for a broken signature: 
2781
2782 If you receive the message ``Bad signature'' or ``Check failed'', it
2783 is a warning that your \Email{} may have been manipulated! That means
2784 that it is possible that someone changed the \Email{}'s contents or
2785 the subject line. 
2786
2787 At the same time, a broken signature does not necessarily mean that
2788 the \Email{} was manipulated. It is also possible that the \Email{}
2789 was modified due to a defective transmission. 
2790
2791 In any case, you should always take a broken signature seriously and
2792 ask the sender to resend the \Email{}!\\
2793
2794 It is recommended that you set your program to only send \Email{}s in
2795 ``text'' format and \textbf{not} in ``HTML'' format. However, if you
2796 decide to use HTML for signed or encrypted \Email{}s, it is possible
2797 that formatting information will be lost by the time it reaches the
2798 recipient, which can result in a broken signature. 
2799
2800 In Outlook 2003 and 2007, you can set the message format to \Menu{Text
2801 only} in 
2802 %TODO correct english menu?
2803 \Menu{Extras$\rightarrow$Options$\rightarrow$E-Mail Format}.
2804
2805
2806 \clearpage
2807 \section{Encryption and signature}
2808 \label{sec_encsig}
2809 \index{E-mail!encrypt and sign}
2810
2811 You know: A message is usually encrypted using the public certificate
2812 of your correspondence partner, who then decrypts the \Email{} using
2813 his private key. 
2814
2815 The reverse possibility -- encryption with a private key -- does not
2816 make sense, since the whole world knows the associated public
2817 certificate and could then decrypt the message. 
2818
2819 However, as you have already seen in this chapter, there is still
2820 another method to create a file using your private key -- namely the
2821 signature. 
2822
2823 A digital signature confirms the author  -- because if someone
2824 successfully applies your public certificate to this file (the
2825 signature), this file could only have been encoded by your private
2826 key. And only you can have access to this key. 
2827
2828 You can combine both options, namely encrypting and signing the
2829 \Email{}:
2830
2831 \begin{enumerate}
2832     \item You \textbf{sign} the message with your own private key.
2833         This proves that you are the author.
2834     \item You then \textbf{encrypt} the text using the public
2835         certificate of the person you are correpsonding with.
2836 \end{enumerate}
2837
2838 This means that the message has two security characteristics:
2839
2840 \begin{enumerate}
2841     \item Your seal on the message: the signature with your private
2842         key.
2843     \item A solid outer envelope: encryption using the public
2844         certificate of the person you are corresponding with.
2845 \end{enumerate}
2846
2847 \T\ifthenelse{\boolean{DIN-A5}}{\newpage}{}
2848
2849 Your correspondence partner opens the outer strong envelope with his
2850 own private key. This ensures secrecy, because only this key can be
2851 used to decode the text. He reads the seal with your public
2852 certificate, which proves that you were the author, because if your
2853 public certificate matches, the seal (digital signature) can only have
2854 been encoded with your private key. 
2855
2856 It is pretty tricky when you think about it, but also very simple.
2857
2858
2859 \clearpage
2860 \chapter{Archiving \Email{}s in an encrypted form\htmlonly{\html{br}\html{br}}}
2861 \label{ch:archive}
2862 \index{E-mail!archive in encrypted form}
2863
2864 You should also archive your important -- and hence possibly encrypted
2865 -- \Email{}s in only one way: encrypted. 
2866
2867 Of course you can simply save a clear text version of your texts, but
2868 that is actually not required. If your message was supposed to be
2869 secret, it should not be stored on your computer in clear text.
2870 Therefore you should always store your encrypted sent \Email{}s in an
2871 \textit{encrypted} form!
2872
2873 You can probably already guess the problem: To decrypt your archived
2874 (sent) \Email{}s, you will need the private key of the recipient --
2875 and you don't or will ever have it ...
2876
2877 So what to do?  
2878
2879 Very easy: \textbf{You also encrypt to yourself!}
2880
2881 The message is encrypted once for the actual person you are writing to
2882 -- e.g. Adele -- and once more for you, using your own public
2883 certificate. This way, you can later make the  \Email{} legible using
2884 your own private key.
2885
2886 Gpg4win will automatically encrypt each encrypted message to your own
2887 certificate. To do this, Gpg4win uses your sender \Email{} address. If
2888 you have multiple certificates for an \Email{} address, you have to
2889 select the certificate to encrypt to during the encryption process.
2890
2891 \clearpage
2892 \subsubsection{In short:}
2893
2894 \begin{enumerate}
2895     \item You have encrypted an \Email{} using the public certificate
2896         of the person you are corresponding with, and used it to
2897         answer him.
2898     \item Kleopatra additionally encrypts your sent encrypted
2899         \Email{}s using your own public certificate, so that the
2900         messages remain legible for you.
2901 \end{enumerate}
2902
2903
2904 \vspace{1cm}
2905 \textbf{And that's it! At the end of the first part of this
2906 compendium, you have gained a lot of introductory knowledge about
2907 Gpg4win.}
2908
2909 \textbf{Welcome to the world of free and secure \Email{} encryption!}
2910
2911 For an even better understanding of how Gpg4win really works in the
2912 background, we recommend that you read the second part of the Gpg4win
2913 compendium. It contains even more interesting stuff!
2914
2915
2916 %
2917 % Part II
2918
2919 % page break in toc
2920 \addtocontents{toc}{\protect\newpage}
2921
2922 \clearpage
2923 \T\part{For Advanced Users}
2924 \W\part*{\textbf{II For Advanced Users}}
2925 \label{part:AdvancedUsers}
2926 \addtocontents{toc}{\protect\vspace{0.3cm}}
2927
2928
2929 \clearpage
2930 \chapter{Certificate details}
2931 \label{ch:CertificateDetails}
2932 \index{Certificate!details}
2933
2934 In Chapter~\ref{sec_finishKeyPairGeneration}, you have already seen
2935 the detailed dialog for the certificate you generated. It contains a
2936 lot of information about your certificate. The following section
2937 provides a more detailed overview of the most important points, with
2938 brief information on the differences between OpenPGP and X.509
2939 certificates, including:
2940
2941 \begin{itemize}
2942 \item user ID\index{Certificate!User ID}
2943 \item fingerprints
2944 \item key ID\index{Key!ID}
2945 \item validity\index{Certificate!validity}
2946 \item trust in certificate holders \textbf{(OpenPGP only)}
2947 \item authentications \textbf{(OpenPGP only)}
2948 \end{itemize}
2949
2950 \begin{description}
2951
2952 \item[The user ID ] consists of the name and \Email{} address which
2953     you entered during the certificate creation process, e.g. \\
2954     \Filename{Heinrich Heine <heinrich@gpg4win.de>}
2955
2956     For OpenPGP certificates, you can use Kleopatra to add additional
2957     user IDs to your certificate using the
2958     menu \Menu{Certificates$\rightarrow$Add user ID...} menu item.
2959     This makes sense if, for example, you wish to use the same
2960     certificate for another \Email{} address. 
2961     
2962     Please note: Kleopatra only allows you to add user IDs for OpenPGP
2963     certificates, but not X.509. 
2964
2965 \item[Fingerprints] are used to differentiate multiple certificates
2966     from each other. You can use fingerprints to look for (public)
2967     certificates, which are stored on a globally available OpenPGP
2968     certificate server (key server) or an X.509 certificate server. You can read more
2969     about certificate servers in the next chapter.
2970
2971 \item[The key ID] consists of the last eight characters of the
2972     fingerprint and fulfils the same function. While less characters
2973     make it easier to handle key IDs, they also increase the risk of
2974     multiple hits (different certificates with the same ID).
2975
2976 \item[The validity] of certificates describes the duration of their
2977     validity and their expiry date, if applicable.\index{Expiry date}
2978     
2979     In the case of OpenPGP certificates, the validity is usually set
2980     to \Menu{Indefinite} . You can change this in Kleopatra by
2981     clicking on \Button{Change expiry date} in the certificate details
2982     -- or select the \Menu{Certificates$\rightarrow$Change expiry
2983     date} and enter a new date. This means that you can declare the
2984     certificate valid for a limited time period, e.g. in order to
2985     issue it to outside employees.
2986     
2987     The validity of X.509 certificates is defined by the certificate
2988     authority when the certificate is issued, and cannot be changed by
2989     the user.
2990
2991 \clearpage
2992 \item[Trust in the certificate holder] \T\marginOpenpgp quantifies
2993     your own subjective confidence that the owner of the OpenPGP
2994     certificate is real (authentic) and that he will also correctly
2995     authenticate other OpenPGP certifictes. You set the trust with
2996     \Button{Change trust in certificate holder} in the certificate
2997     details, or via the menu\Menu{Certificates$\rightarrow$Change
2998     trust status} menu item.
2999
3000     The trust status is only relevant for OpenPGP certificates. No
3001     such method exists for X.509 certificates.
3002
3003 \item[Authentications] \T\marginOpenpgp of your OpenPGP certificate
3004     include the user IDs of those certificate holders who are
3005     convinced of the authenticity of your certificate and have thus
3006     authenticated it. Trust in the authenticity of your certificate
3007     increases with the number of authentications you receive from
3008     other users.
3009
3010     Authentications are only relevant to OpenPGP certificates. This
3011     type of trust mechanism does not exist for X.509 certificates.
3012
3013 \end{description}
3014
3015 \T\ifthenelse{\boolean{DIN-A5}}{\enlargethispage{2\baselineskip}}{}
3016 You do not necessarily have to know the certificate details to use
3017 Gpg4win on a daily basis, but they do become relevant when you want to
3018 receive or change new certificates.
3019
3020 You already learnt how to inspect and authenticate someone else's
3021 certificate and about the ``Web of Trust'' in Chapter~\ref{ch:trust}.
3022
3023
3024 \clearpage
3025 \chapter{The certificate server}
3026 \label{ch:keyserver}
3027 \index{Certificate server}
3028 \index{Key server|see{Certificate server}}
3029
3030 Section~\ref{sec_publishPerKeyserver} already provided a lot of information on how to use a certificate server to publish your public (OpenPGP or X.509) certificate. This section will take a closer look at certificate servers, and will show you how to use them with Kleopatra.
3031
3032 Key servers can be used by all programs that support the standards OpenPGP or X.509. Kleopatra supports both types, hence both OpenPGP as well as X.509 certificate servers.
3033
3034
3035 \T\ifthenelse{\boolean{DIN-A5}}{\newpage}{}
3036
3037 \begin{description}
3038
3039 \item[OpenPGP certificate servers]\T\marginOpenpgp
3040     \index{Certificate server!OpenPGP} (also called ``key server'') 
3041     are organized on a decentralised basis and synchronize each other
3042     on a global basis.  There are no current statistics about their
3043     number of how many OpenPGP certificates they contain. This shared
3044     network of OpenPGP certificate servers provides better
3045     availability and prevents individual system administrators from
3046     deleting certificates which would make secure communication
3047     impossible (``Denial of Service'' attack).\index{Denial of
3048     Service}
3049
3050     \htmlattributes*{img}{width=300}
3051     \IncludeImage[width=0.5\textwidth]{keyserver-world}
3052
3053 \item[X.509 certificate servers] \T\marginSmime
3054     \index{Certificate server!X.509} are generally made available by
3055     the certificate authorities via LDAP\index{LDAP} and are sometimes
3056     also described as directory services for X.509 certificates.
3057
3058 \end{description}
3059
3060
3061 \clearpage
3062 \section{Key server configuration}
3063 \label{configureCertificateServer}
3064 \index{Certificate server!set up}
3065
3066 Open the configuration dialog in Kleopatra:\\
3067 \Menu{Settings $\rightarrow$ Configure Kleopatra...}
3068
3069
3070 Now set up a new certificate server under the group \Menu{Directory Services}
3071 by clicking on the \Menu{New} button. Select between \Menu{OpenPGP} or
3072 \Menu{X.509}.
3073
3074 In \Menu{OpenPGP}, a default OpenPGP certificate server with the server
3075 address \Filename{hkp://keys.gnupg.net} (Port: 11371, Protokoll: hkp)
3076 will be added to the list. You can use this server without making any
3077 changes -- or you can use one of the suggested OpenPGP server
3078 addresses on the next page.
3079
3080 For \Menu{X.509} you will see the following default settings for an
3081 X.509 certificate server: (Protokoll: ldap, Servername: server, Server-Port:
3082 389).  Complete the information on the server name and basic DN of
3083 your X.509 certificate server and check the server port. 
3084
3085 If your certificate server requires a user name and password, activate
3086 the option \Menu{Requires user authentication} and enter the required
3087 information.
3088
3089
3090 \T\ifthenelse{\boolean{DIN-A5}}{\newpage}{}
3091 The screenshot below shows a configured OpenPGP certificate server:
3092
3093 % screenshot: Kleopatra OpenPGP certificate server config dialog
3094 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-configureKeyserver_en}
3095
3096 Confirm the configuration by pressing \Button{OK}. You have
3097 successfully configured your certificate server.
3098
3099 To ensure that you have correctly configured the certificate server, it is
3100 helpful to start e.g. a certificate search on the server (for
3101 instructions, see
3102 Section~\ref{searchAndImportCertificateFromServer}).
3103
3104 \newpage
3105 \textbf{Proxy setting:}\index{Proxy} 
3106 If you use a proxy in your network, you need to configure it
3107 in the file:\\
3108 \Filename{\%APPDATA\%\back{}gnupg\back{}gpg.conf}\\
3109 To enable the proxy add a new line with the content:\\
3110 \Filename{keyserver-options http-proxy=<proxy-adresse>}
3111
3112 Explanations regarding the system-wide configuration of X.509 key
3113 servers can be found in  Section~\ref{x509CertificateServers}.
3114
3115
3116 \subsubsection{OpenPGP certificate server addresses}
3117
3118 \T\marginOpenpgp
3119 We recommend that you only use up-to-date OpenPGP certificate servers,
3120 since only they can handle the newer OpenPGP characteristics. 
3121
3122 Here is a selection of well-functioning certificate servers:
3123 \begin{itemize}
3124 \item hkp://blackhole.pca.dfn.de
3125 \item hkp://pks.gpg.cz
3126 \item hkp://pgp.cns.ualberta.ca
3127 \item hkp://minsky.surfnet.nl
3128 \item hkp://keyserver.ubuntu.com
3129 \item hkp://keyserver.pramberger.at
3130 \item http://keyserver.pramberger.at
3131 \item http://gpg-keyserver.de
3132 \end{itemize}
3133
3134 If you have problems with your firewall, it is best to try certificate
3135 servers whose URL begins with: \Filename{http://}
3136
3137 The certificate servers under the addresses
3138
3139 \begin{itemize}
3140     \item hkp://keys.gnupg.net (Kleopatra pre-selection, see screenshot on previous page)
3141     \item hkp://subkeys.pgp.net
3142 \end{itemize}
3143 are a collection point for an entire network of these servers; a
3144 concrete server will be selected randomly. 
3145
3146 \textbf{Attention:} Do not use \Filename{ldap://keyserver.pgp.com} as
3147 a certificate server, since it does synchronize with other servers (Status:
3148 May 2010).
3149
3150 \clearpage
3151 \section{Search and import certificates from certificate servers}
3152 \label{searchAndImportCertificateFromServer}
3153 \index{Certificate server!search for certificates}
3154 \index{Certificate!import}
3155
3156 Once you have configured at least one certificate server, you can now look for
3157 and import certificates.
3158
3159 To do this, in Kleopatra click on \Menu{File$\rightarrow$Search for
3160 certificates on server...}.
3161
3162 You will see a search dialog with an input field into which you can
3163 enter the name of the certificate holder -- or ideally -- the \Email{}
3164 address of his certificate.
3165
3166
3167 % screenshot: Kleopatra certification search dialog
3168 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-certificateSearchOnKeyserver_en}
3169
3170 To view the details of a selected certificate, click on the button
3171 \Button{Details...}.
3172
3173 If you wish to add one of the certificates you have found into your
3174 local certificate collection, select the certificate from a list of
3175 search results and click on \Button{Import}.
3176
3177 Kleopatra will subsequently display a dialog with the import results.
3178 Confirm with \Button{OK}.
3179
3180 If the import was successful, you will see the selected certificate in
3181 Kleopatra's certificate administration.
3182
3183
3184 \section{Export certificates to OpenPGP certificate servers}
3185 \index{Certificate!export}
3186
3187 \T\marginOpenpgp
3188 If you have configured an OpenPGP certificate server as described in
3189 Section \ref{configureCertificateServer}, a click of your mouse will
3190 send your public OpenPGP certificate around the world.  
3191         
3192 Select your OpenPGP certificate in Kleopatra and then click on the
3193 menu item \Menu{File$\rightarrow$Export certificate to server...}.
3194
3195 You only need to send your certificate to any of the available OpenPGP
3196 certificate servers, since almost all of these will synchronize on a
3197 global level. It may take one to two days until your OpenPGP
3198 certificate is actually available worldwide, but then you will have a
3199 ``global" certificate.
3200
3201 If you export your certificate without first having configured an
3202 OpenPGP certificate server, Kleopatra will suggest the default server
3203 \Filename{hkp://keys.gnupg.net}.
3204
3205
3206
3207 \clearpage
3208 \chapter{Encrypting file attachments}
3209 \index{Encrypting file attachments}
3210
3211 If you want to send an encrypted \Email{} and attach files, you
3212 generally also want your attachments to be encrypted.
3213
3214 Where GnuPG is well integrated into your \Email{} program, attachments
3215 should be treated just like the actual text of your \Email{}, hence
3216 they should be signed, encrypted or both.
3217
3218 \textbf{GpgOL automatically assumes the encryption and signing of
3219 attachments.}
3220
3221 In the case of encryption tools that are not as well integrated into
3222 an \Email{} program, you have to be careful: Attachments are often
3223 sent along in uncrypted form.
3224
3225 What to do in such a case?  Easy: you encrypt the attachment
3226 separately and then attach it to the \Email{}. Therefore this is no
3227 different from simply encrypting files, as described in
3228 Chapter~\ref{ch:EncFiles}.
3229
3230
3231 \clearpage
3232 \chapter{Signing and encrypting files}
3233 \label{ch:EncFiles}
3234 \index{GpgEX}
3235
3236 You can use Gpg4win for signing and encrypting not just \Email{}s, but
3237 also individual files. The principle is the same: 
3238
3239 \begin{itemize}
3240   \item You \textbf{sign} a file using your private certificate, to
3241       ensure that the file cannot be modified. 
3242
3243   \item Then \textbf{encrypt} the file using a public certificate, to
3244       prevent unauthorized persons from seeing it. 
3245 \end{itemize}
3246
3247 Using the application \textbf{GpgEX}, you can sign or encrypt files
3248 out of Windows Explorer -- with both OpenPGP or S/MIME.  This chapter
3249 shows you exactly how this works.
3250
3251 If you are sending a file as an \Email{} attachment, e.g. GpgOL will
3252 automatically look after signing and encrypting your file together
3253 with your \Email{}.  You do not have to do anything else. 
3254
3255 \clearpage
3256 \section{Signing and checking files}
3257 \label{sec_signFile}
3258 \index{File!sign}
3259
3260 When signing a file, you are mainly concerned about making sure it is
3261 not changed, rather than keeping it secret (Integrity).
3262 \index{Integrity}
3263
3264 Signing is very easy using \textbf{GpgEX} from the Windows Explorer
3265 context menu.  Select one or more files or folders and use the right
3266 mouse key to select the context menu: 
3267
3268 % screenshot GpgEX contextmenu sign/encrypt
3269 \IncludeImage[width=0.3\textwidth]{sc-gpgex-contextmenu-signEncrypt_en}
3270
3271 You will see the \Menu{Sign and encrypt} menu.
3272
3273 \clearpage
3274 In the following window, select the option \Menu{Sign}:
3275
3276 % screenshot sign file, step 1
3277 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-signFile1_en}
3278
3279 If required, you can also use the option  \Menu{Output as text (ASCII
3280 armor\index{ASCII armor})}.  The signature file will receive the file
3281 ending \Filename{.asc} (OpenPGP) or  \Filename{.pem} (S/MIME).  These
3282 file types can be opened with any text editor -- you will however only
3283 see the numbers and letters you have already seen before. 
3284
3285 If this option is not selected, the signature will be created with the
3286 ending \Filename{.sig} (OpenPGP) or \Filename{.p7s} (S/MIME).  These
3287 files are binary files, and they cannot be viewed in a text editor.
3288
3289 Then click on \Button{Next}.
3290
3291 \clearpage
3292 In the following dialog -- if not already selected by default --
3293 select your private (OpenPGP or S/MIME) certificate with which you
3294 want to sign the file.
3295
3296 % screenshot sign file, step 2: choose sign certificates
3297 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-signFile2_en}
3298
3299 Now confirm your selection with \Button{Sign}.
3300
3301 Enter your passphrase in the pin entry dialog.
3302
3303 \clearpage
3304 Once the signing process has completed successfully, the following
3305 window appears:
3306
3307 % screenshot sign file, step 3: finish
3308 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-signFile3_en}
3309
3310 You have now successfully signed the file.
3311
3312 A ``separate'' signature is always used to sign a file. That means
3313 that your file that is to be signed will remain unchanged and a second
3314 file with the actual signature will be created. To verify the
3315 signature later on, you will need both files.
3316
3317 The example below shows which new file you will receive if you sign
3318 your selected file (here \Filename{<dateiname>.txt}) using OpenPGP or
3319 S/MIME. There are four possible resulting file types:
3320
3321 \T\ifthenelse{\boolean{DIN-A5}}{\enlargethispage{2\baselineskip}}{}
3322
3323 \begin{description}
3324     \item[OpenPGP:]~\\
3325     \Filename{<filename>.txt $\rightarrow$ <filename>.txt\textbf{.sig}}\\
3326     \Filename{<filename>.txt $\rightarrow$ <filename>.txt\textbf{.asc}}
3327     ~ \small (output as text/ASCII-armor)
3328     \normalsize
3329
3330     \item[S/MIME:]~\\
3331     \Filename{<filename>.txt $\rightarrow$ <filename>.txt\textbf{.p7s}}\\
3332     \Filename{<filename>.txt $\rightarrow$ <filename>.txt\textbf{.pem}}
3333     ~ \small{ (output as text/ASCII-armor)}
3334     \normalsize
3335 \end{description}
3336
3337 \clearpage
3338 \subsubsection{Checking a signature}
3339 \index{File!check signature}
3340
3341 Now check the integrity of the file that has just been signed, i.e.
3342 check that it is correct! 
3343
3344 To check for integrity and authenticity, the signature file -- hence
3345 the file with the ending \Filename{.sig}, \Filename{.asc},
3346 \Filename{.p7s} or \Filename{.pem} -- and the signed original file
3347 (original file) must be in the same file folder.  Select the signature
3348 file and select the entry \Menu{Decrypt and check} from the Windows
3349 Explorer context menu:
3350
3351 % screenshot GpgEX contextmenu verifiy/decrypt
3352 \IncludeImage[width=0.3\textwidth]{sc-gpgex-contextmenu-verifyDecrypt_en}
3353
3354 \clearpage
3355 You will see the following window:
3356
3357 % screenshot kleopatra verify file, step 1
3358 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-verifyFile1_en}
3359
3360 Under \Menu{Enter file}, Kleopatra shows the full path to your
3361 selected signature file.
3362
3363 The option \Menu{Input file is a separate signature} is activated
3364 since you have signed your original file (here: \Menu{Signed file})
3365 with the input file.  Kleopatra will automatically find the associated
3366 signed original file in the same file folder.
3367
3368 The same path is also automatically selected for the \Menu{Ouput
3369 folder}. It only becomes relevant however once you are processing more
3370 than one file simultaneously.
3371
3372 Confirm the operations with \Button{Decrypt/Check}.
3373
3374 \clearpage
3375 Following a successful check of the signature, the following window appears:
3376
3377 % screenshot kleopatra verify file, step 2
3378 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-verifyFile2_en}
3379
3380 The result shows that the signature is correct -- therefore you can be
3381 sure that the file's integrity has been preserved and therefore the
3382 file has \textbf{not} been modified.
3383
3384 \clearpage
3385 Even if only one character is added to the original file, or is deleted or modified, the signature will be shown as having been broken
3386 (Kleopatra displays the result as a red warning):
3387
3388 % screenshot kleopatra verify file, step 2a (bad signature)
3389 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-verifyFile2a-badSignature_en}
3390
3391
3392 \clearpage
3393 \section{Encrypting and decrypting files}
3394 \index{File!encrypt}
3395
3396 Files can be signed and encrypted just like \Email{}s. You should
3397 practice it once more in the following section using GpgEX and
3398 Kleopatra.
3399
3400 Select one (or more) file(s) and open the context menu using your
3401 right mouse key:
3402
3403
3404 % screenshot GpgEX contextmenu sign/encrypt
3405 \IncludeImage[width=0.3\textwidth]{sc-gpgex-contextmenu-signEncrypt_en}
3406
3407 Select \Menu{Sign and encrypt} again.
3408
3409 \clearpage
3410 You will see the already familiar dialog from signing a file (see also 
3411 section~\ref{sec_signFile}).
3412
3413 In the top field, select the option \Menu{Encrypt}:
3414
3415 % screenshot kleopatra encrypt file, step 1
3416 \IncludeImage[width=0.85\textwidth]{sc-kleopatra-encryptFile1_en}
3417
3418 \T\ifthenelse{\boolean{DIN-A5}}{\enlargethispage{2\baselineskip}}{}
3419
3420 You should only change the encryption settings if this is required:
3421 \begin{description}
3422     \item[Output as text (ASCII armor\index{ASCII armor}):] When you
3423         activate this option, you will obtain the encrypted file with
3424         the file ending \Filename{.asc} (OpenPGP) or \Filename{.pem}
3425         (S/MIME).  These file types can be opened with any text editor
3426         -- but you will only see the mixture of letters and characters