CrypClip und GnuPG setzen denselben Standard um — OpenPGP — mit denselben Chiffren. Eine im einen verschlüsselte Nachricht entschlüsselt sich im anderen. Der Vergleich dreht sich also nicht um kryptografische Stärke, sondern um Schlüsselverwaltung, Angriffsfläche und darum, wer am anderen Ende sitzt. GnuPG ist das mächtigere Werkzeug, und für etliche Anwendungsfälle schlicht die richtige Antwort.
Gegenüberstellung
| CrypClip | GnuPG (CLI) | |
|---|---|---|
| Standard | OpenPGP | OpenPGP |
| Symmetrische Chiffre | AES-256 | AES-256 (konfigurierbar) |
| Installation | Keine | Erforderlich |
| Schlüsselverwaltung | Keine | Vollständiger Schlüsselbund, Vertrauensmodell, Ablauf |
| Signieren / Prüfen | Nein | Ja |
| Empfänger braucht Einrichtung | Nein | Meistens ja |
| Funktioniert offline | Ja, einmal geladen | Ja |
| Code je Nutzung geladen | Ja (beim Seitenaufruf) | Nein (einmal installiert) |
| Skript- / automatisierbar | Nein | Ja |
| Auditiert | Nutzt OpenPGP.js | Ja, umfassend |
Wo GnuPG schlicht besser ist
Identität über die Zeit
PGP wurde um langlebige Schlüsselpaare, Signaturen, Ablaufdaten und ein Vertrauensmodell herum entworfen. GnuPG setzt all das um. CrypClip setzt nichts davon um — es gibt keinen Schlüsselbund, und zwischen Sitzungen bleibt nichts erhalten. Wenn Sie Korrespondenten über Jahre verwalten statt heute eine Nachricht zu senden, ist das keine knappe Entscheidung.
Authentizität
Verschlüsselung belegt, dass nur die vorgesehene Empfängerin eine Nachricht lesen kann. Über den Verfasser sagt sie nichts. GnuPG kann signieren, sodass die Empfängerin den Absender prüfen kann; CrypClip nicht. Wäre eine gefälschte Nachricht ebenso schädlich wie eine abgefangene, brauchen Sie Signaturen.
Vertrauen in die Auslieferung des Codes
Das ist der wichtigste strukturelle Unterschied. GnuPG wird einmal installiert und kann einmal geprüft werden. Ein Web-Werkzeug liefert seinen Code bei jedem Besuch neu aus, ein kompromittierter Host oder eine bösartige Browser-Erweiterung könnte also grundsätzlich veränderten Code ausliefern. Dieses Risiko ist real, und bei installierter Software besteht es nicht.
Automatisierung
Skripte, Pipelines, Stapelverarbeitung, Hardware-Token. Alles GnuPG, nichts davon CrypClip.
Wo ein Browser-Werkzeug gewinnt
Die Empfängerin hat kein GnuPG
Das ist das ganze Argument, und es wiegt schwerer, als es klingt. Verschlüsselung mit öffentlichen Schlüsseln setzt voraus, dass die andere Seite ein Schlüsselpaar hat. Die meisten haben keines, und jemanden zu bitten, GnuPG zu installieren und eines zu erzeugen, damit Sie heute ein Passwort senden können, endet gewöhnlich damit, dass das Passwort stattdessen im Klartext verschickt wird.
Ein Werkzeug, das beide Seiten im Browser nutzen können, konkurriert nicht mit einer gut geführten GnuPG-Einrichtung. Es konkurriert damit, die Sache unverschlüsselt zu senden — und das ist die realistische Alternative.
Nichts einzurichten, nichts falsch zu machen
Die Flexibilität von GnuPG ist zugleich eine Quelle von Fehlkonfiguration. Es gibt eine lange Geschichte von Menschen, die es leicht falsch verwenden. Ein Werkzeug, das eine Sache tut, lässt sich auf weniger Arten falsch bedienen.
Überprüfbarkeit durch Hinsehen
Die Behauptungen eines Web-Werkzeugs können Sie in etwa einer Minute prüfen: Netzwerk-Tab öffnen und etwas verschlüsseln, oder das Netzwerkkabel ziehen und bestätigen, dass es weiterhin funktioniert. CrypClip wird unkomprimiert ausgeliefert, damit das JavaScript tatsächlich lesbar ist. Das ist eine andere Art von Sicherheit als ein signiertes Release — in mancher Hinsicht schwächer, in anderer unmittelbarer.
Entscheiden Sie nach Bedrohungsmodell, nicht nach Funktionsliste
Der ehrliche Weg zur Entscheidung ist die Frage, vor wem Sie die Nachricht schützen.
Ein passiver Mitleser — der Mail-Anbieter, die Chat-Plattform, jemand mit Zugriff auf ein gemeinsames Postfach, ein Angreifer, der später bei einem Dienst einbricht. Damit kommt ein Browser-Werkzeug gut zurecht. Für sie alle ist die Nachricht undurchsichtig.
Ein Gegner, der es gezielt auf Sie abgesehen haben könnte — jemand, der einen Webhost kompromittieren, verändertes JavaScript ausliefern oder Ihr Gerät erreichen kann. Hier zählt die Auslieferung je Nutzung, und installierte, geprüfte Software ist die bessere Grundlage. Nehmen Sie GnuPG.
Die meisten Menschen sind meistens im ersten Fall. Manche sind wirklich im zweiten, und sie sollten sich davon nicht durch eine Vergleichstabelle abbringen lassen.
Sie arbeiten zusammen, es ist also kein Entweder-oder
Da beide OpenPGP sprechen, können Sie in CrypClip verschlüsseln und in GnuPG entschlüsseln — oder umgekehrt. Haben Sie bereits ein Schlüsselpaar, fügen Sie den öffentlichen Schlüssel Ihres Gegenübers in die Erweiterten Optionen von CrypClip ein und verschlüsseln direkt darauf, ganz ohne geteiltes Passwort.
Diesen Hin-und-Rück-Test gegen GnuPG durchzuführen ist zugleich die überzeugendste Art zu bestätigen, dass CrypClip echtes OpenPGP macht und nichts Selbstgebautes. Wir empfehlen ihn: so prüfen Sie es selbst.