15.02.2015
OTR ist ein offener Standard für einen Krypto-Layer für mehrere Chat-Protokolle. Er steht direkt oder über Zusatzsoftware (Plugins) für mehrere Clients zur Verfügung. Neben den Grundfunktionen Verschlüsselung und Authentifizierung bietet OTR – dem Namen entsprechend – plausible deniability, außerdem perfect forward secrecy (PFS).
OTR steht für Off-the-Record Messaging. Es dürfte der meistgenutzte Krypto-Aufsatz für XMPP sein. Es besteht kein direkter Zusammenhang zwischen OpenPGP bzw. E-Mail-Verschlüsselung im Allgemeinen und OTR. Es ist Bestandteil dieses Glossars, weil der Betreiber dieser Website empfiehlt, den Teilnehmern von OpenPGP-Schulungen auch XMPP-OTR zu installieren.
OTR ist ein einfaches Protokoll; das gilt auch für die bisherigen Implementierungen. So lassen sich die Funktionen plausible deniability und perfect forward secrecy nicht abschalten, obwohl sie nicht immer benötigt werden und durchaus auch störend sein können. Das Plugin für Pidgin sowie die integrierte OTR-Unterstützung von Adium (der allerdings nicht besonders ähnlichen Mac-Version von Pidgin) erlauben nicht die Nutzung desselben Schlüssels für mehrere Adressen (im Gegensatz zu OpenPGP), obwohl technisch nichts dagegen spricht. Es gibt auch keine Funktion zum Export und Import von Schlüsseln. Die Nutzung desselben Schlüssels auf mehreren Geräten wird dadurch erschwert.
Die Nutzung von OTR ist extrem einfach: Man muss keinerlei Einstellungen vornehmen, der Schlüssel wird automatisch erzeugt. Bei Pidgin ist die Voreinstellung, dass automatisch getestet wird, ob der Gesprächspartner OTR unterstützt. Schlüssel können über den Fingerprint oder ein gemeinsames Geheimnis verifiziert werden. Letzteres ist sehr viel sicherer, als man im allgemeinen vermuten würde, weil OTR dafür das socialist millionaire protocol verwendet.
Neben dem Zwang zu plausible deniability und perfect forward secrecy ist die fehlende Unterstützung von Gruppenchats die größte Einschränkung von OTR, weswegen es bisher keine vollwertige Alternative zu anderen verschlüsselten Chatsystemen ist.