Secure Messaging. Stephan Wappler Service Manager IT Security. passt zu Ihnen?

Transkript

1 Secure Messaging Stephan Wappler Service Manager IT Security Welche Lösung passt zu Ihnen? IHK Nord Westfalen,,

2 Noventum Profil im Thema Security Security Kernkompetenz im Thema Secure Messaging, Webmailserver und Prozessgestaltung (ITIL) Produktunabhängige Security-Beratung, Produktauswahl, Konzepterstellung und Lösungsimplementierung Seit 1997 in vielen Security-Projekten tätig, z.b. bei O 2, LBS West, WestLB, Sparkassen Informatik, Winkhaus, Bischof&Klein etc. Organisiert in TeleTrusT Deutschland e.v. und in The Open Group, leistet erhebliche Innovationsbeiträge Kernmitglied der AG7-Machbarkeitsstudie Sicherer -Austausch über externe Mailinglisten des von The Boeing Company initiierten Innovationsprojektes im Thema Secure Messaging des von der EU geförderten Innovationsprojektes im Thema Security in Breitbandnetzen Ganzheitliche Kompetenz durch vielseitiges Beratungsportfolio Zertifizierte Beratungskompetenz durch ISO, GPM/IPMA und TüV (ITIL)

3 Agenda Einleitung in die Thematik Zu-Ende-Verschlüsselung -Gateway Lösungen Was ist noch zu beachten? Zusammenfassung

4 Wichtige Anlässe, sich mit Secure Messaging zu beschäftigen Eine Bestandsaufnahme: 1. Virenverdacht gefälschte Absenderadressen 2. Absicherung des ( -) Datenaustauschs mit externen Partnern 3. Standards für Zulieferer ISO Audit 4. Elektronischer Rechnungsversand 5. Absicherung des internen elektronischen Workflow 6. Gesetzlicher Rahmen

5 Einleitung - Herausforderung verschlüsselung Was ist, wenn verschlüsselung eine Geschäftsanforderung bzw. Voraussetzung ist, aber PGP und manueller Schlüsselaustausch zu komplex und zu teuer für die Administration des Unternehmens sind? Proprietäre Herstellerlösungen nur mit Schwierigkeiten interoperabel bzw. teuer im Einsatz für das Unternehmen und alle seine Geschäftspartner sind? Dann wird eine verschlüsselung benötigt, die einen stark verschlüsselten -Austausch unter Nutzung einer standardbasierten, herstellerneutralen Architektur ermöglicht. die existierend existierende systeme, Verzeichnisdienste und Public Key Infrastruktur (PKI) Komponenten nutzt.

6 Eine Lösung für verschlüsselung Public Key Infrastruktur (PKI) und Certification Practice Statement (CPS) um eine zertifikatsbasierte Vertrauensbeziehung zwischen den Organisationen zu etablieren X. 509 v3 Zertifikate zur gesicherten Übertragung des symmetrischen Schlüssels für starke Verschlüsselung von 128-Bit oder höher Ausgestellte Zertifikate werden in einem Standard LDAPv3 Verzeichnisdienst veröffentlicht Echtzeitanfragen nachdem Zertifikat des empfängers für die E- Mailverschlüsselung Für die Verschlüsselung und den Transport von s werden die Internetstandards S/MIME und SMTP angewendet

7 Architektur - Übersicht

8 Zu-Ende-Verschlüsselung

9 Standard Lösungen Ende/Site zu Ende Sicherheit Einsatz von Standardclients (z.b. Outlook, Netscape, Lotus Notes...) Ent- und Verschlüsselung findet auf dem Client statt Signaturen werden auf dem Client ausgestellt Für jeden teilnehmenden User wird mindestens ein Zertifikat benötigt Verteilung der CA Zertifikate teilnehmenden Unternehmen muss über die beteiligten Clients organisiert werden. Wird kein LDAP-Proxy oder zentral administrierter Verzeichnisdienst eingesetzt, dann müssen die Verzeichnisdienstinformationen der teilnehmenden Unternehmen an die Clients verteilt werden.

10 Standardnetzwerk SD

11 Standardnetzwerk und verschlüsselte s SD

12 Vorteile der Standardlösung Vorteile Kostengünstige Lösung, d.h. ohne Investition in Zusatzsoftware realisierbar Schnelle Realisierung möglich.

13 Nachteile der Standardlösung Nachteile Kein zentrales Contentfiltering und kein mehrstufiges Antivirenkonzept möglich. Probleme bei der Weiterleitung von verschlüsselten s unter Nutzung von Unified Messaging Solutions. Die Stellvertreterregelung erfordert eine gute organisatorische Planung. Letzte Bastion ist der Desktop/Laptop des Users. Für jeden User ist mindestens ein Zertifikat notwendig. Verteilung der teilnehmenden Partner CA Zertifikate ist notwendig. Verteilung der Verzeichnisdienstinformationen der teilnehmenden Partner an alle teilnehmenden Clients ist notwendig.

14 -Gateway Lösungen

15 Mögliche Secure Gateway - Lösungen Ende/Site zu Ende Sicherheit Entschlüsselung mit Userinteraktion Lösung A Entschlüsselung ohne Userinteraktion Lösung B Ende/Site zu Site Sicherheit Zentrale Entschlüsselung und digitale Signatur mit einem Unternehmenszertifikat Lösung C

16 Secure Gateway Lösung A (1/4) Funktionsweise Verschlüsselte wird an einem speziellem Gateway gespeichert. Header der mit symmetrischen Schlüssel wird an Empfänger weitergleitet. Empfänger entschlüsselt den symmetrischen Schlüssel und verschlüsselt ihn an das Gateway erneut. Das Gateway entschlüsselt den symmetrischen Schlüssel und kann somit die E- Mail entschlüsseln. Das Gateway führt das Contentfiltering und Virusscanning in einer Blackbox durch. Wenn der Status OK ist, wird die an den Empfänger weitergeleitet und erst auf dem Desktop/Laptop des Users wieder entschlüsselt.

17 Secure Gateway Lösung A (2/4) SD

18 Secure Gateway Lösung A (3/4) Vorteile Virusscanning und Contentfiltering sind möglich. Zweistufiges Virenkonzept kann realisiert werden.

19 Secure Gateway Lösung A (4/4) Nachteile Proprietäre Lösung Verteilung Client Plug-Ins für die Interaktion mit Gateway ist notwendig Investition für Plug-Ins und Gateway notwendig Probleme bei der Weiterleitung von verschlüsselten s bei Nutzung von Unified Messaging Solutions. Die Stellvertreterregelung erfordert eine gute organisatorische Planung Angriffspunkte sind das Gateway und die Datenübertragung zwischen Client und Gateway Für jeden User ist mindestens ein Zertifikat notwendig. Verteilung der teilnehmenden Partner CA Zertifikate notwendig. Verteilung der Verzeichnisdienstinformationen der teilnehmenden Partner über alle Clients ist eventuell notwendig.

20 Secure Gateway Lösung B (1/4) Funktionsweise Die privaten Schlüssel der empfänger werden in einer gesicherten Umgebung des Gateway bzw. zentral im Netzwerk gespeichert. Verschlüsselte wird am Gateway entschlüsselt und Contentfiltering und Virusscanning in einer Blackbox ausgeführt. Wenn der Status OK ist, wird die an den Empfänger weitergeleitet. Wird die verschlüsselt weitergeleitet, dann wird sie erst auf dem Desktop/Laptop des Users wieder entschlüsselt. Die kann auch unverschlüsselt weitergeleitet werden.

21 Secure Gateway Lösung B (2/4) SD

22 Secure Gateway Lösung B (3/4) Vorteile Virusscanning und Contentfiltering sind möglich. Zweistufiges Virenkonzept kann realisiert werden. Dreistufiges Virenkonzept (unverschlüsselte Weiterleitung der s) kann realisiert werden. Unified Messaging Solutions werden nicht behindert. Vertreterregelung kann realisiert werden.

23 Secure Gateway Lösung B (4/4) Nachteile Speicherung der privaten Schlüssel an zentralen Punkt --> Angriffspunkt. Einsatz von auf Smart Cards / USB Token generierten und gespeicherten privaten Schlüsseln zur verschlüsselung nicht möglich (nicht auslesbar). Gateway muss installiert werden - Investition Absender und Mitarbeiter sollten über den Einsatz der Technik informiert werden. Für jeden User mindestens ein Zertifikat notwendig Verteilung der teilnehmenden Partner CA Zertifikate notwendig. Verteilung der Verzeichnisdienstinformationen der teilnehmenden Partner über alle Clients ist eventuell notwendig.

24 Secure Gateway Lösung C (1/4) Funktionsweise Absender verschlüsselt die an den Empfänger unter Nutzung eines Unternehmenszertifikates des Empfängers. Verschlüsselte wird am Gateway entschlüsselt und Contentfiltering und Virusscanning können ausgeführt werden. Wenn der Status OK ist, wird die an den Empfänger unverschlüsselt weitergeleitet. s können zentral bzw. dezentral verschlüsselt und/oder signiert werden. Am Gateway kann ein umfangreiches Regelwerk für den Umgang mit s (verschlüsseln, signieren, Entfernen von Signaturen, Überprüfung von Signaturen, usw.) definiert werden.

25 Secure Gateway Lösung C (2/4) SD

26 Secure Gateway Lösung C (3/4) Vorteile Virusscanning und Contentfiltering sind möglich. Dreistufiges Virenkonzept (unverschlüsselte Weiterleitung der s) ist möglich. Definition eines umfangreichen Regelwerks ist möglich. Nur ein Unternehmenszertifikat ist notwendig. Alle ausgehenden s können mit einer Unternehmenssignatur versehen werden. Zentraler Administrationspunkt für Partner CA Zertifikate und Verzeichnisdienstinformationen (zentrale Verschlüsselung)

27 Secure Gateway Lösung C (4/4) Nachteile Einsatz von auf Smart Cards / USB Token generierten und gespeicherten privaten Schlüsseln für verschlüsslung nicht möglich. s werden vom Gateway zum server und von dort zum Desktop/Laptop unverschlüsselt übertragen. Probleme bei der Adressierung von s an den Empfänger sind bekannt. Schulung der Sender zur korrekten Verwendung des Gateways notwendig. Keine fortgeschrittenen oder qualifizierte Signaturen mit dem Gateway möglich. Gateway muss angeschafft werden Investition

28 Was ist noch zu beachten?

29 Common Practices Die Betrachtung der rechtlichen, politischen und geschäftlichen Aspekte sind für den Erfolg genauso wichtig, wie die technische Implementierung.

30 Best Practices Wie kann sichergestellt werden, dass der öffentliche Schlüssel aktuell zum zukünftigen Empfänger gelangt? Certificate Policies Certification Practice Statement Woher kann man wissen, dass der Empfänger die Infrastruktur und die verschlüsselten Dokumente schützen wird? Relying Party Agreement Bei einer großen Anzahl von Partnern sind eine Vielzahl von Bilateralen Abkommen möglich. Ist dies praktikabel? Multi-laterale Abkommen und Akzeptanz von Best Practices

31 Implementierungs- und Betriebskosten Die Kosten gliedern sich in Projekteinführungskosten inklusive Software (einmalig) Wartungskosten und Kosten für Zertifikate (jährlich) Betriebskosten für die Betreuung und Pflege der Systeme (jährlich) Die Kosten sind abhängig von Der gewählten Sicherheitsarchitektur und den ausgewählten Produkten Redundanzen Gateway-Protection Anzahl der User (z.b. 100, 400, 750, 2.000, 3.500, ) PKI Public-Root (Root-Zertifikat ist in den gebräuchlichen Clients enthalten) Private-Root (Root-Zertifikat ist nicht in den gebräuchlichen Clients enthalten) Full-Service Self-Managed

32 Beispiel-Kosten für noventum consulting (max. 100 User) -Gateway Trust Center Public Root Self Managed Eigene PKI Private Root Self Managed Anschaffungskosten Installationskosten (noventum intern) noventum Organisation Summe Anschaffungskosten Wartungsvertrag Software bzw. Zertifikatskosten pro Jahr noventum interne Betriebskosten Sehr gering Summe jährliche Kosten

33 Zusammenfassung I Einsatz von auf Standards basierenden Lösungen sind empfehlenswert. Einsatz von kommerzieller Software bzw. Open Source Produkten. Es gibt für (fast) jeden Anwendungsfall eine Lösung. Die Betrachtung der Organisation und der rechtlichen Aspekte sind für die erfolgreiche Nutzung von entscheidender Bedeutung.

34 Zusammenfassung II Voraussetzung Technik system: S/MIME Client/Gateway: S/MIME, LDAPv3, X.509v3 Zertifikate X.509v3 Zertifikate: eigene CA oder Trustcenter Zertifikatsrepository: LDAPv3 Schnittstelle LDAPv3 und HTTP(s) Schnittstelle ins Internet Bereitstellung von CRLs via HTTP Optional: OCSP Server, LDAP Directory, OCSP Client

35 Zusammenfassung III Voraussetzung Organisation Einsatz von Kryptographie benötigt Policies und Richtlinien für Klassifizierung von Daten Umgang mit Daten und Datentransfer Virenschutz Einsatz von PKI CP und CPS Konzepte für Contentfiltering Zertifikats- und Schlüsselmanagement Access Daten Verwaltung für Verzeichnis- und Validierungsdienste Akzeptanz von Best Practices Relying Party Agreements Multilateral Agreements Eventuell Zustimmung von Geschäftsleitung Datenschutzbeauftragten Betriebsrat Mitarbeiter Beachtung rechtlicher Aspekte Digitaler Signatur Verschlüsselung

36 Kontaktinfo Stephan Wappler Consultant IT-Security noventum consulting GmbH Münsterstrasse 111 D Münster fon +49 (0) / fax +49 (0) / mobile + 49 (0) 163 / stephan.wappler@noventum.de