SMS Secure Mail Server

Transkript

1 SMS Secure Mail Server Handbuch Ulrich Zistl (c) Stand

2 Inhaltsverzeichnis 1 Sichere Kommunikation Klassisch: Die zentralen Mail Server bei den Providern Eine mögliche Alternative: Dezentrale Server Leistungsmerkmale des Secure Mail Servers (SMS) Installation Benötigte Komponenten Zusammenbau und Start des Mail Servers Ersteinrichtung Vorbereitung Domain über einen DynDNS Dienst registrieren Feste IP Adresse für Ihren Mail Server Port 25 Freischaltung in Ihrem Router Was tun bei Problemen mit der Namensauflösung im LAN? Konfiguration des Mail Servers LAN IP Adresse Host und Domänen Name Postmaster Account und Passwort Konfiguration bestätigen und Mail Server einrichten Den Mail Server verwalten Mail Server Statistik Postfächer verwalten Selbstadministration der Benutzer Einschränkungen und Besonderheiten Den Postfachzugriff auf einem PC einrichten Account einrichten am Windows PC Das Postfach testen Partner anlegen IP Adresse ssh Zugang aktivieren Systemwartung Linux System aktualisieren Administrationsoberfläche aktualisieren Herunterfahren und Reboot Konfiguration sichern Neuinstallation Sonstiges Zertifikat in Windows installieren (einfacher Weg) Zertifikat in Windows installieren (alternativer Weg) Serverzertifikat in Firefox importieren Was tun bei einer unbekannten IP Adresse des Mail Servers? Ihr Router Ein Network Scanner Die Linux Shell Rechtliches

3 1 Sichere Kommunikation Durch die NSA Affäre ist bewusst geworden wie wenig man dem Datenschutz trauen kann, selbst wenn die Daten bei großen seriösen Firmen liegen. Unverschlüsselte s werden massenhaft mitgelesen und ausgewertet. Vermeintlich sichere Datacenter von Geheimdiensten angezapft. Aber die Geheimdienste sind nicht allmächtig: "Encryption works!" sagt Edward Snowden und das sollten alle beherzigen, die sensible Daten transportieren müssen. 1.1 Klassisch: Die zentralen Mail Server bei den Providern Wenn wir heute eine versenden, so mögen Teilstrecken verschlüsselt sein, aber spätestens beim Provider liegt die Mail im Klartext auf dessen Server in dessen Rechenzentrum. Oftmals ist unklar wo die genau gespeichert wird. In Deutschland, irgendwo in Europa, oder vielleicht in den USA? Einen wirklichen Schutz bietet aktuell nur einen "Ende-zu-Ende" Verschlüsselung, bei der die erst beim Empfänger entschlüsselt wird. Allerdings ist dies umständlich und der Anwender muss aktiv mitarbeiten und seine s verschlüsseln. 1.2 Eine mögliche Alternative: Dezentrale Server -3-

4 Einen eigenen Mail Server zu Hause oder in der Firma bzw. Büro zu betreiben ist grundsätzlich eine gute Möglichkeit, die Kontrolle über seine Daten zu behalten. Er könnte per SSL jeglichen Datenverkehr zwischen den Anwendern und anderen Mail Servern verschlüsseln. Die unverschlüsselten Mails würden das eigene Haus nicht verlassen und wären so (auch durch die dezentrale Struktur) für Geheimdienste schwerer abzugreifen als wenige zentrale Server. Allerdings haben Mail Server den Ruf schwer konfigurierbar zu sein (Stichwort: offenes Mail Relay für Spam) und überdies akzeptieren praktisch alle großen Provider keine eingehenden s von dynamischen IP Adressen, wie sie für gängige DSL oder Kabelanschlüsse in der Regel vergeben werden. Die hier vorgestellte Lösung eines Secure Mail Servers (SMS) auf Basis des kostengünstigen Raspberry PI, einem von der britischen Raspberry PI Foundation entworfenen Kleinrechners, geht einen etwas anderen Weg: Ziel ist nicht die bisherige (ungesicherte) Lösung zu ersetzen, sondern mit einer gesicherten Komponente zu ergänzen. Die SMS Mail Server tauschen s nur unter sich aus, sind also von dem restlichen Server getrennt. Des Weiteren werden sogenannte Partner definiert mit denen allein man kommunizieren darf. Ähnlich wie bei sozialen Netzwerken ergibt sich so ein Geflecht von Peer-to-Peer Beziehungen zwischen den Beteiligten. In dem unten dargestellten Beispiel kann Jan mit Lisa und Andrea kommunizieren, aber nicht Lisa mit Andrea und umgekehrt, da sie keine Partnerschaft aufgebaut haben. Jan kennt zudem den weiteren Kommunikationspartner von Lisa und Andrea (in unserem Beispiel Peter genannt) nicht. Peter wiederum kann mit Lisa, Andrea und Christian kommunizieren. Christian mit Peter und Claudia und Claudia nur mit Christian. -4-

5 1.3 Leistungsmerkmale des Secure Mail Servers (SMS) Der hier beschrieben Secure Mail Server (SMS) verfügt über folgende Leitungsmerkmale, die eine sichere Kommunikation zwischen den Partnern ermöglicht: SSL verschlüsselter Mailabruf (IMAPS Port 993 und POP3S Port 995) SSL verschlüsselte Mailübertragung (SMTP mit TLS Port 25) Selbst-signierte SSL Zertifikate (2048 Bit RSA) Perfect Forward Secrecy (PFS) mit DH-Schlüsseltausch zwischen den Servern Basierend auf offenen Standards (Debian Linux, Postfix, Dovecot) Einfach zu bedienende Weboberfläche für die Konfiguration (http Port 80 und https Port 443) Mailverkehr nur zwischen definierten SMS Partnern (Identifizierung über Zertifikat und Fingerprint-Vergleich) Funktioniert mit DynDNS Domains und über NAT Router (mit Port-Forwarding) Optionaler ssh Zugang auf die Linux Shell (standardmäßig deaktiviert) Geringer Preis (< 100 Euro) bei Einsatz auf Raspberry PI Hardware. Optional kann natürlich auch eine höherwertige Hardware benutzt werden. Dadurch, dass der Mailverkehr nur zwischen definierten Partnern stattfindet, deren Mail Server sich mittels Zertifikaten untereinander ausweisen, eignet sich das Secure Mail Server System zum Austausch vertraulicher Daten, sowohl privater als auch geschäftlicher Art. Es ergänzt das offene System um ein geschlossenes System mit festgelegten Benutzergruppen. Da die Mail Server nicht an unbekannten Orten im Internet stehen, liegen die Daten immer auf einem Server an einem definierten Ort, der zu einem der Partner gehört. Da die SMS Server unter der Kontrolle der jeweiligen Partner stehen (wie deren PCs mit denen die s versendet werden), kann hier von einer echten Ende-zu-Ende Verschlüsselung zwischen den Kommunikationspartnern gesprochen werden. Da dies vollständig automatisch durch die SMS Mail Server erfolgt, ist im Gegensatz zu anderen Lösungen auf der PC Seite keinerlei Extraaufwand für Inhaltsverschlüsselung notwendig. Für viele Anwender reicht die kleine Raspberry PI Hardware zusammen mit einer 16 oder 32 GByte Speicherkarte aus. Natürlich kann dieses Konzept auch auf größeren Mail Servern mit leistungsfähigerer Hardware implementiert werden. -5-

6 2 Installation 2.1 Benötigte Komponenten Um Ihren SMS Secure Mail Server installieren zu können benötigen Sie folgende Hardwarekomponenten: Eine Raspberry PI Model B Systemplatine Ein passendes Gehäuse Ihrer Wahl für den Raspberry PI Ein passendes Netzteil Oft finden Sie diese bereits im Bundle bei den einschlägigen Versandhändlern im Internet. Die Kosten belaufen sich auf ca. 50 Euro. Um den Mail Server an Ihr LAN (Router oder Switch) anzuschließen benötigen Sie zudem ein LAN Kabel. Sie brauchen jedoch nicht: Tastatur, Maus oder Bildschirm Raspberry PI Betriebssystem 2.2 Zusammenbau und Start des Mail Servers 1. Legen Sie die Raspberry PI Platine in das Gehäuse und verschließen Sie es. 2. Schieben Sie die SMS Mail Server SD Karte in den Kartenslot neben dem Mini USB Stecker. Achtung: Die Karte muss mit der Beschriftung nach unten eingelegt werden! 3. Stecken Sie das Netzteilkabel an den Mini-USB Anschluss an, aber stecken Sie das Netzteil noch nicht in die Steckdose. 4. Verbinden Sie den Mail Server mit Hilfe des LAN Kabels mit Ihrem Router oder Switch. 5. Stecken Sie das Netzteil in eine Steckdose. Der Mail Server wird nun gestartet. -6-

7 3 Ersteinrichtung Wenn der SMS Secure Mail Server das erst Mal gestartet wird, so erhält er von Ihrem Router (wie jedes andere Gerät auch) eine IP Adresse zugeteilt. Er meldet sich mit dem Namen "sms" an Ihrem Router an. Oftmals genügt es, in Ihrem Web-Browser den Namen " einzugeben. Falls das nicht zum Erfolg führt schauen Sie in Ihrem Router nach, welche IP Adresse dem Mail Server zugeteilt wurde und verbinden Sie sich dann im Browser unter Angabe der IP (z.b. Hinweis: Die Administrationsoberfläche des Mail Servers ist sowohl über Port 80 (http unverschlüsselt) als auch über Port 443 (https verschlüsselt) erreichbar. Sobald Sie im Webbrowser mit Ihrem Mail Server verbunden sind erscheint die Konfigurationsseite. Bevor es nun mit der Konfiguration losgeht benötigen Sie folgende Informationen: Die LAN IP Adresse, die Ihr Mail Server verwenden soll (typischerweise eine feste IP im LAN) sowie die IP Adresse Ihres Routers. Einen Namen, den Ihr Server im LAN verwenden soll (sms ist völlig in Ordnung, Sie können den Server aber nach Ihrem persönlichen Wunsch nennen). Den Namen Ihrer Domain, die Sie für die sichere Kommunikation verwenden wollen. Dies kann nicht die Domain sein, die sie für die gewöhnliche verwenden. Prinzipiell gibt es mehrere Möglichkeiten eine solche Domain zu registrieren: Sie registrieren eine kostenpflichtige Domain mit Ihrem Wunschnamen (z.b. -7-

8 "meinedomain.de"). Wichtig ist, dass der Domainregistrator einen DynDNS Dienst für die Domain anbietet damit der Datenverkehr zu Ihrem Router geleitet wird. Sie haben bereits eine eigene Domain. Dann können Sie bei Ihrem Registrator oftmals Sub-Domains einrichten (secure.meinedomain.de). In diesem Fall müssen Sie dafür sorgen, dass der Verkehr der Sub-Domain an Ihren Router geleitet wird. Sie haben keine Domain, wollen auch kein Geld dafür ausgeben. In diesem Fall registrieren Sie sich eine Sub-Domain bei einem der kostenfreien DynDNS Anbieter. Hier gibt es auch kostenpflichtige Angebote, die mehr Service und eine größere Auswahl an Domains bieten. 3.1 Vorbereitung Domain über einen DynDNS Dienst registrieren Falls Sie noch keine Domäne haben, die Sie für den sicheren Verkehr verwenden können, ist es jetzt an der Zeit eine zu registrieren. Am einfachsten und oftmals kostenlos geht dies über einen der vielen DynDNS Dienste. Hier bekommen Sie eine Domain bzw. Sub-Domain zugeteilt die Ihrem Internetanschluss zugeordnet wird. Jeglicher Datenverkehr mit der von Ihnen registrierten Domain wird dann an Ihren Router gesendet. Hier eine Auswahl an Anbietern: aidyn.net two-dns no-ip selfhost.de DNS Exit dyn.com (kostenpflichtig) Wenn möglich sollten Sie auf Ihrem Router den automatische DynDNS Update aktivieren, damit der DynDNS Dienst den Wechsel von IP Adressen registrieren kann. -8-

9 3.1.2 Feste IP Adresse für Ihren Mail Server Ihr Mail Server sollte im LAN eine feste IP Adresse haben, also eine die sich nicht bei jedem Neustart ändert. Das macht zum einen das Administrieren leichter, zum anderen ist es bei vielen Routern die Voraussetzung für das sogenannte Port-Forwarding, also das Weiterleiten von Datenverkehr aus dem Internet an ein Gerät in Ihrem LAN. Um dem Mail Server eine feste IP Adresse zuzuteilen gibt es zwei Möglichkeiten: 1) Ihr Router wird angewiesen dem Mail Server immer die gleiche IP zuzuteilen. Dann erfolgt die Zuweisung wie bei gewöhnlichen Geräten im LAN per DHCP, aber es wird immer die gleiche IP vergeben. Bei der weitverbreiteten Fritzbox von AVM findet sich dieser Eintrag unter "Heimnetz" -> "Netzwerk". 2) Sie vergeben selber eine IP Adresse aus Ihrem LAN (statische IP). In diesem Fall muss die gewählte IP Adresse außerhalb des IP Bereichs liegen, den der Router dynamisch vergibt (DHCP Range). Beispiel für eine statische IP Adressvergabe: IP Adressen des LAN Netzwerk: Die Netzmaske ist dann: IP Adresse des Routers: Der Router vergibt dynamisch: Statische IP für Mail Server: bis (oftmals hat der Router die ".1") bis (DHCP Bereich) (außerhalb des DHCP Bereiches) -9-

10 3.1.3 Port 25 Freischaltung in Ihrem Router Damit Ihr Mail Server vom Internet aus für Ihre Mailpartner erreichbar ist, muss der Datenverkehr für TCP Port 25 an Ihrem Router an den Mail Server weitergeleitet werden ("Port Forwarding"). Bei der Fritzbox findet sich die Port-Freigaben unter "Internet" -> "Freigaben". Geben Sie hier das TCP Port 25 (SMTP) und den Namen des Mail Server an. Von nun an ist Ihr Mail Server für andere Mail Server aus dem Internet erreichbar

11 3.1.4 Was tun bei Problemen mit der Namensauflösung im LAN? Wenn ihr Router keine DNS Namensauflösung für das eigene LAN unterstützt, so können Sie zunächst nicht über den Hostnamen des Servers ( auf diesen zugreifen. Es funktioniert lediglich der Zugriff über die IP Adresse. Da dies später bei dem Zugriff der PCs Probleme bereitet (das Serverzertifikat wird dann abgelehnt) muss in diesem Fall die Namensauflösung lokal auf dem Rechner erfolgen. Dies erfolgt über einen Eintrag in der lokalen "hosts" Datei. Die Windows "hosts" Datei editieren Starten Sie dazu auf Ihrem PC den Standard-Texteditor ("Alle Programme" -> "Zubehör" -> "Editor") als Administrator (Menüeintrag "Editor" mit rechter Maustaste anklicken und "Als Administrator ausführen" anklicken und Warnung bestätigen). Wählen Sie nun im Menü am oberen Rand "Datei" -> "Öffnen" und navigieren zu dem Verzeichnis "C:\Windows\System32\drivers\etc". Ändern Sie nun die Suchmaske unten rechts von "Textdateien (*.txt)" auf "Alle Dateien (*.*)" ab und es erscheinen mehrere Dateien im Auswahlfenster. Öffnen Sie die Datei "hosts" und tragen am Ende der Datei eine neue Zeile ein: sms Verwenden Sie statt der die tatsächliche IP Adresse des Mail Servers in Ihrem LAN. Als Namen wählen sie anstatt "sms" den Namen Ihres Mail Servers. Speichern Sie die Datei mit "Datei" -> "Speichern" ab. Von nun an sollte Ihr Mail Server unter dem angegebenen Namen im Browser erreichbar sein. Wiederholen Sie diesen Eintrag auf allen Rechnern, die auf den Mail Server zugreifen sollen

12 3.2 Konfiguration des Mail Servers Verbinden Sie sich mit dem Web-Browser mit Ihrem Mail Server. Durch "Weiter" und "Zurück" können Sie sich durch die einzelnen Konfigurationsseiten navigieren LAN IP Adresse Wenn Sie über Ihren Router per DHCP dem Mail Server immer die gleiche IP Adresse vergeben können, so können Sie "per DHCP" auswählen. Alternativ geben Sie hier eine IP Adresse für den Mail Server an, die von keinem anderen Gerät benutzt wird und außerhalb des von DHCP vergebenen Bereiches liegt. Als Gateway geben Sie die IP Adresse Ihres Routers an. In den meisten Fällen dient ihr Router auch als DNS Server (Name Server) im LAN. Geben Sie auch hier die IP Adresse des Routers an

13 3.2.2 Host und Domänen Name Geben Sie nun den Namen (Hostname) des Mail Servers an (z.b. sms) und die LAN Domäne. Diese ist in der Regel nicht ihre Domäne. Wenn Sie keine LAN Domäne verwenden, so lassen Sie diesen Eintrag leer. Wenn Sie eine Fritzbox verwenden, so lautet die LAN Domäne standardmäßig "fritz.box". Der Hostname bildet zusammen mit der LAN Domäne den kompletten Namen des Mail Servers. Also z.b. "sms.fritz.box". Unter diesem Namen sollte der Mail Server im LAN über einen Webbrowser erreichbar sein (also z.b. oder Hinweis: Der komplette Name des Mail Servers wird auch in dessen Zertifikat als "Common Name" (CN) verwendet. Damit die PCs im LAN das Zertifikat ohne Beanstandung akzeptieren, muss der CN Name mit dem tatsächlichen Namen des Mail Servers im LAN übereinstimmen. Folgendes Vorgehen hat sich bewährt: 1) Sie verwenden einen Router mit DNS Namensauflösung (z.b. Fritzbox) In diesem Fall tragen Sie als Hostnamen für den Mail Server einen Namen Ihrer Wahl ein und bei LAN Domäne die von Ihrem Router verwendete (Standard bei Fritzbox ist "fritz.box", wenn Sie die LAN Domäne nicht geändert haben). Die PCs im LAN werden dann den Mail Server über seinen Namen (z.b. sms.fritz.box) erreichen können und dessen Zertifikate akzeptieren. 2) Sie verwenden einen Router, der über DHCP IP Adressen verteilet, aber keine Namensauflösung für die PCs im LAN bietet. In diesem Fall tragen Sie als Hostnamen für den Mail Server einen Namen Ihrer Wahl ein, lassen das Feld für die LAN Domäne jedoch leer. Ihr Server hört dann z.b. lediglich auf den Namen "sms". Damit nun die PCs den Namen "sms" in eine IP Adresse umsetzen können benötigen wir: 2.1) Einen Eintrag in der "hosts" Datei der betreffenden PCs 2.2) Eine statische (feste) IP Adresse für den Mail Server. In diesem Fall sollten Sie also kein DHCP für den Mail Server verwenden. Wie man einen lokalen Eintrag in der "hosts" Datei eines PCs vornimmt wird im Kapitel erklärt. Die Domain entspricht Ihrem zuvor registrierten Domainnamen. Wenn Ihr Domainname z.b. "meinedomain.de" lautet, so geben Sie dies hier an. Ihre Adressen lauten dann entsprechend nach dem Muster

14 3.2.3 Postmaster Account und Passwort Um Ihren Mailserver verwalten zu können wird ein Administrator Account benötigt. Im Mail Server Jargon ist dies der "Postmaster". Als Postmaster dient die erste Adresse die Sie hier über die Administrationsoberfläche definieren. Typischerweise wird dies Ihre eigene sein, da Sie den Mail Server aufsetzen. Geben Sie also hier Ihre gewünschte Adresse an unter der Sie erreichbar sein wollen. Der Domainname wird dabei automatisch angefügt. Geben Sie also nur den Teil vor an. Typischerweise wird man für alle folgenden Adressen das gleiche Schema verwenden. Zum Beispiel <Vorname>.<Nachname> oder nur <Vorname> etc. Sie können natürlich auch sprechende Bezeichnungen wie "info", "sales", "ich" etc. verwenden. Da ein Alias namens "postmaster" angelegt wird, darf das Postfach selbst nicht "postmaster" heißen. Hinweis: Das gewählte Passwort ist zugleich Ihr Mail-Postfach Passwort, als auch das Passwort zum Anmelden an der SMS Administrationsoberfläche

15 3.2.4 Konfiguration bestätigen und Mail Server einrichten Nachdem Sie die Angaben nochmals überprüft haben, können Sie auf "Konfiguration abschließen" drücken. Damit werden alle Angaben übernommen und der Mail Server konfiguriert. Etwaige zuvor vorhandenen Daten werden dabei überschrieben. Während der Konfiguration werden auch verschiedene Zertifikate erzeugt. Dies kann ein paar Minuten dauern. Der Fortschritt der Konfiguration wird dabei im Browser angezeigt. Nachdem der Vorgang abgeschlossen ist, wird der Mail Server automatisch neu gestartet. Sie sollten ein bis zwei Minuten warten und sich dann wieder mit der Administrationsoberfläche verbinden. Bitte beachten Sie, dass der Mail Server nun unter der neuen IP Adresse und dem neu vergebenen Namen erreichbar ist

16 4 Den Mail Server verwalten Sobald Ihr Mail Server eingerichtet ist, erscheint nicht mehr die Seite für die Erstkonfiguration, sondern die Login Maske. Melden Sie sich hier mit Ihrem Postmaster Passwort an. Nach dem Anmelden können Sie nun die folgenden Menüpunkte an der linken Seite auswählen: Logout: Abmelden von der Oberfläche Statistik: Speicherverbrauch und Co. anzeigen Postfächer: Ihre Postfächer und Alias Namen verwalten und den öffentlichen Teil des Server Zertifikats herunterladen Partner: Ihre Partner mit denen Sie kommunizieren können verwalten IP Adresse: Ändern der IP Adresseinstellungen ssh Zugang: Wenn Sie sich auf die Linux Konsole begeben wollen können Sie hier die ssh Shell einbzw. auch wieder ausschalten Systemwartung: Updates einspielen und Server herunterfahren etc. Konfiguration sichern: Backups der Mail Server Einstellungen vornehmen Neuinstallation: Wenn nötig, können Sie hier eine teilweise oder komplette Neuinstallation des Mail Servers einleiten

17 4.1 Mail Server Statistik Hier werden Parameter angezeigt, die für den Betrieb des Mail Servers interessant sind. So können Sie zum Beispiel den freien und den durch die Mails verbrauchten Speicherplatz ermitteln oder die Temperatur des Gerätes überwachen. Hinweis: Eine Temperatur von Grad ist normal und bedeutet keine Gefahr für Ihren Mail Server. Der Raspberry PI taktet sich zudem ab 85 Grad automatisch herunter, so dass keine Hardwareschäden auftreten

18 4.2 Postfächer verwalten Hier können Sie weitere Postfächer ( = Adressen) oder Aliasnamen anlegen, Passwörter ändern, oder bestehende Postfächer und Aliasnamen löschen. Legen Sie für jeden Benutzer des Mail Servers ein eigenes Postfach an. Des Weiteren finden Sie am Ende der Seite zwei Links mit dem Sie den öffentlichen Teil des Mail Server Zertifikates herunterladen können. In den meisten Fällen (Windows PCs, Apple IOS Geräte, Android Tablets etc.) werden Sie die DER/CRT Version des benötigen. Sollte Ihr Gerät dieses Format nicht unterstützen, so steht das Zertifikat zudem in der PEM Version zur Verfügung. Das Zertifikat ist selbst-signiert, daher muss es auf den Clients als vertrauenswürdiges Stammzertifikat installiert werden. Der öffentliche Teil des Zertifikates ist nicht geheim, d.h. er muss nicht extra geschützt werden und kann (wie der Name sagt) öffentlich bekannt sein. Die Installation des Zertifikates wird in Kapitel 5.1 und 5.2 gezeigt

19 Um das Passwort einer Adresse zu ändern oder Aliasnamen anzulegen, markieren sie das Postfach und wählen "Postfach verwalten" aus. Bitte achten Sie darauf ausreichend lange und sichere Passwörter zu wählen. Die minimale Länge der akzeptierten Passwörter beträgt fünf Zeichen. Der "Postmaster" Alias kann nicht gelöscht werden, da ansonsten die Administration des Systems nicht mehr möglich wäre Selbstadministration der Benutzer Es besteht für die Anwender die Möglichkeit Ihre Passwörter selbst zu ändern. Hierzu steht der Link " zur Verfügung (also etwa unter dem Link "

20 4.2.2 Einschränkungen und Besonderheiten Es ist nicht möglich mehreren Postfächern den gleichen Aliasnamen zuzuweisen. Es ist möglich als Aliasnamen einen existierenden Postfachnamen zu verwenden. In diesem Fall wird eine Mailweiterleitung eingerichtet. Dies kann verwendet werden, um bei Vertretungsfällen eine Weiterleitung (Forwarding) einzurichten. Beispiel: Nehmen wir an es existieren zwei Postfächer 1) 2) Wenn nun für "hans" als Alias namens "lisa" eingerichtet wird, so werden alle s an an weitergeleitet. Das Postfach für "lisa" bleibt bestehen und wird wieder gefüllt, sobald der Alias wieder entfernt wird. Es wird bei Postfächern und Alias nicht zwischen Groß- und Kleinschreibung unterschieden. Das Postfach "Hans" und "hans" sind somit identisch. Dies entspricht der Konvention für Adressen

21 4.3 Den Postfachzugriff auf einem PC einrichten Um auf ein eingerichtetes Postfach zugreifen zu können, müssen Sie dies natürlich auf dem entsprechenden PC konfigurieren. Wir gehen im folgenden von einem Windows 7 Rechner aus. Laden Sie von Ihrem Mail Server den öffentlichen Teil des Server Zertifikates herunter (unter dem Menüpunkt "Postfächer") und speichern Sie ihn z.b. auf einem USB-Stick. Alternativ können Sie auf dem PC auch die Administrationsoberfläche des Mail Servers öffnen und das Zertifikat direkt auf den PC herunterladen. Einige Clients haben einen eigenen Zertifikatsspeicher und können Zertifikate direkt bei der Einrichtung des Postfaches importieren Account einrichten am Windows PC Nun muss noch der Zugriff auf das Postfach in einem Mail-Programm eingerichtet werden. Prinzipiell eignen sich alle Programme die SSL Zugriff unterstützen. Der SMS Mail Server verwendet folgende Ports: smtp imaps pop3s Hierüber wird verschlüsselt übertragen (STARTTLS) SSL verschlüsselter IMAP Zugriff SSL verschlüsselter POP3 Zugriff Im folgenden werden einige Clients beispielhaft betrachtet. Client "Windows Live Mail" Klicken Sie im Menü oben auf "Konten" und dann auf " " um ein neues Konto zu erstellen. Geben Sie im folgenden Fenster die neue Adresse ein, so wie Sie sie zuvor im Mail Server als Postfach angelegt haben. Sie können das Passwort ebenfalls mit angeben, wenn Sie nicht wollen, dass es jedes mal abgefragt wird. Geben Sie bei "Anzeigename"

22 einen passenden Namen an und markieren Sie das Feld "Servereinstellungen manuell konfigurieren". Klicken Sie nun auf "Weiter". Wählen Sie nun zunächst aus, ob Sie per "IMAP" oder "POP3" auf das Postfach zugreifen wollen. Wenn Sie nicht wissen was Sie wählen sollten, nehmen sie "IMAP"

23 Tragen Sie nun als Serveradresse sowohl für den Posteingangsserver als auch für den Postausgangsserver den vollständigen Namen ihres Mail Servers ein. Also den Hostnamen gefolgt von dem LAN Domainnamen (mit einem Punkt getrennt). Haben Sie keinen LAN Domainnamen definiert, so verwenden Sie nur den Server Namen (z.b. sms). Klicken Sie unbedingt "Erfordert eine sichere Verbindung (SSL)" sowohl bei dem Eingangs- als auch beim Ausgangsserver an. Geben Sie als Anmeldebenutzername die vollständige Adresse inklusive der Domain an (z.b. Klicken Sie "Erfordert eine Authentifizierung" beim Postausgangsserver an. Mit einem Klick auf "Weiter" wird das Konto erstellt

24 Client "Thunderbird" Klicken Sie auf ihr bereits bestehendes Konto oder "Lokale Ordner" und wählen dann den Menüpunkt "Neues Konto erstellen: " aus. Drücken Sie unten links auf "Überspringen und meine existierende -Adresse verwenden". Geben Sie den Namen, die Adresse und das Passwort des SMS Postfaches ein. Drücken Sie "Weiter". Thunderbird versucht nun automatisch die passenden Einstellungen zu finden. Dies wird in der Regel scheitern und wir geben die Einstellungen manuell an. Geben Sie nun die folgenden Einstellungen an: Posteingangs-Server: IMAP (wahlweise POP3) Server-Adresse: Den LAN Namen Ihres Mail Servers, notfalls die IP Adresse Port: 993 SSL: SSL/TLS Authentifizierung: Passwort normal

25 Postausgangs-Server: SMTP Server-Adresse: Den LAN Namen Ihres Mail Servers, notfalls die IP Adresse Port: 25 SSL: STARTTLS Authentifizierung: Passwort normal Benutzername: Die vollständige Adresse Drücken Sie dann auf "Fertig" (nicht auf "Erneut testen")

26 Es erscheint nun ein Warnhinweis, dass unser selbst generiertes Zertifikat unsicher sei. Da wir es jedoch selbst generiert haben, wissen wir, dass wir es akzeptieren können. Drücken Sie auf "Zertifikat herunterladen" und "Sicherheits-Ausnahmeregel bestätigen". Das Konto ist damit eingerichtet. Wenn Sie die erste versenden (z.b. an sich selbst) so muss das Zertifikat nochmal für den Versand von s bestätigt werden

27 4.3.2 Das Postfach testen Sie können das neu erstellte Postfach testen, indem Sie sich selbst eine schicken. Beachten Sie, dass es nicht möglich ist, von einer ungesicherten externen Adresse eine an Ihren SMS Secure Mail Server zu schicken. Schicken Sie sich daher zunächst eine von Ihrer SMS Adresse an ihre SMS Adresse. So können Sie überprüfen, ob die Kontoeinstellungen ihres Programms korrekt eingetragen sind. Wenn Sie weitere Postfächer auf dem SMS Secure Mail Server anlegen, so können Sie bereits untereinander zwischen den verschiedenen PCs sichere s versenden und das System so weiter testen

28 4.4 Partner anlegen Um mit einem anderen SMS Secure Mail Server über das Internet kommunizieren zu können ist es notwendig, dass beide Seiten sich jeweils gegenseitig als Partner eintragen. Rufen Sie dazu den Menüpunkt "Partner" auf. Kopieren Sie (Copy & Paste) Ihre eigene Zertifikatsprüfsumme am Ende der Webseite in eine herkömmliche und schicken Sie sie zusammen mit Ihrem Domainnamen zu Ihrem Partner. Hinweis: Die Zertifikatsprüfsumme (technisch "sha1 Fingerprint") ist nichts Geheimes und kann weiter unverschlüsselt weitergegeben werden. Wenn Sie allerdings auf ganz Nummer sicher gehen wollen (Schutz vor Abfangen der und Austauschen des Fingerprints) können Sie die Prüfsumme auch am Telefon durchgeben oder per herkömmlichem Brief oder verschlüsselter verschicken. Ihr Partner muss umgekehrt Ihnen seine Domain und Zertifikatsprüfsumme zukommen lassen. Tragen Sie nun die Domain und die Zertifikatsprüfsumme unter "Neuer Partner" bzw. "Prüfsumme" ein und drücken Sie "Neuen Partner anlegen". Ihr Partner macht das gleiche mit Ihrer Domain und Zertifikatsprüfsumme. Anschließend können Sie s an Ihren Partner schicken und vom Ihm welche empfangen. Der Versand zwischen den beiden Secure Mail Servern läuft verschlüsselt ab

29 4.5 IP Adresse Wenn Sie die IP Adresseinstellungen Ihres Mail Servers ändern wollen, so können sie dies hier vornehmen. Wie im Kapitel bei der Erstinstallation bereits erwähnt, können Sie eine automatische Vergabe über Ihren Router (DHCP Server) wählen oder manuell eine feste IP Adresse eintragen

30 4.6 ssh Zugang aktivieren Normalerweise ist es für den Betrieb des Mail Servers nicht nötig auf die Linux Kommandozeile (shell) zu wechseln. Falls dies jedoch trotzdem mal nötig sein sollte, so können Sie über den Menüpunkt "ssh Zugang" den Zugriff auf die Shell ein- und auch wieder ausschalten. Standardmäßig ist der Zugang abgeschaltet. Durch Drücken der entsprechenden Schalter können Sie den Zugang ein- bzw. ausschalten. Die Einstellung wirkt sofort und bleibt auch nach einem Reboot bestehen. Verwenden Sie einen ssh Client wie PuTTY um sich mit der Linux Shell des Servers zu verbinden. Der Standard User lautet: User: Passwort: pi sms Wenn Sie den ssh Zugang dauerhaft offen lassen wollen wird dringend empfohlen das Passwort zu ändern. Nutzen Sie das "sudo" Kommando um Aktionen als "root" durchzuführen. Weitere Informationen zur Linux shell finden Sie in einschlägigen Fachbüchern und im Internet

31 4.7 Systemwartung Unter diesem Menüpunkt können Sie das Linux Basis System aktualisieren, eine neue Version der Administrationsoberfläche einspielen oder den Server herunterfahren oder neu starten Linux System aktualisieren Führen Sie in regelmäßigen Abständen eine Aktualisierung des zu Grunde liegenden Linux Systems durch. Der Mail Server muss dazu im Netz hängen und Internetzugriff haben. Die Aktualisierung läuft vollständig automatisch ab. Danach sollten Sie den Server neu booten

32 4.7.2 Administrationsoberfläche aktualisieren Wenn eine neue Version der Administrationsoberfläche zur Verfügung steht, so können Sie diese hier einspielen Herunterfahren und Reboot Durch Drücken der entsprechenden Knöpfe wird der Mail Server neu gestartet (Reboot) oder zum Ausschalten heruntergefahren. Fahren Sie den Server immer zunächst herunter bevor Sie ihn vom Stromnetz trennen. Der Raspberry PI hat keinen Ein- / Ausschalter. Warten Sie beim Herunterfahren ca. eine Minute bis die LEDs aufhören zu blinken und ziehen dann den Netzstecker. Zum Hochfahren genügt es den Raspberry PI wieder mit Strom zu versorgen. Er startet dann automatisch

33 4.8 Konfiguration sichern Sollte die Hardware Ihres Mail Servers einmal kaputt gehen und Sie eine neue einsetzen müssen, so können Sie eine zuvor gemachte Sicherung der Konfiguration in die neue Hardware einspielen. Eine solche Sicherung können Sie hier erstellen, herunterladen und an einer sicheren Stelle verwahren. Achtung: Da die Sicherung auch die privaten Schlüssel des Mail Server Zertifikats enthält darf diese nicht in falsche Hände geraten! Verwahren Sie die Sicherung geschützt an einem geeigneten Ort auf. Hinweis 1: Die Sicherung enthält auch die Postfächer mit den Hashwerten der jeweiligen Passwörter. Die Passwörter selbst sind weder in der Sicherung noch auf dem Server selbst gespeichert. Aus den Hashwerten der Passwörter lässt sich nach heutigem Stand kein Passwort rekonstruieren, allerdings sollten auch sie nicht in unbefugte Hände gelangen. Hinweis 2: Die Dateien (und damit die s) werden nicht mit gesichert!

34 4.9 Neuinstallation Sollten Sie aus irgendeinem Grund den Mail Server komplett neu aufsetzen wollen, so können Sie dies über den Menüpunkt "Neuinstallation" machen. Sie können dabei wählen, ob die Maildateien, Postfächer, angelegte Alias und Partner erhalten werden sollen oder nicht. Werden diese Daten erhalten, so besteht lediglich die Möglichkeit die LAN IP Adresse, den Server Namen (Hostname) sowie die LAN Domäne zu ändern. Da der Server Name und die LAN Domäne ein Teil des Server Zertifikats sind, werden bei dieser Installation auch neue Zertifikate erzeugt. Das bedeutet, dass Sie Ihren Partnern Ihre neue Zertifikatsprüfsumme mitteilen müssen und diese Sie neu als Partner eintragen müssen. Ebenso wird es nötig sein, das neue Zertifikat auf den PCs im LAN zu installieren, die mit dem Secure Mail Server arbeiten. Wenn Sie eine komplette Neuinstallation anstoßen (ohne Erhalt der Postfächer), so entspricht dies einer Erstinstallation

35 5 Sonstiges 5.1 Zertifikat in Windows installieren (einfacher Weg) Wenn Sie das heruntergeladene Zertifikat doppelklicken, wird automatisch der Importvorgang gestartet. Wählen Sie "Zertifikat installieren" aus. Wichtig: Wählen Sie nun als Zertifikatsspeicher "Vertrauenswürdige Stammzertifizierungsstellen" aus und schließen Sie den Import mit einem Klick auf "Weiter" ab. Hinweis: Selbst-signierte Zertifikate sind zunächst (und technisch) nicht unsicherer als solche, die von "vertrauenswürdigen" Stellen signiert wurden. Im Gegenteil: Im Zeiten der NSA Überwachung auch von Zertifizierungsstellen ist das sicherste Zertifikat das, welches man selbst erzeugt und signiert hat. Der SMS Secure Mail Server erzeugt bei der Installation diese Zertifikate selbst und es ist sichergestellt, dass niemand sonst den Schlüssel zu diesen Zertifikaten besitzt. Weder eine zentrale "vertrauenswürdige" Stelle noch die NSA

36 5.2 Zertifikat in Windows installieren (alternativer Weg) Starten Sie das Programm "certmgr.msc" durch Eingabe des Namens in der Suchleiste ("Startknopf" -> "Programme und Dateien durchsuchen"). Klicken Sie auf "Vertrauenswürdige Stammzertifizierungsstellen" und dann auf den Menüpunkt "Aktion" -> "Alle Aufgaben" -> "Importieren". Wählen Sie nun die Zertifikatsdatei aus und führen Sie den Importvorgang durch. 5.3 Serverzertifikat in Firefox importieren Wenn man mit Firefox per https auf eine Webseite mit selbst-signiertem Zertifikat zugreift, so erscheint zunächst eine Warnung. Wenn man (wie in unserem Fall) dem Zertifikat vertraut, kann Firefox eine Ausnahme zulassen. Allerdings gilt diese Ausnahme nicht permanent und muss bei jedem neuen Besuch der Seite erneuert werden. Praktischer ist es, wenn Sie das Serverzertifikat in den Zertifikatsspeicher von Firefox importieren. Dann fragt der Browser nicht mehr nach. Laden Sie zunächst das Zertifikat (PEM Version) aus der Administrationsoberfläche, Menüpunkt "Postfächer" herunter und speichern Sie es auf Ihrem PC. Öffnen Sie nun den Menüpunkt "Einstellungen" in Firefox und klicken Sie auf "Erweitert". Klicken Sie dann auf "Zertifikate anzeigen"

37 Wählen Sie schließlich "Zertifizierungsstellen" und "Importieren". Importieren Sie nun das zuvor heruntergeladene Mail Server Zertifikat. Klicken Sie dabei "Dieser CA vertrauen, um Websites zu identifizieren" an. Drücken Sie "OK" und das Zertifikat ist permanent im Speicher des Firefox Browsers

38 5.4 Was tun bei einer unbekannten IP Adresse des Mail Servers? Der Secure Mail Server ist zu Beginn mit DHCP konfiguriert, so dass er sich die passende LAN IP Adresse vom DHCP Server holt. Der DHCP Server ist in der Regel ihr Router Ihr Router Wenn Sie nicht wissen welche IP Adresse der Mail Server bekommen hat, so ist der erste Anlaufpunkt ihr Router. In der Regel gibt es auf der Konfigurationsoberfläche des Routers einen Menüpunkt um die per DHCP zugeteilten IP Adressen aufzulisten. Der Mail Server sollte sich mit dem Namen "sms" melden Ein Network Scanner Wenn Sie so nicht zum Erfolg kommen, können Sie einen Network Scanner auf Ihrem PC installieren und laufen lassen. Dieser durchsucht das lokale Netzwerk nach aktiven Geräten und listet diese auf. Zum Beispiel:

39 5.4.3 Die Linux Shell Wenn gar nichts mehr hilft können Sie über ein HDMI Kabel den Raspberry PI mit einem Monitor oder Fernseher verbinden, eine USB Tastatur anstecken und booten. Sie können sich dann mit dem User "pi" und dem Passwort "sms" lokal einloggen und über den Befehl "ifconfig" die aktuelle IP Adresse ermitteln

40 5.5 Rechtliches Der SMS Secure Mail Server besteht aus folgenden Komponenten: Debian Linux u.a. mit den Paketen Postfix, Dovecot und Lighttpd, sowie PHP SMS Administrationsoberfläche geschrieben in PHP Als Hardware dient in der Regel ein Raspberry PI Model B der Raspberry PI Foundation ( Diese Hardware ist separat zu beziehen und ist nicht Bestandteil des SMS Secure Mail Server. Die Komponenten des Debian Linux Systems unterliegen der GNU General Public License (GPL). Hier gelten die entsprechenden Regelungen. Die SMS Administrationsoberfläche wurde von Ulrich Zistl, Lehreranger 5, Marzling, Deutschland geschrieben. Der Autor unterstellt sie der GNU General Public License (GPL)