Günter Esch. Sichere Kommunikation mit SEPPmail

Transkript

1 Günter Esch Sichere Kommunikation mit SEPPmail

2 Secure im Trend Die Bedürfnisse unserer Kunden, oder warum sichere s? Compliance Einhaltung der gesetzlichen Regelungen Haftbarkeit des Managements bei Nichtbeachtung Gesetzlich unterstellte Unternehmen nach SOX, HIPAA,BASEL-III, PCI Kosteneinsparungen Digitalisierung bestehender Geschäftsprozesse (ERP Integration, Scansysteme, Lohnabrechnungen etc.) Modernisierung bestehender, alter Technologie Umfeld Kunden erwarten in Projekten verschlüsselte Kommunikation Lieferanten bzw. Kunden führen Secure Lösungen ein Was der BND kann, können Wirtschaftskriminelle auch! Image Signatur in ist Zeichen für Qualität im Verkehr Schutz vor Datenspionage hat hohe Priorität im Geschäftsverkehr Page 2

3 Secure im Trend Was erwarten unsere Kunden von einer Verschlüsselungs-Lösung? Hohe Benutzerfreundlichkeit Einfache Administration - unser Anspruch ist (fast) unsichtbar zu werden. Einfachste Integration / kurze Einführungszeit Kompatibel mit anderen Technologien und Anbietern Höchste Sicherheit / Revisionskonform Investitionssicherheit Page 3

4 Secure im Trend Was erwartet Sie? Signatur: Zweck und Nutzen Verschlüsselung: Königsdisziplin Large File Transfer: Große Daten?

5 Grundlagen Schlüssel und Verschlüsselungsarten Symmetrischer Schlüssel: Der Schlüssel beim Sender und Empfänger ist der Gleiche. Asymmetrischer Schlüssel: Die Schlüssel sind bei Sender (öffentlicher Schlüssel) und Empfänger (privater Schlüssel) unterschiedlich. Das Schlüsselpaar hängt zusammen und es kann keine Ableitung zum jeweils anderen Schlüssel erstellt werden. Der Sender verschlüsselt immer mit dem öffentlichen Schlüssel des Empfängers und dieser entschlüsselt mit seinem privaten Schlüssel! Was ist ein Zertifikat? Ein Zertifikat ist ein beglaubigter öffentlicher Schlüssel Page 5

6 Signatur Zweck und Nutzen

7 Signatur: Zweck und Nutzen Signatur mit Benutzerzertifikat Unveränderlichkeit der elektronischen Nachricht Verbreitung des eigenen Public Keys Echtheitsbestätigung des Absenders bzw des versendenden Unternehmens. Unabstreitbarkeit (Beweismittel) Page 7

8 Signatur: Zweck und Nutzen Interner Empfänger Externer Sender S/MIME Alle public key s werden automatisch aus den Signaturen gesammelt, und bei Bedarf zur Verschlüsselung an den Sender herangezogen. Entlastung des Systemadministrators! Page 8

9 Signatur: Zweck und Nutzen Automatische Signatur im Namen des Senders am Gateway Page 9

10 Signatur: Zweck und Nutzen SEPPmail managed PKI Konnektor in Basislizenz enthalten u.a.m. Zusätzliche Kosten durch Einrichtungsgebühr pro Domäne und jährliche Zertifikatskosten sind zu berücksichtigen. Bezug über Partner, SEPPmail Deutschland GmbH oder direkt beim CA Page 10

11 Verschlüsselung Königsdisziplin!?

12 Eine Hand voll Technologien 5 openpgp Page 12

13 5 Technologien S/MIME (Secure Multipurpose Internet Mail Extensions) 5 X.509 Zertifikate sollten von einer offiziell anerkannten CA ausgestellt werden, dann funktioniert auch die automatisierte Prüfung einer Signatur. Funktionalität integriert in den meisten Mail Clients (Outlook, Outlook Express, Netscape, ) Unterbindet MiM und Phishing Attacken, wenn der Empfänger entsprechend sensibilisiert ist. Page 13

14 5 Technologien openpgp (Pretty Good Privacy) entwickelt von Phil Zimmermann (erste Version 1991) Zitat 1991: Today, can be routinely and automatically scanned for interesting keywords, on a vast scale, without detection. This is like driftnet fishing Diese Aussage ist leider 25 Jahre später immer noch gültig! 5 openpgp Zertifikate werden selbst ausgestellt und in einem Web of Trust verteilt Gekauft von Network Associates Inc Windows, Unix, Mac: PGP, GnuPG Sowohl OpenSource (GnuPG, WinPT) als auch kommerzielle Versionen (PGP) erhältlich Page 14

15 5 Technologien Domainverschlüsselung Encryption Tunnel 5 SEPPmail Managed Domain Service Domainverschlüsselung zu Fremdsysteme Fremdsystem openpgp Vollautomatische Verschlüsselung des gesamten Mailverkehrs von Domaine zu Domaine Alle SEPPmail Appliances kennen sich (SEPPmail Managed Domain Service) Wird erreicht indem der Public Key beider Maschinen ausgetauscht wird Ist bei SEPPmail in der Basislizenz enthalten Page 15

16 5 Technologien TLS (Transport Layer Security) 5 openpgp Punkt-zu-Punkt Verbindung zwischen Mailservern Leitungsverschlüsselung only! Vergleichbar mit einem https für Mailserver Geeignet für einzelne Verbindungen Hoher Verwaltungsaufwand Page 16

17 5 Technologien Patentierte Was tun, wenn Empfänger Primärtechnologie unbekannt ist und/oder nichts hat? 5 openpgp Page 17

18 Lösungsansätze Secure für alle Ansatz 1: Passwortgeschützte PDF Dateien (.pdf ) VORTEIL: Die verschlüsselte Datei wird ausgeliefert. NACHTEILE: Ist ein zusätzlicher Technologielayer der so seine Tücken hat : Abhängigkeit von der PDF Reader Version des Empfängers Ist eine Einbahnstraße eine sichere Antwort ist nur auf Umwegen möglich und nicht praxistauglich Es ist nur das zur PDF-Erstellung verwendete Passwort gültig und nicht veränderbar, da es gleichzeitig der Schlüssel ist. Konflikt sicher vs. merkbar! Damit sind Brute-force Attacke auf Passwort möglich Schlechter Ruf von PDF-Sicherheit (werden mittlerweile schon von Firewalls geblockt) Formatierungsprobleme bei der Umwandlung der in ein PDF Page 18

19 Lösungsansätze Secure für alle Ansatz 2: Web-Portal oder sicheres Webmail : Mails werden am Server zurückgehalten und nur ein Link dazu versendet VORTEILE: Keine zusätzlichen Technologien auf Empfängerseite notwendig Sicherer Rückkanal zum Antworten vorhanden NACHTEILE: Storage-Bedarf wächst ständig. Speicherung der gesamten, als wichtig eingestuften Kommunikation an einem Ort - beim Absender! Backup und Sicherung notwendig! Ist durch Mailspoofing bzw. Phishing einfach kompromittierbar! Page 19

20 Der Vorgang kombiniert die VORTEILE beider Technologien und eliminiert die Nachteile Die verschlüsselte Datei wird ausgeliefert. Keine zusätzlichen Technologien auf Empfängerseite notwendig Sicherer Rückkanal zum Antworten vorhanden Page 20

21 Der Vorgang Sender Empfänger www Schritt 1: Schreiben und Empfangen: Der Sender verfaßt in seinem Standard E- Mail Client eine vertrauliche Mail und markiert diese entweder mit dem Vertaulichkeits- Flag, vermerkt im Betreff zb [vertraulich], oder er verwendet das kostenlose Plugin von SEPPmail. SMS-Initialpasswort Der Empfänger erhält eine Standardnachricht mit Erklärung und einem html-attachment (rot markiert) welches die vollständig ausgelieferte verschlüsselte Nachricht beinhaltet. Parallel dazu empfängt er ein Initialpasswort als SMS. Die Mobiltelefonnummer erhält das System via Rückfrage vom Sender, oder dieser liefert die Nummer schon in der Betreffzeile mit. Page 21

22 Der Vorgang www Entschlüsselungsvorgang findet im Hintergrund statt: siehe nächste Folie Schritt 2: Anmelden und Lesen Der Empfänger öffnet das html-attachment und wird zur Eingabe seines Initialpasswortes aufgefordert (a). Anschließend muß er sich einmalig am System registrieren und sein eigenes Passwort vergeben. Sowie optional für die automatisierte Passwortrücksetzung eine Sicherheitsfrage + Antwort festlegen (b). Danach ist die entschlüsselte im Webmailer sichtbar (c). Aus diesem kann verschlüsselt geantwortet, die Mails als Klartext ins System gespeichert werden, eigene Key s hochgeladen oder seine Einstellungen verändert werden. a) b) c) Page 22

23 Der Vorgang www via https Strecke wird die verschlüsselte beim Anmeldeprozess des Empfängers zum Entschlüsseln temporär an die SEPPmail Appliance gesendet via https Strecke wird die entschlüsselte zum Empfänger ausgeliefert und verschwindet von der SEPPmail Appliance. Weitere Vorteile des patentierten GINA Verfahrens: Page 23 Wird vom Sender eine Lesebestätigung gewünscht, wird diese von der Appliance in dem Augenblick versendet, wenn die Mail zur Entschlüsselung eingeliefert wird. Das Zugriffspasswort kann jederzeit vom Empfänger geändert werden. Spontane sichere Kommunikation in beide Richtungen möglich Die GINA Oberfläche und alle Texte können 100% per CSS-Stylesheet verändert werden. Empfänger können sich vorgängig anmelden und so Ihre bevorzugte Verschlüsselungsform (Passwort oder Zertifikatskey) wählen. Empfänger kann über das Portal seine bevorzugte Verschlüsselungsform einstellen.

24 Page 24 Vorführung

25 SEPPmail Leistungsübersicht 1 x Appliance 1 x Administration 3 x Lösungen Signatur und mpki Verschlüsselung Large File Transfer SEPPmail Key Points Gateway Lösung, problemlose Integration in bestehende Infrastruktur Out-of-the Box Lösung als Firmware Als Hardware oder VM erhältlich Revisionskonforme Secure Kommunikation Unterstützt alle wichtigen Standards Langfristige Investitionssicherheit Nutzenorientiertes Lizenzsystem Skalierbar und clusterfähig Multidomain & Mandantenfähig Page 25

26 SEPPmail Referenzen (Auszug) CH: Helvetia Versicherung Schweizeriche Bankiervereinigung Raiffeisen Bank Swiss Life Hubert & Suhner ( User nutzt das HIN netzwerk täglich) INCA-Mail SwissPostSolutions A: Genossenschaftliches RZ Banken Allgemeines RZ Banken Österreichische Bundesbahnen (ÖBB) D: SVG Bundeszentralgenossenschaft (Frankfurt) FC Bayern München (München) Helaba Invest (Frankfurt) Kunst- und Ausstellungshaus (Bonn) Hellmann Logistik (Osnabrück) TÜV-Saarland, TÜV-Rheinland Klinikum Wolfsburg, Barmh. Brüder (München) Noerr Gruppe (München) Kreis Herzogtum Lauenburg KVJS, Caritas Lufthansa Systems (PCI) u.v.m. siehe auch Page 26

27 SEPPmail Unternehmen Stefan Klein CEO SEPPmail AG in Neuenhof bei Zürich SEPPmail Deutschland GmbH in Bunnthal bei München Entwicklung von Secure Lösungen 15 Jahre Erfahrung mit Secure Technologien Firma zu 100% eigenfinanziert (keine Investoren) Kunden und Vertriebspartner in ganz Europa (2-stufiges Vertriebsmodel) Page 27

28 Bei Fragen fragen! Page 28