Installation des Zertifikats am Beispiel eines Exchang -Servers. Voraussetzungen. Zertifikate importieren. Outlook-Webaccess

Transkript

1 HS-Anhalt (FH) Fachbereich EMW Seite 1 von 6 Stand Installation des Zertifikats am Beispiel eines Exchang -Servers Bedingt durch die verschiedenen Transportprotokolle und Zugriffsmethoden existiert auch eine Reihe von Stellen, an denen man das Zertifikat installieren muss. Dabei geht es hier nur wieder darum, den Zugriff von außerhalb des LANs durch Verschlüsselung abzusichern. Innerhalb des LANs sollte ohnehin der Zugriff mit Outlook im Exchangemodus gewählt werden, der den größten Funktionsumfang bietet und generell gesichert erfolgt. Für die anderen Zugriffsmethoden gelten von innerhalb des LANs die folgenden Aussagen genauso wie für den Zugriff von außerhalb des LANs. Voraussetzungen Es gelten die gleichen Aussagen wie im Dokument Installation des Zertifikats am Beispiel eines WWW-Servers unter Windows Zertifikate importieren Da die Beschreibung sehr umfangreich ist, sei hier ebenfalls auf das Dokument Installation des Zertifikats am Beispiel eines WWW-Servers unter Windows und den gleichnamigen Abschnitt dort verwiesen. Outlook-Webaccess Am Mailserver ist Outlook-WebAccess eine sehr beliebte Zugriffsmethode. Da der Zugriff einfach über einen Browser erfolgen kann, wird natürlich ein Webserver benötigt. Das ist unter Windows der IIS. Bei der Installation des Mailserver wird die Integration in den IIS schon perfekt mit erledigt. Wir gehen hier natürlich wieder davon aus, dass der Zugriff bereits komplett funktioniert und wollen wieder nur beschreiben, wie die Umstellung von http auf https erfolgt. Die Aktivitäten beziehen sich dabei ausschließlich auf die Absicherung des Webservers. Da die Beschreibung auch hier wieder sehr umfangreich ist, sei hier ebenfalls auf das Dokument Installation des Zertifikats am Beispiel eines WWW-Servers unter Windows und dort den Abschnitt Konfiguration des IIS verwiesen. Die Konfiguration ist fast völlig identisch. Lediglich bei den Authentifizierungsmethoden (Registerkarte Verzeichnissicherheit, Bearbeiten im Bereich Authentifizierung und Zugriffssteuerung), sollte die integrierte Windows-Authentifizierung ausgewählt sein. 06-Installation des Zertifikats am Beispiel eines Exchang -Servers.doc Seite 1 von 6

2 HS-Anhalt (FH) Fachbereich EMW Seite 2 von 6 Stand Damit sind alle Einstellungen für die Umstellungen auf https abgeschlossen. Als letztes hier nur noch ein Hinweis zur Umstellung auf die Formularbasierte Authentifizierung. Ziel ist die Umstellung des Anmeldedialogs auf dieses Anmeldefenster: Wie zu sehen ist, kann im Bereich Sicherheit zwischen Öffentlicher und Privater Computer unterschieden werden. Bei Inaktivität des Users wird dieser durch eine beschränkte Cookie- Lebensdauer nach einer Zeit von 15Minuten (Öffentlicher Computer) automatisch abgemeldet. Schaltet man auf Privaten Computer um, verlängert sich diese Zeit auf 24 Stunden. Durch diese Art der Cookie-Nutzung ist es auch nicht mehr erforderlich, das Browserfenster nach der Abmeldung zu schließen, um sicher auszuschließen, dass die im Browser zwischengespeicherten Anmeldeinformationen durch den nächsten Benutzer missbraucht werden können. Das ist ein erheblicher Sicherheitsgewinn auf der Clientseite vor allem für Benutzer von Internetcafés. Die User müssen allerdings in den Browsereinstellungen Cookie s wenigstens für diese Webseite erlauben. 06-Installation des Zertifikats am Beispiel eines Exchang -Servers.doc Seite 2 von 6

3 HS-Anhalt (FH) Fachbereich EMW Seite 3 von 6 Stand Die Umstellung auf diese formularbasierte Authentifizierung erfolgt recht einfach im Exchange-System-Manager. Klicken Sie auf Start, Programme, Microsoft Exchange, System-Manager. Erweitern Sie nun wie im Bild oben gezeigt unter Administrative Gruppen die Anzeige, bis Sie zu den Protokollen gelangen. Erweitern Sie dort HTTP bis zum Virtuellen Exchange- Server. Öffnen Sie nun mit einem rechten Mausklick auf diesen Virtuellen Exchange-Server das Eigenschaften Fenster. Wechseln Sie auf die Registerkarte Einstellungen, und setzen Sie den Haken vor Formularbasierte Authentifizierung aktivieren. Sie können noch die Komprimierung setzen und dann mit OK bestätigen. Das war es schon. POP3 Bei POP3 ist, wie bei allen weiteren Zugriffsmethoden auch, der Bereich Protokolle im Exchange-System-Manager die richtige Anlaufstelle. Öffnen Sie also wie oben beschrieben den System-Manager und wechseln Sie zum Virtuellen Standardserver für POP3. 06-Installation des Zertifikats am Beispiel eines Exchang -Servers.doc Seite 3 von 6

4 HS-Anhalt (FH) Fachbereich EMW Seite 4 von 6 Stand Öffnen Sie wieder mit einem rechten Mausklick darauf den Eigenschaften Dialog und wechseln Sie auf die Registerkarte Zugriff. Über die Schaltfläche Zertifikat muss wieder das Zertifikat installiert werden. Das läuft wieder so ab, wie bereits im Dokument Installation des Zertifikats am Beispiel eines WWW-Servers unter Windows beschrieben. Benutzen Sie die Schaltflächen Authentifizierung und Kommunikation um die in den beiden Bildern gezeigten Einstellungen vorzunehmen. Bestätigen Sie mit OK. Der Virtuelle Standardserver für POP3 muss neu gestartet werden. Dazu existieren in der Symbolleiste entsprechende Schaltflächen: Kontrollieren Sie sicherheitshalber auf der Registerkarte Allgemein, mit Erweitert, ob der SSL-Anschluss aktiviert ist. Die User müssen ab nun Ihre Clients entsprechend umstellen. Dafür existieren gesonderte Beschreibungen. 06-Installation des Zertifikats am Beispiel eines Exchang -Servers.doc Seite 4 von 6

5 HS-Anhalt (FH) Fachbereich EMW Seite 5 von 6 Stand SMTP Der Zugriff per POP3 ermöglicht nur das Lesen von s. Zum Senden ist das Protokoll SMTP erforderlich. Im System-Manager existiert dazu unter Protokolle der Virtuelle Standardserver für SMTP. Wichtiger Hinweis: Der Standardserver für SMTP ist das zentrale Verbindungselement zwischen Mailservern. Wenn eine unseren Server verlässt und zu einem anderen Mailserver gesendet werden muss, geschieht das über diesen virtuellen Server. Gleiches trifft zu, wenn andere Server an uns Mails übertragen. Alle Mails von extern laufen zunächst über diesen virtuellen SMTP - Server ein und werden danach dem Benutzerpostfach zugestellt. Die Kommunikation zwischen diesen Servern muss generell unverschlüsselt bleiben, und die Anmeldung muss anonym erfolgen können. Ansonsten würden wir Mails weder von extern empfangen, noch nach extern versenden können. Deshalb können wir hier also nicht so einfach wie bei POP3 die Kommunikation auf SSL umstellen. Die Kommunikation muss weiter über Port 25 unverschlüsselt laufen können. Der Exchange Mailserver unterstützt den erweiterten SMTP- Kommandosatz ESMTP. Damit kann bei Bedarf auf Verschlüsselung gewechselt werden. (EHLO,START-TLS, TLS). Diese Umschaltung auf Verschlüsselung wird immer genau dann erfolgen, wenn externe Clients START-TLS angefordert haben. Damit läuft für die individuellen User bereits die Anmeldung verschlüsselt. Die Kommunikation zwischen den Mailservern läuft gleichzeitig unverschlüsselt weiter. Das bedeutet nun, dass wir wieder das Zertifikat installieren müssen, aber auf keinen Fall generell SSL aktivieren dürfen. Wir öffnen nun den Eigenschaften Dialog durch einen rechten Mausklick auf den virtuellen Standardserver für SMTP Hinter der Schaltfläche Zertifikat muss als erstes in bekannter Weise das Zertifikat zugewiesen werden. Als nächstes wählen wir Authentifizierung und stellen alles so ein wie im linken Bild. 06-Installation des Zertifikats am Beispiel eines Exchang -Servers.doc Seite 5 von 6

6 HS-Anhalt (FH) Fachbereich EMW Seite 6 von 6 Stand Unter Kommunikation darf der Haken bei Sicherer Channel erforderlich keinesfalls gesetzt werden! Sicherheitshalber sollte der virtuellen Standardserver für SMTP neu gestartet werden. Die User müssen ab nun Ihre Clients entsprechend umstellen. Dafür existieren gesonderte Beschreibungen. IMAP4 Hier ist alles sinngemäß so wie bei POP3 einzustellen. Also erst das Zertifikat zuweisen und dann Authentifizierung und Kommunikation einstellen. Ein letzter Hinweis: Die Verschlüsselung für alle Protokolle gilt immer nur für den Übertragungsweg zwischen Client und Server. Damit ist die Verschlüsselung nur innerhalb der eigenen Organisation durchgängig gewährleistet. Also im LAN selbst und zwischen dem Client(übers Internet) und dem eigenen Mailserver. Muss die Mail den Server verlassen, weil sie an ein Postfach gesendet wird, was sich nicht auch auf Ihrem Mailserver befindet, dann wird sie zwischen den Mailservern unverschlüsselt übertragen. Dieser Übertragungsweg ist nur durch vorherige Verschlüsselung des Inhalts der Mail selbst zu schützen. In jedem Fall gilt aber, die Anmeldeinformationen (Benutzername/Passwort) für die Anmeldung am Mailserver sind auf jeden Fall immer geschützt. Viel Erfolg. 06-Installation des Zertifikats am Beispiel eines Exchang -Servers.doc Seite 6 von 6