Absichern von Microsoft Exchange 2010

Transkript

1 Absichern von Microsoft Exchange 2010 mit Thawte SSL-Zertifikaten

2 Starkes SSL = sichere Kommunikation Es gibt zahlreiche Gründe für den Wechsel zu Microsoft Exchange Server Funktionserweiterungen in den Bereichen Verwaltung und Sicherheit sind nur einige. Doch wie bei Microsoft Exchange Server 2007 sollte auch unter Exchange 2010 die Sicherheit sämtlicher Verbindungen zum -Server mit SSL-Zertifikaten gewährleistet werden. Dieser Leitfaden von Thawte sorgt für Klarheit bei der Implementierung von SSL für Exchange Damit ist es noch einfacher als zuvor, das richtige SSL-Zertifikat auszuwählen, um Exchange 2010 erfolgreich und sicher zu implementieren, und leistungsstarke Funktionen wie Subject Alternative Names (SANs) zu nutzen. Was ist ein SSL-Zertifikat? Ein SSL-Zertifikat ist Code, der Ihre Online-Kommunikation absichert. Stellt ein Webbrowser eine Verbindung zu Ihrer gesicherten Website bzw. Ihrem gesicherten Anwendungsserver her, ermöglicht das SSL-Zertifikat eine verschlüsselte Verbindung. Das Verfahren ist vergleichbar mit dem Versiegeln eines Briefs vor dem Versenden. SSL-Zertifikate schaffen zudem Vertrauen, da jedes SSL-Zertifikat Identifizierungsinformationen enthält. Wenn Sie ein SSL-Zertifikat anfordern, verifiziert eine Drittpartei (wie Thawte) Ihre Unternehmensdaten und gibt auf der Basis dieser Daten ein nur für Sie bestimmtes Zertifikat aus. Dies wird als Authentifizierung bezeichnet. Die Wahl des geeigneten SSL-Zertifikats für Exchange 2010 Für die Absicherung Ihrer Exchange-Infrastruktur stehen drei verschiedene SSL-Zertifikate zur Auswahl: selbstsignierte Zertifikate, die Sie selbst ausgeben, Windows Public Key Infrastructure (PKI)-Zertifikate sowie Zertifikate von vertrauenswürdigen, unabhängigen Zertifizierungsstellen (die auch als öffentliche Zertifikate bezeichnet werden). Microsoft empfiehlt die Verwendung eines SSL-Zertifikats, das von einer vertrauenswürdigen, unabhängigen, externen Zertifizierungsstelle ausgestellt wird, bevor Sie einen neuen -Server in Ihre Produktionsumgebung einfügen 1. Bei der Nutzung eines Zertifikats einer bekannten Zertifizierungsstelle müssen Sie nicht Ihr eigenes Root-Zertifikat auf jedem Client installieren, der auf Ihren Exchange-Server zugreift. (Ihr Helpdesk-Team wird Ihnen dafür dankbar sein, da es ansonsten jedes Mal auf Konfigurationsanfragen reagieren muss, sobald ein neuer mobiler oder Browser-Client eine Verbindung herstellt) 2. Und noch einen weiteren Punkt sollten Sie beachten: Das Outlook Anywhere-Protokoll funktioniert nicht zusammen mit einem selbstsignierten SSL-Zertifikat. Benennen Ihres Exchange-Servers Vor dem Kauf und der Installation von SSL-Zertifikaten müssen Sie den vollqualifizierten Domainnamen (Fully Qualified Domain Name = FQDN; auch als URL oder Common Name bezeichnet) für Ihren Server identifizieren und diesen Namen in Active Directory in die Liste der vertrauenswürdigen Server einfügen. Ihr FQDN sieht in etwa wie folgt aus: mail.ihrserver.com Sie benötigen mehrere FQDNs für Ihren Server. Auf Ihrem Server werden sehr wahrscheinlich mehrere Dienste ausgeführt. Daher müssen Sie jeden Namen ausfindig machen, der möglicherweise von einem anderen Server oder Client verwendet wird, um auf Ihren Exchange-Server zu verweisen. Die Angabe Ihrer Exchange Common Names im FQDN-Format ist an sich eine gute Idee. Allerdings gibt es dabei einige Einschränkungen zu beachten. Common Names dürfen maximal 64 Zeichen lang sein. Falls Sie ein langes FQDN-Benennungsschema verwenden, passt möglicherweise der komplette FQDN nicht in den Common Name-Standard. Common Names unterstützen Unicode. FQDN hingegen ist auf einen Teilbereich von ASCII-Zeichen beschränkt. Sollten Sie dennoch Ihren FQDN als Ihren Common Name verwenden können, lässt sich so der Konfigurationsaufwand im Endeffekt reduzieren 1. Microsoft TechNet; Understanding Digital Certificates and SSL; 2. Patricio, Anderson; Managing Certificates in Exchange Server 2010; [7. April 2001] 1

3 Es gibt einige Situationen, in denen Sie den FQDN als Common Name übernehmen müssen, beispielsweise wenn Sie einen Edge Transport-Server absichern, der einfaches SMTPS (Simple Mail Transfer Protocol) SSL über das Internet ausführt. In diesem Fall müssen Sie denselben FQDN verwenden, der im "A"-Datensatz des Servers auf dem öffentlichen Internet-DNS-Server veröffentlicht ist. Wenn dies nicht möglich ist (bzw. nicht gewünscht wird), verwenden viele Administratoren die kürzere Form des Domainnamens des FQDN für ihre Common Names. Im Folgenden sind einige Beispiele für Common Names aufgeführt, die mit demselben Exchange-Server verknüpft werden können. mail.ihrserver.com owa.ihrserver.com autodiscover.ihrserver.com outlook.ihrserver.com Sie müssen jeden einzelnen Ihrer Common Names mit SSL absichern und authentifizieren, da jedes Gerät, das auf Ihren Server verweist, exakt diese Namen verwenden muss. Nicht wenige IT-Mitarbeiter standen bereits vor dem Problem, dass ihre Exchange-Implementierung nicht funktionierte, weil sie die Rolle von Common Names auf ihrem Server nicht richtig verstanden hatten. Mit einem soliden Benennungsschema für Ihre Exchange-Umgebung können Sie zahlreiche Probleme in der Zukunft vermeiden. Weniger Aufwand mit Subject Alternative Names Alle Common Names müssen von SSL authentifiziert werden. Allerdings wäre es äußerst umständlich und auch teuer, wenn Sie ein separates SSL-Zertifikat für jeden einzelnen Common Name installieren müssten. Doch keine Sorge: Es gibt einen sehr viel einfacheren Weg. Die Lösung: Die Absicherung mehrerer Common Names für einen einzelnen Server wie dies für einen Exchange-Server erforderlich ist ist mithilfe eines Zertifikats mit mehreren SANs (Subject Alternative Names) problemlos möglich. Die SAN-Felderweiterung in einem SSL-Zertifikat ist seit mehr als einem Jahrzehnt Bestandteil des SSL-Zertifikatstandards. Dieses SAN-fähige Zertifikat funktioniert in nahezu jeder Hinsicht wie ein normales SSL-Zertifikat. Es bietet denselben Verschlüsselungs- und Authentifizierungsgrad. Der einzige Unterschied besteht darin, dass damit mehrere Common Names mit einem einzigen SSL-Zertifikat abgesichert werden können. Die SAN-Felderweiterung ist äußerst flexibel und mit praktisch allen Browsern und mobilen Geräten kompatibel. Mithilfe der SAN-Felderweiterung können Sie mit nur einem Zertifikat mehrere Domains, IP-Adressen, Servernamen und vieles mehr schützt also die ideale Lösung für die Absicherung Ihres Exchange-Servers. Best Practices für SANs Geben Sie den im Outlook-Profil für Ihre Outlook Anywhere-Verbindung konfigurierten "Certificate Principal Name" (Zertifikat-Prinzipalname) als "Subject Name" (Subjektname) in Ihrem SSL-Zertifikat an. Fügen Sie den vollqualifizierten Domainnamen (FQDN) für Ihren Server als Common Name in Ihrem Zertifikat ein. Beachten Sie auch, dass der AutoErmittlungsdienst (falls Sie diesen Dienst verwenden) als ein SAN aufgeführt sein muss: autodiscover.ihrserver.com. Alle Common Names für die verschiedenen Dienste, die Sie zusammen mit Ihrer Exchange-Implementierung einsetzen, müssen in Ihrem SAN aufgeführt werden. Die am häufigsten verwendeten Dienste sind Outlook Web App (OWA), ActiveSync und Outlook Anywhere. Falls Sie einen oder mehrere Client Access Server (CAS) bereitgestellt haben, müssen Sie alle diese FQDNs in Ihre SAN-Liste aufnehmen. Platzhalterzertifikate Platzhalterzertifikate unterscheiden sich von SAN-Zertifikaten. Mit Platzhalterzertifikaten kann eine unbegrenzte Anzahl an Subdomänen geschützt werden. Mit einem Platzhalterzertifikat für *.IhreDomäne.com werden beispielsweise Subdomänen wie info.ihredomäne.com und shop.ihredomäne.com gesichert. Platzhalter unterliegen jedoch einigen Einschränkungen, da sie die gleiche Domäne und die gleiche Anzahl an Ebenen teilen müssen. Zudem können Sie den AutoErmittlungsdienst in Exchange nicht zusammen mit einem SSL-Platzhalterzertifikat einsetzen. 2

4 Verwenden des neuen Zertifikatsassistenten für Exchange Server 2010 Die Einrichtung von Domainnamen für Ihren Exchange Server 2010 ist mit dem neuen Exchange- Zertifikatsassistenten einfacher geworden. Die neue grafische Benutzeroberfläche bietet eine Alternative zur Exchange Power Shell. Mit der Exchange-Konfigurationsoption wird eine Standardserverkonfiguration eingerichtet, die bei der Bestellung eines SSL-Zertifikats verwendet wird. Diese Option ist sehr praktisch. Doch sollten Sie die Standardkonfigurationsoptionen mit Ihrer tatsächlichen Implementierung vergleichen. Schließlich möchten Sie nicht die falschen SANs für Ihr SSL-Zertifikat bestellen, wenn Ihre Benennung nicht der Exchange-Standardkonfiguration entspricht. Kauf Ihres SSL-Zertifikats Sobald Sie alle SAN-Namen zugeordnet haben, können Sie Ihr SSL-Zertifikat bestellen. Der Kauf von SAN-Zertifikaten ist nicht kompliziert. Allerdings sollten Sie genau wissen, wie viele SANs Sie für das Zertifikat benötigen, bevor Sie es bestellen. Einige Zertifizierungsstellen bieten die Möglichkeit, bestehende SANs zu bearbeiten, falls Sie einen Namen ändern müssen. Wenn Sie Ihre SANs nicht bearbeiten, müssen Sie Ihr Zertifikat erneut ausgeben lassen und neu installieren, damit diese Änderungen von Ihrem Server registriert werden. Nicht alle SSL-Anbieter bieten kostenlose Neuausgaben in unbegrenzter Menge für die von ihnen ausgestellten Zertifikate. Daher sollten Sie sich für eine Marke wie beispielsweise Thawte entscheiden, die diesen Service anbietet. Entscheiden Sie sich für einen zuverlässigen und vertrauenswürdigen SSL-Anbieter. Achten Sie darauf, dass dessen Root-Zertifikate häufig eingesetzt werden und die maximale Anzahl von Browsern und Servern unterstützen. Sie sollten Ihre kostbare Zeit nicht damit zubringen müssen, sicherzustellen, dass die SSL-Roots Ihrer Zertifizierungsstelle überall dort vorhanden sind, wo Sie sie benötigen. Falls Sie mehrere Zertifikate besitzen, sollten Sie den Kauf eines SSL-Zertifikats für Unternehmen in Erwägung ziehen. Diese Zertifikate verfügen in der Regel über leistungsfähige Verwaltungskonsolen, mit denen Sie alle Ihre Zertifikate an zentraler Stelle überwachen und verwalten können. So vermeiden Sie Ausfälle aufgrund von plötzlich abgelaufenen Zertifikaten. Oft bieten diese Konsolen auch nützliche Berichtfunktionen, mit denen Sie Ihren künftigen Bedarf an SSL-Zertifikaten besser prognostizieren können. SAN SSL-Kaufoptionen Ein SAN SSL-Zertifikat, das manchmal auch als "Unified Communications-Zertifikat" (UC-Zertifikat oder einfach nur UCC) bezeichnet wird, wird in der Regel nicht speziell als separates Produkt angeboten. Im Idealfall sollten Sie das SSL-Zertifikat mit dem von Ihnen benötigten Authentifizierungsgrad auswählen können und dann die zusätzlichen Namen angeben, die Sie mit diesem Zertifikat schützen müssen. Einige Zertifizierungsstellen bieten nur einen UC-Zertifikattyp an. Für Thawte gilt diese Einschränkung nicht. Sie können SANs zu Thawte SGC SuperCerts, Thawte SSL-Webserverzertifikaten oder Thawte SSL-Webserverzertifikaten mit EV hinzufügen. Sie zahlen den ursprünglichen Preis für das Zertifikat plus eine Gebühr für die Aktivierung von SANs zum Schutz zusätzlicher Domainnamen. Erstellen einer CSR mit dem Exchange-Zertifikatsassistenten Um sich für Ihr SSL-Zertifikat anzumelden, müssen Sie eine Signaturanforderung für ein Zertifikat (Certificate Signing Request = CSR) erzeugen. Glücklicherweise enthält Exchange 2010 einen Zertifikatsassistenten, der diesen Prozess vereinfacht. Hier sind sechs einfache Schritte für die Erzeugung Ihrer eigenen CSR: 1. Öffnen Sie die Exchange Management Console unter "Start > Programme > Microsoft Exchange 2010 > Exchange Management Console". Wählen Sie "Manage Databases" (Datenbanken verwalten) (siehe die nachfolgende Bildschirmabbildung). 3

5 2. Wählen Sie "Server Configuration" (Serverkonfiguration) aus dem Menü auf der linken Seite und dann "New Exchange Certificate" (Neues Exchange-Zertifikat) aus dem Menü "Actions" (Aktionen) auf der rechten Seite aus. Wenn Sie aufgefordert werden, einen benutzerfreundlichen Namen ("Friendly Name") einzugeben, geben Sie einen Namen ein, den Sie sich leicht merken können und mit dem Sie dieses Zertifikat leicht wiedererkennen. Dieser Name wird nur zu Identifizierungszwecken angegeben und ist nicht Teil der CSR. 3. Unter "Domain Scope" (Domänenumfang) können Sie das Kontrollkästchen aktivieren, wenn Sie die CSR für ein Platzhalterzertifikat erzeugen. Falls dies nicht der Fall ist, wählen Sie "Next" (Weiter). 4. Wählen Sie im Menü "Exchange Configuration" (Exchange-Konfiguration) die Dienste aus, die geschützt werden sollen. Wenn Sie dazu aufgefordert werden, geben Sie die Namen ein, über die Sie eine Verbindung zu diesen Diensten herstellen. 5. Im nächsten Bildschirm können Sie eine Liste mit Namen überprüfen, die Exchange 2010 zur Einfügung in Ihre Zertifikatanforderung vorschlägt. Geben Sie für "Organization" (Organisation) den vollständigen rechtskräftigen Namen Ihres Unternehmens ein, wie er offiziell eingetragen ist. "Organization Unit" (Organisationseinheit) ist Ihre Abteilung innerhalb des Unternehmens, die für SSL zuständig ist. 4

6 6. Klicken Sie auf "Browse" (Durchsuchen), um die CSR als.req-datei zu speichern. Klicken Sie nacheinander auf "Save" (Speichern), "Next" (Weiter), "New" (Neu) und dann "Finish" (Fertig stellen). Sie können jetzt die CSR mit einem Texteditor wie beispielsweise Notepad öffnen. Kopieren Sie alles ab dem ersten Bindestrich (-) der BEGIN-Zeile bis zum letzten Bindestrich der END-Zeile Fügen Sie diesen Text in das Online-Bestellformular ein. HINWEIS: Exchange 2010 verwendet standardmäßig eine RSA-Schlüssellänge von 1024 Bit. Thawte empfiehlt jedoch die Verwendung eines 2048-Bit Schlüssels. Wenn Sie eine CSR für ein Extended Validation-Zertifikat oder ein Zertifikat mit einem Gültigkeitszeitraum, der über den 31. Dezember 2013 hinausgeht, erstellen, müssen Sie eine 2048-Bit Schlüssellänge auswählen. Installieren Ihres Thawte SSL-Zertifikats Wenn Sie Ihr SSL-Zertifikat bei Thawte erworben haben, erhalten Sie eine , die Ihr Zertifikat enthält. Diese enthält codierte Daten zwischen Header und Footer, ähnlich wie im nachfolgenden Text: This is your SSL certificate BEGIN CERTIFICATE----- [codierte Daten] -----END CERTIFICATE----- Erstellen Sie mithilfe von Notepad oder einem anderen Texteditor eine Datei mit dem in dieser enthaltenen Zertifikatinhalt. Achten Sie darauf, dass auf jeder Seite des Texts BEGIN CERTIFICATE und END CERTIFICATE fünf (5) Bindestriche stehen und keine Leerzeichen, zusätzlichen Zeilenumbrüche oder weiteren Zeichen versehentlich hinzugefügt werden. Speichern Sie die Datei mit der Erweiterung.txt oder.p7b. Installieren Sie anschließend Ihr Thawte SSL-Zertifikat mit diesen sechs einfachen Schritten: 1. Öffnen Sie die Exchange Management Console: Start > Programme > Microsoft Exchange 2010 > Exchange Management Console. 2. Wählen Sie "Manage Databases" (Datenbanken verwalten) und dann "Server Configuration" (Serverkonfiguration) aus. Wählen Sie das Zertifikat aus dem mittleren Menü aus (das Zertifikat wird mit seinem benutzerfreundlichen Namen ("Friendly Name") angezeigt), und wählen Sie dann im Menü "Actions" (Aktionen) die Option "Complete Pending Request" (Anstehende Anfrage abschließen). 3. Navigieren Sie zur Zertifikatdatei, und wählen Sie dann " Open > Complete" (Öffnen > Abschließen). Hinweis: Gelegentlich wird in Exchange 2010 folgende Fehlermeldung angezeigt: "The source data is corrupted or not properly Base64 encoded" (Die Quelldaten sind beschädigt oder nicht richtig Base64 codiert). Normalerweise können Sie diese Fehlermeldung ignorieren. Das Zertifikat wird in den meisten Fällen richtig installiert. 4. Drücken Sie die F5-Taste, um das Zertifikat zu aktualisieren, und überprüfen Sie, ob unter "Self Signed" (Selbstsigniert) jetzt "False" (Falsch) angezeigt wird. Sollte an dieser Stelle noch "True" (Wahr) angezeigt werden, wurde eventuell das falsche Zertifikat ausgewählt oder die Anfrage wurde möglicherweise auf einem anderen Server erstellt. Sie können dieses Problem beheben, indem Sie auf diesem Exchange-Server eine neue CSR erzeugen und das Zertifikat von Ihrer Zertifizierungsstelle neu ausgeben lassen. 5. Aktivieren Sie das Zertifikat, indem Sie die Exchange Management Console erneut aufrufen und auf den Link für "Assign Services to Certificate" (Dienste dem Zertifikat zuweisen) klicken. Wählen Sie den Server aus der angezeigten Liste aus, und klicken Sie auf "Next" (Weiter). 6. Wählen Sie die Dienste aus, für die das Zertifikat aktiviert werden muss, und klicken Sie dann auf "Next > Assign > Finish" (Weiter > Zuweisen > Fertig stellen). 5 Herzlichen Glückwunsch! Ihr Thawte SSL-Zertifikat sollte jetzt installiert und für den Einsatz in Ihrer Microsoft Exchange 2010 Server-Umgebung aktiviert sein.

7 Erste Schritte mit SSL Thawte SSL-Zertifikate für Exchange 2010 Mit Thawte an Ihrer Seite stärken Sie das Vertrauen Ihrer Kunden und die Bereitschaft, sichere Internetgeschäfte mit Ihnen zu tätigen. Unterstützung durch Experten in vielen Sprachen, sichere Authentifizierungsverfahren und eine problemlose Online-Verwaltung machen Thawte zu einem der günstigsten Anbieter für SSL- und Code Signing-Zertifikate. Thawte SGC SuperCerts, Thawte SSL-Webserverzertifikate oder Thawte SSL- Webserverzertifikate mit EV können für SANs aktiviert werden und sind für Exchange 2010 geeignet. Thawte Subject Alternative Name (SAN)-Zertifikate Thawte Subject Alternative Name (SAN)-Zertifikate sind leistungsstarke Tools, mit denen Sie mehrere Domainnamen kostengünstig und effizient absichern können. Diese Zertifikate, die auch als Unified Communications-Zertifikate (UCC) bezeichnet werden, sind eine ideale Lösung für Microsoft Exchange 2010 und Microsoft Communications Server. Der Kauf eines SSL-Zertifikats ist ganz einfach: Erwerben Sie ein SSL-Webserverzertifikat, ein SSL- Webserverzertifikat mit EV oder ein SGC SuperCert, und fügen Sie SANs während des Anmeldeprozesses hinzu. Anders als viele andere Zertifizierungsstellen sind Sie bei Thawte nicht auf eine UCC-Option beschränkt. Sie möchten ein SAN-Zertifikat mit Server Gated Cryptography (SGC)? Sie möchten ein SAN-Zertifikat mit Extended Validation? Sie möchten ein SAN-Zertifikat mit Unternehmensvalidierung? Mit Thawte haben Sie die Wahl. Thawte bietet eine flexible SAN-Zertifizierungslösung ganz nach Ihrem Bedarf. Thawte SGC Supercerts Thawte SGC SuperCerts sorgen für sichere Online-Transaktionen, da sie für alle Website-Besucher die höchstmögliche SSL-Verschlüsselung sicherstellen. Die meisten SSL-Zertifikate unterstützen sichere Verschlüsselungsraten (128 Bit und mehr). Bei bestimmten älteren Browsern und Betriebssystemen kann die Verschlüsselung jedoch nur bei Verwendung eines SSL-Zertifikats mit SGC auf 128 Bit hochgestuft werden. SGC SuperCerts bieten SGC, volle Authentifizierung des Unternehmens, das Thawte Trusted Site-Siegel, kostenlose Neuausgaben und eine 30 Tage Geld-zurück-Garantie. Thawte SSL Webserverzertifikate SSL-Webserverzertifikate von Thawte sichern online ausgetauschte vertrauliche Daten und bestätigen Mitarbeitern, Geschäftspartnern und sonstigen Nutzern die Identität Ihrer Website. Sobald Benutzer auf das Thawte Trusted Site-Siegel klicken oder sich die Zertifikatsdetails anzeigen lassen, erscheint Ihr Organisationsname und zeigt, dass Thawte, eine vertrauenswürdige Zertifizierungsstelle, die Identität Ihrer Website überprüft hat. SSL- Webserverzertifikate bieten volle Authentifizierung des Unternehmens, das Thawte Trusted Site-Siegel, kostenlose Neuausgaben und eine 30 Tage Geld-zurück-Garantie. Thawte SSL-Webserverzertifikat mit Extended Validation (EV) Thawte SSL-Webserverzertifikat mit EV erlauben den optimal sichtbaren Sicherheitsindikator: Die grüne Adressleiste in hochsicheren Browsern macht Benutzern deutlich, dass Ihre Website sicher ist und Ihre Identifizierung nach den branchenweit höchsten Standards durchgeführt wurde. Die grüne Adressleiste und das Thawte Trusted Site-Siegel verleihen Ihren Kunden das nötige Vertrauen, um ihre Transaktionen durchzuführen. Hinweis: Extended Validation (EV)-Zertifikate können nur für FQDNs und nicht für interne Namen ausgestellt werden. SSL-Webserverzertifikate mit EV umfassen das Thawte Trusted Site-Siegel, kostenlose Neuausgaben und eine 30 Tage Geld-zurück-Garantie Thawte, Inc. Alle Rechte vorbehalten. VeriSign, das Thawte-Logo und andere Marken, Servicemarken und Designs sind eingetragene oder nicht eingetragene Marken von Thawte, Inc. und seinen Niederlassungen bzw. verbundenen Unternehmen in den USA und anderen Ländern. Alle anderen Marken sind Eigentum der jeweiligen Rechteinhaber. 6