Einrichten des Hornetsecurity Verschlüsselungsservice

Transkript

1 Einrichten des Hornetsecurity Verschlüsselungsservice Diese Anleitung erläutert Ihnen die Konfiguration und Verwendung des Verschlüsselungsservice. Ausgehend von der Grundkonfiguration werden die einsetzbaren Verschlüsselungsverfahren erklärt und anhand von Beispielen abweichende Regeln erstellt. Darüber hinaus werden Ihnen die Möglichkeiten der Bestellung und Verwaltung von Zertifikaten dargestellt. Die Nutzung des Websafe für die verschlüsselte Kommunikation sowie die Verwendung von Schlüsselwörtern innerhalb des -Betreffs sind ebenso Bestandteile dieser Anleitung. 1 Grundkonfiguration des Verschlüsselungsservice Die Nutzung des Hornetsecurity Verschlüsselungsservice ist kostenpflichtig! 1.1 Verschlüsselung aktivieren 1. Navigieren Sie im Control Panel auf Ihre Primärdomain. 2. Wählen im Bereich den Tab Verschlüsselung aus. 3. Setzen Sie, wie in Abbildung 1 gezeigt, den Haken bei Policy aktivieren. Abbildung 1: Verschlüsselung aktivieren 1.2 Verschlüsselungstauglichkeit für Kommunikationspartner überprüfen Sie können die Verschlüsselungstauglichkeit überprüfen, noch bevor Sie eine weitere Konfiguration der Verschlüsselungsrichtlinien vornehmen. 1

2 1. Klicken Sie auf Verschlüsselungstauglickeit des Kommunikationspartners. 2. Geben Sie die zu prüfenden -Adressen ein. Abbildung 2: Kommunikationspartner eingeben 3. Klicken Sie auf Prüfen, um festzustellen, welche Verschlüsselungsverfahren im -Verkehr unterstützt werden (siehe Abbildung 3). Abbildung 3: Verschlüsselungstauglichkeit überprüfen 1.3 Verschlüsselungsverfahren auswählen Unter Verschlüsselungsverfahren können Sie die zu verwendenden Verschlüsselungsverfahren auswählen (Abbildung 4). Abbildung 4: Verschlüsselungsverfahren aktivieren 2

3 Erläuterung der Verschlüsselungsverfahren: TLS: Verschlüsselt die zwischen dem Ausgangs- und Eingangsserver. Der Haken ist dauerhaft gesetzt, da diese Art der Verschlüsselung pauschal durchgeführt wird. EmiG: made in Germany überträgt Nachrichten verschlüsselt vom Endgerät bis zum -Server und zwischen den verschiedenen EmiG-Providern (gemäß den EmiG-Richtlinien). Zudem wird die Identität jedes Providers anhand einer Validierung der -Serverzertifikate und zugeordneten IP-Adressen innerhalb des EmiG-Verbunds überprüft. EmiG muss von den Kunden vorab gebucht werden und wird anschließend eingerichtet. Anschließend wird EmiG automatisch für die Kommunikation zwischen EmiG-Teilnehmern verwendet und es muss keine weitere Regel erstellt werden. DANE: Wird noch nicht unterstützt, ist aber aktuell in der Vorbereitung. Wenden Sie sich an den Support, um anschließend eine schnelle Einrichtung zu gewährleisten. PGP: Ist ein hybrides Verfahren zur Signierung und Verschlüsselung von s. Dieses basiert auf dem sogenannten Web of Trust: Statt einer hierarchischen Anordnung der Zertifizierungsstellen validieren die Benutzer die Vertrauenswürdigkeit der Schlüssel untereinander. S/MIME: Ist ein Standard für die Verschlüsselung und Signatur von MIME-gekapselten s durch ein hybrides Verschlüsselungsverfahren. Die Zertifizierungsstelle (CA) sichert die Echtheit der -Adresse und des Namens des Absenders zu. WEBSAFE: Ist der Haken gesetzt, muss noch eine Regel für die genaue Nutzung hinterlegt werden. Weitere Informationen finden Sie unter 3 Websafe. Nach der Aktivierung können Sie PGP, S/MIME und Websafe für die Definition von Verschlüsselungsregeln verwenden. Sie müssen jedoch festlegen, wer konkret mit wem Ende-zu-Ende-verschlüsselt kommunizieren soll. TLS und EmiG werden automatisch angewendet, wenn der Kommunikationspartner die Verschlüsselungsverfahren unterstützt. 1.4 Reihenfolge der Verschlüsselungsverfahren Wenn Sie mehrere Verschlüsselungsverfahren auswählen, werden diese in der folgenden Reihenfolge abgearbeitet: S/MIME PGP EmiG (DANE) TLS Websafe Zusätzlich können einige Verschlüsselungsverfahren untereinander kombiniert werden. (Siehe 1.7 Kombination von Verschlüsselungsverfahren) 3

4 1.5 Verschlüsselungsverfahren im Betreff anzeigen Um das Handling von verschlüsselten s zu vereinfachen, können Sie verschlüsselte s im Betreff markieren. Die Markierung ist frei wählbar. Abbildung 5: Verschlüsselung im Betreff anzeigen 1.6 Abweichende Kommunikationsverschlüsselungen setzen Ausgehend von den zuvor ausgewählten Verschlüsselungsverfahren können Sie Regeln für die Verschlüsselung von bestimmten s erstellen. Für ausgehende s können Sie zusätzlich den Typ der Regel ändern. Dafür stehen Ihnen die Typen Erweitert, -Header und -Body zur Verfügung. Außerdem können Sie in der Definition von Ausnahmeregeln reguläre Ausdrücke verwenden. Die Verwendung von regulären Ausdrücken wird in der Dokumentation zum Compliance Filter beschrieben. 1. Klicken Sie auf Hinzufügen, um eine neue Regel zu erstellen. 2. Wählen Sie die -Richtung aus (eingehend oder ausgehend). 3. Sie können nun den Absender und den Empfänger eintragen. Als Absender können ganze Domains, Gruppen von Benutzern und einzelne -Adressen eingetragen werden. 4. Wählen Sie die gewünschte Aktion aus. Sie können s Unverschlüsselt zulassen oder Immer verschlüsseln. 4

5 Wenn sie die Aktion Immer verschlüsseln wählen, müssen Sie die Verschlüsselungsart angeben. Für eingehende s können Sie TLS und DANE auswählen. Für ausgehende E- Mails können Sie alle zuvor ausgewählten Verschlüsselungsverfahren verwenden. In Abbildung 6 wird eine Ausnahmeregel für eingehende s der Domain domain.de definiert. Alle s werden durch die Aktion Immer verschlüsseln mit der Verschlüsselungsverfahren TLS verschlüsselt. (Diese Regel hat keine Funktion und dient nur zu Demonstrationszwecken, da TLS für alle eingehenden und ausgehenden s pauschal angewendet wird) Abbildung 6: Ausnahmeregel für eingehende s erstellen 5

6 In Abbildung 7 wird eine Regel für ausgehende s an die Domain domain.de definiert. Dabei werden die ausgehenden s mit TLS verschlüsselt und als Fallback wird der Websafe eingerichtet. Somit werden alle ausgehenden s an diese Domain verschlüsselt versendet. Abbildung 7: Ausnahmeregel für ausgehende s erstellen 6

7 In Abbildung 8 wird eine Regel definiert, bei der im -Header von ausgehenden s nach Geheimes Produkt gesucht wird. Wenn diese Phrase gefunden wird, wird die mit TLS verschlüsselt übertragen. Wenn der Kommunikationspartner kein TLS verwenden kann, wird die E- Mail an den Websafe übertragen. Damit ist eine unverschlüsselte Übertragung unmöglich. Die Phrase wird auch gefunden, wenn sie von Text umgeben ist. Somit wird ABCGeheimes ProduktDEF auch von der Regel gefunden. Abbildung 8: Ausnahmeregel für -Header oder -Body von ausgehenden s erstellen 7

8 Die einzelnen Regeln werden in einer Liste gesammelt und von oben nach unten abgearbeitet. Sie können die Regeln mit den grünen Pfeiltasten über der Liste ordnen (Abbildung 9). Wenn eine Regel zutrifft, wird die Abarbeitung gestoppt und es werden keine weiteren Regeln ausgeführt. Abbildung 9: Reihenfolge der Ausnahmeregeln 1.7 Kombination von Verschlüsselungsverfahren Es ist grundsätzlich möglich, die unterschiedlichen Verschlüsselungsverfahren zu kombinieren. In der folgenden Tabelle werden die Kombinationsmöglichkeiten dargestellt. Ein x bedeutet, dass diese Verschlüsselungsverfahren untereinander kompatibel sind. Verschlüsselungsverfahren TLS EmiG S/MIME PGP DANE WEBSAFE TLS x x x EmiG x x x S/MIME x x PGP x x DANE x x WEBSAFE Sie können zusätzlich zu allen Verschlüsselungsverfahren den Websafe auswählen, dieser wird dann als Fallback eingesetzt, falls der Kommunikationspartner keine andere Methode unterstützt. 8

9 Beispiel für die Kombination von Verschlüsselungsverfahren: In Abbildung 10 wird eine Regel für ausgehende s der Domain MeineDomain.de an die Domain Kommunikationspartner.de gebildet. Als Aktion wird Immer verschlüsseln mit den beiden Verschlüsselungsverfahren TLS und S/MIME ausgewählt. Nach dem Anwenden der Regel werden s verschlüsselt versendet, sofern der Kommunikationspartner die Verschlüsselungsverfahren unterstützt. Wenn Ihr Kommunikationspartner keine der ausgewählten Verschlüsselungsverfahren unterstützt, können Sie die Verschlüsselung Ihrer Nachrichten mit dem Websafe absichern. (Siehe: 3 Websafe) Abbildung 10: Kombination von TLS und S/MIME Wählen Sie für eine Regel alle vorhandenen Verschlüsselungsverfahren aus (Abbildung 11), werden die betroffenen s nach der in 1.4 Reihenfolge der Verschlüsselungsverfahren beschriebenen Reihenfolge verschlüsselt. Dabei werden alle Kombinationsmöglichkeiten berücksichtigt. Abbildung 11: Auswahl aller Verschlüsselungsverfahren 9

10 2 Zertifikatsverwaltung Die Zertifikatsverwaltung finden Sie im Bereich Zertifikate. Hier können Sie S/MIME-Zertifikate für die Benutzer der Domain bestellen und verwalten. 2.1 Zertifikatsanforderungen Um Zertifikate zu bestellen: 1. Wechseln Sie in den Tab Zertifikate. 2. Wählen Sie einen der vorgegebenen Benutzer aus. Abbildung 12: Benutzer auswählen 3. Geben Sie den Vornamen und Nachnamen genau an. Achtung: Überprüfen Sie ihre Eingaben, bevor Sie die Bestellung bestätigen, da das Zertifikat als digitale Unterschrift nur mit richtigem Namen Gültigkeit erhält. 10

11 4. Klicken Sie anschließend auf Bestellen, um die Bestellung verbindlich abzuschließen. 2.2 Zertifikatseinstellungen Abbildung 13: Zertifikatsbestellung In der Zertifikatsübersicht können Sie für jedes Zertifikat einstellen, ob dieses für die digitale Signatur und/oder zum Verschlüsseln genutzt werden soll. Nativ wird das Zertifikat für die Signatur und die Verschlüsselung verwendet. Zusätzlich bietet die Übersicht an, ein Abonnement für dieses Zertifikat zu aktivieren oder zu deaktivieren. Bei einer Einstellung als Abonnement werden Zertifikate automatisch vor ihrem Ablauf erneuert. Standardmäßig sind die Zertifikate als Abonnement eingestellt. Die automatische Zertifikatsanforderung wird 29 Tage vor Ablauf des alten Zertifikates durchgeführt. Sofern Sie kein Abonnement wünschen, sollten Sie der Haken bis spätestens 30 Tage vor Ablaufdatum des alten Zertifikates bei Abo in der Übersicht für den Benutzer entfernen. Abbildung 14: Zertifikatsübersicht und Einstellung 11

12 3 Websafe Der Hornetsecurity Websafe ist eine Methode, um s verschlüsselt an Empfänger zu versenden, die keine anderen Verschlüsselungsverfahren unterstützen. Die wird an den Hornetsecurity Websafe weitergeleitet und dort gespeichert. Der -Empfänger erhält die Zugangsdaten zu seinem persönlichen Websafe. Zusätzlich muss der Websafe noch durch eine PIN entsperrt werden, die der Absender dem Empfänger separat zustellen muss. Mit den Zugangsdaten aus der und dem PIN kann der Empfänger auf seinen persönlichen Websafe zugreifen. Er kann dort ein Passwort setzen und verschlüsselte Nachrichten einsehen. Der Websafe-Zugang wird für den Benutzer eingerichtet und bleibt für zukünftige Websafe- Nachrichten bestehen. 3.1 Einrichten Sie müssen zuvor Websafe in den Verschlüsselungsverfahren aktivieren (1.3 Verschlüsselungsverfahren auswählen). Um den Websafe für bestimmte Kommunikationspartner zu aktivieren (Abbildung 14): 1. Klicken Sie im Tab Verschlüsselung unter Policy auf Hinzufügen. 2. Wählen Sie als Richtung Ausgehend aus. 3. Setzen Sie den Haken vor An. 4. Tragen Sie den Empfänger in das Textfeld ein. 5. Wählen Sie als Aktion Immer verschlüsseln aus. 6. Aktivieren Sie den Haken bei Websafe. Wenn keine anderen Verschlüsselungsverfahren für die Kommunikation genutzt werden können wird nun der Websafe verwendet. 12

13 Abbildung 15: Websafe für einen Kommunikationspartner einrichten Sie können den Websafe auch verwenden, um s immer verschlüsselt zu versenden, wenn keine andere Verschlüsselungsverfahren greift (Abbildung 16): 1. Klicken Sie unter Policy auf hinzufügen. 2. Wählen Sie als Richtung Ausgehend aus. 3. Aktivieren Sie die Haken bei Von und An. 4. Tragen Sie in beide Felder.* ein. 5. Wählen Sie Immer verschlüsseln als Aktion aus und setzen Sie den Haken bei Websafe. 13

14 Abbildung 16: Websafe für alle unverschlüsselten s verwenden Sie können zudem eine Regel erstellen, um s durch eine Markierung im Betreff mit dem Websafe zu verschlüsseln (Abbildung 17): 1. Klicken Sie unter Policy auf hinzufügen. 2. Wählen Sie aus Richtung Ausgehend aus. 3. Aktivieren Sie den Haken bei Betreff. 4. Tragen Sie in das Feld WEBSAFE ein. 5. Wählen Sie als Aktion Immer verschlüsseln aus und setzen Sie den Haken bei Websafe. 14

15 3.2 Websafe Templates Abbildung 17: Websafe im Betreff der Sie können für die Websafe- s sowohl für Sender und Empfänger als auch für die Webseite der Websafe-Aktivierung verschiedene Templates auswählen. Navigieren Sie zu Websafe Templates im Tab Verschlüsselung und wählen Sie die gewünschten Templates aus. Abbildung 18: Websafe Templates Als Partner können Sie neue Templates erstellen und bestehende Templates ändern. (Siehe: Control Panel Handbuch Templates) 15

16 4 Schlüsselwörter im Betreff verwenden Wenn Sie den Verschlüsselungsservice gebucht haben, können Sie die folgenden Schlüsselwörter im Betreff Ihrer s verwenden und damit bestimmte Aktionen auslösen: CRYPT: Die wird mit den gebuchten Verschlüsselungsverfahren nach der in 1.4 Reihenfolge der Verschlüsselungsverfahren beschriebenen Reihenfolge verschlüsselt. (Wird zurzeit nicht ausgewertet) NOCRYPT: Die wird unverschlüsselt versendet. SIGN: Die wird signiert versendet. NOSIGN: Die wird unsigniert versendet. WEBSAFE: Die wird an den Websafe versendet. (Nur nach vorheriger Einrichtung der Regel im Control Panel) Verwenden Sie die Schlüsselwörter immer in Großbuchstaben. 16