TYPO3-Extension für PGP-Verschlüsselung (gnupg_mailformplus) Stand:

Transkript

1 TYPO3-Extension für PGP-Verschlüsselung () Stand: Einleitung: Auf der Cebit 2009 in Hannover hat das Bundesamt für Sicherheit in der Informationstechnik den Bericht Die Lage der IT-Sicherheit in Deutschland 2009 vorgestellt. In dem Lagebericht heißt es: Das Bewusstsein für IT- Sicherheit ist gestiegen, Betriebssystem-Updates werden häufiger durchgeführt und IT-Sicherheitstechniken konsequenter angewendet. Sorgen bereitet jedoch der Umgang mit persönlichen Daten in den "Mitmach"- Anwendungen des Web 2.0, insbesondere in den immer populärer werdenden Social Networks. Bedenkenlos geben viele Anwender in ihren Benutzerprofilen detailliert private Informationen preis. Für Cyberkriminelle ist es dadurch einfach, in Social Networks potenzielle Opfer auszuspionieren und gezielt anzugreifen. Das Thema Web 2.0 wird daher künftig eine wichtige Rolle bei der Aufklärung und Sensibilisierung der IT-Nutzer spielen. Für Unternehmen bzw. Webseitenbetreiber ist es somit unerlässlich die Sicherheit und Authentizität ihrer eigenen Daten, sowie der ihrer Kunden zu gewährleisten. Häufig werden im Internet Informationen leichtfertig herausgegeben, daher ist es besonders wichtig die Kette der Sicherheit zu schließen und wenn möglich Sicherheitskonzepte ohne Mehraufwand für den Nutzer einzubinden. So sollen die heutigen Online-Formulare die Kommunikation vereinfachen und so viele Details im Voraus abfragen, damit eine zielgerichtete Adressierung und Zuweisung möglich wird. Die bekannteste Art ist das Kontaktformular auf der Website und geht hinein bis in den Intranet-Bereich zur Übermittlung von hoch sensiblen Informationen. Bei allen Übertragungen sollte jedoch sichergestellt sein, dass die Information von anderen nicht gelesen wird. Dies wird im Stillen vorausgesetzt, erweist sich bei näherer Betrachtung aber oftmals als großer Irrtum. Verschiedene Analysen haben immer wieder aufgedeckt, dass zwar die Verschlüsselung zwischen dem ausfüllenden Klienten (also seinem PC) und dem Webserver per SSL stattfindet aber vom Webserver zum zuständigen Bearbeiter oftmals eine reine Textdatei ist! Und damit ist die Information für andere lesbar - im Klartext - wie bei einer Postkarte. Ob Kontoinformationen, persönliche Daten, Bewerbungsdokumente, Forecast-Zahlen, etc., die sicher geglaubten Daten wandern ungesichert durch das Netz. Die ambodis GmbH hat sich diesem Thema gewidmet und in Zusammenarbeit mit TYPO4YOU eine Lösung geschaffen, die diese Lücke, vorerst bei TYPO3 basierten Webservern, schließt: Eine automatische Verschlüsselung der Daten per PGP als TYPO3-Extension die im Hintergrund läuft und die übergebenen Daten automatisch verschlüsselt. Seite 1 von 5

2 Funktionsweise: Die von der ambodis GmbH undtypo4you entwickelte Lösung basiert auf einem der führenden und weit verbreitesten Content Management Systemen (CMS) TYPO3. Sie wurde als TYPO3-Extension entwickelt, die auch als solche zu installieren ist. In der derzeitigen Fassung ist sie auf die als Formular meist genutzte Extension MailformPlus (th_mailformplus) adaptiert, bei Bedarf besteht die Möglichkeit die Programmierung auf andere Extensions oder jedem beliebigen PHP-Webmailer auszudehnen. Die Extension wurde über XCLASS (extended CLASSes) realisiert, welche in MailformPlus (th_mailformplus, ab Version 4.0.5) verwendetet Klassen überschreibt und somit bei der Versendung an den -Empfänger alle Felddaten per PGP verschlüsselt. Anstelle der XCLASS-Einbindung wäre die HOOK-Methode denkbar, jedoch müsste hier der Autor von th_mailformplus diese Möglichkeit bereitstellen. Sobald auf den Absendebutton gedrückt wird, werden alle Inhalte der Felder an die Extension übergeben. Diese verknüpft die Daten mit dem hinterlegten Public-Key (welcher zuvor in einem frei wählbaren Verzeichnis hinterlegt wurde) und generiert daraus verschlüsselte Daten. Diese so erstellten Daten werden dem Mailer übergeben, der diese an den eingetragenen Empfänger verschickt. Der oder die Empfänger (in einem PublicKey können gleichzeitig mehrere unterschiedliche Adressen eingetragen sein, was gerade bei Vertretungen sinnvoll ist) ist in der Lage, mittels des selbst vergebenen PGP-Passwortes die Mail zu entschlüsseln. Dadurch, dass die gesamte Mail verschlüsselt ist, bleibt es zwar beim Postkarten-Prinzip, jedoch kann der Inhalt nicht entziffert werden. Z.B.: -----BEGIN PGP MESSAGE----- Version: GnuPG v1.4.6 (GNU/Linux) hqioa6ctlx26p4u+eaf/epbfedhexrlachlg/atv+4matlmrnmj6opgxsoyp5nbg ejrn8o/2itd/4st313ymypdbrmr6hpiim0z/ykaz8mpj3r0pxmyqs4fzeth75niv KUD/iGpbaZXY6XOZ0HKSB7xLUfu8naLlvKlqQ4WLihIPILKXoBVc16BQfPU6j689 CTaD9/qO4kKaDEtDU5MAEXg7ZbaOPfIsdTow6Ug1RRo1HtNQ648tzIq3YvWYelbB 4nWFSVqxxUZwy2I1qISGEx6infCra2RNQMSdk76fHThb8aUi8bk4l9Fi3gsOIjtV zelxgb1hucnwejzudxqqvyd4kghga+tbvflftmu5xwgak82ka/stqssepbr4o7i3 vmiq9eiaxvvmm+o9p/mtnr6zc5ujglhmleok+avxrrfxrhyin0+6dmrhdgoyynca fzwqwrxri+nysvk7oud7eqdvku+yjwqplluzcm5ht6huqdc9vx0+jdtasjy9yru/ pbtlx7le+absdam2x3tuiumglxd+kqe9da0htn1hfhgmoaxlfvobqpdibwzdoht5 gj0ffqjgq1mhbnbd8g+3jjw9ceyjf+kyhc7uu1een4xxzqgeyb3jhmqycsshtnxd Rn6MpBGrRpONx6VovdwX2uouviz8y5z5Qn1Zw7SqswrW8fQckvC7BksDqII3NZKI LdLAFQFbkwKaxmfOko1FljoUTLwHQrC77AQuYusbYLkoS//Rq39Giy0rGQg8f0oh EVERgb0CpVJLdPs97y/UGN8Eny/v/4GkNRoKilIFcJHPdw1TT3/rShElUc3lb3e2 38nXFMEfxU8RLSv72FK6pHEmAFROP0nRqVlu5CfOXqpJOZRvOQ08IXBySRjqyNFH jqv8izej9nbppkhhvzpdofqvubpgl8nz6h1xivhglpafepgckezinm6vasi7gcto 3tGU97+Qv4702tt59DodNKdhTI57BlnhZw== =O9L END PGP MESSAGE----- Seite 2 von 5

3 Die Extension wurde so angelegt, dass diverse Parameter global oder auch als alternative Konfiguration über TypoScript zu realisieren sind. Z.B.: plugin.tx_thmailformplus_pi1 { gnupghome = /home/kunde/.gnupg publickey = /home/kunde/.gnupg/publickey.asc recipient = zentrale@ambodis.de signmode = 0 privatekey = passphrase = } Seite 3 von 5

4 Systemvoraussetzungen: Server: TYPO3 Version PHP Version TH_MAILFORMPLUS PEAR (PHP Extension and Application Repository: GPGme V & Extension V.1.3.1) Generierte Schlüssel als PUBRING Client: Mail-Client Outlook 2003 (mit Addins GPG4win, Version & 2.0.1) Outlook 2007(mit Addins GPG4win, Version & 2.0.1) Thunderbird 2.0 PGP-Software (z.b. PGP, PGP4win, GnuPG oder GPG) SECRING als Schlüssel Zukunftsplanung: Erweiterung für Verschlüsselung von Datei-Anhängen (Dateiuploads) Erweiterung auf weitere TYPO3-Extensions wie z.b. powermail ASP-Lösung, mit dezentralem Verschlüsselungsserver (über SSL) Einbindung über HOOK-Methode (setzt Bereitschaft der Extension-Entwickler voraus) Seite 4 von 5

5 Lizenzierung und Preis: Die Lizenzierung erfolgt auf Basis Domain pro TYPO3-Instanz: Erste Domain in einer TYPO3-Instanz: Ohne Installation, empfohlener VK: EUR 1.000,- Mit Installation auf Server, empfohlener VK: EUR 1.300,- Jede weitere Domain in einer TYPO3-Instanz: (sofern Domain für PGP verwendet werden soll) Ohne Installation, empfohlener VK: pro weitere Domain EUR 500,- Mit Installation auf Server, empfohlener VK: pro weitere Domain EUR 580,- Bei Nutzung von mehr als 10 Domains in einer Instanz bieten wir gerne ein gesondertes Angebot an. Die Preise sind so kalkuliert, dass die Software unter der in den Systemanforderungen genannten Umgebung eingesetzt wird und diese vom Kunden bereits installiert wurde. Die Möglichkeit auf älteren oder neueren Versionen einzusetzen sind unbenommen und müssen im Bedarfsfall getestet werden. Sofern Anpassungen an andere Versionen oder andere Extensions notwendig werden oder Unterstützung bei der Einrichtung (Server- oder Client-seitig) gewünscht wird, werden diese zu unserem allgemeinen Stundensatz von EUR 85,- durchgeführt. Alle Preisangaben verstehen sich zzgl. der gesetzlichen MwSt. Seite 5 von 5