Anleitung zum Einbinden von Zertifikaten in Outlook 2010 zum Versenden verschlüsselter und signierter s unter Windows 7

Transkript

1 Seite 1 von 14 Anleitung zum Einbinden von Zertifikaten in Outlook 2010 zum Versenden verschlüsselter und signierter s unter Windows 7

2 Seite 2 von 14 Inhaltsverzeichnis: 1. Einleitung Zertifikat einrichten Vorbereitung Vorbedingungen Ihre Sicherheit Kurzanleitung und Übersicht Import der Zertifikate Zertifikate prüfen Verzeichnisdienst LDAP einrichten Import der Zertifikate Zertifikate importieren Erfolgreichen Import überprüfen Verzeichnisdienst LDAP einrichten Verfassen einer signierten und verschlüsselten Verfassen der Verschlüsseln und Signieren festlegen Senden der Einleitung Dieses Dokument beschreibt die Integration von Zertifikaten und digitalen Schlüsseln in Ihr Berliner Schulmailkonto unter Outlook Durch diese Zertifikate sind Sie in der Lage, verschlüsselte und signierte Mails an Personen zu schicken, die ebenfalls für ihr - Konto die Zertifikate zum Verschlüsseln und Signieren installiert haben. Signierte Mails, die nicht verschlüsselt werden, können an jedes -Konto gesandt werden. Durch das Signieren der ist für den Empfänger sichergestellt, dass Ihre Schule wirklich der Absender der ist. Durch das Verschlüsseln ist es nur dem Empfänger möglich, die Nachricht zu entschlüsseln und somit zu lesen bzw. den Anhang zu öffnen. So wird die Vertraulichkeit und Integrität der Daten sichergestellt. Wir empfehlen in dieser Anleitung, dass automatisch alle s signiert versandt werden. Sollten Sie Ihr Berliner Schulmailkonto noch nicht eingerichtet haben, so folgen Sie bitte vorher den Erläuterungen in der Anleitung Outlook 2010 Konto einrichten. 2. Zertifikat einrichten Vorbereitung Von der Registrierungsagentur (RA) erhalten Sie auf einem USB-Datenträger (Karte) zwei Dateien im Format PKCS#12, die je ein Zertifikat und ihren dazugehörigen privaten Schlüssel enthalten: Zum Verschlüsseln: <Benutzername>-Verschluesselung.p12 Bsp.: Schulleitung-01G01-Verschluesselung.p12 Zum Signieren: <Benutzername>-Signatur.p12 Bsp.: Schulleitung-01G01-Signatur.p12 Diese Dateien sind verschlüsselt und können nur nach Eingabe Ihrer PIN ausgelesen werden, die Sie ebenfalls von der Registrierungsagentur erhalten.

3 Seite 3 von 14 Die Zertifikate für die Schulleitungen sind Rollenzertifikate (auch Gruppenzertifikate genannt). Sie als Eigentümer der Zertifikate können nach eigenem Ermessen weiteren Personen die Nutzung der Zertifikate erlauben, wobei Sie mit Ihrer Unterschrift beim Empfang bestätigt haben, dass Sie die alleinige Verantwortung für den ordnungsgemäßen Einsatz der Zertifikate tragen. Zur Erhöhung der Sicherheit können Sie einer Vertrauensperson nur den Empfang verschlüsselter s an das Postfach der Schule erlauben, ohne dass diese Person auch E- Mails im Auftrag der Schule digital signieren (unterschreiben) kann. Dazu kann nur das Verschlüsselungszertifikat (Dateiname: Schulleitung-<BSN>-Verschluesselung.p12) in das Mailprogramm der Vertrauensperson integriert werden, wobei die PIN nicht weitergegeben werden darf. Wurden die Zertifikate auf Ihren Namen ausgestellt, gilt dieser Abschnitt natürlich nicht. Nur Sie dürfen Ihre eigenen Zertifikate benutzen. 2.1 Vorbedingungen Zur Integration der Zertifikate und digitalen Schlüssel benötigen Sie den USB-Datenträger mit den zwei Zertifikatdateien und den PIN-Brief bzw. die PIN. Diese Materialien bekommen Sie von der Registrierungssagentur bei der Senatsschulverwaltung gegen Unterschrift ausgehändigt. Für die Integration der Zertifikate benötigen Sie nur Ihre normalen Nutzerrechte auf Ihrem Arbeitsplatzcomputer, also keine Administratorrechte. Die Integration der Zertifikate erfolgt nur durch Konfiguration, also ohne Installation weiterer Software. Die Integration der Zertifikate kann vor oder nach Einrichtung des -Kontos erfolgen. Eine Nutzung der Zertifikate ist erst mit dem vollständig eingerichteten -Konto möglich. 2.2 Ihre Sicherheit Zur Geheimhaltung Ihrer privaten Schlüssel achten Sie bitte darauf, dass Sie Ihre Passwörter stets unbeobachtet eingeben. Bitte verwenden Sie die Zertifikate und Ihre privaten Schlüssel nur auf Arbeitsplatzcomputern, die sicher administriert werden. Ihre privaten Schlüssel sind nach der Installation auf Ihrem Arbeitsplatzrechner durch ein Passwort geschützt. Bitte verwenden Sie stets ein sicheres Passwort mit einer Länge von mindestens 8 Zeichen, welches neben Groß- und Kleinbuchstaben auch Sonderzeichen und Ziffern verwendet. Bitte verwenden Sie als Passwort niemals Wörter, die in Wörterbüchern gefunden werden können, da solche Passwörter heute leicht durch automatisches Ausprobieren erraten werden können. Bitte lesen Sie die Zertifikatsdateien nur direkt vom USB-Datenträger (USB-Karte) ein. Die Zertifikatsdateien vom USB-Datenträger dürfen nicht auf die Computerfestplatte oder Netzwerklaufwerke kopiert werden, da sie so von anderen Personen missbraucht werden könnten. Insbesondere kann mit entsprechender Spezialsoftware die Verschlüsselung durch unberechtigte Personen gebrochen werden. Bitte schützen Sie den USB-Datenträger gegen unberechtigte Verwendung durch andere Personen durch Lagerung in einem abgeschlossenen Schrank. Der USB-Datenträger darf nur für die Zertifikatsdateien verwendet werden. Halten Sie die von der Registrierungsagentur ausgegebene PIN Ihrer Zertifikate unbedingt geheim. Wenn Sie den PIN-Brief aufbewahren, so schützen Sie ihn gegen unberechtigte Verwendung durch andere Personen, am besten dadurch, dass er getrennt vom USB- Datenträger in einem abgeschlossenen Schrank gelagert wird.

4 Seite 4 von 14 Sollten Sie einen Verdacht auf Missbrauch oder unberechtigte Erlangung ihrer Zertifikate oder digitalen Schlüssel haben informieren Sie schnellstmöglich die Registrierungsagentur bei Senatsschulverwaltung, damit Gegenmaßnahmen wie die Sperrung der Zertifikate getroffen werden können. Bei Beschädigung oder versehentlichem Löschen der Zertifikate oder digitalen Schlüssel kann die Registrierungsagentur eine Ersatzausstellung vornehmen, so dass Ihre verschlüsselten Daten nicht verloren sind. 3. Kurzanleitung und Übersicht 3.1 Import der Zertifikate Das programm MS Outlook 2010 nutzt den Zertifikatsspeicher des Betriebssystems Windows 7. Den USB-Datenträger mit den Zertifikatsdateien in den USB-Port stecken. Die erste Zertifikatsdatei durch Doppelklick öffnen und im Zertifikatimport-Assistenten die Standardeinstellungen benutzen. Falls gefordert, das Kennwort des PIN-Briefes eingeben. Die obigen beiden Schritte für die zweite Zertifikatsdatei wiederholen. 3.2 Zertifikate prüfen Nach Import beider Zertifikate überprüfen Sie noch einmal in Windows, ob beide Zertifikate erfolgreich importiert wurden. Das geht so: Datei Optionen Sicherheitscenter Einstellungen für Sicherheitscenter.. -Sicherheit. Haken bei Ausgehende Nachrichten digitale Signatur hinzufügen und signierte Nachrichten als Klartext senden setzen. Auf Einstellungen klicken. Überprüfen, ob beide Zertifikate unten angegeben sind. 3.3 Verzeichnisdienst LDAP einrichten Menü Datei Informationen Konteneinstellungen Konteneinstellungen.. Registerkarte Adressbücher Befehl Neu... Internetverzeichnisdienst LDAP Folgende Servereinstellungen verwenden: Feld Eingabe Servername ldap.pca.dfn.de Suchbasis o=dfn-verein,c=de Anschluss 389 Um alle Angaben einzugeben auch weitere Einstellungen und dort die Registerkarten Verbindungen und Suche nutzen Erst wenn alle Einstellungen vorgenommen wurden, auf Weiter klicken! Outlook neu starten, zur Kontrolle im LDAP-Verzeichnis nach Senat suchen lassen

5 Seite 5 von Import der Zertifikate 4.1 Zertifikate importieren Melden Sie sich an Ihrem Computer an. Schließen Sie den USB-Datenträger mit den Zertifikaten an einem USB-Port an. Öffnen Sie über den Windows-Explorer (Abbildung 1). Abbildung 1: Windows-Explorer starten Abbildung 2: Laufwerk USB Disk wählen Abbildung 3: Signaturdatei wählen Jetzt erscheint der USB-Datenträger (USB Disk) als Wechselmedium (Abbildung 2). Klicken Sie doppelt auf diesen Wechseldatenträger. Nun erscheinen rechts die beiden Zertifikatdateien (Abbildung 3). Öffnen Sie die erste Datei (für die Signatur) durch Doppelklick. Abbildung 4: Zertifikatsimport-Assistent Dadurch öffnet sich der Zertifikatsimport-Assistent. Bestätigen Sie mit Weiter (Abbildung 4).

6 Seite 6 von 14 Abbildung 5: Importdatei wählen Abbildung 6: Kennwort eingeben Der Importdateiname wurde bereits richtig eingetragen. Bestätigen Sie mit Weiter (Abbildung 5). Öffnen Sie den PIN-Brief, den Sie von der Zertifizierungsstelle erhalten haben. Geben Sie nun das darin enthaltene Kennwort für den privaten Schlüssel ein. Klicken Sie auf Weiter (Abbildung 6). Abbildung 7: Zertifikatsspeicher Abbildung 8: Fertigstellen Der Zertifikatsspeicher soll automatisch ausgewählt werden. Bestätigen Sie mit Weiter (Abbildung 7). Klicken Sie dann auf Fertig stellen (Abbildung 8).

7 Seite 7 von 14 Abbildung 9: erfolgreicher Import Abbildung 10: Verschlüsselungsdatei wählen Nach erfolgreichem Import erscheint diese Meldung. Bestätigen Sie mit OK (Abbildung 9). Führen Sie die obigen Schritte (Abbildung 3 bis 9) noch einmal für das Zertifikat für die Verschlüsselung aus. Öffnen Sie dazu die zweite Datei (für die Verschlüsselung) durch Doppelklick (Abbildung 10). 4.2 Erfolgreichen Import überprüfen Nun sind die Zertifikate in Windows installiert. Sie müssen allerdings noch in Outlook überprüfen, ob die Zertifikate richtig zugewiesen wurden. Und das geht so: Starten Sie wie gewohnt Outlook. Wählen Sie das Menü Datei Optionen (Abbildung 11). Abbildung 11: Optionen wählen Abbildung 12: Einstellungen wählen Wählen Sie im Fenster Outlook-Optionen den Menüpunkt Sicherheitscenter. Dort klicken Sie auf Einstellungen für das Sicherheitscenter (Abbildung 12).

8 Seite 8 von 14 Abbildung 13: -Sicherheit Klicken Sie im Fenster Sicherheitscenter auf den Menüpunkt -Sicherheit. In Zukunft sollen alle s signiert werden. Setzen Sie deshalb bei Nachrichten digitale Signatur hinzufügen einen Haken (Abbildung 13). Klicken Sie dann auf Einstellungen. Nun sehen Sie das Fenster Sicherheitseinstellungen. Überprüfen Sie, ob bei Signaturzertifikat ein Eintrag steht bei Verschlüsselungszertifikat ebenfalls ein Eintrag steht (Abbildung 14). Abbildung 14: Einstellungen überprüfen Ist das der Fall, ist die Installation der Zertifikate abgeschlossen. Schließen Sie nun das Fenster mit OK. 5. Verzeichnisdienst LDAP einrichten Für den sicheren Mailverkehr mit anderen Berliner Schulen und der Senatsverwaltung werden die Zertifikate der Kommunikationspartner in einem Verzeichnisdienst über LDAP (Lightweight Directory Access Protocol) bereitgestellt. Um diesen nutzen zu können muss der LDAP-Server im Microsoft Outlook 2010 konfiguriert werden. Zur Nutzung des Verzeichnisdienstes der DFN-PKI (LDAP-Server) sind folgende Einstellungen erforderlich: Hostname: ldap.pca.dfn.de Basis-DN: Port: 389 o=dfn-verein,c=de

9 Seite 9 von 14 Die Konfiguration des LDAP-Servers erfolgt mit einem Assistenten, der in Outlook 2010 unter dem Menüpunkt Datei Informationen Konteneinstellungen Konteneinstellungen.. gestartet wird (Abbildung 18). Abbildung 18: Assistent -Konten zum Verzeichnis einrichten Hinweis: Beachten Sie bitte, dass nach der Konfiguration eines LDAP-Servers immer Outlook 2010 beendet und neu gestartet werden muss! Abbildung 19: Registerkarte Adressbücher Wählen Sie in der Registerkarte Adressbücher den Befehl Neu (Abbildung 19).

10 Seite 10 von 14 Abbildung 20: Internetverzeichnisdienst LDAP wählen Klicken Sie auf Internetverzeichnisdienst LDAP und dann auf Weiter (Abbildung 20). Abbildung 21: Servernamen eingeben und Weitere Einstellungen anklicken Geben Sie als Servernamen ldap.pca.dfn.de an und klicken Sie auf Weitere Einstellungen (Abbildung 21).

11 Seite 11 von 14 Abbildung 22: Hinweis auf einen Neustart An dieser Stelle erfolgt von Outlook 2010 der Hinweis, dass nach Fertigstellung der Konfiguration des LDAP-Servers ein Neustart des Programms Outlook 2010 erfolgen muss, ehe eine Nutzung möglich ist (Abbildung 22). Bestätigen Sie mit OK. Abbildung 23: Suchbasis eingeben Im neuen Fenster Microsoft LDAP Verzeichnis muss unter dem Reiter Suche noch die Suchbasis o=dfn-verein, c=de eingegeben werden. Anschließend wird die Eingabe mit OK bestätigt und die Konfiguration fertig gestellt. (Abbildung 23) Abbildung 24 Abbildung 25 Klicken Sie dann auf Weiter (Abbildung 24) und dann auf Fertig stellen (Abbildung 25).

12 Seite 12 von 14 Nach Abschluss der Konfiguration muss Outlook 2010 beendet und neu gestartet werden. Klicken Sie dazu auf Datei Beenden (Abbildung 26). Starten Sie Outlook gleich wieder neu. Abbildung 26: Outlook 2010 beenden Bild 27: Menüband Hauptregisterkarte Start Nun können Sie im Adressbuch den Verzeichnisdienst des DFN nutzen. Klicken Sie dazu auf Start. Sehen Sie das Menüband (Abbildung 27)? Wenn nicht, klicken Sie nochmals auf Start. Dazu rufen Sie dort bitte Adressbuch auf. Abbildung 28: Suchen Zur Probe wählen Sie als Adressbuch in der rechten oberen Auswahlliste den Verzeichnisdienst des DFN. Anschließend geben Sie links im Suchfeld den Begriff senat ein (Abbildung 28). Klicken Sie dann auf OK. Als Ergebnis muss die Senatsverwaltung-Berlin-Schul-CA gefunden werden (Abbildung 28).

13 Seite 13 von Verfassen einer signierten und verschlüsselten 6.1 Verfassen der Zum Verfassen einer müssen Sie zunächst Outlook 2010 öffnen (Start Programme Microsoft Office Microsoft Outlook 2010). Klicken Sie dann im Hauptfenster von Outlook 2010 unten links auf (Abbildung 29). Gehen Sie beim Verfassen der Nachricht wie immer vor (Start Neue -Nachricht). Beachten Sie allerdings, dass Sie auch das richtige -Konto gewählt haben. Abbildung 29: Programm öffnen Abbildung 30: Konto auswählen Klicken Sie im geöffneten Fenster auf Von (Abbildung 30), und wählen Sie den Eintrag für die sichere Schulmail aus. Hinweis: Wenn Sie mit Outlook nur eine -Adresse verwalten, wird die Schaltfläche Von nicht angezeigt, und Sie können diesen Schritt überspringen. Abbildung 31: Dateien an anhängen Um der neuen -Nachricht Dateien anzufügen, klicken Sie in der Menüleiste auf Datei einfügen (Abbildung 31). Markieren Sie im neuen Dialogfenster Datei einfügen die gewünschten Dateien und klicken Sie auf Einfügen.

14 Seite 14 von Verschlüsseln und Signieren festlegen Abbildung 32: -Nachricht vor dem Verschlüsseln und Signieren Öffnen Sie die Registerkarte Optionen durch Klicken. Klicken Sie je einmal auf die markierten Schaltflächen zum Verschlüsseln und Signieren im Menüband der Registerkarte Optionen (Abbildung 32). So ändert sich das Erscheinungsbild der Schaltflächen: Vorher Nachher Hinweis: Sollte die Schaltfläche Signieren bereits markiert sein, klicken Sie nur noch auf Verschlüsseln. 6.3 Senden der Überprüfen Sie noch einmal, ob sich die Schaltflächen wirklich wie oben zu sehen verändert haben. Zum Versenden der Nachricht klicken Sie auf die Schaltfläche Senden. Jetzt wird Ihre verschlüsselt und signiert gesendet.