Signierung und Verschlüsselung von s mit einem S/MIME Zertifikat

Transkript

1 Signierung und Verschlüsselung von s mit einem S/MIME Zertifikat S/MIME steht für Secure / Multipurpose Internet Mail Extensions und ist ein Standard für die Signierung und Verschlüsselung von s. Alles, was dafür benötigt wird, ist eine Kombination aus einem privaten und einem öffentlichen Schlüssel mit einem Zertifikat. Neben dem S/MIME- Verfahren gibt es noch das OpenPGP-Verfahren. Beide Verfahren funktionieren nach ähnlichen Verfahren, sind aber nicht kompatibel. Da S/MIME bereits von vielen Programmen unterstützt wird, setzt es sich als bevorzugtes Verfahren eher durch. Alle Schritte bis hin zur -Kommunikation mit S/MIME mit Outlook werden nachfolgend erläutert. Bereits mit geringem Aufwand kann so eine sichere Kommunikation aufgebaut werden. Durch das Signieren per S/MIME kann der Empfänger sicher sein, dass die tatsächlich vom Absender stammt und dass die Nachricht bei der Übertragung nicht manipuliert worden ist. Die liegt auch weiterhin noch im Klartext vor. Um eine verschlüsseln zu können, wird zusätzlich ein Zertifikat des Empfängers benötigt. Dieses kann er übertragen, sobald der Absender seine genauso signiert, wie im Folgenden beschrieben wird. Im Folgenden lernen Sie Schritt für Schritt, wie Sie 1. ein Zertifikat auswählen, 2. ein Zertifikat erstellen, 3. das Zertifikat exportieren, 4. Ihr Programm konfigurieren, 5. ein Zertifikat in Ihr Programm importieren, 6. eine verschlüsselt versenden. Für die Einrichtung benötigen Sie weniger als 30 Minuten, nehmen Sie sich die Zeit. Seite 0

2 Bei S/MIME geben zentrale Zertifizierungsstellen, die Certificate Authorities (CA), nach einer Kontrolle der Benutzerdaten ein Zertifikat aus. Die CA beglaubigt nach einer Prüfung die Schlüssel des Kunden und stellt ihm als Beleg ein digitales Zertifikat aus. Die Zertifikate werden in vier unterschiedlichen Klassen angeboten. Sie unterscheiden sich im Umfang der Überprüfung der Daten und damit in der Vertrauenswürdigkeit, die einem Zertifikat entgegengebracht werden kann. Zertifikat der Klasse 1 Plausibilitätsprüfung, ob der Antragsteller Zugriff auf die angegebene -Adresse hat. Zertifikat der Klasse 2 Der Namen und die Firma werden im Zertifikat mit aufgenommen und mit einer Ausweiskopie verifiziert. Zertifikat der Klasse 3 Persönliche Authentifizierung über das Postident-Verfahren. Zertifikat der Klasse 4 Die Authentifizierung erfolgt persönlich vor Ort. Folgende Anbieter stellen Zertifikate aus: Anbieter Typen Klassen Internetseite Comodo CA Limited Person D-Trust (Bundesdruckerei) Person, Gateway 2 GlobalSign Person, Team, Gateway 1, 2, 3 StartSSL Person (kostenfrei) 1 Hinweis Die Übersicht hat kein Anspruch auf Vollständigkeit und Aktualität. Seite 1

3 Die Firma StartCom Ltd. bietet das Klasse-1-Zertifikat StartSSL Free kostenfrei an, welches ein Jahr gültig ist. Um ein Zertifikat zu erhalten, muss man die Webseite aufrufen und sich registrieren. Im ersten Schritt Klick auf den Button Start Now for Free SSL Certificate. Anschließend Klick auf Sign-up Seite 2

4 Im Folgenden ist das Land auszuwählen und die Adresse, der zukünftig das Zertifikat zugewiesen werden soll, einzutragen. Abschließend auf Send verification code klicken. Kurze Zeit später wird von StartCom Ltd. eine auf die angegebene -Adresse versendet, in welcher sich ein Verifizierungscode befindet. Sollte nach kurzer Zeit noch keine im Postfach liegen, ist es empfehlenswert, den Spam-Ordner zu überprüfen. ***** Inzwischen erscheint auf der Webseite die Eingabeaufforderung für die Eingabe des Verifizierungscodes. Der Code aus der ist zu übernehmen. Klick auf Sign Up. Seite 3

5 Nach der erfolgreichen Registrierung erscheint die Bestätigung zur erfolgreich durchgeführten Verifizierung. Zusätzlich kann es sein dass der Browser davor warnt, dass die Webseite einen digitalen Zertifikatvorgang ausführen möchte. Dieser Vorgang ist zu mit Ja zu bestätigen. Nun wird das Zertifikat im Web-Browser installiert. Die Installation im Webbrowser ist nun abgeschlossen. Sie haben erfolgreich ein Zertifikat der Klasse 1 erhalten, welches für 1 Jahr gültig ist. Nach einem Jahr ist das Zertifikat mit dem gleichen Prozess zu erneuern. Seite 4

6 Um das Zertifikat in Outlook zu verwenden, muss es zunächst aus den zuvor verwendeten Webbrowser exportiert werden. Für die Registrierung hatte ich Microsoft IE verwendet, daher bezieht sich die Anleitung auf diesen Web-Browser. Abhängig vom verwendeten Browser muss das Zertifikat zunächst im Browser gesucht werden. Rechts oben das Menü Einstellungen auswählen und anschließend auf Internetoptionen klicken Nun klickt man unter Inhalt den Button Zertifikate. Es wird das neue Zertifikat angezeigt, man muss es auswählen und auf Exportieren klicken. Im nachfolgenden Assistenten auf Weiter klicken und die Option Nein, privaten Schlüssel nicht exportieren auswählen. Im nächsten Dialog noch DER-codiert-binär X.509 auswählen. Im letzten Dialog muss noch ein Pfad für den Speicherort und der Dateiname angegeben werden. Hier empfiehlt sich die verwendete Adresse als Dateiname zu nutzen. Mit Weiter gelangt man zum letzten Dialog, den man mit Fertig stellen abschließt. Im Beispiel erhalte ich eine Datei mit der Bezeichnung: mail@datasolution-thurmann.cer Die Datei an einem sicheren Platz speichern. Sie sollte auch nach Jahresscheiben archiviert werden, um einen Zugriff auf s auch nach Ablauf des Zertifikates zu ermöglichen. Also die Zertifikate niemals löschen! Seite 5

7 Um nun das Zertifikat in Outlook (im Beispiel die Version 2010) zu importieren, klickt man links oben auf Datei, dann auf Optionen und wählt links unten Sicherheitscenter oder auch Trust Center aus. Danach auf Einstellungen für das Sicherheitscenter klicken. Im folgenden Fenster wählt man nun -Sicherheit. Seite 6

8 Nun wählt man die Optionen Ausgehenden Nachrichten digitale Signatur hinzufügen und Signierte Nachrichten als Klartext senden aus und klickt auf den Button Einstellungen Im nächsten Schritt ist der Name der Sicherheitseinstellung festzulegen, hier die Adresse. Anschließend sind das Signaturzertifikat auszuwählen und die anderen Optionen, wie in der Abbildung ersichtlich. Um einen möglichst hohen Sicherheitsstandard zu erreichen, wählt man nun bei Hashalgorithmus die Option SHA512 und bei Verschlüsselungsalgorithmus die Option AES (256-bit) aus. Nun sind die S/MIME-Einstellungen erfolgreich konfiguriert. Beim Erstellen einer kann man unter Optionen auswählen, ob die Mail per S/MIME signiert oder verschlüsselt werden soll. Auf Grundlage der Einstellungen ist die Option zum Signieren der automatisch aktiviert. Bei einem Test sollte dieses Symbol erscheinen. Seite 7

9 Wir sind jetzt in der Lage, eine mit Zertifikat zu versenden. Somit erkennt der Empfänger der , dass die auch vom richtigen Versender kommt (Authentifikation). Das Zertifikat kann der Empfänger, wenn er über ein eigenes Zertifikat verfügt, in sein Mailprogramm importieren, um dem Versender verschlüsselt zu antworten. Umgekehrt muss auch das Zertifikat desjenigen, von dem eine mit Zertifikat empfangen wurde, in Outlook übernommen werden. Nur so ist eine Verschlüsselung in beide Richtungen möglich. Größere Unternehmen verwenden Zertifikatsserver, wo die Zertifikate meist automatisiert importiert werden. Bei der bisher beschriebenen Einzelplatzlösung muss beim Empfang eines neuen Zertifikates noch abschließend das Zertifikat in die Kontakte übernommen werden. Im der ersten Variante mit der linken Mousetaste auf das Symbol [1] des Zertifikates klicken Anschließend auf Details [2] gehen und die Signierung [3] auswählen. Dann zunächst auf den Button Details anzeigen [4] und dann auf Zertifikat anzeigen [5] klicken. 6 Unter Details [6] hat man die Möglichkeit, das Zertifikat als Datei abzuspeichern. Im Zertifikatexport-Assistenten auf Weiter klicken, das gewünschte Zertifikat, hier DER-codiert-binär X.509 auswählen und mit Weiter bestätigen. Nun den Speicherort und Dateinamen (vorzugsweise die Adresse des Versenders) auswählen, mit Weiter bestätigen und mit Fertig stellen abschließen. Die Datei bitte sicher abspeichern und archivieren. Seite 8

10 Unter Kontakte in Outlook die Person suchen, von der das Zertifikat importiert werden soll. Hier auf Zertifikate klicken. Auf den Button Importieren klicken, die Datei auswählen und übernehmen. Zum Abschluss den Kontakt speichern. Eine zweite Variante ist, den Kontakt direkt aus der zu importieren. Ab Outlook 2013 ist beispielsweise der Import über die Datei nicht mehr möglich. Hierzu mit der rechten Mousetaste in die Adresse des Absenders klicken und Zu Outlook-Kontakten hinzufügen auswählen. Das Zertifikat wird direkt mit importiert, allerdings empfiehlt sich auch hier, die Datei unter dem betreffenden Kontakt bei Zertifikate herauszusuchen und zu sichern. Seite 9

11 Jetzt besteht die Möglichkeit, eine verschlüsselt zu übertragen. Zu beachten ist, dass beim Erstellen der die -Adresse direkt aus den Kontakten [1 + 2] genommen werden muss, die voreingetragenen -Adressen übernehmen nicht automatisch das Zertifikat. 1 2 Vor dem Versenden der unter Optionen [3] die Aktion Verschlüsseln [4] aktivieren. Geschafft! Nun kann die verschlüsselt versendet werden. Verschlüsselt wird jedoch nur der Inhalt der inkl. Dateianhänge. Die Betreffzeile und Empfänger der bleiben weiter unverschlüsselt. Hier gibt es keine Möglichkeiten der verschlüsselten Übertragung. 3 4 Seite 10

12 Der Empfänger erkennt die verschlüsselte Nachricht am Schloss. Seite 11

13 Thunderbird stellen_der_s.2fmime-sicherheit_des_mailkontos Windows Mail Mail-messages Outlook Express Outlook 2007 Importieren eines Zertifikates Versenden einer verschlüsselten Mail Outlook 2010 Versenden einer verschlüsselten Mail Seite 12