S/MIME: Sicherheit für Unternehmens- s

Transkript

1 S/MIME: Sicherheit für Unternehmens- s Über GlobalSign USA: oder GlobalSign ist der führende Anbieter von vertrauenswürdigen Identitäts- und Sicherheitslösungen die es Unternehmen, Großunternehmen, Cloud-Service-Anbietern und UK: IoT-Innovatoren auf der ganzen Welt ermöglichen, Online-Kommunikation zu sichern, Millionen EU: von verifizierten digitalen Identitäten zu verwalten und Authentifizierung und Verschlüsselung zu automatisieren. Mit Lösungen für hochskalierte Public Key Infrastructure (PKI) und Identität unterstützt das Unternehmen Milliarden von Geräten, Personen und Dingen innerhalb des Internet of Everything (IoE). Copyright 2017 GlobalSign.

2 Inhalt Einleitung... 3 Risiken der -Kommunikation Spoofing, Phishing-Angriffe und Kompromittierung von Geschäfts- s... 3 Datenverlust und -lecks... 4 Verschlüsseln von s vs. Mailserver... 4 Ein praktischer Ansatz für -Sicherheit: Das S/MIME-Protokoll... 5 S/MIME Geschäftsanwendungen... 6 Warum S/MIME?... 6 Sicherheitsvorteile... 6 Administrative Überlegungen... 7 Fazit... 9 Literaturhinweise

3 als Geschäftsgrundlage Der durchschnittliche geschäftliche Nutzer sendet 122 s pro Tag, was sich zu insgesamt 112,5 Mrd. Geschäfts- s pro Tag summiert. Und diese Zahl wird nicht weniger - bis 2019 wird ein jährliches Wachstum von 3% erwartet. 1 Einleitung Viele Unternehmen, sowohl große als auch kleine, stehen vor schwierigen Entscheidungen, wenn es um sichere Kommunikation und Datenübertragung zwischen verschiedenen Interessengruppen geht. Virtuelle Teams aus internen Mitarbeitern, externen Partnern und sogar potenziellen Kunden müssen effektiv und sicher zusammenarbeiten. Dazu braucht man eine Lösung, die nicht den Kostenrahmen sprengt und die es ermöglicht, die Integrität vertraulicher Daten zu gewährleisten und zu authentifizieren. s sind heute mehr denn je eine der Hauptsorgen von CISOs und Sicherheitschefs. Es werden Lösungen benötigt, die die Verschlüsselung von Nachrichten und Daten bei der Speicherung oder während der Übertragung an andere abdecken. In diesem Whitepaper werden wir den Einsatz von S/MIME-Zertifikaten als eine Lösung aufzeigen, die eine Möglichkeit bieten, Vertraulichkeit zu wahren sowie die Integrität und Herkunft von s und deren Verfasser nachzuweisen. Risiken der -Kommunikation -Spoofing, Phishing-Angriffe und Kompromittierung von Geschäfts- s Phishing ist heutzutage nach wie vor eine der größten Bedrohungen für Unternehmen, sowohl was Netzwerksicherheit (95% der Angriffe sind das Ergebnis erfolgreichen Spear- Phishings) 2 und finanzielle Verluste angeht (Hacker haben in den vergangenen 3 Jahren versucht, Unternehmen um über 3 Mrd. $ zu betrügen) 3. Problemerkennung Phishing 94% der Mitarbeiter können nicht zwischen echten und Phishing-E- Mails unterscheiden. 4 Eine der populärsten Methoden für die Durchführung eines Phishing-Angriffs ist -Spoofing, bei dem Hacker die Absenderadresse fälschen, um dem -Inhalt ein falsches Gefühl der Legitimität zu verleihen und den Empfänger zu verleiten, auf den Angriff hereinzufallen (z. B. Herunterladen einer bösartigen Datei, Bereitstellen von sensiblen Daten oder Berechtigungsnachweisen, Überweisen von Geld). Es ist sehr einfach, diese gefälschten s zu erstellen, und sie können für bereits verwendete Adressen erstellt werden. Da die wichtigsten -Protokolle keine Möglichkeit bieten, die - Herkunft zu authentifizieren, gibt es für Endbenutzer in der Regel keine Möglichkeit, eine gefälschte von einer legitimen zu unterscheiden. 3

4 Glossar Phishing - Ein groß angelegter Angriff, bei dem ein Hacker eine E- Mail fälscht, sodass sie von einem seriösen Unternehmen zu kommen scheint (z. B. einer Bank). Die Absicht dahinter ist normalerweise, den ahnungslosen Empfänger dazu zu bringen, Malware herunterladen oder vertrauliche Daten in eine gephishte Website einzugeben (eine Website, die vorgibt, legitim zu sein, die aber eine gefälschte Website ist. Sie wird dazu benutzt, Menschen zu betrügen und ihre Daten preiszugeben). Durch diese gephishte Website sind die eingegebenen Daten dann dem Hacker zugänglich. Spear phishing Eine Art von Phishing, die im Allgemeinen einen gezielten Angriff gegen eine Person oder eine Organisation umfasst. Diese Art von Angriffen sind in der Regel gut recherchiert, auf das beabsichtigte Opfer zugeschnitten und werden von einer gefälschten Adresse eines bekannten Kontakts geschickt - dies lässt sie sehr glaubwürdig und "echt" erscheinen. Kompromittierung von Geschäfts- s Ausgeklügelte Fälschung gegen Unternehmen, die mit ausländischen Lieferanten und/oder Unternehmen zusammenarbeiten, die regelmäßig Überweisungen durchführen. Der Betrug erfolgt durch Kompromittierung legitimer Geschäfts- -Konten durch Social Engineering oder Computer- Intrusionstechniken, um unbefugte Geldüberweisungen durchzuführen. 5 Beispiel für Spear-Phishing . (Quelle: FBI) 5 Datenverlust und -lecks Angesichts der Allgegenwart von , ist es vielleicht nicht überraschend, dass sie ein maßgeblicher Schwachpunkt in der Unternehmenssicherheit ist, und 22% der Unternehmen erleiden jedes Jahr Datenverluste durch . 6 Branchen, die traditionell stark reguliert sind, u. a. Gesundheitswesen und Finanzen, wissen, dass -Kommunikation geschützt werden muss. Aber in den letzten Jahren haben hochkarätige Vorfälle (z. B. der Sony Megahack) auch anderen Branchen den Anstoß gegeben. Diese jüngsten Vorfälle haben auch die Diskussion über die Art von Informationen, die geschützt werden müssen, verändert. Zusätzlich zu den Persönlich Identifizierbaren Informationen (PII) und den Finanzinformationen des Unternehmens müssen Unternehmen geschützte Informationen berücksichtigen, wie z. B. Umsatzdaten, Kundenverträge, Projektpläne usw., und auf einer breiteren Ebene, alle Inhalte, die, falls sie veröffentlicht werden, dem Ruf des Unternehmens potenziell schaden könnten. Verschlüsseln von s vs. Mailserver Ein Server (SSL/ TLS) Zertifikat auf ihrem/ihren Mail-Server(n) zu installieren wird dringend empfohlen, und gilt als eine allgemeine Best Practice für Unternehmen. Dies wird empfohlen, denn ohne Zertifikat: 1. gibt es keine Möglichkeit festzustellen, ob der Mail- Server, mit dem sich ein Benutzer verbindet, tatsächlich der richtige Mail-Server ist. 4

5 Riskante Benutzergewohnheiten 53% der Mitarbeiter haben unverschlüsselte, bedenkliche Unternehmensdaten durch oder -Anhänge erhalten. 7 Glossar Kryptografie mit öffentlichen Schlüsseln - oder asymmetrische Kryptografie ist ein Verschlüsselungsverfahren, das zwei mathematisch verwandte, aber nicht identische Schlüssel verwendet - einen öffentlichen Schlüssel und einen privaten Schlüssel. Es ist rechnerisch nicht machbar, den privaten Schlüssel auf Grundlage des öffentlichen Schlüssels zu berechnen. Öffentlicher Schlüssel Eine Hälfte eines kryptographischen Schlüsselpaares. Wird zur Datenverschlüsselung und zum Verifizieren digitaler Signaturen verwendet. Kann frei weitergegeben werden und wird auf einem digitalen Zertifikat für sicheren Transport und Weitergabe gespeichert. Privater Schlüssel Eine Hälfte eines kryptographischen Schlüsselpaares. Wird zur Datenverschlüsselung und zum Erstellen digitaler Signaturen verwendet. Sollte geheim gehalten werden und wird in der Regel in der Software oder im Betriebssystem des Endbenutzers oder auf kryptografischer Hardware gespeichert. 2. Die Verbindung zwischen dem Browser oder dem E- Mail-Client des Benutzers und dem Server wird nicht verschlüsselt, d. h. alle zwischen den beiden Punkten gesendeten s könnten abgefangen werden. Ohne ein Zertifikat sind Unternehmen anfällig für einen Manin-the-Middle- (MITM) Angriff. Hierbei könnten sich bösartige Parteien zwischen Benutzer und Mail-Server schieben, um E- Mails abzufangen und auf sie zuzugreifen. Man kann natürlich die Notwendigkeit für ein SSL-Zertifikat auf dem Mail-Server nicht leugnen, aber leider kann dies zu einem falschen Sicherheitsgefühl führen. Obwohl ein SSL-Zertifikat s bei der Übertragung zu und vom Mail-Server schützt, tut es nichts, um die s zu schützen, wenn sie andere Server durchlaufen, die möglicherweise kein SSL haben. Darüber hinaus schützt die Sicherung des Mail-Servers gespeicherte s nicht. Beispielsweise würde ein Hack, bei dem Angreifer Zugang zu -Systemen erhalten, wie der oben erwähnte Hack bei Sony Ende 2014, nicht durch ein Server-Zertifikat verhindert werden. Wenn Unternehmen eine Lösung wollen, die das Risiko von Datenverlust per wirklich verringert, ist es wichtig, dass sie Optionen in Betracht ziehen, die s sowohl bei der Übertragung als auch im gespeicherten Zustand schützen. Ein praktischer Ansatz für - Sicherheit: Das S/MIME-Protokoll S/MIME oder Secure/Multipurpose Internet Mail Extensions ist der Industriestandard für die Verschlüsselung mit öffentlichen Schlüsseln bei MIME-basierten Daten. S/MIME bietet Nachrichtenintegrität und Datenschutz via Datenverschlüsselung und beweist außerdem den Ursprung der Nachricht und Unleugbarkeit durch zusätzliche digitale Signaturen. S/MIME ist ein Standard, der von der Internet Engineering Task Force (IETF) verfolgt wird und durch mehrere Requests for Comments (RFCs) definiert ist, wie 5652, 5750, 5751 und S/MIME arbeitet mit einem Datenumschlag, der die Datenmenge umhüllt. Dieser wird bei der Verschlüsselung in eine PKCS7 MIME Entität eingefügt. Einfacher ausgedrückt: das S/MIME-Protokoll wird durch digitale X.509 Zertifikate nutzbar gemacht. 5

6 Glossar Digitales Zertifikat Eine kleine Datendatei, die die Identität eines Benutzers digital an einen kryptografischen öffentlichen Schlüssel bindet Drittanbieter- Zertifizierungsstellen (CAs) Streng regulierte Unternehmen, die öffentlich vertrauenswürdige digitale Zertifikate ausstellen. Interne Zertifizierungsstellen (CAs) Betriebsinterne und intern betriebene CA, die digitale Zertifikate ausstellt, denen im Allgemeinen außerhalb der internen Netze nicht vertraut sind S/MIME Geschäftsanwendungen Die wichtigsten Geschäftsanwendungen für S/MIME und Kryptografie mit öffentlichen Schlüsseln sind: Digitale Signaturen - Inhalt wird digital mit dem privaten Schlüssel einer Person signiert und vom öffentlichen Schlüssel der Person verifiziert Verschlüsselung - Inhalt wird mit dem öffentlichen Schlüssel einer Person verschlüsselt und kann nur mit dem privaten Schlüssel der Person entschlüsselt werden. Warum S/MIME? Die Verwendung von S/MIME bietet eine Reihe von Sicherheitsvorteilen, wie z. B. die Bewältigung der oben diskutierten Risiken. Aber es bietet auch einige Administrationsvorteile, die den Einsatz vereinfachen und die Gesamtbetriebskosten senken können. Sicherheitsvorteile Vorausgesetzt, der private Schlüssel ist geheim geblieben und die Person, für die er ausgestellt wurde, ist die einzige Person mit Zugang zu ihm, bietet S/MIME folgende Sicherheitsvorteile. Nachweis der Nachrichtenherkunft / Absenderauthentifizierung Wie bereits erwähnt, haben die wichtigsten -Protokolle keine Möglichkeit, den Nachrichtenursprung zu authentifizieren. Aber S/MIME bietet diese Möglichkeit über digitale Signaturen. Digitale Signaturen enthalten Identitätsinformationen über den Absender (aus ihrem digitalen Zertifikat). Damit können Empfänger die Identität des Absenders verifizieren und validieren. Integrität der Nachricht Zur Entschlüsselung einer Nachricht oder Verifizierung einer digitalen Signatur gehört die Überprüfung, dass der Inhalt der mit dem vorhandenen Inhalt übereinstimmt, als die Signatur eingefügt wurde. Selbst die geringste Veränderung am ursprünglichen Dokument würde dazu führen, dass diese Überprüfung negativ ausfällt. Dies würde eine Warnmeldung an den Empfänger auslösen, dass die manipuliert wurde. Geheimhaltung - bei der Übertragung und im gespeicherten Zustand Die Kryptografietechnologie hinter S/MIME bedeutet, dass nur der beabsichtigte Empfänger der s sie tatsächlich lesen kann. Diese greift auf das Schlüsselpaar zurück - ein öffentlicher Schlüssel eines Benutzers wird zur Verschlüsselung der verwendet und NUR der entsprechende private Schlüssel kann sie entschlüsseln. 6

7 Das heißt, egal ob ein Hacker oder ein anderer unbeabsichtigter Empfänger versucht, eine Nachricht bei der Übertragung abzufangen oder Zugang zu -Systemen eines Unternehmens erhält, können sie den Inhalt nicht lesen. Unleugbarkeit Da digitale Signaturen mit dem privaten Schlüssel einer Person eingefügt werden, der im alleinigen Besitz der Person sein sollte, kann er später nicht behaupten, dass er es nicht war, der die Signatur eingefügt hat. Administrative Überlegungen Transparenz für Endbenutzer / Benutzerfreundlichkeit Die Verwendung von S/MIME ist für den Endbenutzer in der Regel einfach und transparent. Es ist im Allgemeinen eine minimale Benutzerschulung nötig, die auch hilft, den Einsatz zu optimieren und die Belastung für die IT-Abteilung zu minimieren. Bei den meisten -Clients ist das digitale Signieren und/oder Verschlüsseln einer Nachricht so einfach wie das Klicken auf eine Schaltfläche. Viele bieten auch die Möglichkeit, dies für alle ausgehenden s zu machen. Signieren und Verschlüsseln einer ausgehenden in Outlook

8 S/MIME-Funktionen Digitales Signieren einer bietet: Authentifizierung des E- Mail-Absenders Unleugbarkeit Integrität der Nachricht Deutliche Symbole machen es den Empfängern leicht, zu erkennen, ob eine verschlüsselt und/oder digital signiert wurde. Sie sollten Details enthalten, die die Integrität der Signatur und den Ursprung bestätigen. Verschlüsseln einer bietet: Geheimhaltung (bei der Übertragung und im gespeicherten Zustand) Integrität der Nachricht Hinweis: Verschlüsselung allein bietet keine Informationen über den Absender der Nachricht. Es wird empfohlen immer eine digitale Signatur beim Verschlüsseln einzufügen, um die Identität des Absenders zu authentifizieren. Beispiel für verschlüsselte und digital signierte mit anklickbaren Details in Outlook

9 Kompatibilität mit führenden Mail-Clients Die meisten führenden -Clients für Unternehmen (Outlook, Thunderbird, Apple Mail, Lotus Notes etc.) sind komplett kompatibel mit S/MIME. Man muss also keine zusätzliche Software, Geräte oder Gateways haben. Die Kompatibilität mit webbasierten -Plattformen ist uneinheitlicher - Outlook 365 hat 2014 mit der Unterstützung von S/MIME begonnen, während Gmail die Verwendung eines zusätzlichen Plug-Ins oder Add-ons erfordert. Diverse mobile -Clients können auch für S/MIME konfiguriert werden (z. B. Windows 10 Mail App, Samsung native -App, ios native -App). Das Zertifikat des Benutzers muss nur auf dem Gerät installiert werden. Nutzung von Active Directory und Gruppenrichtlinie Da S/MIME PKI-basiert ist, kann es in vorhandene Active Directory- Umgebungen integriert werden. Egal ob Unternehmen eine interne CA- Bereitstellung oder einen Drittanbieter-CA-Dienst einsetzen, können sie die vorhandenen Benutzeridentitätsdaten aus Active Directory nutzen, um die Zertifikatregistrierung zu optimieren und die Gruppenrichtlinie verwenden, um festzustellen, welche Benutzer S/MIME-Zertifikate benötigen. Zertifikate können dann automatisch ausgestellt und auf den entsprechenden Rechnern der Benutzer installiert werden, ohne dass die IT-Abteilung oder der Benutzer selbst eingreifen muss. Eine Lösung für Mobilgeräte und Desktop S/MIME-Zertifikate können sowohl auf mobilen Geräten als auch auf Desktops installiert werden, sodass Benutzer s digital signieren und verschlüsseln können, egal welches Gerät sie verwenden. Eine einheitliche Lösung kann auch Bereitstellungen vereinfachen und die Kosten für IT senken. Die Integration in Mobile Device Management (MDM) Plattformen automatisiert die Zertifikatbereitstellung und -verwaltung. Fazit Wenn es um -Sicherheit geht, brauchen Unternehmen eine kostengünstige Lösung, die das Unternehmen nicht nur vor wachsenden Bedrohungen wie Phishing und Kompromittierung von Geschäfts- s, sondern auch vor Risiken wie Datenverlust und -missbrauch schützt, die aber auch von Endbenutzern angenommen wird und IT nicht belastet. S/MIME bietet einen Mittelweg zwischen Sicherheit und Benutzerfreundlichkeit und bewältigt die führenden -Angriffsvektoren, ohne umfangreiche Benutzerschulungen oder IT-Ressourcen zur Bereitstellung und Verwaltung zu benötigen. Über GlobalSign GlobalSign ist der führende Anbieter von vertrauenswürdigen Identitäts- und Sicherheitslösungen, die es Unternehmen, Großunternehmen, Cloud-Service- Anbietern und IoT-Innovatoren auf der ganzen Welt ermöglichen, Online- Kommunikation zu sichern, Millionen von verifizierten digitalen Identitäten zu verwalten und Authentifizierung und Verschlüsselung zu automatisieren. Mit Lösungen für hochskalierte Public Key Infrastructure (PKI) und Identität unterstützt das Unternehmen Milliarden von Geräten, Personen und Dingen innerhalb des Internet of Everything (IoE). DE: EU: verkauf@globalsign.com 9

10 Literaturhinweise 1 Executive-Summary.pdf Best Practices in , Web, and Social Media Security, Osterman Research, Inc., Januar SilverSky Security Habits Survey Report, SilverSky,