Integrationsanleitung. Integration der OpenLimit Middleware Version 3

Transkript

1 Integrationsanleitung Integration der OpenLimit Middleware Version 3 Dokumentenversion 1.0 Stand:

2 Inhaltsverzeichnis 1 Einführung Clients Microsoft Outlook Ihr Zertifikat bekannt geben signieren / verschlüsseln Mozilla Thunderbird Einbindung des OpenLimit Kryptografie Moduls Ihr Zertifikat bekannt geben signieren / verschlüsseln Browser Internet Explorer Installation einer CA auf dem System Internetexplorer für SSL vorbereiten Herstellen einer Verbindung zu einer Webseite mit SSL-Authentisierung Firefox Installation einer CA auf dem System Firefox für SSL vorbereiten Herstellen einer Verbindung zu einer Webseite mit SSL-Authentisierung

3 Copyright OpenLimit SignCubes AG 2012 Diese Dokumentation ist geistiges Eigentum der OpenLimit SignCubes AG. Sie darf ohne vorherige schriftliche Einwilligung der OpenLimit SignCubes AG nicht (auch nicht in Auszügen) vervielfältigt oder veröffentlicht werden, unabhängig von der Art und Weise oder mit welchen Mitteln, elektronisch oder mechanisch, dieses geschieht. Die in dieser Dokumentation verwendeten Soft- oder Hardwarebezeichnungen sind genauso wie Firmenoder Markennamen in den meisten Fällen eingetragene Warenzeichen oder Marken und Eigentum der jeweiligen Hersteller. Sie werden ohne Gewährleistung der freien Verwendbarkeit benutzt. Wir richten uns im Wesentlichen nach den Schreibweisen der Hersteller. Die Wiedergabe von Waren- und Handelsnamen etc. in dieser Dokumentation - auch ohne besondere Kennzeichnung - berechtigt nicht zu der Annahme, dass solche Namen im Sinne der Warenzeichen- und Markenschutz-Gesetzgebung als frei zu betrachten sind. Alle in dieser Dokumentation enthaltenen Informationen wurden mit größter Sorgfalt zusammengestellt. Dennoch können fehlerhafte Angaben nicht völlig ausgeschlossen werden. Die OpenLimit SignCubes AG, die Autoren haften nicht für eventuelle Fehler oder deren Folgen. Dieses Dokument beschreibt die Integration der OpenLimit Middleware Version 3 Funktionalitäten in unterstützte -Clients. In Einzelfällen kann es zu Abweichungen zwischen den beschriebenen Abläufen der Dokumentation und der tatsächlichen Anwendung kommen. Die OpenLimit SignCubes AG übernimmt keine Haftung für etwaige Abweichungen und deren Folgen. Hinweise und Kommentare richten Sie bitte an documentation@openlimit.com. OpenLimit SignCubes AG Zugerstraße 76B CH Baar Schweiz Web: 3

4 1 Einführung Dieses Dokument beschreibt die Integration der OpenLimit Middleware Version 3 Funktionalitäten in unterstützte -Clients. Die Verwendung der Funktionalitäten ist im Benutzerhandbuch der OpenLimit Middleware Version 3 beschrieben. Die OpenLimit Middleware Version 3 unterstützt das Signieren und Verschlüsseln von s in verschiedenen Programmen. In diesem Kapitel werden die vorzunehmenden Einstellungen und die grundlegenden Arbeitsschritte der unterstützen Clients anhand eines Beispiels kurz beschrieben. Weitere Informationen zu aktuellen Versionen der Clients finden Sie auf der OpenLimit FAQ Seite unter: Die folgenden Erklärungen betreffen hauptsächlich Funktionen und Einstellungen ausgewählter -Clients und erheben keinen Anspruch auf Vollständigkeit. Es wird grundsätzlich empfohlen in der Hilfe oder im Handbuch des jeweiligen Programms nachzusehen. Voraussetzung für das Arbeiten mit den verschiedenen Programmen ist, dass das Programm richtig installiert ist und das -Konto, das der Adresse Ihres Zertifikats entspricht, richtig eingerichtet wurde. Um zu erfahren wie Sie ein Konto einrichten, lesen Sie bitte die Hilfe des jeweiligen Clients. 4

5 2 -Clients 2.1 Microsoft Outlook Der OpenLimit SignCubes Cryptographic Service Provider (CSP) wird automatisch mitinstalliert und kommt nur dann zum Einsatz, wenn Informationen der Karte benötigt werden, d.h. bei der Signaturerzeugung und beim Entschlüsseln. Das Verschlüsseln und die Signaturprüfung erfolgt durch Microsoft Outlook selbst. Um mit Microsoft Outlook alle Sicherheitsfunktionen ausführen zu können, benötigen Sie ein -Konto mit der im Zertifikat auf der Karte eingetragenen -Adresse. Diese haben Sie beim Beantragen Ihrer Karte / Zertifikats-angegeben. Dieses Zertifikat müssen Sie nun noch in Outlook bekanntgeben, um es verwenden zu können. Später wird es beim Signieren oder Entschlüsseln automatisch erkannt und verwendet, wenn die Karte im Kartenleser steckt Ihr Zertifikat bekannt geben Bitte wählen Sie in Outlook [Optionen] über die Registerkarte [Datei]. Wenn die Outlook- Optionen angezeigt werden, wählen Sie bitte auf der linken Seite im unteren Bereich [Sicherheitscenter]. Wählen Sie im Anschluss auf der rechten Seite bitte die Schaltfläche [Einstellungen für das Sicherheitscenter ]. Abbildung 1 Outlook-Optionen 5

6 Nun wählen Sie bitte [ -Sicherheit] und anschließend in der Kategorie Verschlüsselte E- Mail-Nachrichten die Schaltfläche [Einstellungen ]. Abbildung 2 -Sicherheit Wählen Sie hinter Signaturzertifikat die Schaltfläche [Auswählen], um zunächst das Signaturzertifikat auszuwählen. Bitte beachten Sie, dass nur die Zertifikate angeboten werden, die auch zu dem bereits eingerichteten -Konto passen. Abbildung 3 Sicherheitseinstellungen ändern 6

7 Bitte bestätigen Sie die Verwendung des angezeigten Zertifikats über [OK]. Abbildung 4 Bestätigen des Zertifikats Wiederholen Sie den Vorgang bitte für das Verschlüsselungszertifikat, falls dieses nicht automatisch mit ausgewählt wurde. Nun vergeben Sie bitte einen Namen für Ihre Sicherheitseinstellungen und stellen Sie sicher, dass die Optionen für Standardeinstellungen für dieses Format kryptografischer Nachrichten Standardeinstellungen für alle kryptografischen Nachrichten Signierten Nachrichten diese aktiviert sind. Im Anschluss bestätigen Sie Ihre Einstellungen bitte über [OK]. Abbildung 5 Sicherheitseinstellungen ausgefüllt 7

8 Zuletzt bestätigen Sie bitte Ihre Angaben, indem Sie die geöffneten Dialoge Sicherheitscenter und Outlook-Optionen über [OK] schließen. Abbildung 6 Sicherheitscenter mit eingetragener Standardsicherheitseinstellung Nun kann die OpenLimit Middleware Version 3 verwendet werden, um Ihre s zu signieren und zu verschlüsseln signieren / verschlüsseln Beachten Sie bitte grundsätzlich, dass Sie nur für Personen verschlüsseln können, über deren öffentliches Zertifikat Sie verfügen. Am einfachsten gelangen Sie an das Zertifikat, wenn diese Person Ihnen eine signierte schickt und Sie den Absender als Kontakt in Ihrem Adressbuch ablegen. Beachten Sie bitte, dass das verwendete Zertifikat über eine nachvollziehbare Zertifikatskette verfügen muss. Das bedeutet, dass es über den Aussteller (CA-Zertifikat) zum ausstellenden Trustcenter (Wurzel-Zertifikat) zurück verfolgbar sein muss. Falls eines dieser Zertifikate nicht im Zertifikatsspeicher von Windows vorliegt, müssen Sie dieses manuell installieren. Andernfalls werden Sie bei der Verwendung darauf hingewiesen. Wie Sie ggf. fehlende Zertifikate in den Windows Zertifikatsspeicher hinzufügen, erfahren Sie von dem jeweiligen Aussteller Ihrer Karte (siehe ggf Installation einer CA auf dem System). Wählen Sie [Neue Nachricht], um eine neue Nachricht zu schreiben. Geben Sie wie üblich Ihre gewünschte Nachricht ein und wählen Sie vor dem Versenden bitte den Kartereiter [Optionen]. Hier wählen Sie bitte [Signieren] und/oder [Verschlüsseln]. 8

9 Abbildung 7 Neue Nachricht, die signiert und verschlüsselt werden soll Nachdem Sie im Nachricht-Dialog auf [Senden] geklickt haben, werden Sie nun aufgefordert Ihre PIN für das jeweilige Zertifikat einzugeben. Nach der korrekten Eingabe Ihrer PIN wird die entsprechend Ihrer Einstellung (signiert und/oder verschlüsselt) versendet. 9

10 2.2 Mozilla Thunderbird Einbindung des OpenLimit Kryptografie Moduls Wählen Sie im Menü von Thunderbird bitte in der Kategorie Extras den Eintrag Einstellungen. In den Einstellungen wählen Sie bitte die Kategorie Erweitert und unter dem Karteireiter Zertifikate bitte die Schaltfläche [Kryptografie-Module]. Abbildung 8 Einstellungen - Kategorie Erweitert 10

11 Der nun aktive Dialog Kryptografie-Modul-Manager zeigt Ihnen alle bereits installierten Kryptografie-Module an. Da das OpenLimit SignCubes PKCS#11 Modul hier noch nicht enthalten ist, muss diese über die Schaltfläche [Laden] hinzugefügt werden. Abbildung 9 Kryptografie-Modul-Manager Legen Sie bitte in dem neuen Dialog einen Namen für das OpenLimit SignCubes PKCS#11 Modul fest und wählen Sie im Anschluss [Durchsuchen ]. Abbildung 10 PKCS#11-Modul laden 11

12 Navigieren Sie bitte in den Ordner exec im Installationsordner der OpenLimit Middleware Version 3, wählen Sie hier die Datei siqp11.ols aus und bestätigen Sie Ihre Auswahl über [Öffnen]. Die gewählte Modul-Datei wird Ihnen hinter Modul-Dateiname angezeigt. Stimmen Sie nun bitte dem Laden des Moduls zu, indem Sie [OK] wählen. Abbildung 11 PKCS#11-Modul laden mit angegebener Datei Das geladene Modul wird Ihnen im Anschluss im Modul-Manager angezeigt. Damit ist die Einbindung des OpenLimit Kryptografie Moduls in Thunderbird abgeschlossen. Abbildung 12 Kryptografie-Modul-Manager mit OpenLimit PKCS#11-Modul 12

13 2.2.2 Ihr Zertifikat bekannt geben Wählen Sie im Menü von Thunderbird bitte in der Kategorie Extras den Eintrag Einstellungen. In den Einstellungen wählen Sie bitte die Kategorie Erweitert (siehe Abbildung 8 Einstellungen - Kategorie Erweitert ) und unter dem Karteireiter Zertifikate bitte die Schaltfläche [Zertifikate]. Es wird der Zertifikat-Manager geöffnet und unter dem Karteireiter Ihre Zertifikate wird Ihnen Ihr Zertifikat angezeigt. Schließen Sie die geöffneten Einstellungsfenster bitte jeweils über [OK]. Navigieren Sie nun über die Kategorie Extras zu den Konten-Einstellungen. Wählen sie im nun geöffneten Dialog in dem zum Zertifikat passenden -Konto den Punkt S/MIME- Sicherheit aus. Abbildung 13 S/MIME Sicherheit Wählen Sie für die Funktion Digitale Unterschrift [Auswählen]. Beachten Sie bitte, dass das zu verwendende Zertifikat nur ausgewählt werden kann, wenn es gültig ist und die Zertifikatskette gebildet werden kann. Das bedeutet, dass es über den Aussteller (CA-Zertifikat) zum ausstellenden Trustcenter (Wurzel-Zertifikat) zurück verfolgbar 13

14 sein muss. Falls eines dieser Zertifikate nicht im Zertifikatsspeicher vorliegt, mü ssen Sie dieses manuell installieren (siehe ggf Installation einer CA auf dem System). Wählen Sie aus der Liste bitte das gewünschte Zertifikat aus und stimmen Sie Ihrer Auswahl über [OK] zu. Abbildung 14 Auswahl des zu verwendenden Zertifikats Falls Sie mit dem gleichen Zertifikat auch verschlüsseln möchten, bestätigen die folgende Meldung über [JA]. Abbildung 15 Frage nach Ihrem öffentlichen Verschlüsselungszertifikat Es ist nun dasselbe Zertifikat unter dem Punkt Verschlüsselung ausgewählt. Unter dem Punkt Standard-Verschlüsselungseinstellungen beim Senden von Nachrichten sollten Sie den Punkt Notwendig(Senden nur möglich, wenn alle Empfänger ein Zertifikat besitzen) wählen. Beachten Sie hierbei, dass Sie über die öffentlichen Verschlüsselungszertifikate aller Empfänger verfügen müssen, um bei dieser aktivierten Einstellung eine verschlüsselte zu versenden. Speichern Sie Ihre Einstellungen, indem Sie über [OK] das Fenster Konten-Einstellungen schließen. 14

15 signieren / verschlüsseln Beachten Sie bitte grundsätzlich, dass Sie nur für Personen verschlüsseln können, über deren öffentliches Zertifikat Sie verfügen. Am einfachsten gelangen Sie an das Zertifikat, wenn diese Person Ihnen eine signierte schickt und Sie den Absender als Kontakt in Ihrem Adressbuch ablegen. Beachten Sie bitte, dass das verwendete Zertifikat über eine nachvollziehbare Zertifikatskette verfügen muss. Das bedeutet, dass es über den Aussteller (CA-Zertifikat) zum ausstellenden Trustcenter (Wurzel-Zertifikat) zurück verfolgbar sein muss. Falls eines dieser Zertifikate nicht im Zertifikatsspeicher von Windows bzw. Thunderbird vorliegt, müssen Sie dieses manuell installieren. Andernfalls werden Sie bei der Verwendung darauf hingewiesen. Wie Sie ggf. fehlende Zertifikate in den Windows Zertifikatsspeicher hinzufügen, erfahren Sie von dem jeweiligen Aussteller Ihrer Karte (siehe ggf Installation einer CA auf dem System). Wählen Sie im Thunderbird die Schaltfläche [Verfassen] um eine neue zu schreiben. Anschließend wählen Sie bitte unter [S/MIME] Nachricht unterschreiben und/oder Nachricht verschlüsseln. Abbildung 16 Neue Nachricht, die signiert und verschlüsselt werden soll 15

16 Nachdem Sie im Nachricht-Dialog auf [Senden] geklickt haben, werden Sie nun aufgefordert Ihre PIN für das jeweilige Zertifikat einzugeben. Nach der korrekten Eingabe Ihrer PIN wird die entsprechend Ihrer Einstellung (signiert und/oder verschlüsselt) versendet. 16

17 3 Browser Mit den Modulen der OpenLimit Middleware Version 3 sind Sie in der Lage, sich an einer Webseite, welche SSL-Authentisierung verwendet, anzumelden. Diese Aufgabe wird je nach Verwendung des Web-Browsers vom CSP oder vom PKCS#11 Treiber übernommen. 3.1 Internet Explorer Bevor Sie eine Webseite besuchen können, welche mit SSL-Authentisierung arbeitet, müssen Sie Ihre Karte in Ihr Kartenlesegerät stecken und warten bis diese erkannt wurde (Chipsymbol ist grün) Installation einer CA auf dem System Damit Zertifikate für die SSL-Authentisierung verwendet werden können, müssen die dazu gehörigen Ausstellerzertifikate installiert und als vertrausendwürdig eingestuft sein. Für viele Zertifikate sind die Ausstellerzertifikate im Browser bereits vorinstalliert. Sollten Sie jedoch ein Zertifikat verwenden, für welches die Ausstellerzertifikate noch nicht installiert sind, muss die Installation manuell erfolgen. Laden Sie sich zunächst die passenden Zertifikate vom Trustcenter herunter und speichern sich diese als Datei ab. Klicken Sie die Datei anschließend doppelt an. Wählen Sie dann [Zertifikat installieren]. Abbildung 17 Zertifikat installieren 17

18 Folgen Sie dem Assistent, um das Zertifikat zu installieren. Abbildung 18 Zertifikatsinstallation bestätigen Wählen Sie als Speicher [Vertrauenswürdige Stammzertifizierungsstellen]. Abbildung 19 Zertifikatsspeicher wählen 18

19 Abbildung 20 Import abschließen Internetexplorer für SSL vorbereiten Um die SSL-Authentisierung durchführen zu können, müssen enstprechende Einstellungen im Internetexplorer vorgenommen werden: Gehen Sie im Internetexplorer auf [Extras/Internetoptionen/Erweitert]. Aktivieren Sie nun [SSL]. Abbildung 21 SSL Aktivieren 19

20 Ihr Zertifikat, welches dem Browser durch die OpenLimit Middleware Version 3 zur Verfügung gestellt wird, können Sie sich im Internetexplorer anzeigen lassen. Voraussetzung hierfür ist, dass die OpenLimit Middleware Version 3 gestartet und die Karte eingesteckt ist. Abbildung 22 Karteireiter Inhalte Gehen Sie nun auf [Zertifikate/Eigene Zertifikate]. Abbildung 23 Zertifikat anzeigen lassen 20

21 Die im vorigen Schritt installierten Ausstellerzertifikate finden Sie unter [Ver trauenswürdige Stammzertifizierungsstellen]. Abbildung 24 Vertrauenswürde Stammzertifizierungsstellen 21

22 3.1.3 Herstellen einer Verbindung zu einer Webseite mit SSL-Authentisierung Wenn Sie mit Internet Explorer eine Webseite aufsuchen, die SSL-Authentisierung verwendet, wird eventuell eine Meldung angezeigt, in der Sie gefragt werden, welches Zertifikat für die Authentisierung verwendet werden soll. Sofern nur ein Zertifikat verfügbar ist, welches für die SSL-Authentisierung verwendet werden kann, wird dieses automatisch verwendet und der Dialog erscheint nicht. Andernfalls wählen Sie bitte nun das zu verwendende Zertifikat aus. Abbildung 25 Zertifikat wählen Nach der Auswahl und Bestätigung mit [OK], werden Sie aufgefordert Ihre PIN für das jeweilige Zertifikat einzugeben. Abbildung 26 Sichere PIN-Eingabe Die Verbindung zur Webseite wird hergestellt. Alle Daten, die nun zwischen Ihnen und der Webseite ausgetauscht werden, werden über eine SSL-gesicherte Verbindung geschickt. 22

23 3.2 Firefox Installation einer CA auf dem System Damit Zertifikate für die SSL-Authentisierung verwendet werden können, müssen die dazu gehörigen Ausstellerzertifikate installiert und als vertrauenswürdig eingestuft sein. Für viele Zertifikate sind die Ausstellerzertifikate im Browser bereits vorinstalliert. Sollten Sie jedoch ein Zertifikat verwenden, für welches die Ausstellerzertifikate noch nicht installiert sind, muß die Installation manuell erfolgen. Laden Sie sich zunächst die passenden Zertifikate vom Trustcenter herunter und speichern sich diese als Datei ab. Öffnen Sie nun Firefox und wechseln Sie auf den Karteireiter [Erweitert/Verschlüsselung]. Abbildung 27 Kategorie Erweitert - Karteireiter Verschlüsselung Wählen Sie [Zertifikate anzeigen/zertifizierungsstellen/importieren]. Wählen Sie das zu Ihrem Zertifikat gehörige Ausstellerzertifikat aus und importieren Sie dieses. 23

24 Abbildung 28 Zertifikatsmanager Abbildung 29 Zertifikat importieren Wählen Sie nun den Aussteller aus und wählen Sie [Vertrauen bearbeiten] aus. 24

25 Abbildung 30 Vertrauenseinstellung für das CA-Zertifikat Firefox für SSL vorbereiten Bevor Sie die SSL-Authentisierung verwenden können, müssen Sie den Web-Browser so konfigurieren, dass dieser mit Ihrer Smartcard und den darauf installierten Zertifikaten umgehen kann. Öffnen Sie den Web-Browser und klicken Sie dann in der Menüleiste auf [Extras/ Einstellungen]. Wechseln Sie nun auf den Karteireiter [Erweitert/Verschlüsselung/Kryptographie-Module]. Abbildung 31 Kryptographie-Module 25

26 Klicken Sie in dem nun aktiven Dialog auf die Schaltfläche [Laden], um das PKCS#11-Modul, welches zum Umgang mit Ihrer Karte erforderlich ist, zu installieren. Abbildung 32 Kryptographie-Modul laden Legen Sie bitte in dem neuen Dialog einen Namen für das OpenLimit SignCubes PKCS#11 Modul fest und wählen Sie im Anschluss [Durchsuchen ]. Abbildung 33 PKCS#11-Modul laden 26

27 Wenn Sie gefragt werden, ob Sie dieses Modul installieren wollen, bestätigen Sie dies mit [OK]. Anschließend sehen Sie links im Fenster das geladene PKCS#11 Modul. Abbildung 34 PKCS#11-Modul ist aktiv Sofern bereits Karten in der OpenLimit Middleware Version 3 aktiv sind, werden Ihnen diese in der Übersicht angezeigt. Klicken Sie nun auf [OK]. Firefox ist nun korrekt konfiguriert und kann zur SSL-Authentisierung verwendet werden. 27

28 3.2.3 Herstellen einer Verbindung zu einer Webseite mit SSL-Authentisierung Wenn Sie mit Firefox eine Webseite aufsuchen, die SSL-Authentisierung verwendet, werden Sie eventuell gefragt, welches Zertifikat Sie für die Authentisierung verwenden möchten. Sie können Firefox die Information, welches Zertifikat verwendet werden soll dauerhaft hinterlegen, über [Entscheidung merken]. Abbildung 35 Zertifikat wählen Nach der Auswahl und Bestätigung mit [OK], werden Sie aufgefordert Ihre PIN für das jeweilige Zertifikat einzugeben. Abbildung 36 Sichere PIN-Eingabe Die Verbindung zur Webseite wird hergestellt. Alle Daten, die nun zwischen Ihnen und der Webseite ausgetauscht werden, werden über eine SSL-gesicherte Verbindung geschickt. 28