Anleitung zum Einbinden eines Zertifikates in Outlook 2003 zum Versenden verschlüsselter und signierter E-Mails
Inhaltsverzeichnis 1 Einleitung... 3 2 Zertifikat einrichten... 3 2.1 Vorbedingungen... 3 2.2 Ihre Sicherheit... 3 2.3 Kurzanleitung und Übersicht... 4 2.4 Ausführliche Anleitung... 5 2.5 Zertifikate prüfen... 13 3 Verzeichnisdienst LDAP einrichten... 14 4 Verfassen einer signierten und verschlüsselten E-Mail... 19 4.1 Das E-Mail-Konto für das Verschlüsseln und Signieren vorbereiten... 19 4.2 Eine E-Mail-Nachrichten signieren, verschlüsseln und senden... 23 Seite -2-
1 Einleitung Dieses Dokument beschreibt die Integration von Zertifikaten und digitalen Schlüsseln in Ihr Berliner Schulmailkonto unter Outlook 2003. Sollten Sie Ihr Berliner Schulmailkonto noch nicht eingerichtet haben, so folgen Sie bitte vorher den Erläuterungen in der Anleitung zum Einrichten der Berliner Schulmail unter Outlook 2003. 2 Zertifikat einrichten Von der Registrierungsagentur (RA) erhalten Sie auf einem USB-Datenträger (Karte) zwei Dateien im Format PKCS#12, die je ein Zertifikat und ihren dazugehörigen privaten Schlüssel enthalten: Zum Verschlüsseln: Schulleitung-<BSN>-Verschluesselung.p12 Bsp.: Schulleitung-01G01-Verschluesselung.p12 Zum Signieren: Schulleitung-<BSN>-Signatur.p12 Bsp.: Schulleitung-01G01-Signatur.p12 Diese Dateien sind verschlüsselt und können nur nach Eingabe Ihrer PIN ausgelesen werden, die Sie ebenfalls von der Registrierungsagentur erhalten. Die Zertifikate sind Rollenzertifikate (auch Gruppenzertifikate genannt). Sie als Eigentümer der Zertifikate können nach eigenem Ermessen weiteren Personen die Nutzung der Zertifikate erlauben, wobei Sie mit Ihrer Unterschrift beim Empfang bestätigt haben, dass Sie die alleinige Verantwortung für den ordnungsgemäßen Einsatz der Zertifikate tragen. Zur Erhöhung der Sicherheit können Sie einer Vertrauensperson nur den Empfang verschlüsselter E-Mails an das Postfach der Schule erlauben, ohne das diese Person auch E- Mails im Auftrag der Schule digital signieren (unterschreiben) kann. Dazu kann nur das Verschlüsselungszertifikat (Dateiname: Schulleitung-<BSN>-Verschluesselung.p12) in das Mailprogramm der Vertrauensperson integriert werden, wobei die PIN nicht weitergegeben werden darf. 2.1 Vorbedingungen Zur Integration der Zertifikate und digitalen Schlüssel benötigen Sie den USB-Datenträger mit den zwei Zertifikatdateien und den PIN-Brief bzw. die PIN. Diese Materialien bekommen Sie von der Registrierungssagentur bei SenBJW gegen Unterschrift ausgehändigt. Für die Integration der Zertifikate benötigen Sie nur Ihre normalen Nutzerrechte auf Ihrem Arbeitsplatzcomputer, also keine Administratorrechte. Die Integration der Zertifikate erfolgt nur durch Konfiguration, also ohne Installation weiterer Software. Die Integration der Zertifikate kann vor oder nach Einrichtung des E-Mail-Kontos erfolgen. Eine Nutzung der Zertifikate ist erst mit dem vollständig eingerichteten E-Mail-Konto möglich. 2.2 Ihre Sicherheit Zur Geheimhaltung Ihrer privaten Schlüssel achten Sie bitte darauf, dass Sie Ihre Passwörter stets unbeobachtet eingeben. Bitte verwenden Sie die Zertifikate und Ihre privaten Schlüssel nur auf Arbeitsplatzcomputern, die sicher administriert werden. Seite -3-
Ihre privaten Schlüssel sind nach der Installation auf Ihrem Arbeitsplatzrechner durch ein Passwort geschützt. Bitte verwenden Sie stets ein sicheres Passwort mit einer Länge von mindestens 8 Zeichen, welches neben Groß- und Kleinbuchstaben auch Sonderzeichen und Ziffern verwendet. Bitte verwenden Sie als Passwort niemals Wörter, die in Wörterbüchern gefunden werden können, da solche Passwörter heute leicht durch automatisches Ausprobieren erraten werden können. Bitte lesen Sie die Zertifikatsdateien nur direkt vom USB-Datenträger (USB-Karte) ein. Die Zertifikatsdateien vom USB-Datenträger dürfen nicht auf die Computerfestplatte oder Netzwerklaufwerke kopiert werden, da sie so von anderen Personen missbraucht werden könnten. Insbesondere kann mit entsprechender Spezialsoftware die Verschlüsselung durch unberechtigte Personen gebrochen werden. Bitte schützen Sie den USB-Datenträger gegen unberechtigte Verwendung durch andere Personen durch Lagerung in einem abgeschlossenen Schrank. Der USB-Datenträger darf nur für die Zertifikatsdateien verwendet werden. Halten Sie die von der Registrierungsagentur ausgegebene PIN Ihrer Zertifikate unbedingt geheim. Wenn Sie den PIN-Brief aufbewahren, so schützen Sie ihn gegen unberechtigte Verwendung durch andere Personen, am besten dadurch, dass er getrennt vom USB- Datenträger in einem abgeschlossenen Schrank gelagert wird. Sollten Sie einen Verdacht auf Missbrauch oder unberechtigte Erlangung ihrer Zertifikate oder digitalen Schlüssel haben informieren Sie schnellstmöglich die Registrierungsagentur bei SenBJW, damit Gegenmaßnahmen wie die Sperrung der Zertifikate getroffen werden können. Bei Beschädigung oder versehentlichem Löschen der Zertifikate oder digitalen Schlüssel kann die Registrierungsagentur eine Ersatzausstellung vornehmen, so dass Ihre verschlüsselten Daten nicht verloren sind. 2.3 Kurzanleitung und Übersicht Das E-Mailprogramm MS Outlook 2003 nutzt den Zertifikatsspeicher des Betriebssystems. Die Integration der Zertifikate kann damit sowohl aus dem Betriebssystem oder MS Outlook 2003 oder den Web-Browser MS Internet Explorer heraus gestartet werden. Im Betriebssystem kann man Zertifikate importieren unter Start Einstellungen Systemsteuerung Internetoptionen Reiter Inhalte Feld Zertifikate Reiter Eigene Zertifikate Importieren. Dort startet der Zertifikatsimport-Assistent, in dem vom USB-Datenträger nacheinander die beiden Dateien importiert werden. Dazu muss jeweils der Dateiname mit der Endung p12 ausgewählt und die PIN als Kennwort eingegeben werden. Dabei muss Hohe Sicherheit für den privaten Schlüssel aktiviert werden und auf keinen Fall Schlüssel als exportierbar markieren ausgewählt sein. Alle Zertifikate sollten im Zertifikatsspeicher Eigene Zertifikate gespeichert werden. Wählen Sie die Sicherheitsstufe Hoch und setzen Sie ein eigenes sicheres Kennwort für Ihre Austauschschlüssel. Nach erfolgreichem Import wird Der Importvorgang war erfolgreich angezeigt und Ihre zwei Zertifikate werden angezeigt. Seite -4-
2.4 Ausführliche Anleitung Da Outlook 2003 auf den Zertifikatsspeicher vom Betriebssystem zurückgreift, werden die Zertifikate in der Systemsteuerung eingefügt. Abbildung 1: Internetoptionen öffnen Demzufolge sollte die Integration der Zertifikate und privaten Schlüssel im Betriebssystem unter Start Einstellungen Systemsteuerung Internetoptionen gestartet werden (Abbildung 1). Seite -5-
Abbildung 2: Zertifikate konfigurieren Unter dem Reiter Inhalte klicken Sie das Feld Zertifikate an (Abbildung 2). Seite -6-
Abbildung 3: Fenster Zertifikate Importieren auswählen Im sich öffnenden Fenster Zertifikate wählen Sie den Reiter Eigene Zertifikate und klicken dort auf Importieren (Abbildung 3). Seite -7-
Abbildung 4: Im Zertifikatsimport-Assistent die Zertifikatsdatei auswählen Jetzt startet der Zertifikatsimportassistent. Stecken Sie Ihren USB-Datenträger spätestens jetzt an Ihren PC und warten Sie bis er erkannt wird. Klicken Sie Weiter und wählen Sie auf Ihrem USB-Datenträger die Zertifikatsdatei mit der Endung p12. Sie können sowohl mit der Datei für Verschlüsseln oder für Signieren starten und danach die andere Datei importieren (Abbildung 4). Seite -8-
Abbildung 5: PIN eingeben und Hohe Sicherheit aktivieren Sie werden im Feld Kennwort aufgefordert, die PIN einzugeben, die Sie von der Registrierungsagentur erhalten haben. Bitte aktivieren Sie Hohe Sicherheit (Abbildung 5). Abbildung 6: Zertifikatsspeicher wählen Wählen Sie jetzt den voreingestellten Zertifikatsspeicher Eigene Zertifikate für alle Zertifikate aus. Diese Einstellung ist bereits voreingestellt. Klicken Sie auf Weiter (Abbildung 6). Seite -9-
Abbildung 7: Fertigstellen des Assistenten Klicken Sie im Feld Fertigstellen des Assistenten auf Fertig stellen (Abbildung 7). Abbildung 8: Sicherheitsstufe anklicken Nach dem Fertigstellen müssen Sie noch die Sicherheitsstufe auf Hoch stellen. Klicken Sie dazu auf das Feld Sicherheitsstufe (Abbildung 8). Seite -10-
Abbildung 9: Sicherheitsstufe Hoch wählen Nach Anzeige des Fensters aktivieren Sie bitte Hoch (Abbildung 9). Abbildung 10: Sicheres Passwort eingeben Im neuen Fenster müssen Sie ein eigenes sicheres Kennwort für den Schutz Ihrer privaten Schlüssel eingeben. (Abbildung 10) Bitte verwenden Sie ein mindestens 10 Zeichen langes und ausreichend kompliziertes Kennwort, dass Sie sich aber merken können. Sie müssen dieses Kennwort jedes Mal zur Verwendung der Zertifikate, z. B. zum Senden einer verschlüsselten oder signierten E-Mail eingeben. Seite -11-
Abbildung 11: Abschlussmeldung des erfolgreichen Importvorgangs Nach Beenden des Assistenten erhalten Sie die Meldung, dass der Importvorgang erfolgreich war (Abbildung 11). Abbildung 12: Die zwei importieren Zertifikate werden angezeigt. Bitte wiederholen Sie nun die Schritte ab Abbildung 3 für die jeweils zweite Zertifikatsdatei, die sich auf dem USB-Datenträger befindet. Danach werden beide Zertifikate im Fenster Zertifikate angezeigt (Abbildung 12). Sie können nun beide Zertifikate in MS Outlook 2003 verwenden. Seite -12-
2.5 Zertifikate prüfen Der Einsatz der Verschlüsselung von E-Mails erhöht die Sicherheit, wenn evtl. Warnungen des E-Mailprogramms beachtet werden. Da es auch bei Zertifikaten Angriffsmöglichkeiten gibt, können Sie bei Verdachtsmomenten die Echtheit der Zertifikate prüfen, indem Sie den Fingerabdruck (engl. Fingerprint) des Zertifikats, eine mit dem Hash-Algorithmus SHA1 errechnete Prüfsumme, mit der Registrierungsagentur telefonisch vergleichen. Abbildung 13: Anzeige des Fingerabdruck in der Detail-Ansicht eines Zertifikats Der Fingerabdruck des Zertifikats wird Ihnen angezeigt, indem Sie auf das Feld Anzeigen klicken (Abbildung 13). Seite -13-
3 Verzeichnisdienst LDAP einrichten Für den sicheren Mailverkehr mit anderen Berliner Schulen und der Senatsverwaltung werden die Zertifikate der Kommunikationspartner in einem Verzeichnisdienst über LDAP (Lightweight Directory Access Protocol) bereitgestellt. Um diesen nutzen zu können muss der LDAP-Server im Microsoft Outlook 2003 konfiguriert werden. Zur Nutzung des Verzeichnisdienstes der DFN-PKI (LDAP-Server) sind folgende Einstellungen erforderlich: Hostname: ldap.pca.dfn.de Basis-DN: o=dfn-verein,c=de Port: 389 Die Konfiguration des LDAP-Servers erfolgt mit einem Assistenten, der in Outlook 2003 unter dem Menüpunkt Extras E-Mail-Konten gestartet wird. Abbildung 14: Assistent E-Mail-Konten zum Verzeichnis einrichten Hinweis: Beachten Sie bitte, dass nach der Konfiguration eines LDAP-Servers immer Outlook 2003 beendet und neu gestartet werden muss! Seite -14-
Abbildung 15: LDAP einrichten Im nächsten Schritt muss Internetverzeichnisdienst (LDAP) ausgewählt werden (Abbildung 15). Seite -15-
Abbildung 16: Servernamen eingeben und Weitere Einstellungen anklicken Im folgenden Schritt wird der Servername ldap.pca.dfn.de eingegeben und anschließend auf das Feld Weitere Einstellungen geklickt (Abbildung16). Abbildung 17: Hinweis auf erforderlichen Neustart von Outlook 2003 An dieser Stelle erfolgt von Outlook 2003 der Hinweis, dass nach Fertigstellung der Konfiguration des LDAP-Servers ein Neustart des Programms Outlook 2003 erfolgen muss, ehe eine Nutzung möglich ist (Abbildung 17). Seite -16-
Abbildung 17: Suchbasis eingeben Im neuen Fenster Microsoft LDAP Verzeichnis muss unter dem Reiter Suche noch die Suchbasis o=dfn-verein, c=de eingegeben werden. Anschließend wird die Eingabe mit OK bestätigt und die Konfiguration fertig gestellt. (Abbildung 17) Nach Abschluss der Konfiguration muss Outlook 2003 beendet und neu gestartet werden. Nun können Sie im Adressbuch den Verzeichnisdienst des DFN nutzen. Dazu rufen Sie bitte unter Extras das Adressbuch auf. Abbildung 18: Im Adressbuch auf das Symbol Elemente suchen klicken Zur Probe sollte im Adressbuch in der rechten oberen Auswahlliste der Verzeichnisdienst des DFN ausgewählt werden. Anschließend klicken Sie bitte in der Symbolleiste auf das zweite Symbol Elemente suchen (Abbildung 18). Seite -17-
Abbildung 19: Suchen Im neuen Fenster Suchen kann als Test im Feld Anzeigenname der Begriff senat eingegeben werden (Abbildung 19). Abbildung 20: Suchergebnis Als Ergebnis muss die Senatsverwaltung-Berlin-Schul-CA gefunden werden (Abbildung 20). Seite -18-
4 Verfassen einer signierten und verschlüsselten E-Mail 4.1 Das E-Mail-Konto für das Verschlüsseln und Signieren vorbereiten. Öffnen Sie Outlook 2003. Abbildung 21: Outlook 2003 Markieren Sie im Hauptfenster von Outlook 2003 (Abbildung 21) im linken Fensterbereich den Eintrag mail.schule.berlin.de und klicken Sie dann auf der Menüleiste auf Extras und dann auf Optionen. Seite -19-
Abbildung 22: Optionen Klicken Sie im Dialogfeld Optionen (Abbildung 22) auf die Registerkarte Sicherheit und dann auf die Schaltfläche Einstellungen. Seite -20-
Abbildung 23: Sicherheitseinstellungen ändern Geben Sie im Dialogfeld Sicherheitseinstellungen ändern (Abbildung 23) im Feld Name der Sicherheitseinstellung einen Namen ein, z. B. Schulverwaltungsnetz, und klicken Sie unter Signaturzertifikat auf Auswählen. Abbildung 24: Zertifikat auswählen Wählen Sie im Dialogfeld Zertifikat auswählen (Abbildung 24) das Zertifikat zum Signieren für Ihre Schule aus, und klicken Sie auf OK. Seite -21-
Abbildung 25: Sicherheitseinstellung ändern Klicken Sie im Dialogfeld Sicherheitseinstellungen ändern (Abbildung 25) unter Verschlüsselungszertifikat auf Auswählen. Abbildung 26: Zertifikat auswählen Wählen Sie im Dialogfeld Zertifikat auswählen (Abbildung 26) das Zertifikat zum Verschlüsseln für Ihre Schule aus, und klicken Sie auf OK. Seite -22-
Abbildung 27: Sicherheitseinstellungen für das Schulverwaltungsnetz Schließen Sie das Dialogfeld Sicherheitseinstellungen ändern (Abbildung 27), indem Sie auf OK klicken, und schließen Sie danach auch das Dialogfeld Optionen, indem Sie auf OK klicken. 4.2 Eine E-Mail-Nachricht signieren, verschlüsseln und senden Wenn Sie Outlook 2003 nicht bereits geöffnet haben, starten Sie das Programm jetzt. Abbildung 29: Neue E-Mail schreiben Zum Verfassen einer neuen E-Mail-Nachricht klicken Sie im Hauptfenster von Outlook 2003 auf Neu (Abbildung 29). Seite -23-
Abbildung 30: E-Mail Konto auswählen Klicken Sie auf Konten (Abbildung 30), und wählen Sie den Eintrag mail.schule.berlin.de aus. Hinweis: Wenn Sie nur einen Mailserver definiert haben, wird die Schaltfläche Konten nicht angezeigt, und Sie können diesen Schritt überspringen. Abbildung 31: Dateien an E-Mail anhängen Sollten Sie der E-Mail-Nachricht eine Datei anfügen wollen, klicken Sie im Menü Einfügen auf Datei (Abbildung 31). Seite -24-
Abbildung 32: Dateien einfügen (Beispiel) Wechseln Sie im Dialogfeld Datei einfügen (wie z.b. in Abbildung 32) zu dem Ordner, in dem sich die Dateien befinden. Markieren Sie die Dateien und klicken Sie auf Einfügen. Seite -25-
Abbildung 33: Beispielhafte E-Mail-Nachricht vor dem Verschlüsseln und Signieren Geben Sie im Feld An die Empfängeradresse ein, und geben Sie optional im Textfeld Ihren Text ein (Abbildung 33). Klicken Sie dann je einmal auf die rot markierten Schaltflächen zum Verschlüsseln und Signieren der E-Mail-Nachricht oben rechts. So ändert sich das Erscheinungsbild der Schaltflächen: Vorher Nachher Ihre E-Mail-Nachricht wird jetzt verschlüsselt und signiert. Zum Versenden der Nachricht klicken Sie auf die Schaltfläche Senden. Die E-Mail wird sich nun kurzzeitig im Postausgang befinden und sobald sie versendet wurde im Ordner Gesendete Objekte. Seite -26-