Sichere E-Mail Kommunikation mit SEPPmail Günter Esch, Country Manager SEPPmail AG
E-Mail Signatur: Zweck und Nutzen E-Mail Verschlüsselung: Die Königsdisziplin Large File Management: Überraschung!!
E-Mail Signatur: Zweck und Nutzen E-Mail Signatur mit Benutzerzertifikat Unveränderlichkeit der elektronischen Nachricht Verbreitung des eigenen Public Keys Echtheitsbestätigung des Absenders bzw des versendenden Unternehmens. Unabstreitbarkeit (Beweismittel) Page 3
5 Technologien S/MIME Interner Empfänger Externer Sender S/MIME Alle public key s werden automatisch aus den Signaturen gesammelt, und bei Bedarf zur Verschlüsselung an den Sender herangezogen. Entlastung des Systemadministrators! Page 4
5 Technologien S/MIME Automatische Signatur im Namen des Senders am Gateway 5 Page 5
Eine Hand voll Technologien zum Verschlüsseln 5 openpgp Page 6
5 Technologien S/MIME S/MIME (Secure Multipurpose Internet Mail Extensions) 5 X.509 Zertifikate sollten von einer offiziell anerkannten CA ausgestellt werden, dann funktioniert auch die automatisierte Prüfung einer Signatur. Funktionalität integriert in den meisten Mail Clients (Outlook, Outlook Express, Netscape, ) Unterbindet MiM und Phishing Attacken, wenn der Empfänger entsprechend sensibilisiert ist. Page 7
5 Technologien S/MIME SEPPmail managed PKI Konnektor in Basislizenz enthalten u.a.m. Zusätzliche Kosten durch Einrichtungsgebühr pro Domäne und jährliche Zertifikatskosten sind zu berücksichtigen. Bezug über Partner oder direkt beim CA Page 8
5 Technologien openpgp openpgp (Pretty Good Privacy) 5 openpgp OpenPGP ermöglicht die volle Kompatibilität zu bestehenden Systemen! Zertifikate werden selbst ausgestellt und in einem Web of Trust verteilt Entwickelt von Phil Zimmermann (erste Version 1991 ) Gekauft von Network Associates Inc. 1997 Windows, Unix, Mac: PGP, GnuPG Sowohl OpenSource (GnuPG, WinPT) als auch kommerzielle Versionen (PGP) erhältlich Page 9
5 Technologien - openpgp Nachteile der openpgp Technologie 5 openpgp Es muß immer eine zusätzliche Software installiert werden (die meistens recht schwierig zu bedienen ist) Der Standard ist schlecht dokumentiert, es muss mit Kompatibilitätsproblemen gerechnet werden (z.b. Sonderzeichen etc.) openpgp Keys können nicht automatisiert geprüft werden (kein hierarchisches Modell wie S/MIME). Keys werden NICHT mit der Signatur verbreitet wie bei S/MIME. Ein automatisiertes Lernen ist nicht möglich. Page 10
5 Technologien - TLS TLS (Transport Layer Security) 5 openpgp Punkt-zu-Punkt Verbindung zwischen Mailservern Leitungsverschlüsselung only! Vergleichbar mit einem https für Mailserver Geeignet für einzelne Verbindungen Hoher Verwaltungsaufwand Page 11
5 Technologien - Domainverschlüsselung SEPPmail Managed Domain Service Domainverschlüsselung zu Fremdsysteme Fremdsystem Encryption Tunnel 5 openpgp Vollautomatische Verschlüsselung des gesamten Mailverkehrs von Domaine zu Domaine Alle SEPPmail Appliances kennen sich (SEPPmail Managed Domain Service) Wird erreicht indem der Public Key beider Maschinen ausgetauscht wird Ist bei SEPPmail in der Basislizenz enthalten Page 12
5 Technologien Patentierte Was tun, Primärtechnologie wenn Empfänger unbekannt ist und/oder nichts hat? 5 openpgp Page 13
Der GINA Vorgang Sender Empfänger www Schritt 1: Schreiben und Empfangen: Der Sender verfaßt in seinem Standard E- Mail Client eine vertrauliche Mail und markiert diese entweder mit dem Vertaulichkeits- Flag, vermerkt im Betreff zb [vertraulich], oder er verwendet das kostenlose Plugin von SEPPmail. SMS-Initialpasswort Der Empfänger erhält eine Standardnachricht mit Erklärung und einem html-attachment (rot markiert) welches die vollständig ausgelieferte verschlüsselte Nachricht beinhaltet (b). Parallel dazu empfängt er ein Initialpasswort als SMS. Die Mobiltelefonnummer erhält das System via Rückfrage E-Mail vom Sender, oder dieser liefert die Nummer schon in der Betreffzeile mit. Page 14
Der GINA Vorgang www Entschlüsselungsvorgang findet im Hintergrund statt: siehe nächste Folie Schritt 2: Anmelden und Lesen Der Empfänger öffnet das html-attachment und wird zur Eingabe seines Initialpasswortes aufgefordert (a). Anschließend muß er sich einmalig am System registrieren und sein eigenes Passwort vergeben. Sowie optional für die automatisierte Passwortrücksetzung eine Sicherheitsfrage + Antwort festlegen (b). Danach ist die entschlüsselte E-Mail im Webmailer sichtbar (c). Aus diesem kann verschlüsselt geantwortet, die Mails als Klartext ins System gespeichert werden, eigene Key s hochgeladen oder seine Einstellungen verändert werden. a) b) c) Page 15
Der GINA Entschlüsselungsvorgang www via https Strecke wird die verschlüsselte E-Mail beim Anmeldeprozess des Empfängers zum Entschlüsseln temporär an die SEPPmail Appliance gesendet via https Strecke wird die entschlüsselte E-Mail zum Empfänger ausgeliefert und verschwindet von der SEPPmail Appliance. Vorteile des patentierten GINA Verfahrens: Keine zusätzlichen Technologielayer bzw. Konvertierung in pdf, zip oder exe notwendig, da diese nur zusätzliche Komplexität und Fehlermöglichkeiten verursachen. Empfänger benötigt nur Mailclient, Browser und Internetzugang. Keinen pdf-reader, oder sonstige Verschlüsselungsclients am Empfängersystem. Wird vom Sender eine Lesebestätigung gewünscht, wird diese von der Appliance in dem Augenblick versendet, wenn die Mail zur Entschlüsselung eingeliefert wird. Das Zugriffspasswort kann jederzeit vom Empfänger geändert werden. Spontane sichere Kommunikation in beide Richtungen möglich Die E-Mails werden vollständig an Empfänger ausgeliefert, somit werden auf der SEPPmail nur Anmeldedaten und Keys gespeichert. (Sender fällt nicht in das Telekommunikationsgesetz, was der Fall wäre, wenn E-Mails für Andere länger als 14 Tage gespeichert werden). Die GINA Oberfläche und alle Texte können 100% per CSS-Stylesheet verändert werden. Empfänger können sich auch am Portal vorgängig anmelden und so Ihre bevorzugte Verschlüsselungsform (Passwort oder Zertifikatskey) wählen Page 16
Page 17 SEPPmail Demo
Lösungsansätze am Markt im Vergleich
Lösungsansätze Secure E-Mail für alle Ansatz 1: Generierung selbstextrahierender Dateien mit Passwortschutz (.exe) Werden von den meisten Firewalls geblockt (ausführbare Dateien) Falls nicht geblockt: Ideal zum Verbreiten von Viren Brute-force Attacke auf Attachment möglich (nur Passwortschutz) Setzt bestimmtes Betriebssystem auf Empfängerseite voraus Page 19
Lösungsansätze Secure E-Mail für alle Ansatz 2: Passwortgeschützte PDF Dateien (.pdf ) Ist ein (bei SEPPmail nicht notwendiger) zusätzlicher Technologielayer der so seine Tücken hat : -Die Signatur des Absenders wird zerstört -Abhängigkeit von der PDF Reader Version des Empfängers -Brute-force Attacke auf Passwort möglich -Schlechter Ruf von PDF-Sicherheit (entsprechende Tools sind im Internet verfügbar) Formatierungsprobleme bei der Umwandlung der E-Mail in ein PDF -Der normale Mailverlauf wird gestört sichere Antwort ist nur auf Umwegen möglich und in der Praxis nicht durchsetzbar Es ist nur das zur PDF-Erstellung verwendete Passwort gültig und nicht veränderbar! Somit muß eine Passworthistorie mitgeführt werden! Page 20
Lösungsansätze Secure E-Mail für alle Ansatz 3: Versenden eines Verschlüsselungsclients (Software) zb: (PGP Satelit Client) Nicht alle Empfänger können/dürfen Programme installieren Proprietär Funktioniert nicht mit allen Clients Keine spontane Kommunikation möglich Page 21
Lösungsansätze Secure E-Mail für alle Ansatz 4: Ausstellen von Zertifikaten für externe Benutzer Erlaubt eine relativ transparente Kommunikation mit beliebigen Partnern Erzeugt aber einen hohen Supportaufwand für den Sender da dieser zu einer CA wird Erfahrung zeigt: Empfänger sind nicht bereit für den Einsatz von S/MIME Zertifikaten Verlust von Zertifikaten führt zu Unmut bei den Empfängern Page 22
Lösungsansätze Secure E-Mail für alle Ansatz 5: sicheres Webmail : Mails werden am Server zurückgehalten und nur ein Link dazu versendet: (PGP Web-Messenger) Storage-Bedarf wächst ständig. Speicherung der gesamten, als wichtig eingestuften Kommunikation an einem Ort - beim Absender! Backup und Sicherung notwendig Telekommunikationsgesetz! Ist durch Mailspoofing bzw. Phishing einfach kompromittierbar! Page 23
Lösungsansätze Secure E-Mail für alle Contra Ansatz 6: De-Mail: Die Kommunikation mit De-Mail ist nur an für De-Mail registrierte Empfänger innerhalb Deutschlands möglich. In Einzelfällen können vertragliche oder gesetzliche Anforderungen die Nutzbarkeit von De-Mail einschränken. Eine eigene zu registrierende E-Mail Adresse.notwendig SEPPmail: Keine Limitation bei Anzahl Mails! Spontan und an jedermann - ohne gesetzliche und landesspezifische Einschränkungen! Jeder Mitarbeiter kann individuell unter seiner E-Mail Adresse vertrauliche E- Mails versenden! Page 24
Large File Management
Der LFM Vorgang - Übersicht Sender 2 gehärtete SEPPmail SMS-Initialpasswort 1 Empfänger 3 5 4 Page 26
SEPPmail : Mobile Cluster Load Balancing
SEPPmail Produktepräsentation (Encrypt Lizenz) SEPPmail GINA-Mail and Mobility the web G-Mail Empfänger Page 28
SEPPmail Produktepräsentation (Basislizenz) Volle Geo-Redundanz mit Multimaster Clustering und Load Balancing möglich Standort A - Cluster Standort B - Cluster Page 29
SEPPmail Produktepräsentation Leistungsübersicht SEPPmail Key Points Gateway Lösung, problemlose Integration in bestehende Infrastruktur Out-of-the Box Lösung Als Hardware oder VM erhältlich Revisionskonforme Secure E-Mail Kommunikation Unterstützt alle wichtigen Standards Langfristige Investitionssicherheit Nutzenorientiertes Lizenzsystem Basiert auf 10 Jahren Erfahrung Skalierbar und clusterfähig Page 30
SEPPmail Kunden Referenzen (Auszug) Helvetia Versicherung (CH) Schweizeriche Bankiervereinigung (CH) Swiss Life (CH) Hubert & Suhner (CH) www.hin.ch 175.000 User nutzt HIN netzwerk täglich SVG Bundeszentralgenossenschaft (Frankfurt) FC Bayern München (München) Helaba Invest Frankfurt (D) Kunst- und Ausstellungshaus (Bonn) RZ LOGIS Banken (A) Allg. Rechenzentrum ARZ Banken (A) Noerr Gruppe (München) Hellmann Logistik (Osnabrück) TÜV-Saarland Klinikum Wolfsburg (D) Page 31 u.v.m.
Unternehmen SEPPmail AG Stefan Klein CEO Hauptsitz in Neuenhof bei Zürich Entwicklung von Secure E-Mail Lösungen 14 Jahre Erfahrung mit Secure E-Mail Technologien Firma zu 100% eigenfinanziert (keine Investoren) Kunden und Vertriebspartner in ganz Europa (2-stufiges Vertriebsmodel) Page 32
Page 33 Weitere Fragen?
SEPPmail : Produkte Lizenzen - Kooperationen
SEPPmail Systeme - Produkteübersicht SEPPmail Hardware Appliances SEPPmail 500 B KMU / Branch Offices Desktop Modell 2.500 Mails pro Std / 50% verschlüsselt Bis 50 User Clusterfähig SEPPmail 1000 B Mid Size Enterprise 19 Rackmount Modell 10.000 Mails pro Std / 50% verschlüsselt Bis 500 User Clusterfähig SEPPmail 3500 B Enterprise / Reduntante HD/PS 19 Rackmount Modell 30k Mails pro Std / 50% verschlüsselt Bis 7500 User Clusterfähig Page 35 SEPPmail 5000 B Enterprise / Redundante HD/PS 19 Rackmount Modell (2U) 90k Mails pro Std / 50% verschlüsselt Unlimited Users Clusterfähig
SEPPmail Systeme - Produkteübersicht SEPPmail Virtual Appliances / Cloud Service SEPPmail VM als VM 500B, VM 1000B, VM 3000B Gleiche Lizenz Basis wie Hardware Appliances Lauffähig auf ESX VMWare, MS Hyper V, RedHat Hypervisor Page 36
SEPPmail Lizenzmodell Integration Protection Service (AV/AS) Spam Assassin / Clam AV SEPPmail Modul (SSPM) Renewal Initial Software Maintenance (25%) Renewal SEPPmail Encrypt E-Mail User (inc. App / PlugIn) LFM User Initial Hardware / VM Maintenance (25%) Renewal SEPPmail Hardware / VM Initial Page 37
SEPPmail Partnerschaften Technologiepartnerschaft Schweizer. Post / SwissSign AG Automatische Integration von SwissSign Zertifikaten, Managed PKI SEPPmail Konnektor für den Zugang zu Incamail Teilnehmern egov Schnittstelle für den sicheren Datenverkehr mit Behörden Technologieaustausch Page 38
SEPPmail Partnerschaften Technologiepartnerschaft HIN (Health Info Network) Schweizer Extranet für den sicheren Datenaustausch im Gesundheitswesen Ueber 300 Spitäler, Versicherungen, Labors etc., rund 18 000 Arztpraxen Lieferung der Plattformtechnologie SEPPmail Konnektor für den Zugang zu HIN Teilnehmern Mit HIN Secure Mail GLOBAL können ALLE Empfänger mit vertraulichen Informationen via E-Mail versorgt werden. (Patentierte GINA Technologie) Page 39
SEPPmail Roadmap Q2/14: SEPPmail Secure File Transfere (PCI-compliant) : - Restricted shell - Verschlüsseltes Filesystem - Verschlüsselte Datenbank - eigene Audit Logs - spezielle Audit Log User - 2 factor authentication für Admin Q3/14: Eingliederung der erweiterten multi-tenancy Funktionalität in das offizielle Produkt - Adminzugriff pro Mandant zum Management der: - Mandanten User - Mandanten GINA-Accounts - Mandanten GINA Layouts - Mandanten Logs Q4/14: LFM Version 2.0 - Übertragung von deutlich größeren Files - Verschiedene Einlieferungsmöglichkeiten von Files - Batchverfahren - Performanceverbesserung - Verbessertes Meldeverfahren, wenn Files nach Ablauf der Verweildauer gelöscht werden sollen - Handlingsparameter pro Mail Q1/15: Brush-up GUI - Multiple delete von Einträgen (Usern / Zertifikate usw.) - Listen sortieren - weitere Export Optionen Page 40
Page 41 E N D E