Anleitung zum Einbinden von Zertifikaten in Mozilla Thunderbird zum Versenden verschlüsselter und signierter E-Mails Stand: Januar 2014 Seite 1 von 12
Inhaltsverzeichnis 1. Einleitung... 2 2. Einrichten der Zertifikate - Vorbereitung... 2 2.1 Vorbedingungen... 3 2.2 Ihre Sicherheit... 3 3. Kurzanleitung... 4 3.1 Import der Zertifikate... 4 3.2 Zertifikate auswählen... 4 4. Import der Zertifikate... 4 4.1 Zertifikate importieren... 4 4.2 Zertifikate prüfen... 6 5. Zertifikate auswählen... 8 6. E-Mail mit Anhang versenden... 11 6.1 Mail erstellen... 11 6.2 Verschlüsselung und Signieren festlegen... 12 6.3 Senden der E-Mail... 12 1. Einleitung Dieses Dokument beschreibt die Integration von Zertifikaten und digitalen Schlüsseln in Ihr Berliner Schulmailkonto unter Mozilla Thunderbird. Durch diese Zertifikate sind Sie in der Lage, verschlüsselte und signierte Mails an Personen zu schicken, die ebenfalls für ihr E- Mail-Konto die Zertifikate zum Verschlüsseln und Signieren installiert haben. Signierte Mails, die nicht verschlüsselt werden, können an jedes E-Mail-Konto gesandt werden. Durch das Signieren der E-Mail ist für den Empfänger sichergestellt, dass Ihre Schule wirklich der Absender der E-Mail ist. Durch das Verschlüsseln ist es nur dem Empfänger möglich, die Nachricht zu entschlüsseln und somit zu lesen bzw. den Anhang zu öffnen. So wird die Vertraulichkeit und Integrität der Daten sichergestellt. Wir empfehlen in dieser Anleitung, dass automatisch alle E-Mails signiert versandt werden. Sollten Sie Ihr Berliner Schulmailkonto noch nicht eingerichtet haben, so folgen Sie bitte vorher den Erläuterungen in der Anleitung "Anleitung zum Einrichten der Berliner Schulmail unter Mozilla Thunderbird". 2. Einrichten der Zertifikate - Vorbereitung Von der Registrierungsagentur (RA) erhalten Sie auf einem USB-Datenträger zwei Dateien im Format PKCS#12, die je ein Zertifikat und Ihren dazugehörigen privaten Schlüssel enthalten: Zum Verschlüsseln: Schulleitung-<BSN>-Verschluesselung.p12 Bsp.: Schulleitung-01G01-Verschluesselung.p12 Zum Signieren: Schulleitung-<BSN>-Signatur.p12 Bsp.: Schulleitung-01G01-Signatur.p12 Diese Dateien sind verschlüsselt und können nur nach Eingabe Ihrer PIN ausgelesen werden, die Sie ebenfalls von der Registrierungsagentur erhalten haben. Die Zertifikate sind Rollenzertifikate (auch Gruppenzertifikate genannt). Sie als Eigentümer der Zertifikate können nach eigenem Ermessen weiteren Personen die Nutzung der Zertifikate erlauben, wobei Sie mit Ihrer Unterschrift beim Empfang bestätigt haben, dass Sie die alleinige Verantwortung für den ordnungsgemäßen Einsatz der Zertifikate tragen. Stand: Januar 2014 Seite 2 von 12
Zur Erhöhung der Sicherheit können Sie einer Vertrauensperson nur den Empfang verschlüsselter E-Mails erlauben, ohne dass diese Person auch E-Mails im Auftrag der Schule digital signieren (unterschreiben) kann. Dazu kann nur das Verschlüsselungszertifikat (Dateiname: Schulleitung-<BSN>-Verschluesselung.p12) in das Mailprogramm der Vertrauensperson integriert werden, wobei die PIN nicht weitergegeben werden darf. 2.1 Vorbedingungen Zur Integration der Zertifikate und digitalen Schlüssel benötigen Sie den USB-Datenträger mit den zwei Zertifikatsdateien und den PIN-Brief bzw. die PIN. Diese Unterlagen bekommen Sie von der Registrierungsagentur der Senatsverwaltung für Bildung, Jugend und Wissenschaft gegen Unterschrift ausgehändigt. Für die Integration der Zertifikate benötigen Sie nur Ihre normalen Nutzerrechte auf Ihrem Arbeitsplatzcomputer, also keine Administratorrechte. Die Integration der Zertifikate erfolgt nur durch Konfiguration, also ohne Installation weiterer Software. Die Integration der Zertifikate kann vor oder nach Einrichtung des E-Mail-Kontos erfolgen. Eine Nutzung der Zertifikate ist erst mit dem vollständig eingerichteten E-Mail-Konto möglich. 2.2 Ihre Sicherheit Zur Geheimhaltung Ihrer privaten Schlüssel achten Sie bitte darauf, dass Sie Ihre Passwörter stets unbeobachtet eingeben. Bitte verwenden Sie die Zertifikate und Ihre privaten Schlüssel nur auf Arbeitsplatzcomputern, die sicher administriert werden. Ihre privaten Schlüssel sind nach der Installation auf Ihrem Arbeitsplatzrechner durch ein Passwort geschützt. Bitte verwenden Sie stets ein sicheres Passwort mit einer Länge von mindestens 8 Zeichen, welches nebst Klein- und Großbuchstaben auch Sonderzeichen und Ziffern enthält. Bitte verwenden Sie als Passwort niemals Wörter, die in Wörterbüchern gefunden werden können, da solche Passwörter heute leicht durch automatisches Ausprobieren erraten werden können. Bitte lesen Sie die Zertifikatsdateien nur direkt vom USB-Datenträger ein. Die Zertifikatsdateien vom USB-Datenträger dürfen nicht auf die Computerfestplatte oder Netzwerklaufwerke kopiert werden, da sie so von anderen Personen missbraucht werden könnten. Insbesondere kann mit entsprechender Spezialsoftware die Verschlüsselung durch unberechtigte Personen gebrochen werden. Bitte schützen Sie den USB-Datenträger gegen unberechtigte Verwendung durch andere Personen durch Lagerung in einem abgeschlossenen Schrank. Der USB-Datenträger darf nur für die Zertifikatsdateien verwendet werden. Halten Sie die von der Registrierungsagentur ausgegebene PIN Ihrer Zertifikate bitte unbedingt geheim. Wenn Sie den PIN-Brief aufbewahren, so schützen Sie ihn gegen unberechtigte Verwendung durch andere Personen, am besten dadurch, dass er getrennt vom USB- Datenträger in einem abgeschlossenen Schrank gelagert wird. Sollten Sie einen Verdacht auf Missbrauch oder unberechtigte Erlangung ihrer Zertifikate oder digitalen Schlüssel haben, informieren Sie schnellstmöglich die Registrierungsagentur bei SenBJW, damit Gegenmaßnahmen wie die Sperrung der Zertifikate eingeleitet werden können. Bei Beschädigung oder versehentlichem Löschen der Zertifikate oder digitalen Schlüssel kann die Registrierungsagentur eine Ersatzausstellung vornehmen, so dass Ihre verschlüsselten Daten nicht verloren sind. Stand: Januar 2014 Seite 3 von 12
3. Kurzanleitung 3.1 Import der Zertifikate Das E-Mailprogramm Mozilla Thunderbird nutzt einen eigenen Zertifikatsspeicher. Zertifikate im Zertifikatsspeicher des Betriebssystems sind in Thunderbird nicht nutzbar. Auch Zertifikate im Web-Browser Mozilla Firefox sind in Thunderbird nicht vorhanden. In Thunderbird kann man Zertifikate importieren unter "Extras" "Einstellungen " Thema "Erweitert" Reiter "Zertifikate" Feld "Zertifikate" Reiter "Ihre Zertifikate" "Importieren". Import der beiden Dateien mit der Endung "p12" auf dem USB-Datenträger nacheinander Eingabe der PIN der Zertifikatsdatei (als Passwort des Zertifikats-Backup bezeichnet) eingegeben werden. 3.2 Zertifikate auswählen Hierbei werden die installierten Zertifikate dem sicheren E-Mail-Konto zugeordnet. Wählen Sie: Extras Konteneinstellungen... S/MIME-Sicherheit mit Auswählen das Zertifikat für die digitale Unterschrift wählen Abfrage mit Nein beantworten (Zum Verschlüsseln soll ein anderes Zertifikat genutzt werden.) mit Auswählen das Zertifikat für das Ver- und Entschlüsseln wählen Hiermit sind die Zertifikate eingerichtet worden und können benutzt werden. 4. Import der Zertifikate 4.1 Zertifikate importieren Öffnen Sie Mozilla Thunderbird. Abbildung 1: Aufruf der Einstellungen Beginnen Sie die Integration der Zertifikate und privaten Schlüssel im E-Mail-Programm Mozilla Thunderbird, indem Sie im Menü Extras auf Einstellungen (Abbildung 1) klicken. Stand: Januar 2014 Seite 4 von 12
Abbildung 2: Dialogfeld Thunderbird-Einstellungen Wählen Sie im Dialogfeld Einstellungen (Abbildung 2) auf der oberen Leiste die Registrierungskarte Erweitert aus, und klicken Sie anschließend auf der Leiste darunter auf die Registerkarte Zertifikate. Klicken Sie dann auf die Schaltfläche Zertifikate. Wenn Sie ihren USB-Datenträger noch nicht in Ihren PC eingesteckt haben, tun Sie dies jetzt und warten Sie, bis der USB-Datenträger angezeigt wird. Abbildung 3: Zertifikat-Manager Wählen Sie im Dialogfeld Zertifikat-Manager (Abbildung 3) die Registerkarte Ihre Zertifikte und klicken auf die Schaltfläche Importieren. Abbildung 4: Dateinamen der Zertifikatsdatei vom USB-Datenträger auswählen Wählen Sie im Dialogfeld zu importierende Zertifikat-Datei (Abbildung 4) eine der Zertifikatsdateien mit der Endung p12 von Ihrem USB-Datenträger aus. Dabei ist es nicht von Bedeutung, ob Sie mit der Datei für das Verschlüsseln oder mit der Datei für das Signieren beginnen, solange Sie die Schritte anschließend für die andere Datei wiederholen. Stand: Januar 2014 Seite 5 von 12
Abbildung 5: PIN-Eingabe für Import-Datei Im Dialogfeld Passworteingabe-Dialog (Abbildung 5) geben Sie nun im Feld Passwort die PIN ein, die Sie zusammen mit den Zertifikaten erhalten haben. Abbildung 6: Meldung zum erfolgreichen Import Zur Bestätigung erhalten Sie die Meldung, dass der Importvorgang erfolgreich war (Abbildung 6). Abbildung 7: Anzeige des importierten Zertifikats Nun wird das erste importierte Zertifikat angezeigt. Wiederholen den Importvorgang (Abbildungen 4 bis 6) für das zweite Zertifikat. Klicken Sie dazu auf Importieren... (Abbildung 7). Abbildung 8: beide Zertifikate erfolgreich importiert Abbildung 9: Import abschließen Nach erfolgreichem Import der beiden Zertifikate werden beide Zertifikate aufgeführt (Abbildung 8). Schließen Sie den Import ab, indem Sie alle Fenster mit OK schließen (Abbildung 8 und 9). 4.2 Zertifikate prüfen Der Einsatz der Verschlüsselung von E-Mails erhöht die Sicherheit, wenn evtl. Warnungen des E-Mailprogramms beachtet werden. Da es auch bei Zertifikaten Angriffsmöglichkeiten Stand: Januar 2014 Seite 6 von 12
gibt, können Sie bei Verdachtsmomenten die Echtheit der Zertifikate prüfen, indem Sie den Fingerabdruck (engl. Fingerprint) des Zertifikats, eine mit dem Hash-Algorithmus SHA1 errechnete Prüfsumme, mit der Registrierungsagentur telefonisch vergleichen. Der Fingerabdruck des Zertifikats wird Ihnen in der Zertifikat-Ansicht angezeigt, die Sie über den Zertifikat-Manager durch Klicken auf das Feld Ansehen aufrufen. Abbildung 10: Zertifikat-Ansicht Klicken Sie auf Schließen (Abbildung 10). Stand: Januar 2014 Seite 7 von 12
5. Zertifikate auswählen Nun müssen Sie noch die Zertifikate Ihrem sicheren E-Mail-Konto zuordnen. Starten Sie Thunderbird, falls es noch nicht geschehen ist. Abbildung 11: Konteneinstellungen wählen Öffnen Sie die Konteneinstellungen über Extras Konten-Einstellungen... (Abbildung 11). Abbildung 12: Zertifikate-Auswahl für die digitale Unterschrift starten Wählen Sie links S/MIME-Sicherheit für Ihr sicheres E-Mail-Konto aus. Starten Sie die Auswahl des Zertifikates für die Digitale Unterschrift durch Klicken auf Auswählen... (Abbildung 12). Stand: Januar 2014 Seite 8 von 12
Abbildung 13: Details für das Zertifikat zum Signieren Thunderbird wählt automatisch das richtige Zertifikat aus. Überprüfen Sie allerdings noch einmal, ob das Wort unterzeichne in den Details zum Zertifikat auftritt. Bestätigen Sie mit OK (Abbildung 13). Abbildung 14: Meldungsfenster zum Übernehmen des Zertifikats für die Verschlüsselung Klicken Sie im folgenden Meldungsfenster (Abbildung 14) auf Nein. Abbildung 15: Zertifikate-Auswahl für die Ver- und Entschlüsselung starten Nun erscheint das ausgewählte Zertifikat für die digitale Unterschrift im geöffneten Fenster. Wählen Sie Nachricht digital unterschreiben (als Standard). So wird zukünftig jede E-Mail digital unterschrieben. Klicken Sie nun unter Verschlüsselung auf Auswählen... um das Zertifikat für die Ver- und Stand: Januar 2014 Seite 9 von 12
Entschlüsselung auszuwählen (Abbildung 15). Abbildung 16: Details für das Zertifikat zum Ver- und Entschlüsseln Thunderbird wählt wieder automatisch das richtige Zertifikat aus. Überprüfen Sie allerdings noch einmal, ob das Wort Verschlüsselung in den Details zum Zertifikat auftritt. Bestätigen Sie mit OK (Abbildung 16). Abbildung 17: Konten-Einstellungen Nun sind in den Konteneinstellungen beide Zertifikate angegeben. Um den Vorgang abzuschließen klicken Sie auf OK (Abbildung 17). Stand: Januar 2014 Seite 10 von 12
6. E-Mail mit Anhang versenden 6.1 Mail erstellen Wenn Sie Mozilla Thunderbird nicht bereits geöffnet haben, starten Sie das Programm jetzt. Gehen Sie beim Verfassen der Nachricht wie immer vor. Beachten Sie allerdings, dass Sie auch das richtige E-Mail-Konto gewählt haben. Abbildung 18: E-Mail Konto auswählen Überprüfen Sie, ob im geöffneten Fenster Verfassen im Feld hinter Von das richtige E-Mail- Konto steht (Abbildung 18). Ansonsten klicken Sie auf den Balken dahinter und wählen Sie den Eintrag für Ihre Mailadresse aus (Endung: schule.berlin.de). Hinweis: Wenn Sie mit Mozilla Thunderbird nur eine E-Mail-Adresse verwalten, wird die Schaltfläche Von nicht angezeigt, und Sie können diesen Schritt überspringen. Abbildung 19: Dateien an E-Mail anhängen Um der neuen E-Mail-Nachricht Dateien anzufügen, klicken Sie in der Menüleiste auf Anhang (Abbildung 19). Markieren Sie im neuen Dialogfenster Datei(en) einfügen die gewünschten Dateien und klicken Sie auf Öffnen. Stand: Januar 2014 Seite 11 von 12
6.2 Verschlüsselung und Signieren festlegen Abbildung 20: E-Mail-Nachricht vor dem Verschlüsseln und Signieren Klicken Sie im Menü Optionen nacheinander auf Nachricht verschlüsseln und Nachricht unterschreiben (Abbildung 20). Vor den Menüpunkten steht dann ein Häkchen (Abbildung 21). 6.3 Senden der E-Mail Abbildung 21: E-Mail-Nachricht vor dem Versenden Überprüfen Sie noch einmal, ob unten rechts die beiden Symbole (Schloss für Verschlüsseln und Brief für Unterschreiben) zu sehen sind (Abbildung 21). Ist das der Fall, wird die E-Mail-Nachricht beim Senden verschlüsselt und signiert. Zum Versenden der Nachricht klicken Sie auf die Schaltfläche Senden. Stand: Januar 2014 Seite 12 von 12