Montag, 1. M�rz 2010


Topthema

Donnerstag, 14. Dezember 2006 | Topthema

About Security #85: Sichere E-Mails mit S/MIME

(Link zum Artikel: http://www.entwickler.de/php/kolumnen/033150)

Wie Clients in einer Public-Key-Infrastruktur (PKI, siehe About Security #83) sicher E-Mails miteinander austauschen k�nnen, erfahren Sie in dieser Folge. Werfen wir zuerst einen Blick darauf, was die Clients haben und k�nnen: Jeder Mitarbeiter, der ein Zertifikat ben�tigt, hat eine Smartcard mit seinem Zertifikat bekommen. Parallel wurden die betroffenen Arbeitspl�tze mit Smartcard-Leseger�ten bzw. Tastaturen mit integrierten Leseger�ten ausger�stet. Die Mitarbeiter sind dadurch in der Lage, nach Installation entsprechender Software empfangene Nachrichten mit ihrem privaten Schl�ssel zu entschl�sseln und eigene Nachrichten damit zu signieren. Die �ffentlichen Schl�ssel ihrer Kommunikationspartner k�nnen sie aus dem LDAP-Verzeichnis abfragen, um dann deren Signatur zu pr�fen bzw. ihnen eine verschl�sselte Nachricht zu senden. Das Problem ist also nur noch die 'entsprechende Software'. In der Bratkartoffel KG hat man sich f�r den Einsatz von S/MIME f�r den Schutz der E-Mail-Kommunikation entschieden.

N E U ! Security aktuell
T�glich aktuelle Security-Infos!

S/MIME

S/MIME (Secure/Multipurpose Internet Mail Extensions) ist keine eigenst�ndige Software, sondern ein Standard zur Public-Key-Verschl�sselung und -Signatur von in MIME kodierten E-Mails. MIME (Multipurpose Internet Mail Extensions) ist ein Internetstandard, der E-Mails um die Unterst�tzung anderer Zeichens�tze als US-ASCII in Header und Body, bin�re Anh�nge und mehrteilige Nachrichten-Bodies erweitert. MIME wird in den RFCs 2045 bis 2049 standardisiert. S/MIME wird von der IETF-Arbeitsgruppe 'S/MIME Mail Security (smime)' standardisiert, eine Liste der zugeh�rigen RFCs befindet sich auf der Webseite. Z.B. wird das Zertifikat-Handling in RFC 3850 definiert, das Nachrichtenformat in RFC 3851.

Der Vorteil von S/MIME ist, dass dieser Standard von vielen Mailprogrammen bereits von Haus aus unterst�tzt wird. Der Installationsaufwand h�lt sich dadurch in Grenzen, da in der Anfangsphase au�er der sowieso notwendigen Installation des Smartcard-Lesers nur die ben�tigten Zertifikate in den vorhandenen Programmen installiert und die Programme entsprechend konfiguriert werden m�ssen. Dabei wird auch gleich der LDAP-Server eingebunden, sodass ben�tigte Zertifikate ggf. automatisch abgefragt werden k�nnen.

S/MIME definiert verschiedene Schutzfunktionen. E-Mails k�nnen auf zwei Arten signiert werden: Bei 'clear signed' E-Mails befindet sich die Signatur im Anhang der E-Mail, der Text kann dadurch auch von Programmen, die S/MIME nicht unterst�tzen, angezeigt werden. Bei 'opaque signed' E-Mails werden Text und Signatur gemeinsam BASE64-kodiert, sodass nur S/MIME-f�hige Programme den lesbaren Text ausgeben k�nnen. Dies darf aber nicht mit einer Verschl�sselung verwechselt werden, diese ist ggf. zus�tzlich durchzuf�hren. Dabei ergeben sich die 'enveloped data'. Diese E-Mails bestehen aus dem mit einem symmetrischen Verfahren verschl�sselten Text und dem f�r einen oder mehrere Empf�nger asymmetrisch verschl�sselten symmetrischen Schl�ssel. Evtl. vorhandene Anh�nge der Mail werden ebenfalls verschl�sselt. Verschl�sselte signierte E-Mails werden als 'signed and enveloped data' �bertragen.

About Security: Die komplette Serie

S/MIME sendet bei signierten Mails den �ffentlichen Schl�ssel immer mit, das Mailprogramm des Empf�ngers kann ihn somit direkt in seinen Schl�sselbund aufnehmen. Vertraut der Benutzer der ausstellenden CA, kann er den Schl�ssel danach sofort verwenden. Im Fall der Bratkartoffel KG betrifft dies haupts�chlich externe Kommunikationspartner, da die Schl�ssel der Mitarbeiter ja aus dem LDAP-Verzeichnis bezogen werden k�nnen. Ein Nachteil von S/MIME ist, dass jedes Programm eine eigene Schl�sselverwaltung besitzt. Benutzer mehrerer Mailprogramme m�ssen also ggf. in einem Programm bereits vorliegende Schl�ssel in einem anderen Programm vor der Nutzung erst importieren.

Vor- und Nachteile von S/MIME

Ein Vorteil von S/MIME ist dessen gute Integration in viele Mailprogramme, die die Einf�hrung erleichtert. Auch ist der Betrieb nicht vom Vorhandensein passender Plug-ins oder Zusatzprogramme abh�ngig.

Ein Problem von S/MIME ergibt sich aus dessen Verwendung eines hierarchischen Zertifizierungssystems: Eine gesch�tzte Kommunikation mit Partnern, die eine andere PKI verwenden, z.B. Mitarbeitern anderer Unternehmen, ist schwierig. Entweder m�ssen sich die beteiligten CAs gegenseitig zertifizieren bzw. von einer gemeinsamen �bergeordneten CA zertifiziert sein, oder die Benutzer m�ssen den einzelnen Zertifikaten jeweils manuell ihr Vertrauen aussprechen. W�rde GnuPG/PGP verwendet, k�nnten einzelne Benutzer bei Bedarf und gegebener M�glichkeit untereinander ihre Schl�ssel signieren und so eine Verbindung zwischen den lokalen Web-of-Trusts ihrer Unternehmen aufbauen. Allerdings hat das Problem auch einen Vorteil: Bei passenden Voraussetzungen (insbesondere bei zueinander passenden Zertifizierungsrichtlinien) k�nnen sich die CAs verschiedener Unternehmen gegenseitig zertifizieren, wodurch alle Mitarbeiter der beteiligten Unternehmen die Zertifikate aller anderen Mitarbeiter pr�fen k�nnen.

Ein weiteres Problem entsteht dadurch, das S/MIME eine Ende-zu-Ende-Verschl�sselung herstellt. Schadprogramme wie Viren, Trojaner usw. in einer verschl�sselten Mail k�nnen von Virenscannern am Gateway oder im Mailserver nicht erkannt werden. Dies ist jedoch kein S/MIME-spezifisches Problem, sondern gilt f�r jede Ende-zu-Ende-Verschl�sselung, z.B. auch die HTTPS-Verbindungen des Webbrowsers. Auf die L�sung dieses generellen Problems wird in einem zuk�nftigen About Security eingegangen. Ein L�sungsansatz f�r verschl�sselte E-Mails besteht darin, die E-Mails nach dem Entschl�sseln auf den Clients auf Schadprogramme zu untersuchen.

In der n�chsten Folge geht es um eine weitere Anwendung einer PKI: Sicheres Einloggen mit Single Sign-On.

Wenn Sie Fragen oder Themenvorschl�ge haben, k�nnen Sie diese gerne an die angegebene E-Mail-Adresse senden oder im Security-Forum einbringen!

Carsten Eilers

About Security � �bersicht zum aktuellen Thema "Kryptographie � Anwendungen"

Kommentare

Folgende Links könnten Sie auch interessieren

  • Zend Framework  [06.05.2008]
    [http://entwickler.de/zonen/portale/psecom,id,102,buch,734,.html]
  • Agile Web Development with Rails  [28.11.2005]
    [http://entwickler.de/zonen/portale/psecom,id,102,buch,469,.html]
  • PHP 5 in Practice  [12.03.2007]
    [http://entwickler.de/zonen/portale/psecom,id,102,buch,610,.html]
  • PHP 5  [06.06.2005]
    [http://entwickler.de/zonen/portale/psecom,id,102,buch,400,.html]
  • Essential PHP Tools  [28.07.2006]
    [http://entwickler.de/zonen/portale/psecom,id,102,buch,363,.html]