infoCorner - Mail

Reisen
Virtuelle Reise auf die Kanarischen Inseln

 

Besucher

 

->Home ->Sicherheit ->Mail

Sichheit im Mailverkehr wird oft vernachlässigt

Die Sicherheit bei Internet Mails wird von Privatanwendern, aber auch von Unternehmen häufig vernachlässigt. Es werden sensible Informationen über das Netz verschickt, die der Einzelne niemals bei Nutzung des konventionellen Postweges auf eine Postkarte schreiben würde. Denn nichts anderes ist das Verschicken von eMails im Internet, wenn man keine Vorsorge betreibt. Der “Umschlag” um die Mail, die Vertraulichkeit fehlt.

Ein weiterer Aspekt ist die Authentizität von eMails. Im Internet kursieren unendlich viele Mails mit gefälschten Absenderadressen. D. h. der Empfänger eine Mail kann nicht sicher sein, dass die gerade empfangene Mail auch tatsächlich vom angegebenen Absender stammt.

Und als Drittes kommt noch hinzu, dass bei eMails ohne besondere Vorkehrung die Integrität der übersandten Daten nicht gewährleistet ist. Auf dem Weg vom Absender zum Empfänger ist eine Manipulation des Mailinhaltes möglich, ohne das der Empfänger etwas davon mitbekommt.

Alles in allem ist die Verwendung von eMail in der Grundversion sehr unsicher. Die Punkte

- Vertraulichkeit
- Authentizität
- Integrität

sind nicht erfüllt. Und dennoch scheint das die Anwender, egal ob Privatanwender oder Unternehmen, nicht sonderlich zu interessieren. Es wird munter drauflos “gemailt”.

Dabei ist es eigentlich so einfach. Die Authentizität und Integrität kann problemlos garantiert werden, wenn man die ausgehenden Mails digital signieren würde. Der Empfänger wüßte dann, dass die empfangene Mail tatsächlich von angegebenen Absender stammt und diese auch nicht verändert worden ist.

Heute gibt es 2 Verfahren die für die sicher Übertragung von eMails verwendet werden. Zum einen ist des das sogenannte S/MIME Verfahren, welches x.509 Zertifikate verwendet. Zum anderen das PGP (Pretty Good Privacy) Verfahren. Bei beiden Verfahren handelt es sich um ein asymmetrisches Verfahren. Das bedeutet, dass man immer 2 Schlüssel benötigt. Einen privaten Schlüssel, sowie einen öffentlichen Schlüssel, den man verteilen, bzw. veröffentlichen kann.

Jeder aktuelle Mailclient, z. B. Thunderbird, Outlook Express oder Outlook, sind standardmäßig heute in der Lage eMails mit dem S/MIME Verfahren zu unterschreiben, bzw. eMails zu verschlüsseln. Man muß sich über ein TrustCenter ein Zertifikat mit privatem und öffentlichem Schlüssel besorgen. Ein solches Zertifikat ist normalerweise kostenpflichtig. Für Privatanwender stellen Trustcenter jedoch auch kostenlose CLASS 1 Zertifikate zur Verfügung. Hat man ein solches Zertifikat erworben, dann kann man es in seinen Mailclient einbinden und ab sofort ist man in der Lage mit seinem privaten Schlüssel die ausgehenden eMails digital zu signieren. Der Empfänger kann nun sicher sein, dass die eingegangene Mail nicht verändert wurde und vom angegebenen Absender stammt. Zugleich wird mit der Mail zusätzlich der öffentliche Schlüssel verteilt. Derjenige, der über einen öffentlichen Schlüssel seines Kommunikationspartners verfügt, kann diesem nun auch eine verschlüsselte Mail schicken, zusammen mit einer digitalen Unterschrift seines eigenen privaten Schlüssels. Nur mit dem privaten Schlüssel kann der Empfänger die verschlüsselte eMail wieder entschlüsseln.

Das alles hört sich kompliziert an. Ist es aber gar nicht. Die Maiclients entschlüsseln eine empfangene Mail automatisch. Beim Versenden muß der Anwender lediglich eine Haken setzen. Auch die Ablage der empfangenen öffentlichen Schlüssel geschieht automatisch. Und das Unterschreiben von Mails sollte als Standard hinterlegt sein.

Das PGP Verfahren verläuft ähnlich. Nur dass man den sogenannten Schlüsselbund aus privatem und öffentlichem Schlüssel selber generieren kann. Die Vertraulichkeit muß man sich ggf. bestätigen lassen indem man seine Schlüssel von einer öffentlichen Stelle signieren lässt.

Auch bei PGP erfolgt die Signierung von Mails mit dem privaten Schlüssel. Für eine Verschlüsselung benötigt man den öffentlichen Schlüssel des Empfängers. Dieser kann wiederum nur mit dem privaten Schlüssel die Mail wieder lesbar machen. PGP wird integriert nicht von jedem Mailclient unterstützt. Eine Ausnahme bildet der OpenSource Client Thunderbird. Über die Erweiterung Enigmail kann man ein auf dem PC System installiertes PGP oder auch GnuPG (OpenSource Variante) einbinden und ebenso komfortabel Mails signieren, ver- und entschlüsseln.

Wo erhält man nun die x.509 Zertifikate?

Über das TrustCenter in Hamburg kann man sich eine sogenannte TC Internet ID beantragen. Diese ist für Privatanwender gedacht und 1 Jahr gültig. Auch über CACert.org kann man sich ein kostenloses Zertifikat besorgen.

Will man PGP, bzw. GnuPG einsetzen, dann gibt es ein Produkt GPG4Win welches unter dem Link

http://www.gpg4win.de/

heruntergeladen und auf dem PC System installiert werden kann. Setzt man den Thunderbird als Mailclient ein, dann kann man über das AddOn Enigmail GnuPG in den Mailclient integrieren.

[Home] [Sicherheit] [Malware] [Blog] [Links] [Impressum]

©Peter Neugebauer 2003-2013

Letze Aktualisierung: 23.12.2012