E-Mail Verschlüsselung - ITEK - ETH Zürich

Informatikdienste / IT-Services 

E-Mail Verschlüsselung 

ITEK-Fokus vom 5. April 2006 

Teilnehmer 

Urs Meile (ID-KOM) – Leitung 

Christoph Graph (Switch), Franz Kuster (ID-Helpdesk), Franz Koch 

(ID-KOM), Stephen Sheridan (ID-KOM), Armin Brunner (ID-KOM), 

Thomas Richter (ISL D-GESS), Hanspeter Scherbel (ISL D-MATH), 

Elmar Heeb (ISL D-PHYS), Luca Previtali (ISL D-INFK), Fritz 

Zaucker (ISL D-ITET), Michele Marchionelli (ISG D-MATH), Dani 

Wunderli (ID-BD) 

Roland Dietlicher (ID-BD) -Protokoll 

10.5.06 :: Roland Dietlicher, Basisdienste 

Ausgangslage BOT 

E-Mail-Verschlüsselung 

2. Abschnitt: Zuständigkeiten 

Artikel 4 Infrastrukturbereich Informatik 

1Der Infrastrukturbereich Informatik (IB-Informatik) der ETH Zürich ist 

insbesondere zuständig für: 

… 

e) die Bereitstellung der notwendigen Verschlüsselungstechniken (Art. 13 

Abs. 2); 

Artikel 13 Nutzung elektronischer Kommunikationsmittel 

2Das Versenden von Berufs-, Amts- und Geschäftsgeheimnissen oder 

anderen vertraulichen Informationen (z.B. aus Personalakten) aus 

dem Bereich der ETH Zürich mittels elektronischen 

Kommunikationsmitteln darf nur mit geeigneter 

Verschlüsselungstechnik erfolgen. 


1

Ausgangslage BOT 


Artikel 15 Besondere Sicherheitsmassnahmen 

1Anwendungen oder Systeme mit erhöhtem Schutzbedarf sind solche 

mit Daten, deren Verlust die gesetzlichen Zwecke der ETH Zürich 

wesentlich beeinträchtigen oder bedeutende 

Wiederherstellungskosten verursachen. 

2Anwendungen oder Systeme mit erhöhtem Schutzbedarf müssen mit 

verschärften Mitteln gegen den Zugriff durch Unbefugte geschützt 

werden. Dies betrifft sowohl den Zugang zu Applikationen und Daten 

als auch den physischen Zugriff zu den Rechnern selber. 

3Zugangsberechtigungsmittel und Identifikationsmethoden wie 

Passwörter, PINs, Chip-Karten, physische Schlüssel, Tokens etc. sind 

vertraulich zu behandeln. Insbesondere sind bei erhöhtem 

Schutzbedarf folgende Punkte situationsgerecht anzuwenden: 

… 

e) Datenschutz durch Verschlüsselung der Datenübermittlung; 


Programm 


TEIL 1: Praktikable Lösungsansätze für Kleingruppen 

- GNU Privacy Guard / PGP [Elmar Heeb] 

- S/MIME mit X.509 Host basiert [Franz Koch] 

Statement: SWITCH zur Verschlüsselungsthematik auf nationaler Ebene 

[SWITCH] 

TEIL 2: Ansätze für flächendeckende Lösungen 

ohne Userzertifikate 

- single Server [Steve Sheridan] 

- some Servers zB. SWITCH-Members [SWITCH] 

mit Userzertifikaten 

- zentrales Deployment und Management von Userzertifikaten [Daniel 

Wunderli] 

- Gateway Verschlüsselung für User transparent [Armin Brunner] 


2

Arten der Verschlüsselung 


• Inhalt verschlüsseln 

– GnuPG (PGP) 

– S/MIME 

• Zertifizierungsstelle (Bsp. Verisign, SwissSign) betreibt eine 

sog. PKI (public key infrastructure). 

• Deployment/Management über zentrale Instanz (ETH), Bsp. 

AD 

– Verschlüsselungs-Server à la Bundesverwaltung mit Up- 

/Download-Möglichkeit 

• Transport verschlüsseln mit Maschinenzertifikaten 

(SSL) 

– Problem: Der ganze Weg muss verschlüsselt sein auch 

10.5.06 :: Roland zwischen Dietlicher, Basisdienste Mailservern Austausch von Zertifikaten 

Zertifikate 


• Zertifikat: Der Nachweis, dass ein öffentlicher Schlüssel (public key) 

eines asymmetrischen Verschlüsselungs-Verfahrens zu der 

vorgeblichen Person, Institution oder Maschine gehört. 

• Herausgeber: 

– Zertifizierungsstelle (X.509), hierarchisch 

– selbst gemacht, „Web of Trust“ (PGP) 

• Eigenschaften: Name des Inhabers, dessen öffentlicher Schlüssel, 

Seriennummer, Gültigkeitsdauer, Zertifizierungsstelle. 

• Sperrliste (revocation list) enthält ungültige, kompromittierte 

Zertifikate. 


3

Asymmetrisches Verschlüsselungs-Verfahren 


Verschlüsseln: 

Klartext verschlüsseln mit dem „Public Key“ des 

Adressaten verschlüsselter Text. 

Entschlüsseln: 

Verschlüsselter Text entschlüsseln mit dem eigenen 

„Private Key“ Klartext. 


PKI 


• Digitale Zertifikate ausstellen, verteilen, prüfen. 

• Zertifizierungsstelle (CA) 

• Registrierungsstelle (RA) 

• Sperrliste (CRL) 

• Verzeichnisdienst 

• Validierungsdienst 

• Dokumente/Policies 


4

GnuPG: Gnu Privacy Guard 


• OpenPGP-Standard nach RFC 2440 

• „Web of Trust“ durch gegenseitiges Signieren der 

selbsterzeugten Schlüssel (Key Signing Party) 

• über eine Zertifizierungsstelle (CA), z.B. heise.de oder 

DFN (Deutsches Forschungsnetz) zertifizierte 

Schlüssel 

• Keyserver für die Publikation von Public Keys 

• Überprüfen des Public Key mit dem sog. Fingerprint = 

Hashwert des Public Key 

• PlugIns für die meisten Mailclients verfügbar 


S/MIME (secure/multipurpose internet mail extension) 


• X.509 basierend 

• benötigt zwingend eine vertrauenswürdige 

Zertifizierungsinstanz (CA) 

• hierarchische Struktur: CA Sub CA … 

• nicht kompatibel mit openPGP-Standard 

• nur eine Unterschrift (CA) im Gegensatz zu PGP 

• LDAP für die Ablage von Public Keys 

• Native unterstützt durch die meisten Mailclients 


5

Probleme mit User-Zertifikaten/-Schlüsseln 


• Alles funktioniert bestens! Und das schon seit einiger Zeit! 

– wenn man weiss wie 

• Individuelle Ablage der Private Keys/PGP-Schlüssel? 

– nur zugänglich für Besitzer 

– permanent, über lange Zeitdauer 

– Verlust Datenverlust 

• Bei Verlust: Eintrag in Revocation List 

– habe ich ihn verloren? 

– wie geht das? 

• Gültigkeits-Checks 

– müsste man das auch machen? 

• Bei verschlüsselten Mails 

– keine Spam-/Viren-Filter 

– Archivierung? 


Lösungsansätze für Kleingruppen 


• verschlüsselter Datenaustausch 

– über eine „beschränkte Zeitdauer“ 

– GnuPG (Key Signing Party) 

– SwissSign-Bronze (E-Mail)-Zertifikate 

• laufen nach 1 Jahr ab, erneuern neuer Schlüssel 

– Ausblick: SWITCH AAI Ausbau auf X.509 zur Ausstellung 

von Zertifikaten 

• Daten auf Empfängerseite entschlüsselt speichern 

sichere Ablage?! 

• Gibt es überhaupt einen Bedarf (an der ETH)? 


6

Flächendeckende Lösungen 


• Verschlüsselte Verbindungen zum gemeinsamen 

Mailserver 

– die meisten Clients und Server unterstützen das 

• Verschlüsselte Verbindungen zwischen Clients über 

verschiedene Server 

– SSMTP nur für dedizierte Server-Verbindungen 

– SWITCH als Mittler für Hochschulen 

• Zentrales Deployment von User-Zertifikaten am Bsp. 

Active Directory (AD als PKI) 

– Computer und User im AD Vollautomatisch 

– zentrale Stelle kann entschlüsseln, filtern, Klartext 

archivieren 


Flächendeckende Lösungen 


• Gateway Verschlüsselung 

– Ein Gateway-Server übernimmt die Ver- und 

Entschlüsselung der E-Mail. 

– Filter möglich 

– Unbekannter externer Adressat: 

• antwortet mit signierter Mail, falls Zertifikat vorhanden 

• andernfalls: registriert sich am Webmail-Interface 

• oder erhält ein Zertifikat 

– Verschlüsselte Antworten gelangen über den Gateway, 

werden entschlüsselt und dem ursprünglichen Absender 

zugestellt. 

– Funktioniert vereinfacht auch für interne Adressaten 


7

Totemo: TrustMail Secure Email Gateway 


• No plug-in or software installed on the internal user side 

• No plug-in or software installed on recipient side 

• Internal users can spontaneously communicate with anybody 

• Central definition of security policies possible 

• Flexibility on recipient side (support both S/MIME and PGP communication) 

• Central server-based content and virus checking still possible 

• Messages can be protected inside and outside of the company network 

• Not based on proprietary concepts, but on established standards 

• Take advantage of the native email encryption functionality available in email 

clients 

• No manual issuance or renewal of keys 

• High degree of automation to limit administration needs 

• Connectors to Active Directory or LDAP directories, external certificate authorities, 

etc. 

• Investment protection: it should be possible to upgrade the solution if necessary to 

support security tokens, HSMs (hardware security modules), Smartcards, fully 

qualified signatures, dual keying, Blackberry devices, etc. 

• http://www.totemo.ch/secure_email_white_papers.html 


Schlussfolgerungen?! 


• Wie war das nochmals mit der BOT? 

– „Bereitstellung der notwendigen Verschlüsselungstechniken“ 

– man darf vertrauliche Informationen elektronisch nur 

verschlüsselt verschicken 

– Für Datenschutz durch verschlüsselte Übermittlung sorgen. 

• Was müssen wir nun tun? 

– nichts 

– Link auf SwissSign, resp. GnuPG 

– SSL-Verbindungen zu unseren Mailservern 

• Was dürfen wir uns das kosten lassen? 

– Totemo TrustMail-Server = Fr. xy 


8

Weiterführende Informationen 


http://de.wikipedia.org/wiki/GNU_Privacy_Guard 

http://de.wikipedia.org/wiki/S/MIME 

http://www.kes.info/archiv/online/01-01-60- 

SMIMEvsOpenPGP.htm 

http://rfc.net/rfc1847.html 

http://www.ietf.org/rfc/rfc2459.txt 

http://www.totemo.ch/secure_email_white_papers.html 

http://www.heise.de/security/dienste/pgp/ 

http://www.swisssign.ch/ 


9

E-Mail Verschlüsselung - ITEK - ETH Zürich

Erfolgreiche ePaper selbst erstellen

Template löschen?

Als Template speichern?