Mac nix basteln:SMIME

Aus Attraktor Wiki

Wechseln zu: Navigation, Suche

S/MIME

S/MIME ist eine Methode zum signieren und verschlüsseln von Nachrichten, ähnlich wie das in der Öffentlichkeit vielleicht bekanntere PGP oder seine quelloffene Implementation GPG. Im Gegensatz zu GPG bietet S/MIME einige Komfortvorteile:

  • S/MIME wird standardmäßig von allen (gängigen) email-Programmen unterstützt (vielleicht mal mit der Ausnahme mobiler Plattformen). D.h. man muss sich nicht um irgendwelche plugins oder sonstige Extraprogramme kümmern, die dann bei der nächsten Aktualisierung des email-Progs nicht mehr laufen
  • Schlüssel werden automatisch durch das Versenden signierter Nachrichten verteilt. Man brauch sich also nicht um Schlüsselserver kümmern, oder jemanden seinen öffentlichen Schlüssel zusenden und diesem dann erklären, dass er ihn bei sich im Schlüsselbund hinzufügen muss
  • Man bracht nicht jedem Schlüssel sagen, dass man ihm vertraut. Vertraut man dem Wurzelzertifikat, vertraut man allen Schlüsseln, die dagegen gezeichnet wurden

Nachteile:

  • Das System besteht auf Vertrauen gegenüber den Zertifikatsstellen (Certification Authorities = CAs), bzw. deren Wurzelzertifikaten


Technik

Wen die zu Grunde liegende Technik interessiert sollte sich die Krypto-Grundlagen durchlesen. Ansonsten hier vereinfacht ganz ohne Technik:

Digitale Signatur

Eine Signatur stellt sicher, dass der Absender der ist, der er vorgibt zu sein und dass die Nachricht unterwegs nicht verändert wurde. Sie entspricht also in etwa einem Siegel auf einem konventionellen Brief.

Verschlüsselung

Verschlüsselung stellt sicher, dass nur designierte Empfänger die Nachricht lesen kann. Sie entspricht also grob dem Umschlag eines konventionellen Briefes. Eine unverschlüsselte Nachricht entspricht also in etwa einer Postkarte: Jeder unterwegs kann sie lesen und auch drin rum kritzeln.

Zertifikate

Das Unterschreiben und Verschlüsseln erfolgt durch sog. Zertifikate. Dabei gibt es verschiedene Typen. Man kann nämlich nicht nur Strompost verschlüsseln, sondern auch Quelltext unterschreiben und der Gleichen. Da wir hier von Strompost reden, reicht uns ein Klasse 1 Zertifikat. Doch woher bekommt man das? Dies kann von den oben genannten Zertifikatsstellen ausgestellt werden. Derer gibt es sehr viele: z.B. Verisign, thawte... oder auch große Firmen haben ihre eigenen Wurzelzertifikate (Telekom, Visa....). Diese ganzen Wurzelzertifikate sind bei den Betriebsystemen bzw. den Mozillaprodukten (Firefox und Thunderbird - welche im Gegensatz zu den anderen Browsern und email-Progs nicht auf die Schlüsseldatenbank des Betriebssystems zurückgreifen) idR. vorinstalliert. Das Problem ist, dass die meisten Geld für die Ausstellung eines Zertifikats für den Anwender haben möchten. Der nicht gewinnorientierte Verein CAcert stellt sie kostenlos aus.

 

CAcert

Das Problem mit CAcert ist, dass deren Wurzelzertifikate im Gegensatz zu den anderen genannten nicht vorinstalliert ist. Diese sollte man sich also zunächst einmal installieren. (Vorweg: Alle Schritte muss man nur einmal machen. Danach hat man keinerlei Mühe mehr)


Wurzelzertifikate installieren

Die Klasse 1 & 3 Wurzelzertifikate findet man unter https://www.cacert.org/index.php?id=3. Dort klickt man einfach Root-Zertifikat (PEM Format) und Zwischen Zertifikat (PEM Format) an. Was nun folgt ist stark vom eigenen System abhängig.

  • OS X (Safari / Apple Mail): Safari wird die Zertifikate einfach nur speichern. Man klickt dann die gespeicherten Dateien root.crt und class3.crt im Downloads-Verzeichnis an. Worauf sie der OS X Schlüsselbundverwaltung hinzugefügt werden. Man hat die möglichkeit das Zertifikat für System (alle Benutzer) oder Anmeldung (der Angemeldete Benutzer) zu installieren. Beim Wurzelzertifikat macht es Sinn das Systemweit zu machen, beim eigenen Zertifikat sollte man Anmeldung wählen.Das Zertifikat ist nun installiert und Systemweit verfügbar. Also beispielsweise auch für Apple Mail.
  • Windows (Internet Explorer / Outlook): Der Internet Explorer unter Windows wird ein Fenster mit Zertifikatsinformationen öffnen. Man klickt unten auf den Knopf Zertifikat installieren... und klickt solange OK und Weiter bis der Dialog durch ist. Das Zertifikat ist nun installiert und Windows-Systemweit verfügbar. Also beispielsweise auch für Outlook.
  • Firefox / Thunderbird (egal welches Betriebssystem): Firefox fragt, wofür man das jeweilige Zertifikat nutzen möchte: um Websites zu identifizieren (https), um Email-Nutzer zu identifizieren (S/MIME) oder um software-Entwickler zu identifizieren. Man kann alles drei anhaken, OK und fertig. Die Anleitung um Zertifikate in Thunderbird zu nutzen findet sich hier.
  • Chrome, Opera, Konquerer...: Nicht ausprobiert. Wird aber wahrscheinlich irgendwie ähnlich wie die obigen Lösungen laufen.


Eigenes Zertifikat erzeugen

  • Registrieren: Zunächst registriert man sich an. Hier empfiehlt es sich, im Gegensatz zu den meisten anderen Orten im Netz, seine echten persönlichen Daten anzugeben. Schliesslich möchte man das Zertifikat benutzen, um sich zu identifizieren.
  • email-Adressen hinzufügen: jetzt meldet man sich rechts im Menü auf der CAcert-Seite an und gelangt so in sein persönliches Konto. Man wählt wiederum rechts im Menü + E-Mail-Konto, klappt es aus und geht auf Hinzufügen. Hier sollte man alle Adressen hinzufügen mit denen man vorhat zu unterschreiben. Vorsicht bei googlemail: auch wenn man selbst nur name@gmail.com verwendet, verschickt googlemail die emails immer als name@googlemail.com. Man muss also sowohl name@gmail.com als auch name@googlemail.com hinzufügen, sonst kommt es zu Fehlern.
  • Zertifikat ausstellen: Man klickt rechts im Menü auf + Client-Zertifikate und dann auf neu. Nun wählt man die email-Adressen aus, für die das Zertifikat gelten soll (die Auswahlmöglichkeit besteht aus den eben hinzugefügten), klickt Signieren mit dem Klasse 1 Root Zertifikat und setzt einen Haken bei Zertifikats-Anmeldung mit diesem Zertifikat aktivieren. Mit weiter geht's auf die nächste Seite. Dort wählt man unter Schlüsselgröße hochgradig aus (entspricht z.Z. 4096bit) und klickt auf erstellen.


Eigenes Zertifikat installieren

Je nach System fügt man den Schlüssel nun seinem System hinzu:

  • OS X (Safari / Apple Mail): wie man es schon für das Wurzelzertifikat getan hat. Danach gibt es in Apple Mail zwei neue Symbole beim Verfassen eienr neuen Nachricht. Ein Schloss zum Verschlüsseln und ein Stift zum signieren.
  • Windows (Internet Explorer / Outlook): Zuerst das, dann das, und dann das.
  • Firefox / Thunderbird (egal welches Betriebssystem): Man geht in Firefox unter Einstellungen / Erweitert / Verschlüsselung / Zertifikate anzeigen / Ihre Zertifikate und dann auf sichern. Mit dem gespeicherten Zertifikat befolgt diese Anleitung für Thunderbird


Das war's auch schon. Nun sollte das jeweilige email-Programm in der Lage sein Nachrichten zu signieren und auch zu verschlüsseln. Letzteres vorausgesetzt man hat den öffentlichen Schlüssel des Empfängers - was man automatisch hat sobald man einmal eine signierte Nachricht von demjenigen empfangen hat.