SMIME Zertifikate per LDAP automatisch Importieren

Danke Vic~

Hi dida259,

ich weiß, was du meinst und kenne so etwas auch aus meiner eigenen beruflichen Tätigkeit. Auch wenn ich jetzt nicht speziell auf den Thunderbird eingehen kann - denn da weiß ich wirklich nicht wie man das realisiert. Kann dir also deine eigentliche Frage nicht beantworten.

Fakt ist aber, mit einem kommerziellen Mailprogramm (L*N*) und einem geeigneten Krypto-Plugin ist folgendes möglich:
- neben viiiiielen anderen Benutzerdaten liegen alle Zertifikate auf einem zentralen LDAP-Server
- ebenso die Sperrlisten
- auf dem Client befinden sich nur die root-Zertifikate der vertrauenswürdigen Herausgeber (*) und natürlich der privat-key sowie das Zertifikat (selbstverständlich auf Chipkarte ...).
- die Zertifikate der Adressaten werden automatisch vom LDAP geladen. Du musst sie also nicht vorher austauschen.
- viele weitere Funktionen, wie Zertifikatsprüfungen, ocsp-Responder usw. will ich nur der Vollständigkeit halber erwähnen.

Damit ist also das von dir vorgesehene prinzipiell möglich. Wie du das allerdings im TB realisierst, weiß ich nicht. Ich bin eben "nur" der Spezialist für Kryptologie und IT-Sicherheit und kein besonders guter Kenner der tiefen Innereien unseres Thunderbird

Allerdings: solltest du einen Weg finden, würde ich mich sehr über eine Info freuen. Ich betreibe nämlich auch schon seit längerer Zeit (neben meiner Tätigkeit in einem richtigen Trustcenter) zu Hause eine kleine (?) Privat-ca ... .

(*)
@Vic~: das mit den root-Zertifikaten ist eben der große Unterschied. Vertraue ich dem Herausgeber, dann vertraue ich allen Zertifikaten dieses Herausgebers.

MfG Peter

Hi Vic~,

auch wenn das jetzt nicht ganz zum Thema des Threats passt ... .
Wenn du bestimmte Geschäftsfälle elektronisch abwickeln willst, dann benötigst du nach der bestehenden Gesetzeslage ein Zertifikat für eine "qualifizierte Signatur". Das SigG gliedert Signaturen in:
- einfache Signaturen (nicht näher definiert, rechtlich unwirksam)
- fortgeschrittene Signaturen
- qualifizierte Signaturen
- qualifizierte Signaturen mit Anbieterakkreditierung.

Nur die beiden letzteren sind der menschlichenen Unterschrift weitestgehend gleichgestellt. Die Anforderungen an die Akkreditierung sind sehr hoch. Das sind sowohl rechtliche, wie auch IT-Sicherheitsanforderungen, wie ich sie in meinem ganzen langen Arbeitsleben in dieser Branche noch nicht kennengelernt habe. Um nicht zu sagen "etwas übertrieben". In DL ist die Bundesnetzagentur für die Akkreditierung zuständig.
Das bedeutet aber auch (deshalb habe ich das so ausführlich beschrieben ...), dass du grundsätzlich jedem Trustcenter vertrauen darfst, welches diesen Prozess durchlaufen hat und sich "Akkreditiertes Trustcenter" nennen darf. Deren root-Zertifikate kannst du von der Webseite der Bundesnetzagentur runterladen und in das entsprechende (ebenfalls evaluierte!) Programm importieren. Und bei diesem Import musst du diesem Zertifikat bewusst (!) das Vertrauen aussprechen. Der Import kann automatisch geschehen, das Aussprechen des Vertrauens muss bewusst gemacht werden. Das nennen wir auch, den "Vertrauensanker" setzen.

Alles klar? (Falls weiteres Interesse besteht, stehe ich gern "zu Diensten" )

MfG Peter

... wobei aber nichts entgegensteht, das auch mir, der nach getaner Arbeit zu Hause eine kleine Privat-ca betreibt, schon recht viele Leute ihr Vertrauen ausgesprochen haben und sich von mir ein (einfaches) Zertifikat geholt haben.
Wichtig ist doch, dass wir der großen Neugier in der Welt zumindest einen ganz kleinen Riegel vorschieben. Bei der ganz großen Neugier haben wir ja eh keine Chance (ja, du hast richtig gelesen ...).

Grüße an Wolfgang

MfG Peter