S/MIME mit Signaturkate fuer qualifizierte Signatur [gelöst]

Hi Gerd,

und willkommen im Forum.
Ich habe zwar hier keinen Kartenleser deines Typs vorliegen und auch keine Karte deines Herausgebers, aber ich habe schon mal etwas über elektronische Signatur gelesen ... .

Du musst zuerst die so genannte Middleware oder auch Cryptografik-Serviceprovider (CSP) oder das wie auch immer genannte Programm als zusätzliches Kryptografiemodul einbinden (=> Laden). Für viele Anwendungen habe ich die bewusste dll im Kopf, leider nicht für deine. Wenn du die richtige dll erwischt hast, dann kannst du auch deine Karte bzw. deren Zertifikate "sehen". Einfach mit Hilfe des Explorers etwas nach dem Programm suchen und dann auf gut Glück testen. Kannst ja jederzeit wieder entladen. Versuche es mal mit der von dir genannten dll.
Der CSP bildet vereinfacht gesagt die Brücke zwischen deiner Karte (unterschiedlich je nach Hersteller) und der standardisierten pkcs#11-Schnittstelle.
Eigentlich wars das dann schon. Der Rest funktioniert wie beim Softwaretoken. Nur dass das dann eben kein pkcs#12 (also Softtoken, .p12 oder .pfx) ist. Du musst einfach auf das dann sichtbare Zertifikat verweisen. Nur den privaten Schlüssel kannst du natürlich weder sehen noch auslesen. Musst du ja auch nicht.

Kleiner Hinweis:
Du magst zwar eine SigG-konforme Signaturkarte für die qualifizierte Signatur haben, aber du weißt schon, dass es niemals eine qualifizierte Signatur von eMails geben wird?
Das SigG stellt in diesem Falle nämlich nicht nur bestimmte sehr hohe Anforderungen an die "sichere Signaturerstellungseinheit" (die Karte), sondern auch an das Anwendungsprogramm auf beiden Seiten. Es gibt imho kein einziges Mailprogramm, welches nach SigG zugelassen ist. Und selbst wenn, kannst du niemals gewährleisten, dass der Empfänger deiner Mail auch ein derartiges besitzt. Es bleibt also automatisch bei der fortgeschrittenen Signatur der Mails. (Aber das ist ja schon was ... .) Selbstverständlich kannst du die angefügten Dokumente mit geeigneter Software qualifiziert signieren.

MfG Peter

Zitat von "IngGeKo"

dann habe ich die richtige DLL erwischt,- mir wir die richtige Seriennummer der Karte angezeigt.

Glückwunsch

Zitat von "IngGeKo"

Nach dem Verfassen einer Nachricht und dem versuch sie zu versenden kommt dann:
"Ein interner Fehler ist aufgetreten. Die gewünschte OCSP-Funktion kann nicht erfolgreich beendet werden."
Das heisst:
Das "Online Certificate Status Protokoll" kann nicht ausgeführt werden.

Ja grundsätzlich funktioniert das ocsp im Thunderbird. Ich kann jedenfalls unseren nutzen.
ABER: wenn du den ocsp deines ZDA mit dem Zertifikat deines Empfängers ansprichst, dann muss dieses natürlich auch von deinem ZDA stammen. Also es muss jeweils der richtige ocsp angesprochen werden.
Bei Zertifikaten (Empfängern) eines einzelnen ZDA kannst du natürlich den ocsp fest eintragen. Bei mehreren musst du auf den internen Link setzen.
Ob dieser in deinem Z. eingetragen ist, kannst du ja mit dem Betrachten sehr schnell feststellen. Schon mal nachgeschaut?

Andererseits: ocsp und crl ist eigentlich eine Sache, die man dort lassen sollte, wo sie hin gehört ... . Du solltest dich also fragen, ob du unbedingt die Sicherheit haben musst, ob das Empfängerzertifikat nicht vor dem Ablaufen gesperrt wurde. Ich habe dir ja schon geschrieben, dass es bei Mail max. die fortgeschrittene Signatur gibt.

Was sagt denn der Verwendungszweck deines Zertifikates? Ist es wirklich für Mailverschlüsselung zugelassen? Das wird im IE mit Zahlen ausgedrückt (30, 80 usw.) und im TB verbal beschrieben.

Hast du unter Herausgeber (Zertifizierungsstellen) wirklich die Herausgeberzertifikate deines Herausgebers und die der Empfänger importiert? Normalerweise reicht das völlig aus.
Ich kann dir gern per PN eine Adresse schicken, an welche du mir das Zertifikat schicken kannst. Dann kann ich es mir mal ansehen. (Ist nur ein Angebot.)

MfG Peter

Ist das eigentlich noch aktuell, dass man keine Mail selbst "unterzeichnen" kann durch eine qualifizierte Signatur?

Denn wenn man bei http://www.bundesnetzagentur.de/enid/ce2b32dbc…onenten_vv.html schaut, gewinnt man den Eindruck, als könne man mit Lotus Notes oder Outlook und dem entsprechenden Anbieter (samt dessen Plugin) doch eine Mail selbst mit einer qualifizierten Signatur versehen. Oder verstehe ich das falsch und es geht technisch (bisher) nicht, so dass man sich auf die qualifizierte Signierung etwa einer angehängten PDF-Datei beschränken muss?

Ich bin auch etwas verwirrt, weil ich ebenfalls TRUST-IT mit Thunderbird verwende und mich eigentlich ärgert, dass ich die Mails nur mit dem einfachen Zertifikat legitimieren kann, nicht aber mit der qualifizierten Signatur. Die Wurzelzertifikate sind korrekt eingebunden, aber die qualifizierte Signatur kann in Thunderbird nicht verwendet werden, es wird - wie bei dem ursprünglich beschriebenen Problem hier - stets nur das einfachere Zertifikat verwendet.

Wäre nett, zu dieser Frage nochmals eine aktualisierte Expertenmeinung zu bekommen!

Gruß, Stefan