Signatur mit Zeitstempel

Hallo

wir haben vor einiger Zeit mit S/MIME im Firmenumfeld angefangen und sind dabei auf das Problem gestoßen, daß
korrekt signierte Mails nach Ablauf des verwendeten Zertifikates beim Empfänger als "ungültigt signiert" angezeigt werden. Da wir natürlich unserer Anwender darauf trimmen auf solche Dinge zu achten, die Signatur aber eigentlich gültig ist bzw. zumindest war, ist es schon sehr unschön.
Die Lösung wären wohl Zeitstempel wie sie z.B. beim Code-Signing oder Qualifizierten Signaturen Anwendung finden (RFC 3161) womit sich die "Gültigkeit" zum Zeitpunkt des Signierens ermitteln läßt. Allerdings habe ich keinerlei Hinweise auf Zeitstempel im Zusammenhang mit S/MIME gefunden
Ich nehme an das TB also nicht in der Lage ist Zeitstempel auszuwerten, aber weiß jemand Bescheid ob es mit S/MIME überhaupt möglich wäre ohne Verwirrung zu stiften.

Besten Dank für Hinweise

Andreas

Hallo & Danke für die Antwort

meine Idee war ein Verfahren wie es bei Code-Signing angewendet wird. Wir signieren z.B. Java Applets mit einem gekauften Zertifikat/Key und versehen die Applets zusätzlich mit einem Zeitstempel welcher von diversen CAs per Internet bezogen werden kann siehe z.B. http://mindprod.com/jgloss/timestamp.html. Damit wird auch nach Ablauf des Zertifikates die Code-Signatur als "gültig zum Zeitpunkt der Erstellung" erkannt, da ansonsten die Software nach Ablauf des Zertifikates nicht merh verwendbar wäre. Dies gilt zumindest solange bis die root-CA des Zeitstempels abgelaufen ist also i.d.R deutlich länger. Das System der Zeitstempel ist meiner Meinung nach auch unabhängig von dem deutschen Monstrum QS. Es wäre jedenfalls sehr hilfreich die üblichen Mail Anwender die wir mühsam darauf trimmen Warnmeldungen zu beachten nicht noch mehr zu verwirren.
Die Frage bleibt allerdings ob in den S/MIME RFCs Platz für Zeitstempel ist.

Gruß

Andreas

Nochmal zur Erklärung: Es geht nicht um die "qualifizierte elektronische Signatur" nach dt. Recht sondern lediglich um das Einbringen eines signierten Zeitstempels welcher z.B. auch recht einfach per HTTP von einer CA Stelle mit Zeitstempel Server bezogen werden kann. Damit könnte das Problem entschärft werden das die Anwender mit wechselndem Status Ihrer Mails konfrontiert werden. Wir sind z.B. dabei unsere Anwender darauf zu trimmen jegliche Fehlermeldung die mit Signatur/Verschlüsselung zu tun hat an den Support zu melden und das schlimmste was dabei vorkommen kann ist das wir als Hilfestellung "macht nichts, bitte Meldung ignorieren" anbieten müssen

Hallo

Danke für die Lorbeeren

Tatsächlich hat unser Problem zwei Seiten:
- Das Einbringen des Zeitstempel: Da wir auf dem Mailgateway signieren (ja nahezu alle Mails und die verwendete Software in Java geschrieben ist, wäre dieses Problem lösbar. Ein Fragezeichen steht wie gesagt bei der sauberen S/MIME Integration, wobei ein Entwickler sich bereits mit "machbar" gemeldet hat, da S/MIME ja ebenfalls auf x509 basiert.
- Das Überprüfen im Mailclient: Hier kommt z.B. TB ins Spiel, wobei die Überprüfung deutlich einfacher sein sollte als das einbringen, da ja im Prinzip nur folgendes notwendig wäre
1.) check ob Timestamp CA vertraut bzw. gültig
2.) check ob Signatur Zertifikat zum Zeitpunkt "Timestamp" gültig war

Desweiteren wäre es auch interessant zu wissen wie andere KMU mit diesem Problem umgehen oder ob es eher auf der Liste "Warum wir kein S/MIME verwenden" steht...

Gruß

Andreas

Hallo,

nein, leider hat sich nichts in dieser Richtung getan. Es ist immer noch kein Mailclient in Sicht der auch Zeitstempel auswerten könnte und deshalb auch keine Software die sowas in S/MIME integriert. Es bleibt also weiterhin nichts anderes übrig als dem eh schon verständnislos blickenden Endnutzer zu erklären warum die ach so sichere S/MIME e-Mail nach einiger Zeit auf einmal mit einer kreischenden Warnung markiert wird und normale e-Mails nicht
Eine RFC die sowas regeln würde hab ich ebenfalls noch nicht gesehen.

Sorry

Andreas