richtig.
Aber mit der "Sicheren Authentifizierung" würde ich vorsichtig sein. Abgesehen, dass dieses bei verschlüsselter Verbindung wirklich unnütz ist (wie wurstsemmel richtig erkannt hat), bringt das nur Fehlerquellen. Ich kenne persönlich keinen öffentlichen MTA, welcher das verlangt. Und ich bin noch nicht mal sicher, ob selbige bei verschlüsselter Verbindung überhaupt zur Anwendung kommt.
MfG Peter
a
Wobei ich mir für die Funktion der Zertifikatsprüfung beim TB nicht verbürgen will.
Variante b ist falsch, denn die von dir erwähnte Zulassung sagt eben nur, dass dieses Zertifikat dazu geeignet ist. Wie ich beschrieben habe, kann man das auch ausschließen, also nur geeignet für Verschlüsselung.
Nebenbei: Man kann diese Verwendungszwecke auch noch als "kritisch" einstufen. Wenn dann eine Anwendung das auswertet, geht mit dem falschen Verwendungszweck eben wirklich nichts.
Wenn du so weiter fragst, dann schicke ich dir einen Link zur Signaturverordnung 
(Soll nicht heißen, dass ich dir nicht weiter antworten will!) Ich muss auch sagen, dass die ganze Juristerei nicht unbedingt das für mich interessanteste an meiner Tätigkeit ist. Aber es gehört eben dazu.
Zeit:
Ich nehme sie mir eben. Aber jetzt mache ich den Hebel rum, denn meine Enkelin möchte heute von Opi ins Bett gebracht werden.
MfG Peter
Wie schon geschrieben, ich kann und will es nicht testen.
Aber - vielleicht kannst du dich erinnern - ich habe vor vielen Monaten mal einem Test mit dem Linux-Tool gemacht. Und es hat geklappt. Und Auskuck habe ich mit Sicherheit nicht auf meiner Kiste
Ich vermute (wieder) mal, dass jemand das Linux-Tool nach Windows portiert hat. Warum auch nicht.
MfG Peter
Wenn es dein Provider anbietet - ja.
Du musst eben testen.
MfG Peter
Hi wurstsemmel,
(dein Nick erinnert mich an meine Sächsische Heimat, da sagt man zur Semmel eben Semmel und nicht Brötchen, wie hier, wo ich jetzt selbige verdiene ... .)
Zu deine Fragen:
Man kann bei der Produktion von Zertifikaten sehr genau einen Verwendungszweck angeben.Selbigen siehst du, wenn du dir die Details innerhalb des Z. ansiehst.
TB zeigt nur die textliche Beschreibung, im OE kannst du auch noch die Schlüsselzahlen dafür erkennen.
So kann ich die Verwendung "30" vergeben => Schlüssel- und Datenverschlüsselung. Oder ich lasse dieses Z. für Identifizierung zu. Oder für "non reputation", also nicht abstreitbar. Und ich kann natürlich auch kombinieren, also Verschlüsselung und Signtur. Dies ist zum Bsp. üblich für Kostnix-Zertifikate und auch die meisten Trustcenter geben nur ein einziges Z. heraus.
Andere Trustcenter bringen für jeden Verwendungszweck ein eigenes Zertifikat auf die Karte. Kryptologisch bedeutet das einige Vorteile ... . (Es gibt eben auch Autos mit Stern ... .)
Wenn man jetzt exakt arbeiten würde, dann dürfte es bei einem kostnix-Zertifikat ohne ordentliche Registrierung auch keine Signatur geben, also dürfte man auch damit den Absender anhand des Zertifikates nicht identifizieren. So wäre es korrekt.
Aber ich betone noch einmal, dass das alles für private Nutzung keine Rolle spielt. Einmal den Fingerprint per Telefon oder persönlich ausgetauscht - und du kannst dem Absender vertrauen.
OCSP, qualifizierte Signaturen ... :
Auch hier wieder ein klares JEIN.
Ob ein ZDA einen OCSP-Server betreibt, ist mehr oder weniger seine Sache. Wenn er qualifizierte Zertifikate verkauft, ist es Pflicht.
Ob eine Anwendung überhaupt Sperrlisten (crl) oder OCSP-Abfragen nutzt, ist Sache des Programmes oder seiner Einstellungen. Bei den wenigen für qualifizierte Signaturen zugelassenen Anwendungen ist es selbstverständlich verpflichtend.
TB besitzt die Möglichkeit, sowohl crls als auch OCSP-Afragen zu nutzen. Beides funktioniert auch.
Wenn du nicht den OCSP-Dienst aktiviert hast, erfolgt auch keine Abfrage. Dann ist das Z. gemäß seiner Gültigkeitsdauer gültig. Auch hier besteht bei der herstellung die Möglichkeit, die url für den OCSP oder die crl im Zertifikat zu implementieren. Je nach Anwendungsprogramm ist damit auch ein Import möglich. => Nachsehen.
Nebenbei: Die Kompromittierung des geheimen Schlüssels einer Bank oder von eBay usw. ist eine Sache, die relativ selten vorkommt ... .
Zu den Sperrlisten:
Jeder ZDA kann (oder muss) Sperrlisten veröffentlichen. Darin sind die Zertifikate aufgelistet, welche vor Ablauf ihrer Gültigkeit gesperrt wurden. Hier gibt es also nur die Antwortmöglichkeit "gesperrt" oder "kenne ich nicht". Es fehlt also der "gültig"-Status. Die Sperrlisten werden je nach "Qualität" des Herausgebers von Stündlich bis Monatlich herausgegeben. Und in der Regel auch nach jeder Sperrung. Jedes gängige Programm erkennt die Gültigkeit und meldet dir das, wenn die crl ungültig geworden ist.
Du kannst beim TB z.Bsp. den Link zur crl des TC-Trustcenters eingeben und meinetwegen täglich aktualisieren lassen. Hier ist der Link:
http://www.trustcenter.de/fcgi-bin/CRL.c…ge=GetCrl&crl=2
MfG Peter
@jesus:
ok, akzeptiert. Habe GPG4WIN einfach "vergessen". Es läuft ja auch nicht auf meinem OS.
MfG Peter
Danke für deine Rückmeldung.
MfG Peter
Hi Mecki,
nun, dein erster Satz passt ja genau zu meiner Antwort ... .
Probleme bei manchen Seiten?
Es ist so, dass manche Provider TLS, manche SSl und manche gar keine Verschlüsselung anbieten. Das musst du erlesen, erfragen oder einfach ausprobieren. Wobei "nur TLS" nicht gerade gut gewählt ist: TLS ist die Weiterentwicklung von SSL... .
Ausprobieren:
- zuerst TLS probieren (mit den Standardports für pop/imap und smtp)
- wenns nicht geht, dann SSL testen (Ports ändern)
- geht das auch nicht, dann bietet der Provider das eben nicht an.
TLS wenn möglich ist in meinen Augen ein Dummie. Es wird dir eine Sicherheit vorgespeigelt, die eventuell gar nicht da ist. ==> imho Quatsch.
MfG Peter
Hi wurstsemmel,
schön, dass du dich für dieses Thema interessierst.
Einen Widerspruch sehe ich darin nicht. Vielleicht hätte ich es anders formulieren sollten: "Schau nach ob es installiert ist, und wenn nicht ... ."
Bei der Erzeugung des Zertifikates kann man mit Optionen festlegen, was alles zusätzlich zu dem eigenen öffentlichen Schlüssel, den Zertifikatsdaten, Hashwert usw. alles mit in der Zertifikatsdatei gespeichert wird. Und jetzt ist es eine "filosofische" (hässliches Wort...) Betrachtung, ob es speziell bei einem kostnix-Z. gut ist,wenn das Herausgeber-Zertifikat gleich mitgeliefert und installiert werden sollte. Ich persönlich lehne es ab.
Ich habe ja schon ein paar mal zu den unterschiedlichen Arten von Zertifikaten lt. SigG und SigVO geschrieben. Bei fortgeschrittenen und qualifizierten Z. kann man problemlos das Herausgeberzertifikat vorinstallieren. Bei den "einfachen Z." sollte man es nicht tun. Auch wenn ein bekannter Browserhersteller das wohl vom Obolus abhängig macht. Bei der Signatur mit X.509-Z. gilt eben das Prinzip, dass das Vertrauen in einen ZDA automatisch auf den Zertifikatsinhaber übergeht. Und das kann man bei fortgeschr.und q. Z. auch beruhigt tun.
Und bei den kostnix-Zertifikaten muss man eben das Vertrauen auch selbst aussprechen. Und man muss wissen, was man tut.
==> Aber für unsere private Verwendung reicht es völlig aus!
Warum du nicht vertrauen sollst? Weil bei den kostnix nicht die vorgeschriebene Identifikationsüberprüfung ("Registrierung") durchgeführt wurde. Persönlich, durch bestätigtes Personal, Vorlage eines "gültigen Lichtbildausweises" usw.
Elektronische Signaturen sind eben voll gültige Unterschriften und diese sind der menschlichen Unterschrift (fast) gleichgestellt. Aber eben nur bei den qualifizierten Signaturen.
Vorteil von thawte?
Habe ich wohl schon beantwortet ... . (Obolus ...)
Aus dem FF entfernen?
Muss nicht sein. Der pers. Schlüsselist doch durch das PW geschützt. Ich wüsste aber auch keine Anwendung, welche ein Zertifikat im Browser benötigt. Bei den MS-Produkten gibt es ja auch nur einen Zertifikatsspeicher.
OCSP:
Ein Trustcenter muss rund um die Uhr gewährleisten, dass bei Verlust eines Z. oder bei Verdacht der Kompromittierung usw. das Z. umgehend weltweit gesperrt wird. (Warum ist ein qualifiziertes Z. wohl so teuer ...) Eine entsprechend zugelassene Anwendung prüft also bei jeder Gültigkeitsprüfung einer Signatur auch noch, ob dieses Zertifikat vom Herausgeber als gültig klassifiziert wird. (Antwort: gültig, unbekannt oder ungültig/gesperrt). Aber das kannst du dir bei den kostnix-Zertifikaten getrost sparen.
Reicht das erstmal?
MfG Peter
Hi,
wie es aussieht (ich habs nicht getestet, siehe unten ...) können wir wohl das immer wieder "gern gesehene" Problem mit dem Import aus .pst-Dateien bei nicht installiertem outlook endlich vergessen:
==> http://www.pcwelt.de/know-how/tipps…5914/index.html
Tester und Erfahrungsberichte sind gern gesehen ... .
MfG Peter
Hallo Heinz,
Danke für die Rückmeldung.
MfG Peter
Hi PL,
Es haben sich zwei gute und sehr sichere zeitgemäße Verfahren zur Mailverschlüsselung herauskristallisiert: PGP bzw. GnuPG und S/MIME.
Da dieses ein - wie schon geschrieben - sehr komplexes Thema ist, wird dir hier niemand eine mehrseitige Abhandlung im Forum schreiben. Weiterführende Fragen werden selbstverständlich beantwortet.
Es bleibt dir also wirklich nur, dich im Web umzusehen.
Meine Empfehlungen:
- für GnuPG: http://www.gnupp.de/pdf/durchblicker1.1.pdf
- für S/MIME: Wikipedia -> S/MIME (oder du suchst hier im Forum nach Beiträgen von mir ... .)
Dann musst du nur noch ermitteln, welches Verfahren deine Mailpartner nutzen.
> PW aufteilen ...Ist dies nicht eine sichere Methode?
Man kann es als eine solche bezeichnen. Zumindest so lange du nicht eine Zielperson von irgend jemandem bist ... .
MfG Peter
Nein, nochmal schreibe ich dir nicht die Lösung ... .
Schön, dass du nach 3-maligem Nachfragen nun endlich mit Informationen rausrückst.
Web.de besitzt (oder besaß mal?) ein primitives Trustcenter, welches seine Kunden mit kostenlosen X.509-Zertifikaten beglückte. Damit konntest du per Webmail verschlüsselte Mails senden und empfangen. Oder zumindest empfangen, wenn die Mail direkt von web.de kam. Dieses Zertifikat kann man sogar exportieren und anderweitig nutzen. Wenn du es exportiert hättest ... .
Nun, zumindest - wenn die Mail wirklich von web.de kommt - bestand keine Gefahr.
So was nennt sich Kundenbindung ... .
Und dein Problem liegt definitiv nicht an 1&1.
MfG Peter
Wenn du uns jetzt noch sagen würdest, wie du die verschlüsselte Mail lesen konntest ... .
Wenn sie wirklich verschlüsselt war, dann musst du doch ein Passwort oder einen eigenen GPG-Schlüssel oder ein eigenes X.509-Zertifikat besitzen.
Und wenn du die verschlüsselte Mail mit dem Gutschein damals lesen konntest, wieso kannst du sie per Webmail nicht noch einmal öffnen ??
> So kann ich den Gutschein nicht einlösen!
Muss jetzt jemand ein schlechtes Gewissen haben?
MfG Peter
Er meint: "spamihilator"
@ 60plus:
Ich empfehle dir, mal nach dem o.g. Namen zu googlen. Ich habe auf die Schnelle viele, und nicht unbedingt positive Beiträge dazu gefunden.
Desweiteren, wozu benötigst du neben dem ausgezeichneten Spamfilter des TB auch noch ein zusätzliches Programm? Ich empfehle es dir wirklich nicht.
Aber unabhängig davon, auf welchen Port willst du denn forwarden? Ist "forwarden" denn überhaupt das richtige Wort für das, was du tun willst? Ich nehme einfach mal an, dass du einen unüblichen Port einstellen willst. Ich habe es gerade mal getestet. Der Tb nimmt auch jeden unüblichen Port an, er prüft also nicht logisch, was ja möglich wäre.
Welches Betriebssystem nutzt du? Hast du sonst irgendwelche "verbogenen" Konfigurationen?
Edit:
Habe mir gerade noch einmal deinen Beitrag durchgelesen. Du bist das Programm also schon los, sorry ... .
Möglichkeit: Die Konteneinstellungen (Benutzername) des Problemkontos verstellen und das gleiche Konto noch einmal mit richtigen Daten erstellen. Und dann die Mails "rüberschieben".
Wäre je nach Umfang des alten Mailkontos zumindest zu überlegen.
MfG Peter
Hi Deafjophi,
aus deiner Frage vermute ich, dass du dich noch nie mit Verschlüsselung befasst hast. Das ist keine Schande ... .
Bei den heute üblichen Verschlüsselungsverfahren musst du persönlich (also wissentlich und aktiv) ein Schlüsselpaar generieren oder generieren lassen. Und dann den öffentlichen Schlüssel deinem Mailpartner bereitstellen.
Ich vermute mal, dass du das nie getan hast. Demzufolge rate ich dir zu größter Vorsicht zum Umgang mit dieser Mail!
Warum:
Es ist ein beliebter Trick böswilliger Menschen, einen Virus zu verschlüsseln - damit ihn der Virenscanner nicht erkennen kann. Und dann selbigen mit einer Mail zu verschicken. Meist steht dann in der Mail noch ein Passwort, mit dem die selbstextrahirende .exe mit dem Virus entpackt werden kann.
Natürlich kann dir auch ein Freund mit derartiger Verschlüsselung eine Nachricht schicken und dir das PW per Telefon durchsagen ... .
MfG Peter
... Wobei die Beweiskraft vor Gericht schon wieder ein Thema ist, wo es beim fortgeschrittenen Zertifikat recht eng wird. Lediglich ein qualifiziertes Z. besitzt eine Beweiskraft, welche "der menschlichen Unterschrift (fast) gleichgestellt " ist.
Selbst bei den qualifizierten Z. gibt es noch eine weitere Stufe, die ich vorhin bewusst unterschlagen habe - die "Qualifizierte Signatur mit Anbieterakkreditierung". Das bedeutet, dass der jeweilige ZDA nicht einmal "einfach" erklären darf, dass er nach SigG arbeitet, sondern dass dieses noch durch die Bundesnetzagentur in einem äußerst scharfen Verfahren überprüft wird.
Und nur derartige Zertifikate (!) sind vor dem Gesetz der menschlichen Unterschrift ... . Sollte es nämlich zu einem Rechtsstreit kommen, dann musst du nachweisen - gemeinsam mit dem Herausgeber deines Zertifikates -, dass du und er alle Punkte des Gesetztes und der Verordnung beachtet habt, wenn du kein derartiges Zertifikat benutzt hast.
Nach einer Akkreditierung des ZDA dreht sich die Beweislast in etwa um.
Aber das ist jetzt alles Juristerei.
Du allein musst selbst einschätzen, was für dich notwendig ist. Für alles, was mit E-Mail zu tun hat, liegt ggw. die Grenze bei der fortgeschrittenen Signatur. Lediglich für einige wenige Anwendungen (Dokumentensignatur als pdf, Spezialprogramm von Adobe, usw.) gibt es eine Zulassung zur qualifizierten Signatur.
Meinungen zu Anbietern?
Werde ich mir tunlichst verkneifen ... .
In DL handeln alle Anbieter nach den gleichen Regeln und Anforderungen. Wenn du dir einen aussuchst, der auch qualifizierte Z. herausgibt, dann kannst du sicher sein, dass deren fortgeschr. Z. mit der gleichen sorgfalt produziert werden.
Andere, viel einfachere Möglichkeiten, bieten zum Beispiel diverse Banken und Sparkassen. Manche verlangen nicht einmal, dass du dort ein Konto hast. Und auch ein Besuch in dem Laden mit dem großen rötlichen "T" ist auch nicht umsonst. Du musst auch selbst einschätzen, ob du eine Chipkarte benötigst oder ob eine Schlüsseldatei nicht vielleicht deinen Anforderungen auch genügt. Preise ... .
MfG Peter
Wegen mir können wir noch stundenlang (zu diesem Thema) diskutieren ... .
(Heute gehts noch, morgen habe ich Urlaub ...)
> Kann man bei Class 2 oder 3 Zertifikaten davon ausgehen das die entsprechenden Zertifizierungstellen bereits in den Mailsystemen vorinstalliert sind?
JEIN ...
"In den Mailsystemen" ist erstmal gar nix installiert.
Die Herausgeberzertifikate sind grundsätzlich öffentlich. Und wenn der Hersteller eines Browsers oder eines Mailclients oder sonst einer mit Zertifikaten arbeitenden Anwendung einen derartigen ZDA (Zertifikatsdiensteanbieter) als vertrauenswürdig einstuft, dann kann er dir diese Verantwortung abnehmen und das Zertifikat gleich mit installieren. So kommen diese "von Hause aus" ins System.
Nun ist es natürlich auch ein werbewirksamer Effekt, wenn ein Trustcenter im XX-Browser schon genannt ist. Den Effekt lässt sich der Hersteller dieses Browsers sicherlich auch gut vergüten. Zumindest bei kommerziellen Produkten.
So kann es zum Beispiel passieren, dass das Class 1-Zertifikat irgend eines Trustcenters auf einmal in einem Browser vorinstalliert wurde, OHNE dass diese Zertifikate auch nur den kleinsten Anforderungen entsprechen.
Was kann passieren? Du bekommst eine Class 1-signierte Mail, wirst nicht entsprechend gewarnt und glaubst ... .
Glauben ist zwar etwas, was unsereiner haben darf, aber nicht in meiner Branche. Ich finde dieses also keinesfalls richtig.
zu Arran:
Internet-Banking funktioniert prinzipiell nach zwei Verfahren:
- PIN/TAN und
- HBCI
Ich glaube (...) zu PIN/TAN muss ich nichts mehr sagen. Ein imho nicht mehr zeitgemäßes Verfahren, welches nun endlich in einer Erweiterung mit zusätzlicher SSL-Verschlüsselung der Verbindung kombiniert wurde.
HBCI (HomeBankingComputerInterface) ist ein Verfahren, welches so ähnlich wie das von mir schon oft beschriebene S/MIME-Verfahren im Maildienst funktioniert. Du bekommst von deiner Bank entweder eine Chipkarte oder zumindest eine Schlüsseldatei, welche beide deinen privaten (geheimen) und deinen öffentlichen Schlüssel, den öffentlichen Bankschlüssel und einige Angaben zu deiner Bankverbindung enthalten.
Die gesamte Kommunikation erfolgt also von der ersten Verbindugnsaufnahme an mit sicherer Indentifizierung und Verschlüsselung.
Näheres findest du zum Beispiel unter: http://www.onlinebanking-forum.de
MfG Peter
Du solltest für dich (!) unbedingt das Schlüsselpaar (.p12 oder .pfx) gesichert haben.
Für "andere" darfst du nur das Zertifikat (richtiger: den öffentl. schlüssel + das Z.) in der Form .cer oder .der speichern und weitergeben.
Dazu drei Möglichkeiten:
- Jedermann kann sich diese von so ziemlich jedem ordentlichen TC runterladen. Damit auch du und diese dann verschicken ... .
- Beim TB geht der Export einzelner Zertifikate leider nur mit der Erweiterung "Cert Viewer Plus", aber dafür damit sehr gut. Insgesamt ist diese Erw. für X.509-Nutzer sehr zu empfehlen.
- Du kannst deine Schlüsseldate (p12 pfx) in den Browser mit dem blauen "e" importieren und von dort aus den öffentl. Schl. exportieren.
Wie sicher ...
Auch zu dieses Thema habe ich mir im Forum schon die Finger wundgeschrieben ... . Deshalb nur (relativ ...) kurz:
Welche Definition hast du von "Sicher"?
Was die Verschlüsselungsfunktion anbetrifft, da gibt es keine signifikanten Unterschiede zwischen den Kostnix-Zertifikaten und den fortgeschrittenen oder gar qualifizierten Z. eines TC. Die Unterschiede beziehen sich neben der hochsicheren Aufbewahrung des geheimen Schlüssels auf der Chipkarte vor allem auf die Art und Weise der Produktion der Zufallszahlen für den Schlüssel und für die interne symmetrische Verschlüsselung. Es ist kryptologisch schon ein Unterschied, ob die Zufallszahlen von einer echten kryptologischen Rauschquelle (auf der Chipkarte!) oder vom üblichen Zufallszahlengenerator eines PC stammen! Selbiges trifft im Übrigen auch auf PGP/GPG zu.
Aber wie schon geschrieben, für dich/uns hier als private Nutzer ist dies absolut nicht relevant.
Signaturfunktion:
Hier gibt es die eigentlichen Unterschiede. Selbige sind im Signaturgesetz und in der Signaturverordnung festgelegt.
- "einfache Signaturen": vom Dreizeiler unter der Mail bis zum selbst hergestellten oder kostnix-Zertifikat eines Trustcenters. Es erfolgt keinerlei Identitätsprüfung der Person, daraus folgt, die Signatur ist rechtlich nicht relevant. (Wie bei GPG ...)
- "fortgeschrittene Signatur": Das Trustcenter führt eine Identifizierung der Person durch. Das können sie selbst durchführen (vor Ort), oder durch externe Dienstleister (im "Telefonladen" oder per "Post-Ident" usw.). Durch diese so genannten Registrierung ist sichergestellt, dass die digitale Unterschrift auch wirklich zu dieser Person gehört.
- "qualifizierte Signatur": Registrierung wie oben genannt, aber der Schlüssel muss auf einer so genannten "Sicheren Signaturerstellungseinheit" => Chipkarte gespeichert sein, zugelassene Soft- und Hardware usw. Sowie weitere Forderungen, welche selbst für mich als jemanden, der sich schon sehr lange mit IT-Sicherheit befasst, als extrem hoch vorkommen.
Du musst also sehr genau überlegen, wofür du das Z. benötigst. Denn es ist alles eine Kostenfrage. Auch wenn die Z., speziell die qualifizierten, sehr teuer sind, ich kenne die Prozesse und Aufwendungen aus meiner täglichen Arbeit und kann dir nur sagen, dass die Preise gerechtfertigt sind.
Wenn es dir also lediglich um Mailverschlüsselung unter Freunden ankommt, dann bist du mit einem kostnix gut bedient. Auch hier kann man per Telefon schnell den Hashwert austauschen und dann sicher sein, dass der Absender wirklich derjenige ist. Willst du aber mit Firmen online Verträge abschließen oder deine Steuererklärung vollelektronisch abgeben, dann musst du schon in die Geldbörse greifen.
MfG Peter
