Bundesamt für Sicherheit in der Informationstechnik

M 5.110 Absicherung von E-Mail mit SPHINX (S/MIME)

Verantwortlich für Initiierung: Administrator, IT-Sicherheitsbeauftragter

Verantwortlich für Umsetzung: Administrator, Benutzer

Die zunehmende Bedeutung von E-Mail erfordert den Einsatz von Maßnahmen, die eine Vertraulichkeit und Verbindlichkeit gewährleisten. Dies kann durch den breiten Einsatz von Produkten zur Verschlüsselung und digitalen Signatur von E-Mails erreicht werden. Die elektronische Signatur stellt dabei sicher, dass die E-Mail vom angegebenen Absender kommt und unverändert ist. Die Verschlüsselung der Informationen bewirkt, dass nur der rechtmäßige Empfänger die E-Mail lesen kann.

Zu diesem Zweck wurde vom BSI das Projekt SPHINX initiiert, in dessen Rahmen kryptographische Produkte auf internationalen Standards fortentwickelt wurden. Die Interoperabilität, das bedeutet die fehlerfreie Austauschbarkeit von kryptographisch behandelten Nachrichten, der Produkte verschiedener Hersteller und für verschiedene Plattformen wird quartalsweise durch ein Testlabor untersucht und das Ergebnis veröffentlicht.

Kryptographische Verfahren

Zur Erreichung einer herstellerunabhängigen Interoperabilität kommen bei SPHINX ausschließlich Produkte zum Einsatz, die auf den Industriestandards S/MIME und "MailTrusT" beruhen. Diese Standards nutzen zur Erzeugung sicherer E-Mails eine Kombination unterschiedlicher kryptographischer Verfahren. Als symmetrisches Verfahren wird der Triple- DES -Algorithmus mit 112 Bit Schlüssellänge zur Verschlüsselung der Daten verwendet. Das eingesetzte Public-Key-Verfahren für die elektronische Signatur und zur Verschlüsselung ist der RSA-Algorithmus mit mindestens 1024 Bit Schlüssellänge. SHA-1 ist der empfohlene Hash-Algorithmus, der zur eindeutigen Abbildung der Nachricht auf einen Wert mit definierter Länge verwendet wird.

Die Zuordnung von kryptographischen Schlüsseln zu Personen wird durch digitale Zertifikate geregelt. Ein Zertifikat ist ein elektronisches Dokument, das im wesentlichen den öffentlichen Schlüssel und den Namen des Schlüsselinhabers enthält. Mit ihrer elektronischen Unterschrift beglaubigt die Zertifizierungsstelle (Trustcenter) die Zuordnung zwischen Schlüssel und Person. Bei SPHINX werden standardisierte Zertifikate gemäß der ITU-Empfehlung X.509 Version 3 verwendet.

Das Vertrauen zwischen den Kommunikationspartnern besteht im Kern im Vertrauen auf die digitalen Zertifikate und der Glaubwürdigkeit aller Angaben, die es enthält. Für die öffentliche Verwaltung wurden bereits durch mehrere Trustcenter Zertifikate ausgestellt. Diese Trustcenter werden durch die übergeordnete Wurzelzertifizierungsstelle des BSI überprüft und in der PKI (Public Key Infrastruktur) der öffentlichen Verwaltung zusammengeschlossen. Damit unterliegen alle ausgestellten Zertifikate dem Standard des IT-Grundschutzes in allen Fragen der Informationssicherheit. Für den Kontakt zum Bürger und zu Firmen wurde die Verwaltungs-PKI in die European Bridge- CA integriert, die unabhängige PKI miteinander vertrauenswürdig verbindet.

Eine weitere Anforderung zur Bildung des Vertrauens ist der Schutz des geheimen Schlüssels eines Benutzers. Dazu kann der geheime (oder persönliche) Schlüssel entweder in einer speziellen Datei oder einer Chipkarte gespeichert werden. Im Allgemeinen wird diese Datei bzw. die Chipkarte als Personal-Security-Environment (PSE) bezeichnet, also persönliche Sicherheitsumgebung. PSEs sind kryptographisch geschützt und können nur mittels Passwort zur Benutzung aktiviert werden. Für den sicheren Umgang mit dem Passwort und der Datei bzw. der Chipkarte ist der Eigentümer verantwortlich.

Sichere Installation und Bedienung

Bei SPHINX-Produkten handelt es sich in der Regel um sogenannte Plugin-Produkte. Sie ergänzen das vorhandene E-Mail-Produkt mit als sicher anerkannte kryptographische Verfahren.

Durch falsche Konfiguration oder Fehlbedienung kann es aber zu einer Abschwächung des Sicherheitsniveaus kommen.

Die Konfiguration ist bei SPHINX-Produkten wie bei den meisten komplexeren Kryptoprodukten nicht selbsterklärend. Damit sich keine Administrationsfehler einschleichen, ist die Einarbeitung in das genutzte SPHINX-Produkt notwendig. In Unternehmen und Behörden sollte ein Mitarbeiter der IT-Administration in den Umgang mit dem SPHINX-Produkt eingearbeitet werden und als technischer Ansprechpartner zur Verfügung stehen.

Um Verständnis für die Anwendung der neuen Funktionalitäten beim Benutzer zu erreichen, ist die Vermittlung von einigen kryptographischen Grundbegriffen notwendig. Die Abläufe zur Beantragung eines Zertifikates und die Bedienung des SPHINX-Produktes sollten geschult werden. In Unternehmen und Behörden sollten ausgewählte Benutzer in den Umgang mit dem SPHINX-Produkt eingearbeitet werden und als Multiplikatoren die weiteren Benutzer im Umgang mit dem Produkt einweisen. Eine Schulung durch den Hersteller bzw. Vertreiber des Produktes ist vorzuziehen. Insbesondere sollte das Erzeugen von signierten und verschlüsselten E-Mails bzw. der Empfang dieser geübt werden, bevor ein Benutzer das Programm verwendet.

Es ist empfehlenswert, dass innerhalb einzelner Organisationen ein einheitliches SPHINX-Produkt, besser noch eine einheitliche Programmversion verwendet wird. Damit können Aufwände bei der Administration, Schulung, Betreuung und Software-Pflege gering gehalten werden.

Zu jedem SPHINX-Produkt gehört eine umfangreiche Dokumentation, die vor der Verwendung gelesen werden sollte. Sie sollte vor ihrer Verteilung an die Anwender auf die Eigenheiten der Organisation angepasst werden. Damit lässt sich eine höhere Akzeptanz bei der Produkteinführung erreichen.

Schlüsselaufbewahrung

Die privaten Schlüssel werden in der Personal-Security-Environment (PSE) abgelegt. Entscheidend für den sicheren Betrieb ist, dass der Inhalt der PSE vertraulich bleibt und vor Manipulationen geschützt wird. Das genutzte Passwort ist nach den in M 2.11 Regelung des Passwortgebrauchs beschriebenen Passwortregeln zu bilden und sicher zu verwahren. Eine Weitergabe, ungewollt oder wissentlich, befähigt andere Personen im Namen des Eigentümers elektronisch zu unterschreiben.

Ist die PSE eine Datei, so spricht man von einer Soft-PSE. Diese ist durch das Passwort kryptographisch geschützt. Es wird empfohlen, sie nicht auf Netzlaufwerken zu speichern, da sonst weitere Sicherheitsmaßnahmen ergriffen werden müssen. Der Einsatz von Chipkarten zur Schlüsselspeicherung ist vorzuziehen. Aber auch bei Chipkarten muss das verwendete Passwort sicher verwahrt werden. Bei den Chipkarten, die bei SPHINX zum Einsatz kommen, kann keine Kopie angelegt werden.

Von der Soft-PSE sollte eine Sicherungskopie angelegt sowie das Passwort notiert werden. Die Sicherungskopie und das Passwort sollten sicher, am besten getrennt verwahrt werden. So kann sichergestellt werden, dass bei einem Festplattencrash oder einer Fehlbedienung die PSE nicht verloren geht. Nachrichten, die verschlüsselt wurden, lassen sich bei Verlust der PSE nicht mehr entschlüsseln.

Das Aufschreiben und Hinterlegen des Passworts an einem gesicherten Ort sollte hierbei als kritischer Vorgang betrachtet werden, der ausschließlich der Notfallvorsorge dient. Die abgeschlossene Schublade eines Schreibtisches oder ähnlich "sichere" Orte können keinesfalls als Aufbewahrungsort für die PSE oder das Passwort empfohlen werden.

Schlüsselverteilung

Damit ein Empfänger die elektronische Signatur des Senders einer Datei überprüfen kann bzw. der Sender eine Nachricht für einen bestimmten Empfänger verschlüsseln kann, benötigt er das digitale Zertifikat seines Kommunikationspartners. Dieses kann er auf verschiedene Arten erhalten, z. B. per Anlage einer E-Mail oder von einem speziellen Internet-Server (Verzeichnis), manchmal auch von einem WWW-Server.

SPHINX-Produkte unterstützen den Benutzer bei der Überprüfung der digitalen Zertifikate. Der Benutzer muss bei den meisten Produkten beim ersten Empfang das Zertifikat seines Kommunikationspartners einer E-Mailadresse manuell zuordnen. Neben dem Zertifikat des Kommunikationspartners wird zur automatischen Überprüfung das Zertifikat des ausstellenden Trustcenters benötigt. Die erforderlichen Zertifikate werden meistens als Anlage in der signierten E-Mail mit übertragen. Das Zertifikat der Wurzelzertifizierungsstelle sollte vorhanden oder durch den IT-Service vorinstalliert worden sein.

Damit ein Benutzer in den Besitz eines eigenen Zertifikats gelangt, werden von ihm Zertifikats-Beantragung und Identifikation gefordert. Beides wickelt er in Zusammenarbeit mit der Registrierungsstelle ab. Bei Behörden, Firmen, Organisationen sind diese meist beim Inneren Dienst bzw. Werkschutz zu finden. Trustcenter unterhalten meist Registrierungsstellen in ihren Filialen. Die Registrierungsstelle prüft die Zertifikatsanträge auf Richtigkeit und identifiziert den Benutzer anhand seines Dienst- oder Personalausweis. Werden Chipkarten ausgegeben, so sind sie in der Regel ebenfalls dort zu erhalten. Bei Soft-PSEs erfolgt die Zusendung elektronisch, meistens per E-Mail.

Prüffragen:

  • Sind die Zuständigkeiten für die Administration und die technische Benutzer-Unterstützung geregelt?

  • Werden Benutzer für das Produkt einschließlich notwendiger kryptographischer Grundlagen geschult?

  • Gibt es Regelungen zur Speicherung und Aufbewahrung von Schlüsseln und Passwörtern gegen deren Verlust und Kompromittierung?

Stand: 13. EL Stand 2013

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK