[Postfixbuch-users] PGP und S/MIME am äußeren MX

[Jan P. Kessler]

>>> Kollege A geht nun in den Urlaub. Er setzt Kollege B als seinen
>>> Stellvertreter ein.
>>>
>>> Kollege B muss nun auf eine Kundenanfrage adressiert an Kollege A als
>>> Vertretung antworten.
>>>
>>> Erhält der Kunde die Antwort von A oder B? Wenn A, ist die Nachricht von
>>> B signiert, d.h. kann der Kunde erkennen, dass A nicht gezeichnet hat?
>> Kurz gesagt wird das Signatur-Zert von der Z1 durch die SMTP Adresse
>> ausgewählt. Die Groupware stellt (via Auth gegen das
>> Benutzerverzeichnis) sicher, dass A nur als A senden kann. Wenn A
>> Kollegen B berechtigt in dessen Namen zu senden, würde das Zert von A
>> verwendet. Siehe Anmerkung zum "Insider-Angriff".
> OK... das würde mir sehr große Bauschmerzen bereiten. Wäre mit dem
> Signaturgesetz so auch gar nicht vereinbar. Allerdings scheint
> Rechtssicherheit keine Anforderung an eure "sichere elektronische
> Kommunikation" zu sein.

Jep, wie beschrieben geht es um Class-2 Zerts. Die Z1 hat allerdings
inzwischen Mechanismen, die vor einer Signatur die Zustimmung des
Zert-Owners sicherstellen. Setzen wir aber zzt nicht ein.

Btw hindert die Z1 nicht daran, in besonderen Fällen auch Clients mit
lokal hinterlegten Class-3 Zertifikaten auszustatten. Hier geht es nur
um die grobe Masse. Leider haben viele unserer kleineren Partner
(Kanzleien, Gutachter, ...) keine Möglichkeit, sinnvoll TLS o.ä.
einzusetzen. Manche verwenden auch bereits PGP oder S/Mime und möchten
von diesem Verfahren nicht abweichen.

> Welchen Sinn seht ihr da drinnen, dem Anwender im Client dann noch
> Hinweise wie, "Diese Nachricht war verschlüsselt/gültig signiert von
> XXX" anzuzeigen?

- Unser AW weiß, wie die Nachricht übertragen wurde und vom wem sie
stammt. Vielleicht teilweise sicherer als beim lokalem Ansatz. Wir
wissen nämlich wessen self-signed CA Zertifikate wir einspielen (und
welche nicht) und haben bestimmte Verfahren, die uns eine entsprechende
Entscheidung erleichtern. Unsere AW können damit idR nichts anfangen.

- Man kann einen Partner, der die Verschlüsselung vergisst, darauf
hinweisen.

- Unser AW (jdf die wenigen technik-affinen) wissen, dass somit ein
PublicKey in unserem System vorliegt, den sie widerum zur
Verschlüsselung nutzen können.

- Die Leute sehen, dass die Investition, die zum Aufbau des Systems
getätigt wurden, genutzt wird.

Ganz ehrlich: Wenn die AW uns (also den Admins) nicht mehr vertrauen,
dann haben die ganz andere Probleme als am GW terminierte
Pseudo-Ende-zu-Ende Verschlüsselung. Das fängt beim SSL Proxy an und
zieht sich weiter durch die Groupware, Netzlaufwerke und Backups und
endet bei bösartiger Intention bei Sniffern (inkl MITM), "always_bcc",
Trojanern und Keyloggern - Techniken mit denen wir berufsbedingt
vertraut wären. Es ist natürlich auch so, dass wir den Kunden auf den
Umstand, dass die PKI-Verschlüsselung am Perimeter endet, deutlich
hingewiesen haben - bzw es so beauftragt wurde.