Sicherheitsprobleme bei E-Mail

• Abhören (z. B. durch Netzbetreiber, Systemverwalter).
• Zwischenspeicherung auf Gateways (Feed-Forward-Prinzip).
• Ablage der gelesenen Mail (im File-System, auf Server).
• Leichte Manipulation der Absenderangaben.
• Nachträgliche Fälschung des Inhalts durch Sender oder Empfänger.
• Fälschung des Sendenachweises.
• Nicht vorhandener oder gefälschter Empfangsnachweis.
• Zustellung nicht garantiert.

Standards für sichere E-Mail

• PGP, OpenPGP (RFC 2440),
• PEM,
• S/MIME.

PEM - Sicherheitsdienstleistungen

RFC 1421-1424

• Vertraulichkeit (`confidentiality'),
• Authentisierung des Senders (`data origin authentication'),
• Nachrichtenintegrität (`connectionless integrity') (Inhalt geschützt, nicht Reihenfolge verschiedener Nachrichten, nicht Header-Zeilen),
• Anerkennung von Daten (`non-repudiation').

Analoge Vorstellung: Briefe werden versiegelt und per Einschreiben mit Rückschein verschickt.

Eigenschaften:

• Sowohl Inhalt als auch Zustellung sind beweissicher dokumentierbar.
• Sicherheit auf Endbenutzerebene - keine Ansprüche an die Sicherheit des Übertragungssystems.
• Integrierbarkeit in bestehende Mail-Systeme wichtiges Ziel.
• Kompatibilität mit OSI-Sicherheitsdienstleistungen (X.400 ff.) angestrebt.
• Verschiedene Verschlüsselungsverfahren zulässig.
• Beliebige Mischung von verschlüsselten/unverschlüsselten und signierten/unsignierten Textteilen.

PEM hat sich nicht durchgesetzt.

S/MIME

= Secure MIME

MIME = Multipurpose Internet Mail Extension

• MIME: Mail + Anlagen (Grafik, ..., Makroviren) - RFC 2045-2049.
• S/MIME: Proprietärer Standard von RSA.
• Erweiterung von MIME um kryptographische Dienste.
• DH, 3DES, DSS, SHA-1.
• X.509-Zertifikate (siehe SSL). D. h. insbesondere: ohne CA geht nichts.
• In vielen Mail-Programmen enthalten (OE, Netscape Messenger).

GPG

= GNU Privacy Guard

• Vollständiger und freier Ersatz für PGP.
• OpenPGP-kompatibel.
• Kompatibel mit PGP 5.x.
• ElGamal (Signatur und Verschlüsselung), DSA, 3DES, ..., SHA-1, ...
• Neue Algorithmen leicht integrierbar.