Vorteile¶

• sichere Kommunikation

• einfacher Schlüsseltausch

• hohe Kompatibilität

Nachteile¶

• nicht mit GnuPG kompatibel

• Dateiverschlüsselung (im Vergleich mit GnuPG) nur sehr umständlich möglich

• Wird ein Schlüssel verwendet, der nicht von einer kommerziellen CA stammt, ist das Sicherstellen, dass dieser Schlüssel echt ist, aufwändig und verursacht der Schlüssel erst einmal eine Fehlermeldung.

• Wird ein Schlüssel verwendet, der von einer CA stammt, ist er nur vertrauenswürdig, wenn die CA dies ist.

• Die Gültigkeitsprüfung für einen neuen Schlüssel kann theoretisch durch eine zweite CA ausgehebelt werden, indem diese illegalerweise ebenfalls einen gültigen Schlüssel für die selbe Adresse ausstellt und dem Empfänger diesen unterschiebt. Da dies, wenn so etwas auffliegt, viel an Presseecho verursacht, ist der häufige Einsatz dieses Mittels aber nur wenig wahrscheinlich.

Letztlich stellt sich hier die gleiche Frage wie bei Skype: für welches Verfahren man sich entscheidet, hängt vom Kommunikationspartner ab.

Kommerzielle Zertifizierungsstellen¶

• kostenpflichtig - 100 EUR oder mehr pro Jahr für ein Client-Zertifikat sind keine Seltenheit

• kommerzielle CAs sind in allen gängigen Browsern / Mailprogrammen hinterlegt, daher keine Fehlermeldung durch fehlendes Root-Zertifikat

Eigene Zertifizierungsstelle¶

• umständlich

• hoher Sicherheitsaufwand

• Root-Zertifikat ist in gängigen Browsern / Mailprogrammen nicht integriert

CAcert¶

• kostenlos

• CAcert Root-Zertifikate sind in gängigen Browsern / Mailprogrammen nicht integriert

Alternativen zu CAcert¶

Es gibt nur sehr wenige Alternativen zu CAcert, um ein kostenloses S/MIME Zertifikat zur E-Mail-Verschlüsselung zu erhalten. Zum Beispiel erhalten Freemail-Nutzer 🇩🇪 bei Web.de ein 1 Jahr gültiges Class 1 Zertifikat, das nach Ablauf automatisch erneuert wird, aber erneut heruntergeladen und importiert werden muss. Weitere Möglichkeiten sind in diesem mozillaZine Artikel 🇬🇧 zu finden.

CAcert Root-Zertifikate importieren¶

Egal, ob man nur mit CAcert gesicherte Internetseiten aufrufen möchte, E-Mails verschlüsseln und/oder signieren oder nur überprüfen möchte: ohne importierte CAcert Root-Zertifikate bekommt man in der Regel eine Fehlermeldung, dass die Zertifizierungsstelle dem Webbrowser / Mailprogramm unbekannt ist. Um zumindest für den Browser zu klären, ob die Root-Zertifikate von CAcert installiert sind, ruft man die folgende Internet-Adresse auf: https://cacert.org/ Erfolgt ein Hinweis auf eine ungesicherte Verbindung, fehlen diese.

Um die Root-Zertifikate in verschiedenen Programmen verwenden zu können, ist es ratsam, keine Ausnahmeregel im Browser zu definieren, sondern die Root-Zertifikate einzeln herunterzuladen und zu speichern, um sie anschließend in die verschiedenen Programme zu importieren.

Heruntergeladen werden müssen folgende Dateien 🇩🇪 ⮷:

• Root-Zertifikat (PEM-Format) - dies ist das sog. Class-1 Zertifikat

• Intermediate Certificate (PEM-Format) - dies ist das sog. Class-3 Zertifikat

Nach dem Import (siehe unten) kann man zum Testen erneut die Adresse https://cacert.org/ aufrufen.

sudo apt-get install libnss3-tools 

certutil -d sql:$HOME/.pki/nssdb -A -t "C,," -n ca-cert -i Downloads/root.crt
certutil -d sql:$HOME/.pki/nssdb -A -t ",," -n ca-cert-class3 -i Downloads/class3.crt 

wget http://www.cacert.org/certs/root.crt http://www.cacert.org/certs/class3.crt
sudo cp root.crt /usr/local/share/ca-certificates/cacert-root.crt
sudo cp class3.crt /usr/local/share/ca-certificates/cacert-class3.crt
sudo update-ca-certificates 

CAcert Mitglied werden¶

Über die Internetadresse Join CAcert 🇬🇧 kann man sich jederzeit zur Teilnahme anmelden. Folgende Angaben werden verlangt:

• Vorname

• Nachname

• Geburtsdatum

• E-Mail Adresse

• sicheres selbstgewähltes Passwort

• 5 Fragen und Antworten, falls das selbstgewählte Passwort verloren gehen sollte

• Akzeptieren des CAcert Community Agreement 🇬🇧

Nach Abschicken dieser Angaben erhält man eine E-Mail an die angegebene E-Mail Adresse. Enthalten ist ein Link auf eine Webseite, auf der man nun den Antrag bestätigt. Dies muss innerhalb von 24 Stunden geschehen!

Client Zertifikat beantragen¶

Anschließend und in Zukunft kann man sich über die Internetadresse CAcert Login 🇬🇧 mit seiner E-Mail Adresse und dem selbstgewählten Passwort anmelden. Über den Menüpunkt "Client Certificates - New" kann man sich selbst ein Class 1 Zertifikat mit einer Gültigkeit von einem halben Jahr ausstellen, das zumindest bei der Nutzung von Firefox direkt importiert wird.

Client-Zertifikat aus Firefox exportieren¶

Um ein vorhandenes Client-Zertifikat aus Mozilla Firefox zu exportieren, so dass es andere Programme nutzen können, sind folgende Schritte nötig: "Bearbeiten → Einstellungen → Erweitert → Sicherheit → Zertifikate anzeigen → Ihre Zertifikate". Hier dann unter dem Eintrag "Root CA" das eigene Zertifikat auswählen und mit "Sichern" exportieren. Es wird ein Passwort abgefragt, welches den privaten Schlüssel des Zertifikates schützt. Wichtig: Die exportierte .p12 Datei dient auch als Sicherungskopie (Backup) und sollte an einem sicheren Ort aufbewahrt werden!

Evolution¶

Das eigene Zertifikat muss für Evolution im PKCS#12-Format (.p12) vorliegen und wird unter "Bearbeiten → Einstellungen → Zertifikate → Ihre Zertifikate" importiert.

Nun kann ein Test mit einer signierten und verschlüsselten E-Mail an die eigene (zertifizierte) E-Mail Adresse erfolgen. Wichtig: dazu sollte die Option Bearbeiten → Einstellungen → E-Mail-Konten → <Kontoname> → Bearbeiten → Sicherheit → "beim Verschicken verschlüsselter E-Mails auch zu sich selbst verschlüsseln" aktiviert und jeweils das richtige Signatur- und Verschlüsselungszertifikat ausgewählt sein. Klappt das soweit, steht dem Einsatz von S/MIME mit Evolution nichts mehr im Wege. Beim Schreiben einer neuen E-Mail stehen nun über das Menü "Sicherkeit" die beiden Punkte "mit S/MIME signieren" und "mit S/MIME verschlüsseln" wahlweise zur Verfügung.

Thunderbird¶

Das Vorgehen ist im Artikel Mailverschlüsselung mit S/MIME 🇩🇪 aus dem Thunderbird Wiki ausführlich beschrieben.

Grundlagen¶

E-Mail Verschlüsselung mit S/MIME:

• Privacy-Handbuch 🇩🇪 - auch im PDF-Format

• German Privacy Foundation 🇩🇪

• Certification Authority (CA) unter Ubuntu

• Selbstsigniertes SSL-Zertifikat erzeugen

• Apache/SSL