[2003] Secure email

[blablable]

Hallo,

Ik ben een tijdje bezig geweest met het instellen van secure mail via certificaten.

Op een server draaid de certificate service. Via deze server (http://server/cersrv) heb ik een client certificate geinstalleerd op mijn client. Vervolgens kan ik een secure mail verturen naar personen die ook dit certificaat geinstalleerd hebben. Dat werkt kdus prima. Maar er moeten secure mails naar klanten verstuurd gaan worden. Nu kun je geen secure (encrypted) mail versturen naar iemand die niet het desbetreffende certificaat geinstalleerd heeft.

Ik zoek dus een manier om iemand een secure mail te kunnen sturen ook als heeft deze persoon nog geen certificaat (sleutel) geinstalleerd. Tevens zou ik willen weten hoe je makelijk een certificaat/sleutel beschikbaar kunt stellen aan de klant zonder (http://server/cersrv) open te zetten voor de wereld....

Als het niet duidelijk is hoor ik het wel :-)

[Gerco]

Dus je wilt een ecrypted mail sturen naar iemand die de decryptiesleutel niet heeft? Dat kun je oplossen door die persoon de sleutel te geven.

Je zou ook de sleutel met de mail mee kunnen sturen, maar dat is onzinnig, aangezien je dan net zo goed niet zou kunnen encrypten

[axis]

blablable schreef op maandag 20 februari 2006 @ 10:35:
Hallo,

Ik ben een tijdje bezig geweest met het instellen van secure mail via certificaten.

S/MIME is leuk! Ook een tijdje mee bezig, maar wordt helaas nog te weinig gebruikt.. Zou zelf ook wel een certificaat willen dat ook echt door een trusted party wordt uitgegeven (thawte/verisign/etc), zodat ik ook daadwerkelijk messages kan signen. Maar die publieke trusted certificaten kosten geld.. Bij thawte krijg je ook een gratis cert, voor S/MIME, maar dan moet je weer IRL mensen opzoeken je die willen identificeren. Teveel moeite.

Op een server draaid de certificate service. Via deze server (http://server/cersrv) heb ik een client certificate geinstalleerd op mijn client. Vervolgens kan ik een secure mail verturen naar personen die ook dit certificaat geinstalleerd hebben.

Je bedoelt die jouw root certificate geinstalleerd hebben?

Dat werkt kdus prima. Maar er moeten secure mails naar klanten verstuurd gaan worden. Nu kun je geen secure (encrypted) mail versturen naar iemand die niet het desbetreffende certificaat geinstalleerd heeft.

Je kunt mails signen en encrypten. Signen is niet versleutelen, maar slechts een controle, zodat men kan zien dat er niet met het mailtje is gerotzooid. Op het moment dat jij een gesigned mailtje naar iemand stuurt, heeft die jouw public key.. Nu kan deze persoon een mailtje naar jou encrypten met zijn certificaat. Als deze persoon een signed of encrypted mailtje naar jou stuurt, dan heb je ook zijn public key, en kun je dus encrypted mails naar elkaar gaan sturen.

Ik zoek dus een manier om iemand een secure mail te kunnen sturen ook als heeft deze persoon nog geen certificaat (sleutel) geinstalleerd.

Dan kan niet.. Dat is dus het hele idee erachter.. Jij versleutelt jouw mail met de public key van de ontvanger, en deze kan alleen met zijn eigen private key dit bericht ontcijferen, da's het hele idee achter PKI.

Tevens zou ik willen weten hoe je makelijk een certificaat/sleutel beschikbaar kunt stellen aan de klant zonder (http://server/cersrv) open te zetten voor de wereld....

Niet makkelijk.. Normaal koop je een certificaat bij een root CA, die dit voor je doet.. Zoals Verisign/Thawte, etc.. Nu wil je dit zelf doen, door je eigen root CA te draaien, en moet je dus ook zelf die certificaten gaan uitgeven.. Bijvoorbeeld door middel van je Microsoft Certificate server, door bijvoorbeeld je web-interface aan de wereld open te zetten. Je kunt ook alle verzoeken per mail afhandelen, en zelf die webformuliertjes in gaan vullen. Het belangrijkste is dat jij de mensen vertrouwt die je een certificaart geeft..

Er zijn ook CA's zoals CAcert.org, die gratis certificaten uitgeven, alleen moet er dan iemand zijn die daadwerkelijk jouw identiteit vaststelt voordat je genoeg punten krijgt om je eigen naam in je certificaat te zetten. Het leuke is dat dit soort partijen je het hele werk uit handen nemen van het uitgeven en vernieuwen van certificaten, maar het neemt wel weer de rompslomp mee van real-life verificatie.

Enige manier om dit gezeur niet te hebben is inderdaad zelf je eigen CA draaien

Je kunt natuurlijk wel op je webinterface (http://server/cersrv) windows-authenticatie aanzetten! Dus dat je klanten alleen met een username/password bij die interface kunnen. Aan jou of je ze allemaal een eigen account geeft, of dat je 1 account maakt waarvan je het password af en toe verandert.

[blablable]

axis schreef op maandag 20 februari 2006 @ 11:02:
[...]

S/MIME is leuk! Ook een tijdje mee bezig, maar wordt helaas nog te weinig gebruikt.. Zou zelf ook wel een certificaat willen dat ook echt door een trusted party wordt uitgegeven (thawte/verisign/etc), zodat ik ook daadwerkelijk messages kan signen. Maar die publieke trusted certificaten kosten geld.. Bij thawte krijg je ook een gratis cert, voor S/MIME, maar dan moet je weer IRL mensen opzoeken je die willen identificeren. Teveel moeite.


[...]

Je bedoelt die jouw root certificate geinstalleerd hebben?


[...]

Je kunt mails signen en encrypten. Signen is niet versleutelen, maar slechts een controle, zodat men kan zien dat er niet met het mailtje is gerotzooid. Op het moment dat jij een gesigned mailtje naar iemand stuurt, heeft die jouw public key.. Nu kan deze persoon een mailtje naar jou encrypten met zijn certificaat. Als deze persoon een signed of encrypted mailtje naar jou stuurt, dan heb je ook zijn public key, en kun je dus encrypted mails naar elkaar gaan sturen.


[...]

Dan kan niet.. Dat is dus het hele idee erachter.. Jij versleutelt jouw mail met de public key van de ontvanger, en deze kan alleen met zijn eigen private key dit bericht ontcijferen, da's het hele idee achter PKI.


[...]

Niet makkelijk.. Normaal koop je een certificaat bij een root CA, die dit voor je doet.. Zoals Verisign/Thawte, etc.. Nu wil je dit zelf doen, door je eigen root CA te draaien, en moet je dus ook zelf die certificaten gaan uitgeven.. Bijvoorbeeld door middel van je Microsoft Certificate server, door bijvoorbeeld je web-interface aan de wereld open te zetten. Je kunt ook alle verzoeken per mail afhandelen, en zelf die webformuliertjes in gaan vullen. Het belangrijkste is dat jij de mensen vertrouwt die je een certificaart geeft..

Er zijn ook CA's zoals CAcert.org, die gratis certificaten uitgeven, alleen moet er dan iemand zijn die daadwerkelijk jouw identiteit vaststelt voordat je genoeg punten krijgt om je eigen naam in je certificaat te zetten. Het leuke is dat dit soort partijen je het hele werk uit handen nemen van het uitgeven en vernieuwen van certificaten, maar het neemt wel weer de rompslomp mee van real-life verificatie.

Enige manier om dit gezeur niet te hebben is inderdaad zelf je eigen CA draaien

Je kunt natuurlijk wel op je webinterface (http://server/cersrv) windows-authenticatie aanzetten! Dus dat je klanten alleen met een username/password bij die interface kunnen. Aan jou of je ze allemaal een eigen account geeft, of dat je 1 account maakt waarvan je het password af en toe verandert.

"Je bedoelt die jouw root certificate geinstalleerd hebben?"

Yup

"Je kunt mails signen en encrypten. Signen is niet versleutelen, maar slechts een controle, zodat men kan zien dat er niet met het mailtje is gerotzooid. Op het moment dat jij een gesigned mailtje naar iemand stuurt, heeft die jouw public key.. Nu kan deze persoon een mailtje naar jou encrypten met zijn certificaat. Als deze persoon een signed of encrypted mailtje naar jou stuurt, dan heb je ook zijn public key, en kun je dus encrypted mails naar elkaar gaan sturen."

Wat ik doe is een gesignt en encypted mail versturen. Op het moment dat ik naar iemand wil verzenden die niet het root certificate geinstalleerd heeft stelt outlook me voor de volgende keuze: mail NIET versleuteld verzenden/ of mail helemaal niet verzenden. Tevens gebruik idd S/MIME

"Dan kan niet.. Dat is dus het hele idee erachter.. Jij versleutelt jouw mail met de public key van de ontvanger, en deze kan alleen met zijn eigen private key dit bericht ontcijferen, da's het hele idee achter PKI."

Bedoel eigenlijk dat ik wel kan vesrsturen maar dat de ontvanger dan gewoon (nog) niet kan openen. Pas na install van cert zou ie de mail moeten kunnen openen...

Verder zou ik idd de webpagina op windows authenticatie kunnen beveiligen (alleen IIS is zo lek als een mandje

[axis]

Bedoel eigenlijk dat ik wel kan vesrsturen maar dat de ontvanger dan gewoon (nog) niet kan openen. Pas na install van cert zou ie de mail moeten kunnen openen...

Je kunt alleen maar versleutelen (encrypten) met ZIJN public key.. Dat betekent dat hij EERST een geldig certificaat moet hebben, zijn public key (een deel van zijn certificaat) naar jou moet sturen, en DAARNA kun jij pas een mailtje naar hem encrypten. Kan dus niet andersom..

Verder zou ik idd de webpagina op windows authenticatie kunnen beveiligen (alleen IIS is zo lek als een mandje

En een mercedes rijdt niet lekker, alleen BMW..

Laat je niet teveel opnaaien door de 'windows is evil' hype, over het algemeen kun je er vanuit gaat dat je beveiliging zo goed is als de beheerder, operating system is 2e.. Maar daar zijn andere topics over. Je laat gewoon je windows server updates automatisch installeren, en dan hoef je je helemaal niet zo druk te maken. Als het je niet bevalt, staat niets je in de weg om met apache en openSSL ofzo aan de slag te gaan, toch?

[ Voor 9% gewijzigd door axis op 20-02-2006 11:33 ]

[elevator]

Dat het over Windows gaat in Windows Operating Systems lijkt me vrij logisch, welke Windows versie gaat het over?

[blablable]

elevator schreef op maandag 20 februari 2006 @ 11:35:
Dat het over Windows gaat in Windows Operating Systems lijkt me vrij logisch, welke Windows versie gaat het over?

sorry :-) w3k...

[blablable]

axis schreef op maandag 20 februari 2006 @ 11:32:
[...]


Je kunt alleen maar versleutelen (encrypten) met ZIJN public key.. Dat betekent dat hij EERST een geldig certificaat moet hebben, zijn public key (een deel van zijn certificaat) naar jou moet sturen, en DAARNA kun jij pas een mailtje naar hem encrypten. Kan dus niet andersom..


[...]

En een mercedes rijdt niet lekker, alleen BMW..

Laat je niet teveel opnaaien door de 'windows is evil' hype, over het algemeen kun je er vanuit gaat dat je beveiliging zo goed is als de beheerder, operating system is 2e.. Maar daar zijn andere topics over. Je laat gewoon je windows server updates automatisch installeren, en dan hoef je je helemaal niet zo druk te maken. Als het je niet bevalt, staat niets je in de weg om met apache en openSSL ofzo aan de slag te gaan, toch?

Oke dan, dat wist ik niet! Thanx..

en wat betreft iis... ja je hebt wel gelijk. Probeer het alleen zo veel mogelijk te vermijden :-)

[blablable]

Nog 1 vraagje...

Is er een uber key waar ik een mailtje mee kan openen als er een certificaat weg is oid?
Maw ik heb een mailtje van iemand die geencrypt is maar waar de sleutel van weg is. Is er een admin key die de mail dan wel kan openen/decrypten?

[axis]

blablable schreef op maandag 20 februari 2006 @ 11:41:
Nog 1 vraagje...

Is er een uber key waar ik een mailtje mee kan openen als er een certificaat weg is oid?
Maw ik heb een mailtje van iemand die geencrypt is maar waar de sleutel van weg is. Is er een admin key die de mail dan wel kan openen/decrypten?

Nope.. Het mailtje is met de public key van een bepaald cerificaat versleutelt, en kan alleen met de private key ontcijferd worden. Certificaat kwijt, pech.. Misschien heeft de afzender dan nog een kopie in zijn sent items staan..

Daarom moet je ook je eigen certificaten op een veilige plaats backuppen. Een export van een certificaat kun je op een usb-stickje of een cd-rom of floppy op een veilige plek opslaan.. Als je helemaal paranoid bent, bijvoorbeeld in een kluisje bij je bank.