Planung einer Public-Key-Infrastruktur und Pilotierung für die E-Mail-Kommunikation

Das S/MIME (Secure Multipurpose Internet Mail Extensions) Protokoll ist ein von der Firma RSA weiterentwickeltes und um zahlreiche Sicherheitsgesichtspunkte erweitertes MIME-Protokoll basierend auf dem PKCS-Standard19 [PKCS]. Ebenso wie das PGP-Protokoll realisiert auch S/MIME kryptographisch geschützte Ende-zu-Ende-Übertragungen von Emails. Dabei wird das S/MIMEProtokoll von verschiedenen Herstellern unterstützt und steht für die verschiedensten Betriebssystemplattformen zu Verfügung. Ein Vorteil des S/MIME-Protokolls ist seine weite Verbreitung, da es unter anderem in den Produkten MS-Exchange und Netscape Navigator/Communicator integriert ist und diese quasi auf jedem PC standardmäßig vorhanden sind. Obwohl das S/MIME-Protokoll sehr weit verbreitet ist, gibt es noch immer ein großes Problem mit der Interoperabilität der Produkte. Da die Spezifikation teilweise mehrere Interpretationsmöglichkeiten gestattet und einzelne Aspekte [...]

Der Name (Open)PGP (Pretty Good Privacy) bezeichnet ein Softwareprodukt, welches zum Datenaustausch auf Client-Ebene ein eigenes proprietäres Protokoll verwendet. Die Trennung zwischen Software und Protokoll ist bei PGP nicht sinnvoll, da eine Reduzierung ausschließlich auf Protokollebene das Ergebnis nicht korrekt wiederspiegeln würde. Auch wenn PGP nicht als Standard entwickelt wurde, ist es durch seine weite Verbreitung seit 1991 praktisch dazu geworden. Die für nicht-kommerzielle Anwender noch immer kostenlose Software wurde später durch die IETF (Internet Engineering Task Force) offiziell als internationaler Standard anerkannt (RFC 1991 und RFC 2015). Das Protokoll mitsamt seiner darauf aufbauenden Software gewährleistet die Ende-zu-EndeSicherheitsanforderungen wie Verschlüsselung und digitale Signaturen. Um einen möglichst weit verbreiteten Einsatz von PGP-Software gewährleisten zu können, stehen Implementierungen für alle gängigen Betriebssystemplattformen zur Verfügung. Für den Einsatz in Unternehmen und Behörden wird eine kommerzielle Version angeboten. Der größte Vorteil von PGP ist sein unkomplizierter Einsatz und seine für Privatpersonen kostenlose Nutzung, was zu einer weiten Verbreitung in diesem Umfeld führt. Diese Tatsache kann aber nicht darüber hinweg täuschen, dass es auf dem „Web of Trust“ beruht und nicht für Unternehmen konzipiert ist, die Trustmodelle mit Zertifizierungshierarchien umsetzen wollen. Daraus ergeben sich folgende Schwächen: - Das Prinzip des „Web of Trust“ beruht darauf, dass die Teilnehmer selbst entscheiden müssen, wie viel Vertrauen sie einem anderen Teilnehmer beimessen. Seite 79 [...]

9. Umsetzung (Pilotierung) der PKI innerhalb des Unternehmens miteinander kommunizieren können. Es regelt den Einsatz der kryptographischen Verfahren zur Verschlüsselung und Signatur auf Nachrichtenebene zwischen den Teilnehmer-Clients und sorgt dafür, dass eine Interoperabilität bezüglich der Sicherheitsfunktionen zwischen den einzelnen Komponenten bereitgestellt und gewährleistet wird. Da die Protokolle in der Regel nicht miteinander kompatibel sind, ist es besonders wichtig, dass vor der Entscheidung für ein Protokoll überprüft wird, welches Protokoll die Kommunikationspartner voraussichtlich verwenden, so dass eine sichere Kommunikation mit den meisten Teilnehmern gewährleistet ist. Bei der Auswahl des in der Pilotierung zu verwendenden Protokolls wurden folgende Kriterien beachtet: - Das einzusetzende Protokoll muss in der Lage sein, Daten mit unterschiedlichem Inhalt zu übertragen. Dabei ist darauf zu achten, dass die angestrebte Sicherheitsfunktionalität (Verschlüsselung und Signatur) gewährleistet ist. - Es sollte sich bei dem ausgewählten Protokoll um ein offenes (standardisiertes) Protokoll handeln, da dadurch eine Vielzahl von Produkten von verschiedenen Herstellern zur Verfügung steht und somit die weite Verbreitung dieses Protokolls sehr wahrscheinlich ist. Dies ist wiederum die Grundvoraussetzung für den weltweiten Einsatz von gesicherter Kommunikation. Zur Zeit gibt es im Bereich der Sicherheitstechnik folgende zeitgemäße Standardprotokolle, die untersucht werden sollen: - OpenPGP - S/MIME - MailTrusT [...]