Feature Anleitung: E-Mail verschlüsseln auf Mac und iOS

[Michael Reimann]

Es scheint an der Stelle noch etwas buggy zu sein.

 

[Reservist]

Dropbox kann zb auch dafür verwendet werden.

Dann kann man es gleich sein lassen. Seinen Private-Key in irgendeinen Cloud-Dienst hochladen (oder Webserver oder sonst was) sollte man tunlichst unterlassen. Damit hat man gleich 90% seiner Sicherheit eingebüßt. Da kann man sich den Aufwand sparen und gleich die Caesar-Verschlüsselung nutzen

 

[MacMark]

Dann kann man es gleich sein lassen. Seinen Private-Key in irgendeinen Cloud-Dienst hochladen (oder Webserver oder sonst was) sollte man tunlichst unterlassen. Damit hat man gleich 90% seiner Sicherheit eingebüßt. Da kann man sich den Aufwand sparen und gleich die Caesar-Verschlüsselung nutzen

Nein, denn das .p12 Zertifikat ist verschlüsselt und mit einem Paßwort gesichert.

 

[Reservist]

Nein, denn das .p12 Zertifikat ist verschlüsselt und mit einem Paßwort gesichert.

Das ist mir bewusst. Deswegen habe ich geschrieben, dass man auch "nur" 90% seiner Sicherheit einbüßt.

 

[MacMark]

Richtig wäre jedoch 0%.

 

[Mitglied 129448]

Nein, denn das .p12 Zertifikat ist verschlüsselt und mit einem Paßwort gesichert.

Hast Du eventuell genauere Details bzgl. der Verschlüsselung von OS X exportierten Zertifikaten? Habe dazu leider nichts im Netz finden können. Dachte bisher das die Zertifikate lediglich mit einem Passwort vor unberechtigtem Importieren geschützt werden und das dabei keine (zumindest keine sichere) Verschlüsselung mit im Spiel ist.
Wäre interessant mehr darüber zu erfahren zu können.

 

[Salomon]

Also bei mir hat der Artikel dazu geführt, dass ich das nun mal auf meine MacBook und meinem iPhone, iPad und Lumina 925 installiert habe. Bin mal gespannt, ob ich in Zukunft mal von den Empfängern meiner Mails darauf angesprochen werde.

"Was ist denn das für ein "Sternchen" neben deinem Namen?"

Vielleicht setzt es sich ja mal durch Virenscanner haben ja auch alle (Windowsnutzer).

 

[Robotunixorn]

Dann kann man es gleich sein lassen. Seinen Private-Key in irgendeinen Cloud-Dienst hochladen (oder Webserver oder sonst was) sollte man tunlichst unterlassen. Damit hat man gleich 90% seiner Sicherheit eingebüßt. Da kann man sich den Aufwand sparen und gleich die Caesar-Verschlüsselung nutzen

Sicher nicht ganz unwahr, aber 1. sind sie ja wie schon genannt Passwortgeschützt (ohne kann es zb be iOS nicht mal importiert werden) und 2. kann man es nach der Verteilung an seine Geräte ja wieder löschen.

Oder 3. man schickt es sich selbst per E-Mail was halt auch unsicher ist weil die Mail ja auch zunächst ungesichert versendet werden muss.

 

[iErkocher]

Ein, wie ich meine, wichtiger Hinweis fehlt in der Anleitung noch: Damit S/MIME-Signatur/Verschlüsselung funktioniert müssen auf dem jeweiligen System neben Euren persönlichen Zertifikaten auch die Root-Zertifikate des jeweiligen Anbieters installiert sein. Ein großer Teil ist sowohl unter OSX, iOS, Windows und Linux bereits vom System vorinstalliert – CAcert gehört beispielsweise aber nicht dazu. Da sollte man sich vor der Auswahl seines Zertifikatanbieters kundig machen, denn sonst wird die ganze Sache – gerade auch unter iOS – noch komplizierter.

Ich finde vor allem, dass es nicht nur komplizierter, sondern auch relativ sinnlos wird. Ich hatte eine Zeit lang ein Zertifikat von StartSSL, dessen Root-Zertifikat ja auch nicht überall vorhanden ist. Meine signierten Mails wurden dann überall als mit nicht gültiger Signatur gekennzeichnet. Dies führt beim normalen DAU nur zur Verunsicherung. 95% meiner Empfänger haben keine Ahnung von E-Mail-Signatur. Wenn dann also noch da steht, dass die Signatur ungültig wäre, kommen am Schluss noch "Hinweise" dass man sich bestimmt einen Virus eingefangen hat, weil da so eine komische Meldung kommt. Die User dann darauf hinweisen zu müssen, dass sie erst noch ein Zertifikat installieren müssen, halte ich für völlig unpraktikabel. Meiner Meinung also entweder eine CA, welche bei jedem Betriebssystem mitgeliefert wird oder lieber ganz darauf verzichten.
Nicht falsch verstehen, E-Mail-Signatur und -Verschlüsselung an sich, finde ich eine gute Sache aber dann muss es auch reibungslos funktionieren. Wenn ich dem Durchschnitts-DAU eine mit GPG signierte oder verschlüsselte Mail schicke, kann er gleich noch weniger damit anfangen. S/MIME ist immerhin in den gängigen Clients und auch Webclients implementiert und zeigt dann schon mal an, dass die Mail signiert ist, unabhängig davon ob der Empfänger S/MIME selbst einsetzt oder nicht.
Wie verhält es sich mit Comodo? Ist davon das Root-Zertifikat überall mitgeliefert oder muss man um sicher zu sein dann doch auf ein kostenpflichtiges Produkt von Verisign, etc. zurückgreifen?

 

[naich]

Ich habe ca. 60 Privat and 20 Geschäftskunden, was nutzt mir dort eine Verschlüsselung wenn keiner bereit ist mitzumachen? Soll ich Jährlich 80 Mails verschicken mit Aufforderung zur neu Verschlüsselung?

Das musst du doch gar nicht. Schon wenn man jede Mail signiert (und vielleicht im Footer kurz darauf hinweißt), kann man darauf aufmerksam machen. Und meine Erfahrung zeigt mir, dass man, wenn man immer signiert, auch erstmal merkt dass der eine oder andere Partner doch ein Zertifikat ja auch besitzt, ohne dass man das vorher wusste. Hierfür sollte man natürlich ne CA wählen, die auch überall akzeptiert ist.

 

[MacMark]

… Meine signierten Mails wurden dann überall als mit nicht gültiger Signatur gekennzeichnet. Dies führt beim normalen DAU nur zur Verunsicherung. …
Wie verhält es sich mit Comodo? Ist davon das Root-Zertifikat überall mitgeliefert oder muss man um sicher zu sein dann doch auf ein kostenpflichtiges Produkt von Verisign, etc. zurückgreifen?

Das sieht hier gut aus:

Comodo is a leader in encryption technology, as the world's second largest Certification Authority; Comodo's digital Certificates are fully trusted by 99 percent of email clients including:

• Microsoft® Outlook Express
• Microsoft® Outlook®
• Netscape Messenger
• Or any other S/MIME compliant software

http://www.comodo.com/e-commerce/email-certificates/email-privacy.php

 

[MacMark]

Hast Du eventuell genauere Details bzgl. der Verschlüsselung von OS X exportierten Zertifikaten?

Default ist dafür anscheinend triple DES.
https://developer.apple.com/library...rwin/Reference/ManPages/man1/pkcs12.1ssl.html

 

[Robotunixorn]

Das musst du doch gar nicht. Schon wenn man jede Mail signiert (und vielleicht im Footer kurz darauf hinweißt), kann man darauf aufmerksam machen. Und meine Erfahrung zeigt mir, dass man, wenn man immer signiert, auch erstmal merkt dass der eine oder andere Partner doch ein Zertifikat ja auch besitzt, ohne dass man das vorher wusste. Hierfür sollte man natürlich ne CA wählen, die auch überall akzeptiert ist.

Da hast du wieder recht, ich überleg mir grade eine Signatur, die automatisch aber unaufdringlich auf meine Zertifizierung hinweist. Hat wer ne Idee?

 

[Reservist]

Richtig wäre jedoch 0%.

Wie kommst du darauf? Dass man nur selber Zugriff auf seinen privaten Key hat, ist elementar. Wenn zB irgendwelche Dienste schon den Key aber noch nicht das Passwort haben ist die Entschlüsselung nur noch eine Sache einer simplen Brute-Force-Attacke.

Wie kommst du also auf die kühne Behauptung, dass sich das auf die Sicherheit nicht auswirkt?

 

[Robotunixorn]

Wie kommst du darauf? Dass man nur selber Zugriff auf seinen privaten Key hat, ist elementar. Wenn zB irgendwelche Dienste schon den Key aber noch nicht das Passwort haben ist die Entschlüsselung nur noch eine Sache einer simplen Brute-Force-Attacke.

Wie kommst du also auf die kühne Behauptung, dass sich das auf die Sicherheit nicht auswirkt?

Hat er doch geschrieben?

 

[Reservist]

Hat er doch geschrieben?

Nein, er sagt man büßt 0% Sicherheit ein.

 

[Ozelot]

Habt ihr fein gemacht.

Endlich mal ein guter Artikel, diesbezüglich.

 

[Mitglied 129448]

Default ist dafür anscheinend triple DES.
https://developer.apple.com/library...rwin/Reference/ManPages/man1/pkcs12.1ssl.html

Vielen Dank für die Info!

Ohne mich damit wirklich gut auszukennen erweckt ein Verfahren das bereits 2001 einen Nachfolger (AES) gefunden hat nicht wirklich Vertrauen.

 

[manometer]

Hi,

wie bekomme ich diese blaue Leiste oben in Mail angezeigt???

Viele Dank

 

[MacMark]

Wie kommst du darauf? Dass man nur selber Zugriff auf seinen privaten Key hat, ist elementar. Wenn zB irgendwelche Dienste schon den Key aber noch nicht das Passwort haben ist die Entschlüsselung nur noch eine Sache einer simplen Brute-Force-Attacke.

Wie kommst du also auf die kühne Behauptung, dass sich das auf die Sicherheit nicht auswirkt?

Eine simple Brute-Force-Attacke? Okay, hier ist eine p12 verschlüsselte Datei. Wann kannst Du mir zeigen, was darin enthalten ist?

Tip: Versuche es mit
openssl pkcs12 -in test.p12