zertifikatassistent / schlüsselbund

[wurka]

hallo zusammen!

nach nunmehr zwei stunden vergeblicher suche im internet und diversen hilfe-dokumenten sowie einigen seiten des "verwendest du email verschlüsselung" - beitrags hier im forum wende ich mich nun an euch hier, ich versteh nur noch bahnhof.
aber immer hübsch der reihe nach..

ausgangspunkt des ganzen war meine idee, endlich was für die sicherheit meiner emails zu tun und die verschlüsselungsfunktion von mail zu nutzen.

zu den rahmenbedingungen: ich benutze ein aktuell gehaltenes leopard, bin .mac mitglied und die rudimentäre funktionsweise von (asymmetrischen) verschlüsselungsverfahren ist mir bekannt.
ich scheitere in erster linie an den feinheiten des schlüsselbundes bzw der dokumentation desselben, daher habe ich den beitrag auch in diesem forum angelegt.

zur sache:
laut mail-hilfe muss man zum verschlüsseln ja beim verfassen der email lediglich ein häkchen setzen, nur leider habe ich keine entsprechende checkbox, auch nicht wenn ich die symbolleiste anpassen möchte.

wenn ich im schlüsselbund nachschaue dann habe ich da eingetragen :

zum einen "Apple .Mac Certificate Authority"
(deklariert als zwischenzertifizierungsinstanz, als vertrauens-heuristik ist >systemstandards verwenden< eingetragen. ich hab zwar keine ahnung wie diese standards aussehen und wo ich die finde, aber bisher hat trotzdem alles funktioniert.. ?)

zum anderen ein "iChat Encryption Certificate" samt zugehörigem schlüssel, ausgestellt von obiger instanz.

ich freute mich schon, denn angeblich brauchte man nur bei den schlüsselbundeinstellungen das hakerl ".Mac nach Zertifikaten durchsuchen" setzen und schon könne mail dieses ichat zertifikat auch zum verschlüsseln von emails hernehmen. wie sich nach einer weiteren halben stunde google rausstellte stimmt das leider nur bis OS 10.4. (das hakerl war bei mir bereits gesetzt).

im folgenden erfuhr ich von der existenz des zertifikatassistenten - meistens im zusammenhang mit haarsträubenden problemen. anscheinend kann man sich mit diesem zertifikatassistent ein ordentliches ei legen wenn man nicht aufpasst, daher wollte ich erstmal hören ob sich hier jemand mit dem ding auskennt.

denn ich hab wirklich lang gesucht, auch im englischen sprachraum, aber finde keine gescheite dokumentation, kein (aktuelles) tutorial, kein passendes howto..

es geht lediglich um meinen persönlichen emailverkehr, daher sind denke ich nur die menüpunkte
>Zertifikat erstellen<
>Zertifikat einer Zertifizierungsinstanz anfordern<
>Standard-Zertifizierungsinstanz festlegen<
>Zertifikat überprüfen<
interessant.

>Zertifikat erstellen<
geht soweit ich gelesen habe am schnellsten, indem man sich einfach selbst ein root-zertifikat ausstellt. macht aber scheinbar auch den meisten ärger, da dieses zertifikat nirgends anerkannt ist. wenn man das dann wieder entfernen oder ändern möchte wirds angeblich wild, und dass mir da das überschreiben von irgendwelchen standardwerten angeboten wird überzeugt mich auch nicht gerade..

>Zertifikat einer Zertifizierungsinstanz anfordern<
klingt unkomplizierter, nur hab ich keine ahnung wie das vonstatten gehen soll. da soll eine email an die instanz geschickt werden, nur welche? an .mac? und an welche emailadresse dort genau? :-[

>Standard-Zertifizierungsinstanz festlegen<
da werde ich aufgefordert erst selbst eine zertifizierungsinstanz erstellen, obwohl ich ja schon dieses .mac dingens eingetragen hab.. ?

>Zertifikat überprüfen<
und da hab ich absolut KEINE ahnung mehr was das teil mir sagen will!

ich wäre ausgesprochen dankbar, wenn mir da jemand was qualifiziertes dazu erzählen könnte.
denn ins blaue hinein rumprobieren möchte ich eigentlich nicht; soweit ich bei meiner recherche gesehen habe kann man sich von permanentem passworteingeben und wiederkehrenden fehlermeldungen bis zur neuinstallation so ziemlich alles einhandeln..

besten dank schonmal!

 

[pepi]

.Mac Zertifikate könne nicht für eMails verwendet werden, sie sind nur für die Verwendung mit iChat freigegeben.

Wenn Du einfach nur ein Zertifikat für Mailverschlüsselung (wie auch im entsprechenden Thread diskutiert) haben möchtest, dann hol Dir mit Safari eines bei Thawte.com. Alle dabei auftretenden Fragen sind bereits mehrfach im Thread beantwortet worden.

Das entsprechende Hakerl zur Verschlüsselung und Signierung wird erst dann angezeigt wenn Du auch ein Schlüsselpärchen und ein Zertifikat zur verwendeten Mailadresse hast.
Gruß Pepi

 

[gKar]

Du kannst mit dem Zertifikatassistenten ein eigenes Root-Zertifikat erzeugen. Das wird natürlich von keinem Empfänger automatisch akzeptiert, er muss einmalig bei sich einstellen, dass er diesem Zertifikat immer vertrauen will.
Zu kannst eine eigene CA anlegen und dann mehrere von dieser beglaubigte Zertifikate erzeugen. Natürlich sind ist auch diese CA bzw. ihr Root-Zertifikat weltweit unbekannt und ein Empfänger muss sie akzeptieren. Der Vorteil ist i.W., dass dieser nur der CA-Instanz einmalig manuell vertrauen muss und dann alle von dieser ausgestellten Zertifikate automatisch akzeptiert werden. Das benutzt man z.B. in einer kleineren Benutzergruppe, für die einer der Benutzer eben die CA anlegt, deren Root-Zertifikat jedes Gruppenmitglied einmalig akzeptiert, und die dann für alle Benutzer Zertifikate für deren Kommunikation untereinander ausstellen kann. Und wenn alle diese Benutzer Macs benutzen, dann kommen auch die Menüpunkte wie "Zertifikat einer Zertifizierungsinstanz anfordern" zum Tragen, mit denen ein Gruppenmitlgied eine E-Mail an das die CA verwaltende Gruppenmitglied senden kann, der dann an seinem Mac mit dem Assistenten das Zertifikat erzeugt und per E-Mail an den anfordernden zurückschickt.

Willst Du ein Zertifikat, das von anderen Empfängern automatisch als valide erkannt wird (was für Verschlüsselung unwichtig ist, nur fürs digitale Signieren von Mails interessant ist), musst Du ein Zertifikat bei einer Zertifizierungsstelle kaufen, deren Stammzertifikat allen gängigen Browsern als vertrauenswürdig bekannt ist. Das kostet i.d.R. Geld, und zwar regelmäßig, da das Zertifikat nach einiger Zeit abläuft und erneuert werden muss.