Verschlüsseln und Signieren auf dem Gateway - Signierter Empfang

Normalerweise werden Mails per SMIME oder PGP vom Absender signiert und verschlüsselt und vom Empfänger entschlüsselt und geprüft. Als Kurzfassung: Zur Signatur wird über die Mail eine Prüfsumme erstellt, mit dem privaten Key des Senders codiert und an die Mail samt Zertifikat des Senders (und dessen Public Key) angehängt. Der Empfänger holt nun diesen Signaturanhang und kann mit dem Public Key des Zertifikats, dessen Gültigkeit prüfen, die verschlüsselte Prüfsumme extrahieren und die Authentizität der Mail prüfen.

Das ganze System steht und fällt aber mit dem Zertifikat, welches de Server zur Signatur verwendet. Dem Empfänger muss dieses Zertifikat vorliegen, weswegen es die meisten Mailprogramme immer zusätzlich an eine signierte Mail als Anlage beifügen. Zudem muss das Zertifikat für den Empfänger vertrauenswürdig sein, d.h. Name (Mailadresse des Senders), Gültigkeitszeitraum und ausstellende CA müssen passen.

Bei eingehenden Mails kann ein Gateway natürlich die Signatur des Absenders überprüfen und nebenbei das Zertifikat des Absenders für eine spätere verschlüsselte Antwort abspeichern. Wenn das Gateway eine Signatur prüft, kann es natürlich auch die Mail vor der Weiterleitung an den internen Empfänger um Signaturinformationen bereichern. Hier ein Beispiel meiner Mail, die ein Kunde mit dem PGP-Gateway empfangen hat.

Allerdings ist diese Verhalten kritisch zu betrachten, wenn der Signaturstatus z.B. durch einen Rahmen um die Mail angezeigt wird. In dem Fall ändert das Gateway ja den Inhalt der Mail und muss dazu meine originale Signatur entfernen, denn sonst würde der Client ja vor einer "veränderten Mail" warnen. Ein Gateway könnte den Status einer Signaturprüfung aber auch im Betreff oder im Header eintragen.

Ohne die Signatur des Absenders kann der Empfänger natürlich auch nicht selbst verschlüsselt auf die Mail antworten. Auch hier muss das Gateway das Zertifikat des Absenders beim Empfang speichern, um dann eine Antwort bei Bedarf zu verschlüsseln.

Zuletzt sollte ein Gateway auch eine Konfiguration erlauben, wie mit Mails umzugehen ist, die signiert sind, aber die Prüfung nicht überstehen. Das Gateway könnte die Mail ähnlich wie eine SPAM-Mail gleich ablehnen oder in eine Quarantäne stellen, was beides bislang nicht angewendet wird. Statt dessen wird die Mail mit einer Warnung verstehen an den Empfänger zugestellt. Denkbar sind hier auch Einstellungen, das z.B. Mails von bestimmten Domains zwingend signiert sein müssen und unsignierte Mails von diesen Domains als "gefälscht" angesehen und blockiert werden.

Vielleicht wird eine solche Logik irgendwann das Thema "Spam" stark eindämmen, wenn die Absender nicht einfach mehr Mailadressen fälschen oder sich hinter nicht verifizierten temporären Domänen verstecken können. Solange die Zertifizierungsstellen die Identität bei der Ausstellung eines Zertifikats streng genug prüfen, könnte es wirklich bald normale und "bessere" Absender geben.