Signieren und Verschlüsseln auf dem Gateway - Verschlüsselung in beiden Richtungen
Nun legen wir die Messlatte etwas höher. Wer signiert kann auch verschlüsseln. Um eine Mail aber verschlüsseln zu können ist es erforderlich, die Zertifikate des oder der Empfänger zu haben. Ohne ein Gateway muss jeder Absender selbst sich darum kümmern, die Zertifikate mit dem öffentlichen Schlüssel der Empfänger zu speichern und im Zugriff zu haben.
Mit einem Gateway kann diese Aufgabe "zentralisiert" werden. Ein Sicherheitsrisiko ist hier nicht vorhanden, da diese Zertifikate keinen privaten Schlüssel enthalten. Sendet ein Anwender daher eine Mail nach extern, dann muss das Gateway das Zertifikat für den Empfänger aus seinem Zwischenspeicher oder einer anderen Quelle beziehen. Die meisten Gateways nutzen den Trick, alle Zertifikate von eingehenden signierten Mails sich als Kopie zu speichern und damit in den meisten Fällen auch verschlüsseln zu können.
Das funktioniert nur dann nicht, wenn das Zertifikat des Empfängers mittlerweile abgelaufen ist und der Empfänger noch keine Mail zum Absender gesendet hat. Dieser und andere Fälle erfordern, dass der Absender natürlich das Verhalten des Gateways in gewissen Grenzen steuern kann. Als Firma kann es sinnvoll sein, für Mails zu bestimmten Zielen eine Verschlüsselung zwingend vorzuschreiben. Auf der anderen Seite kann es sein, dass ein Empfänger vielleicht unterwegs ist und temporär seine verschlüsselten Mails nicht lesen kann. Dann könnte er den Absender anrufen und darum bitten, dass dieser die Mail ausnahmsweise unverschlüsselt sendet. Hier sind viele Kombinationen denkbar.
Hier mal eine Quizaufgabe, damit Sie die Komplexität der ein oder anderen Probleme erahnen können:
- Ausgangssituation
Firma1: nutzt ein Signatur-Gateway mit einem Zertifikat für gate1@firma1.tld
Firma2: nutzt ein Signatur-Gateway mit einem Zertifikat für gate2@firma2.tld - Erste Mail von Firma 1 an Firma 2
User1@Firma1 sende eine signierte Mail
Gate1 signiert mit gate1@firma1.tld
Mail wird übertragen
Gate2 prüft Signatur und ist OK
Gate2 speichert sich das Zertifikat gate1@firma1.tld
Mail wird zugestellt - Zweite Mail von Firma 1 zu Firma 2
User3@Firma1 sende eine signierte Mail
User3 hat ein eigenes persönliches Zertifikat
Gate1 signiert mit user3@firma1.tld
Mail wird übertragen
Gate2 prüft Signatur
Gate2 speichert sich das Zertifikat user3@firma1.tld
Mail wird zugestellt - User2@firma2 antwortet an user1@firma1.de
Gate2 signiert mit gate2@firma2.tld
Gate2 möchte verschlüsseln aber woher weiß Gate2, dass es mit "gate1@firma1.tld" verschlüsseln muss und nicht user3@firma1.tld nutzen darf ?. In enQsig können Sie dies z.B. einstellen.
Und es gibt noch eine ganze Reihe weiterer Fälle, die gar nicht perfekt gelöst werden können, sondern letztlich der Kunde und die Konfigurierbarkeit des Gateways bestimmen, wie das System arbeiten soll.
In der Regel werden immer beide Verfahren kombiniert, d.h. wer eine Mail verschlüsselt versendet, signiert diese und addiert sein Zertifikat damit der Empfänger später auch verschlüsselt antworten kann. Dies ist aber nicht "Pflicht".
