SMIME
Was ist S/MIME ?
Mit S/MIME kann man Emails digital signieren und verschlüsseln, siehe Wikipedia für weitere Infos. S/MIME ist neben GnuPG/PGP ein zweiter Standard für sichere Email und verwendet den X.509 Standard..
Als Zertifizierungsstelle verwende ich vorzugsweise CAcert, dessen Root-Zertifikate hier zu finden sind. Leider sind derzeit diese Root-Zertifikate in den meisten Browsern bzw. Email-Clients noch nicht enthalten. Daher müssen sie bis auf weiteres auf dem Client manuell installiert werden, was aber recht einfach ist. Eine Anleitung zum Installieren der Email-Zertifikate gibt es hier.
Früher hatte ich auch ein Zertifikat von TC TrustCenter. Eine andere Alternative ist StartSSL, wo es zumindest kostenlose Class 1 Zertifikate gibt (ohne Identitätsprüfung).
Für die Verwendung von S/MIME empfehle ich die Email-Clients Thunderbird oder kmail. Für Thunderbird gibt es eine Anleitung Mailverschlüsselung mit S/MIME.
S/MIME Client Hinweise
kmail
Zertifikate
Bei Verwendung des KDE Mail-Clients kmail mit gpgsm und kleopatra müssen nicht offiziell bekannte CA-Root-Zertifikate als vertrauenswürdig eingestuft werden. Um das zu erreichen, trägt man die Fingerprints der CA-Zertifikate mit einem "S" am Ende in die Datei ~/.gnupg/trustlist.txt ein. Hier ein Beispiel für CAcert:
135CEC36F49CB8E93B1AB270CD80884676CE8F33 S
Danach sollte man den gpg-agent neu starten bzw. mit "kill -HUP" die neue Konfiguration einlesen lassen. Wenn man nun in kleopatra die Zertifikate neu validiert, sollten die abgeleiteten Zertifikate ebenfalls als vertrauenswürdig eingestuft sein. Tipp: Man kann in kleopatra die unterschiedlichen Zertifikate farblich markieren (Einstellungen -> Kleopatra einrichten).
Einstellungen
Bei der Konfiguration von gpgsm sollte "Niemals eine CRL konsultieren" aktiviert sein.
Starten von gpg-agent
Der gpg-agent sollte beim KDE-Login gestartet werden, z.B. in der Datei ~/.kde/env/gpgagent.sh mit dem Inhalt:
eval "$(gpg-agent --daemon)"
Wenn man dort noch --allow-mark-trusted einfügt, benötigt man wohl nicht mehr das Editieren der truslist.txt, sondern wird interaktiv gefragt, ob man dem Zertifikat vertrauen möchte.
Quellen:
Mein S/MIME Zertifikat - Schlüsselaustausch
Das eigene S/MIME Zertifikat ist in der Regel in jeder Email enthalten, wenn diese vor dem Versand signiert wurde. Der Empfänger muss dann nur noch das Zertifikat importieren, was meist schon automatisch geschieht, um fortan dem Absender verschlüsselte Emails schicken zu können. Der Schlüsselaustausch geschieht also transparent durch gegenseitiges Zuschicken signierter Emails.
Die Vertrauenswürdigkeit der Zertifikate wird automatisch hergestellt, wenn das Teilnehmer-Zertifikat von einer bekannten und vertrauenswürdigen CA ausgestellt wurde. Bei diesem zentralen Ansatz vertraue ich also allen Zertifikaten hierarchisch unterhalb einer CA ohne explizite Zustimmung (entgegen klassischem PGP, bei dem ich meist jedem Public Key einzeln vertrauen muss).
Weblinks
- S/MIME bei Wikipedia
- S/MIME und PGP mit DNS
- Digitale Signatur
- Thunderbird Email-Client
- Brief mit Siegel - Mail-Verschlüsselung auf dem Rechner und mobil (c't Artikel)
- http://wiki.piratenpartei.de/Krypto-Party