"internet" zertifikate

[HipSlu]

wir werden wohl in kürze pgp für notes bei uns einsetzen müssen - und da stellt sich mir die frage, ob es irgendeine möglichkeit gibt die zertifikate automatisch zu den clients (in die id's) zu verteilen - habt ihr vorschläge?

[Arno]

Hallo,


sorry eine antwort kann ich nicht geben,
sondern nur eine Frage:

Wenn ich das mit dem pgp richtig verstanden habe musst du nicht ein Zertifikat an deine Notes user weiterleiten sondern ein zusatzmodul welches bei ihnen dann installiert wird.
(wenn sie selber pgp nutzen wollen)

oder geht es dir nur um den Öffentlichen schlüssel,
und wenn um welchen ?

denn jeder Mailuser wird ja einen eigenen öffentlichen schlüssel haben,
diese können/ sollten an einen Keyserver weitergegeben werden
( wenn ich es richtig verstanden habe )

http://www.helmbold.de/pgp/pgp6.5/verteilen.htm

Selber setze ich keine Verschlüsselungen ein,
aber das thema Intressiert mich "Privat" halt ungemein.


mfg

Gont


PS: gibt es denn schon pgp fuer notes 6 bekannt ist mir nur das es bis notes 5 pgp gibt ?

[HipSlu]

ja richtig, es muss auf jedem client pgp installiert werden; das geht aber relativ problemlos per sw-verteilung. danach sind noch ein paar erweiterungen in der mailschablone notwendig. bis dahin nicht so wild; ich will es aber wenn möglich vermeiden, dass die anwender selbst ihren private key in ihre id importieren müssen - und das mitunter auf mehr als einem pc (desktop, notebook), bzz auch mal öfters wenn z.b. hd kaputt oder pwd vergessen (=>neue id)

[Arno]

oha,

wenn ich das richtig sehe müsstest du also X ( anzahl der User ) mal  einen  pgp schlüssel installieren  und diesen dann auch noch ausrollen .

also musst du einen weg finden pgp schlüssel  zu erstellen ( automatisch )
diesen musst du dann auch noch einem user zuweisen,
da der schlüssel im Names des users wohl hinterlegt wird, welches sich dann wohl auch noch lohkl auf dem rechner befindet, wird die sache interssant.

du musst also eine datenbank haben in welcher die  schlüssel hinterlegt sind,
dann denke ich solltest du demm user eine Anforderungsdatenbak unterjubeln,
oder eine anpassung in der Mailsschblone machen in welcher der schlüssel von hand angefordert werden muss/kann  dieser muesste dann aus der serverdatenbank den schluessel holen und in das names des Users befördern.

natuerlich kann die maildatenbank auch automatisch das names nach einen entsprechenden schlüssel durchsuchen ( mein vertrauen in notes entwickler ist ungebrochen *g*) das wuerde ich nur ungern machen weil dies jedesmal geschiet und nur unnötig recurcen frisst ( wenn auch wenig , zugegeben )

ich weiss nicht ob dieser weg gangbar ist aber ich wuerde ihn wohl so angehen

wobei wohl das grösste problem darin besteht die schlüssel alle zu erstellen,
das importieren dann in eine datenbank, und zuweisung auf den entsprechenden user denke ich ist dann schon wieder leichtere kost .

ich sehe schon wie du fleissig knöfchen drückst um die schlüssel fuer deine user von hand zu erstellen...( bild im kopf von einem uebernächtigten admin in decken gehüllt, von Kaffee am leben gehalten,  in einem dunklen büro sitzend der mit letzter kraft den 17634 schlüssel erstellt *g* )


mfg Gont

[m3]

Entschuldige bitte, aber ich verstehe den Sinn der Aktion nicht ganz.
Worin besteht der Sicherheitsaspekt, wenn die Private Keys der Nutzer von einer zentralen Stelle erstellt werden, die dann auch die Passphrase kennt?
Damit wird ja die Idee von PGP pervertiert und man könnte sich den ganzen Aufwand ersparen, oder?

[Arno]

in gewisser weise gebe ich dir schon recht, aber die sache muss ja nunmal auch administrierbar sein, ich wiess nicht ueber was fuer user du so verfügst aber wenn ich mal meinen standard zu grunde lege, dann haben die leute 5 minuten nach einführung von pgp keine rechte mehr ihre mails zu lesen, und wenn du sowas schon an den *pranger* stellst  , nicht ganz zu untrecht, was denkst du erst dann ueber die ACL sicherheit unter r6 wenn mann sich als admin uneingeschränke rechte geben kann ?

ich gebe zu das soch eine zentrale verwalungsstelle besonders gesichert sein sollte,
aber dennoch halte ich sie aus administrativer sicht für notwendig,
denn den die meisten user wissen mit pgp eh nichts anzufangen geschweige denn,
das sie eine entsprechende installaton vornehmen könnetn,
da er auch schleptops hat kann / wird es wohl so sein das eine maildatanbank sowohl auf dem laptop als auf dem standgerät und natuerlich auch auf dem server repliziert,
da er uebrall seine mails lesen will muss der selbe schlüssel also auf allen geräten der selbe sein , was bedeutet das dieser dann eh ihrgendo hinterlegt sein mus, da sonst nach einen system crash die mails zwar verschlüssselt aber nicht mehr lesbar währen, eine zentrale sicherung der user schlüssel ist daher extrem wichtig, ferner heisst es zwar persönliche maildatenbank, aber es muss dennoch auch sichergestellt werden das die firma an und für sich an die daten gelangen kann die in dieser datenbak liegen ( im rechtlichen rahmen natuerlich , ich denke da an sterbefälle, fristlose kündigungen und so weiter )

mfg

gont

[m3]

Klar, am Ende des Tages läuft es wieder auf die Frage "Whom do you trust" hinaus.

Wenn man PGP in einem Umfeld einsetzten will, indem "die Firma" auch nach meinem Austritt/Tod zugriff auf meine Mails haben will, muss man zu Lösungen wie dem kommerziellen PGP mit "Key Escrow" greifen -- da ist dann die Hintertür gleich eingebaut.

Es stellt sich für mich auch die Frage, was HipSlus Firma mit PGP erreichen will? Für eine einfache digitale Sigratur für alle ausgehenden Mails gibts bereits Appliances, die das machen und intern gäbe es sowieso die Notes-Infrastruktur.

Eine weitere Frage, die sich mir aufdrängt: Warum PGP und nicht das integrierte S/MIME? Also gerade im kommerziellen Umfeld sehe ich mehr S/MIME Lösungen, als PGP.

Ad Full Access Admin:
Wie die Online-Hilfe schon so schön ausführt, hab ich die gleichen Rechte, wenn ich auf dem Server lokal einen Notes-Client ausführe -- es ist einfach eine Erleichterung für den Admin. Vor allem, wenn der Server ein paar Kilometer entfernt in einem Hosting-Center steht. Und auf verschlüsselte Mails hast Du auch als Full AccessAdmin keinen Zugriff:

Full access administrator does not allow access to encrypted data. The use of the specified user's private key is required to decrypt documents that are encrypted with public keys. Similarly, a secret key is required to decrypt documents encrypted with secret keys.
...
You can disable the Full Access Administrators field by setting SECURE_DISABLE_FULLADMIN = 1 in the NOTES.INI file. This setting disables full access adminstrator privilege and overrides any names listed in that field in the Server document.

Und nachdem der Einsatz des Full Access Admin-Modes mitprotokolliert wird, sehe ich da kein wirkliches Problem.

Und Verschlüsselung ist kein triviales Thema. Und auch keines, das sich für den User mit Technologie so vereinfachen lässt, dass kein Verlust an Sicherheit entsteht. Also müssen die User in die Pflicht genommen werden. Mündige Bürger, mündige User!