Lotus Notes 6.5 / Digitale Signatur

[phantomderoper]

Hallo,

ich wollte mich nur mal umhören, in wie weit jemand schon Erfahrungen auf diesem Gebiet gesammelt hat. Gibt es diese Möglichkeit überhaupt im Lotus? Wer zum Bsp. könnte der Dienstleister sein, meine Forschungen bisher führen meist zur Post.

Ideen, Anregungen sind jederzeit Willkommen.

Gruss
Alfons

[TMC]

Um was geht es Dir konkret?

Nenn doch mal ein Beispiel wo Du das nutzen möchtest.

[phantomderoper]

Austausch von e-mails mit Behörden, welche doch zum Teil
vertraulich sind.

[TMC]

Sorry, da hab ich leider keine Erfahrung.

[Heiggo]

Wir führen gerade umfangreiche Tests auf dem Sektor (SPHINX/PKI) durch. Dabei stehen Signatur und Verschlüsselung (extern) natürlich im Mittelpunkt. Derzeit habe ich das Paket SmartTrustPersonal mit Cryptovision im Test. Hat noch ein paar Probleme, aber prinzipiell funktioniert das ganze wunderprächtig :-)
Auf der Website von D-Trust wird zwar Lotus Notes nicht wirklich erwähnt, aber das ist nicht relevant, da dieses SmartTrust Personal sozusagen nur ein Mittel ist um per cv act s/mail mails zu verschlüsseln oder einfach nur zu signieren. Die Frage wird dann lediglich sein, wer zertifiziert mich vertrauenswürdig im Produktivbetrieb :-)

[phantomderoper]

Hi SiebertH,

wie verhält es sich denn dann bei den empfangenden Behörden ?
Müssen die das selbe Trust-Center verwenden, oder ist das unabhängig von den einzelnen Trust-Centern ?

Gruss
Alfons

[Heiggo]

Na ja, wie gesagt, wir sind noch voll im Testbetrieb... und ehrlich gesagt habe ich erst vor ca. 2 Wochen angefangen daran selber mal teilzunehmen, da ich einfach davon ausgehe, das ich derjenige sein darf, der den First-Level-Support bei unseren Nutzern leisten darf :-) und da macht es sich besser, wenn man sein Wissen nicht nur aus Broschüren hat *g*

Wenn ich die Sache richtig sehe wäre eine digitale Signatur genau dann Unsinn, wenn alle potentiell beteiligten Nutzer nur das eine und kein anderes Trust-Center verwenden dürften. Klar benötigt jeder Nutzer die autorisierten Schlüssel, und wenn ein anderes Trust-Center verwendet wird, dann ist es ja kein unlösbares Problem, sich die Root-Zertifikate zu besorgen, zumal die anerkannten Zertifikate ohnehin schon in der Regel im Persönlichen Adressbuch und auch im Domino Directory (wenn nicht manuell gelöscht) vorhanden sind.
Nutzer anderer Verfahren (z.B. Ausguck, Ausguck Express etc.) müssen halt die Zertifikate selber hinzufügen, aber das kann uns Notesern ja schnuppe sein :-)
Ich würde vielicht mal die von mir oben reingefriemelten Links anschauen, da findet man die eine oder andere Info zu der Geschichte. Ich kann meine Beobachtungen, die sich bisher ergeben haben aber auch gerne mal demnächst bereitstellen.

Hi SiebertH,

wie verhält es sich denn dann bei den empfangenden Behörden ?
Müssen die das selbe Trust-Center verwenden, oder ist das unabhängig von den einzelnen Trust-Centern ?

Gruss
Alfons

[phantomderoper]

Hi,

ich habe nun mal in den verschiedenen Trust-Centern gestöbert,
allerdings sehe ich es als notwendig an, das die Gegenstelle ebenfalls bei dem gleichen Trust-Center ist, denn noch gibt es keinen einheitlichen Standard. Das ist zumindest das was ich aus den einschlägigen Internetseiten entnehmen kann.

Gruss
Alfons

[Heiggo]

Na ja, ganz so kompliziert ist es nun wirklich nicht. Es gibt schon gewisse Standards, anscheinend ist man sich nicht überall einig, welcher das nun ist *kicher*

Aber ich gehe einfach mal davon aus, gerade wenn es sich vorangig um zertifizierte ElektroPost zwischen (und mit) Behörden handelt, das man etwas ruhiger an die Sache gehen kann. Wir Behördlinge sind ohnehin gehalten, in derartigen Angelegenheiten, streng angelehnt an eine berühmte Bundesbehörde (Bundesamt für Sicherheit in der Informationstechnik, kurz: BSI)zu arbeiten.

Natürlich kann man sich vorstellen, das die verschiedenen Trust-Center die Sache verkomplizieren, den die wollen ja ihr Produkt vertreiben. Aber gerade diese Institutionen unterliegen ganz besonders der Kontrolle und dem Signaturgesetz (Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 22, ausgegeben zu Bonn am 21. Mai 2001) sowie der Signaturverordnung (Bundesgesetzblatt Jahrgang 2001 Teil I Nr. 59, ausgegeben zu Bonn am 21. November 2001)
Und keines dieser Trust-Center könnte es sich vermutlich erlauben sich nicht an gewisse Mindest-Standards zu halten die eine Interoperabilität ermöglichen. Das ganze wird überwacht durch die RegTP, die von der Regierung damit beauftragt wurde.

Ich bin auf alle Fälle mal gespannt, wie sich die Sache bei uns im Testbetrieb weiter entwickelt. Meine Sorgen gehen allerdings nicht in die Richtung, wie sich das mit den Trust-Centern verhält, sondern eher, inwieweit sich die notwendige Software in mein System eingräbt und welche Nachteile sich dadurch ergeben könnten.
Immerhin benötige ich für mein bevorzugtes Verfahren eine Software, die mein Notes modifiziert. Deswegen habe ich mich für Cryptivision entschieden, denn da arbeite ich mit einem PlugIn, das ich per notes.ini notfalls abschalten kann. Andere Verfahren verwenden z.B. Veränderungen am Mailtemplate und am PAB-Template und da habe ich eher Bauchschmerzen, da wir angepasste Schablonen verwenden und damit die Updates etwas komplizierter und zeitaufwendiger werden würden. Aber das hat ja nur sekundär etwas mit deiner Sorge zu tun :-)

[Lossa]

Hallo,

ich haben bei einem meiner Kunden einen die SmartTrustPersonal Software im Einsatz, dort sollen Mails verschlüsselt mit Internetanwendern ausgetauscht werden.
Bei dieser Software haben wir die möglichkeit einfachste X-509 Softwarezertifikate zu verwenden (wie bei S/MIME), oder aber auf Signaturkarten zurückzugreifen. Desweiteren wird dort demnächt auch die Signierung von Dokumenten eingeführt, gem. deutschen Signaturgesetz. Alles, das ist wichtig mit der gleichen Software.

Bei ergänzenden Fragen, dann einfach eine Mail an mich.