Email-Sicherheit

[Rüdiger Kupper]

Der "wahre" Absender von Emails, die über unseren Server versandt werden, ist derzeit aus den Headern nicht ersichtlich. Da sich aber alle Nutzer vor dem Senden authentifizieren müssen, könnte der Server das doch im Header vermerken?

Zweiter Gedanke:
Sicherheit verbessern, indem wir Werbung für PGP oder S/MIME machen. (Wie sieht es da bei SOGo aus? Kommt das mit PGP und/oder S/MIME klar?)

Ich favorisiere ja PGP, weil man da der Herr seines eigenen Schlüssels ist. Doch auch S/MIME mit von der Schule ausgestellten Zertifikaten wäre eine Verbesserung.

[bau]

Von der Schule ausgestellte Zertifikate wären prima, dazu würden wir eine eigene PKI benötigen, also ein Zertifikat, mit dem wir S/MIME-Zertifikate signieren könnten. Eigentlich wäre das Aufgabe des Landes oder Bundes. Wen könnte man darauf ansprechen?

[bau]

SOGo kann anscheinend kein S/MIME.
Ich würde zusätzlich als Alternative Horde5 installieren, das kann auf jeden Fall S/MIME und PGP.

[Rüdiger Kupper]

Kann ich mir irgendwie gar nicht vorstellen.

[lehm]

...

[bau]

Installation von Horde5 hatte sich sperriger gestaltet, als gedacht - hängt leider aktuell in der Luft.
SOGo kann in der installierten Version kein S/Mime.

Anfrage an PhV BW und über den Elternbeirat an das KM zur PKI bislang ohne Antwort.

[Rüdiger Kupper]

Unserer Email-Sicherheit hat sich seit elf Jahren, seitdem ich an dieser Schule bin, keinen Millimeter weiter entwickelt. Wir brauchen nach wie vor ein Verschlüsselungskonzept. Ich plädiere nach wie vor für PGP.

[bau]

Das stimmt so nicht!
Der SMTP-Server war seiten der Entwickler im internen Netz komplett offen und ist nun per TLS-verschlüsselter Verbindung und Abfrage von BN/Passwort gesichert. Aus dem Internet ist weder SMTP, POP3 noch IMAP hinter der Firewall erreichbar, die WebMailer horde3 und SOGo werden über https-Verbindungen erreicht.

Für die Kommunikation mit externen eMail-Adressen ist nach wie vor eine Verschlüsselung wünschenswert. S/MIME wäre ziemlich simpel für die externen Partner umzusetzen, das ist Industriestandard und die meisten Mailer können das.
Die Diözese-Rottenburg-Stuttgart hat ein eMail-Portal eingerichtet - gehen sensible Mails nach extern, so erhält der Empfänger einen Link zum Portal, wo er sich einmalig für seine Mailadresse registrieren muss. Die Mail kann dann per https-Verbindung im Browser im Portal angesehen werden.

[Rüdiger Kupper]

S/MIME ist sicher eine akzeptable Lösung, auch wenn ich PGP für sicherer halte. Jede explizite Veeschlüsselung ist aber jedenfalls zu begrüßen.
Für beide Lösungen (S/MIME oder PGP) müssen wir eine Zertifizierungsstelle aufmachen, oder?

[bau]

Nun: Man kann zwar für S/MIME eine eigene PKI aufmachen, das bringt nur nichts, denn die eMailer beanstanden das Zertifikat und dann sind die User eher verunsichert als dass es was bringt.
Einzig eine staatliche Stelle kann da weiterhelfen und eine PKI zur Verfügung stellen - wie gesagt: Anfrage ging über den EB (Frau Seeger) an das KM.

[Rüdiger Kupper]

Hm, okay, bei PGP würden wir erst mal die Lehreradressen zertifizieren, dann könnten alle, die dem Kepler-Gymnasium vertrauen, schon mal untereinander sicher Mails und Dateien austauschen.
Im nächsten Schritt würden wir dann unseren Schlüssel wiederum von einer anderen Instanz signieren lassen. Logisch wäre hier auch das KM. Aber die machen vermutlich kein PGP.

Also: PGP ist bottom-up, S/MIME ist top-down. Und bei PGP gibt man seinen Schlüssel niemals aus der Hand, was die Sicherheit garantiert. Bei S/MIME bekommt man den Schlüssel immer von oben.