Um ein SEPPmail Secure E-Mail Gateway mit Zertifikaten zu bestücken, sollte geklärt sein, in welcher Qualität diese gewünscht sind.

 

SSL Zertifikat

Zunächst wird für das Absichern der SSL Strecke, welche durch die GINA-Funktionalität etabliert wird, im Regelfall zwingend ein SSL-Zertifikat notwendig. Damit die gängigen Browser keinen Sicherheitsverstoss beim Aufruf der GINA-Oberfläche melden, sollte dieses Zertifikat von einer offiziellen Zertifizierungsstelle kommen und den FQDN - also den Namen, unter welchem das GINA-Oberfläche zu erreichen ist - beinhalten.

 

E-Mail Zertifikat

Zertifikate, welche für das Signieren (und Verschlüsseln) von E-Mails geeignet sind, werden in unterschiedlichen Güteklassen von den Ausstellern (CAs) angeboten. Eine einheitliche Klassifizierung gibt es dabei leider nicht. Die Zertifikate unterscheiden sich jedoch in Ihrer Aussagekraft.

 

Beim einfachsten Zertifikat wird lediglich die Existenz der E-Mail-Adresse bestätigt. Somit wird mit dieser Art des Zertifikates durch die Signatur bestätigt, dass die E-Mail

•während des Transportes nicht verändert wurde
 

•von der benannten Absenderadresse stammt

 

In der nächst höheren Zertifikatsgüte wird zusätzlich der Absender namentlich benannt. Das heisst für das Ausstellen dieses Zertifikates musste sich der Inhaber in irgend einer Form ausweisen. Bei Einsatz einer MPKI (siehe Managed PKI) bestätigt die beantragende Organisation, dass sie nur Zertifikate für Ihre Mitarbeiter ausstellt. Somit bestätigt dieses zusätzlich

•die Person des Absenders und dessen Organisation
 

Diese Zertifikate könnten in der Regel für zusätzliche Zwecke verwendet werden, wie zum Beispiel dem Signieren von Dokumenten wie in etwa PDF-Dateien.

 

Für das Ausstellen eines qualifizierten Zertifikats - wie z.B. beim Personalausweis in Deutschland, der SuisseID in der Schweiz oder der Bürgerkarte in Österreich - muss die Identität der beantragenden Person zuverlässig festgestellt werden. Hierfür muss die Person entweder mit Ihrem Ausweis persönlich vorstellig werden oder ein alternatives Verfahren, wie zum Beispiel PostIdent in Deutschland, kommt zum Einsatz. Eine automatisches Ausstellen über eine Managed PKI ist somit unmöglich!

 

Selbst signierte Zertifikate sind für das Signieren von E-Mails ungeeignet, da die Zertifikatskette beim Kommunikationspartner in der Regel nicht bekannt ist und somit kein Vertrauen hergestellt werden kann.