Mit der Funktion «Interne Verschlüsselung» können E-Mails an ein internes Postfach über das SEPPmail Secure E-Mail Gateway umgeleitet, dort verschlüsselt und an den internen E-Mail Server zur Auslieferung zurückgegeben werden.

Dazu müssen einige Voraussetzungen erfüllt sein. Der Registry-Konfigurationswert «InternalRecipient» muss eine E-Mail Adresse enthalten, welche nicht der eigenen E-Mail Domäne(n) zugeordnet und auch im Internet nicht existent ist. Somit wird gewährleistet, dass der E-Mail Server diese E-Mail als extern erkennt an das SEPPmail Secure E-Mail Gateway weiterleitet. Weiterhin ist sicherzustellen, dass an keinem, zwischen Outlook Client und SEPPmail Secure E-Mail Gateway stehendem System X-Header entfernt werden.

 

Im Standard lautet der Eintrag unter «InternalRecipient» «ime@imepseudodomain.local». Damit wird das IME 1.0 Verfahren festgelegt:

Beim Versand einer E-Mail werden die ursprünglichen Empfänger (To, CC, BCC) der E-Mail zunächst vom SEPPmail Microsoft Outlook Add-In in die X-Header «X-SM-ORIGTO», «X-SM-ORIGCC» und «X-SM-ORIGBCC» übernommen. Als Empfänger wird ausschliesslich der in der Registry hinterlegte «InternalRecipient» eingefügt. Weiterhin wird eine technische Markierung «Interne Verschlüsselung» gesetzt.

Das SEPPmail Secure E-Mail Gateway erkennt anhand der Empfängeradresse «ime@imepseudodomain.local», dass es sich um eine (auch) intern zu verschlüsselnde E-Mail handelt. Das heisst die Empfänger aus den X-Headern «X-SM-ORIGTO», «X-SM-ORIGCC» und «X-SM-ORIGBCC» werden wiederhergestellt, die X-Header gelöscht, der ursprüngliche Absender als weiterer Empfänger hinzugefügt. Nun wird die E-Mail für die Empfänger verschlüsselt (mit S/MIME, sofern für den/die Empfänger entsprechendes Schlüsselmaterial auf dem SEPPmail Secure E-Mail Gateway vorhanden ist, andernfalls mittels GINA-Technologie) und versendet.

 

Geht die so verschlüsselte E-Mail beim ursprünglichen Sender ein, so erkennt das SEPPmail Microsoft Outlook Add-In anhand des X-Headers «X-ESWmail-InternalEncrypt-sentcopy», dass es sich eigentlich um die gesendete, Intern zu verschlüsselnde E-Mail handelt und verschiebt diese - natürlich ebenfalls verschlüsselte E-Mail - in den «Gesendete Elemente» Ordner. Dabei wird die technische Markierung «Interne Verschlüsselung» entfernt.

Wird eine E-Mail im Ordner «Gesendete Elemente» abgelegt, welche die technische Markierung «Interne Verschlüsselung» gesetzt hat, so wird die E-Mail gelöscht. Damit wird gewährleistet, dass die ursprünglich gesendete, noch unverschlüsselte E-Mail aus dem Ordner «Gesendete Elemente» entfernt wird.

 

Wird der Wert von «InternalRecipient» geändert, so wird damit IME 2.0 festgelegt:

Wird die interne Verschlüsselung aktiviert, so legt das SEPPmail Microsoft Outlook Add-In beim Versand die verfasste E-Mail in einer signierten und verschlüsselten Container-E-Mail ab, welche dann an die für das SEPPmail Secure E-Mail Gateway konfigurierte «InternalRecipient»-Adresse (in der Regel domain-confidentiality-authority@ime.<ihremanageddomain.tld>) gesendet wird.

Das SEPPmail Secure E-Mail Gateway entpackt dann die Container-E-Mails, welche an die eingetragene «InternalRecipient» Adresse gesendet wurden, verschlüsselt diese mit dem für die eigentlichen Empfänger vorliegenden Schlüsselmaterial (siehe auch Verschlüsselungshierarchie) und sendet sie an die ursprünglichen Empfänger.

 

Die hierfür benötigten Zertifikate sind im Client bereitzustellen.

Zum einen ist dies das unter Mail System Managed domains ADD/EDIT MANAGED DOMAIN Internal Mail Encryption zu erstellende Zertifikat für das Verschlüsseln. Um das Zertifikat anschliessend mit dem SEPPmail Microsoft Outlook Add-In nutzen zu können, wird in der Regel in der «Global Address List (GAL)» des Exchange Servers ein Kontakt mit der E-Mail Adresse aus dem CN dieses IME-Zertifikates und diesem Zertifikat selbst angelegt. Meist wird das Zertifikat des Kontaktes dadurch in den maschinenbezogenen Zertifikatsspeicher der Clients unter «Andere Personen» «Zertifikate» übernommen.

 

 

Zum anderen ein - in der Regel selbst signiertes - S/MIME Schlüsselpaar des Absenders für das Signieren, welches in der Regel im benutzerbezogenen Zertifikatsspeicher unter «Eigene Zertifikate» «Zertifikate» bereitgestellt wird.

 

Details hierzu sind dem HowTo Interne E-Mails verschlüsseln zu entnehmen.