Inxmail GmbH Vertrieb und Pflege des Marketing Tools.

Präsentation zum Thema: "Inxmail GmbH Vertrieb und Pflege des Marketing Tools."—  Präsentation transkript:

1 Sichere E-Mail im E-Mail Marketing

2 Inxmail GmbH Vertrieb und Pflege des Marketing Tools

3 Inxmail GmbH Vertrieb und Pflege des E-Mail Marketing Tools

4 Inxmail GmbH Vertrieb und Pflege des E-Mail Marketing Tools
Werbekampagnen per

5 Inxmail GmbH Vertrieb und Pflege des E-Mail Marketing Tools
Werbekampagnen per Aber auch Serviceleistungen per . Beispiele: Newsletter, Mailinglisten, Diskussionsgruppen, etc

6 Inxmail GmbH Vertrieb und Pflege des E-Mail Marketing Tools
Werbekampagnen per Aber auch Serviceleistungen per . Beispiele Newsletter, Mailinglisten, Diskussionsgruppen, etc Probleme: Spam und Phishing Mails

7 Phishing Mail

8 Aufgabenstellung Digitale Signatur als Mittel gegen Phishing

9 Aufgabenstellung Digitale Signatur als Mittel gegen Phishing
Unterstützung von S/MIME

10 Aufgabenstellung Digitale Signatur als Mittel gegen Phishing
Unterstützung von S/MIME Andere Sicherheitsstandards? (PGP)

11 Aufgabenstellung Digitale Signatur als Mittel gegen Phishing
Unterstützung von S/MIME Andere Sicherheitsstandards? (PGP) Verschlüsselung zur Erschließung neuer Serviceangebote

12 Aufgabenstellung Digitale Signatur als Mittel gegen Phishing
Unterstützung von S/MIME Andere Sicherheitsstandards? (PGP) Verschlüsselung zur Erschließung neuer Serviceangebote Konzeption und Prototyp

13 E-Mail Sicherheitsstandards
S/MIME (Secure Multipurpose Internet Mail Extension) PGP (Pretty Good Privacy)

14 E-Mail Sicherheitsstandards: Gemeinsamkeiten
Verwendete Algorithmen weitgehend gleich für Signatur und Verschlüsselung

15 E-Mail Sicherheitsstandards: Gemeinsamkeiten
Verwendete Algorithmen weitgehend gleich für Signatur und Verschlüsselung Hybrides Verschlüsselungsverfahren. Asymmetrische Verschlüsselung für Sessionkey, symmetrische Verschlüsselung für eigentlichen Inhalt

16 E-Mail Sicherheitsstandards: Gemeinsamkeiten
Verwendete Algorithmen weitgehend gleich für Signatur und Verschlüsselung Hybrides Verschlüsselungsverfahren. Asymmetrische Verschlüsselung für Sessionkey, symmetrische Verschlüsselung für eigentlichen Inhalt Problem: Integre Schlüsselverteilung

17 E-Mail Sicherheitsstandards: Unterschiede
S/MIME PGP Wird von den drei großen Clients (Mozilla Thunderbird, Netscape Messenger, Outlook (/Express)) und den meisten anderen Clients unterstützt

18 E-Mail Sicherheitsstandards: Unterschiede
S/MIME PGP Wird von den drei großen Clients (Mozilla Thunderbird, Netscape Messenger, Outlook (/Express)) und den meisten anderen Clients unterstützt Wird von Mozilla Thunderbird und Outlook (/Express) und einigen anderen Clients mittels PlugIns unterstützt

19 E-Mail Sicherheitsstandards: Unterschiede
S/MIME PGP Wird von den drei großen Clients (Mozilla Thunderbird, Netscape Messenger, Outlook (/Express)) und den meisten anderen Clients unterstützt Wird von Mozilla Thunderbird und Outlook (/Express) und einigen anderen Clients mittels PlugIns unterstützt Funktioniert aber auch bei nicht unterstützten Clients

20 E-Mail Sicherheitsstandards: Unterschiede
S/MIME PGP Wird von den drei großen Clients (Mozilla Thunderbird, Netscape Messenger, Outlook (/Express)) und den meisten anderen Clients unterstützt Kommerzieller Hintergrund. Wird zumeist in der Industrie eingesetzt Wird von Mozilla Thunderbird und Outlook (/Express) und einigen anderen Clients mittels PlugIns unterstützt Funktioniert aber auch bei nicht unterstützten Clients

21 E-Mail Sicherheitsstandards: Unterschiede
S/MIME PGP Wird von den drei großen Clients (Mozilla Thunderbird, Netscape Messenger, Outlook (/Express)) und den meisten anderen Clients unterstützt Kommerzieller Hintergrund. Wird zumeist in der Industrie eingesetzt Wird von Mozilla Thunderbird und Outlook (/Express) und einigen anderen Clients mittels PlugIns unterstützt Funktioniert aber auch bei nicht unterstützten Clients Als Open Source Variante erhältlich (GnuPG) und in Ingenieurskreisen beliebt

22 E-Mail Sicherheitsstandards: Unterschiede
S/MIME PGP Wird von den drei großen Clients (Mozilla Thunderbird, Netscape Messenger, Outlook (/Express)) und den meisten anderen Clients unterstützt Kommerzieller Hintergrund. Wird zumeist in der Industrie eingesetzt Hierarchische PKI Wird von Mozilla Thunderbird und Outlook (/Express) und einigen anderen Clients mittels PlugIns unterstützt Funktioniert aber auch bei nicht unterstützten Clients Als Open Source Variante erhältlich (GnuPG) und in Ingenieurskreisen beliebt

23 E-Mail Sicherheitsstandards: Unterschiede
S/MIME PGP Wird von den drei großen Clients (Mozilla Thunderbird, Netscape Messenger, Outlook (/Express)) und den meisten anderen Clients unterstützt Kommerzieller Hintergrund. Wird zumeist in der Industrie eingesetzt Hierarchische PKI Wird von Mozilla Thunderbird und Outlook (/Express) und einigen anderen Clients mittels PlugIns unterstützt Funktioniert aber auch bei nicht unterstützten Clients Als Open Source Variante erhältlich (GnuPG) und in Ingenieurskreisen beliebt PKI: Web of Trust

24 Hierarchische PKI

25 Beispiel: S/MIME Zertifikat

26 Web of Trust

27 Anwendbarkeit von S/MIME im E-Mail Marketing
Vorteile Nachteile Empfänger signierter Mails benötigt nur S/MIME fähigen Client (Mehrzahl der Clients).

28 Anwendbarkeit von S/MIME im E-Mail Marketing
Vorteile Nachteile Empfänger signierter Mails benötigt nur S/MIME fähigen Client (Mehrzahl der Clients). Signatur ist auch für Laien leicht zu erkennen

29 Anwendbarkeit von S/MIME im E-Mail Marketing
Vorteile Nachteile Empfänger signierter Mails benötigt nur S/MIME fähigen Client (Mehrzahl der Clients). Signatur ist auch für Laien leicht zu erkennen Signatur der CA garantiert die Identität des Zertifikatsinhabers

30 Anwendbarkeit von S/MIME im E-Mail Marketing
Vorteile Nachteile Empfänger signierter Mails benötigt nur S/MIME fähigen Client (Mehrzahl der Clients). Signatur ist auch für Laien leicht zu erkennen Signatur der CA garantiert die Identität des Zertifikatsinhabers Einfache Bedienung: Signatur und Verschlüsselung per Checkbox

31 Anwendbarkeit von S/MIME im E-Mail Marketing
Vorteile Nachteile Empfänger signierter Mails benötigt nur S/MIME fähigen Client (Mehrzahl der Clients). Signatur ist auch für Laien leicht zu erkennen Signatur der CA garantiert die Identität des Zertifikatsinhabers Einfache Bedienung: Signatur und Verschlüsselung per Checkbox Automatische Entschlüsselung wenn privater Schlüssel vorhanden

32 Anwendbarkeit von S/MIME im E-Mail Marketing
Vorteile Nachteile Empfänger signierter Mails benötigt nur S/MIME fähigen Client (Mehrzahl der Clients). Signatur ist auch für Laien leicht zu erkennen Signatur der CA garantiert die Identität des Zertifikatsinhabers Einfache Bedienung: Signatur und Verschlüsselung per Checkbox Automatische Entschlüsselung wenn privater Schlüssel vorhanden „Glaubwürdige“ Zertifikate sind nur gegen Gebühren von etablierten Zertifizierungsstellen erhältlich

33 Anwendbarkeit von S/MIME im E-Mail Marketing
Vorteile Nachteile Empfänger signierter Mails benötigt nur S/MIME fähigen Client (Mehrzahl der Clients). Signatur ist auch für Laien leicht zu erkennen Signatur der CA garantiert die Identität des Zertifikatsinhabers Einfache Bedienung: Signatur und Verschlüsselung per Checkbox Automatische Entschlüsselung wenn privater Schlüssel vorhanden „Glaubwürdige“ Zertifikate sind nur gegen Gebühren von etablierten Zertifizierungsstellen erhältlich Trügerische Sicherheit: Testzertifikate von besagten Zertifizierungsstellen sind frei erhältlich und erwecken den Anschein von Vertrauenswürdigkeit

34 Anwendbarkeit von S/MIME im E-Mail Marketing
Vorteile Nachteile Empfänger signierter Mails benötigt nur S/MIME fähigen Client (Mehrzahl der Clients). Signatur ist auch für Laien leicht zu erkennen Signatur der CA garantiert die Identität des Zertifikatsinhabers Einfache Bedienung: Signatur und Verschlüsselung per Checkbox Automatische Entschlüsselung wenn privater Schlüssel vorhanden „Glaubwürdige“ Zertifikate sind nur gegen Gebühren von etablierten Zertifizierungsstellen erhältlich Trügerische Sicherheit: Testzertifikate von besagten Zertifizierungsstellen sind frei erhältlich und erwecken den Anschein von Vertrauenswürdigkeit Problem: Für jeden Empfänger von verschlüsselten Nachrichten muß ein Zertifikat vorhanden sein

35 Anwendbarkeit von PGP im E-Mail Marketing
Vorteile Nachteile Jeder kann seine eigenen Schlüssel erstellen

36 Anwendbarkeit von PGP im E-Mail Marketing
Vorteile Nachteile Jeder kann seine eigenen Schlüssel erstellen Als Open Source erhältlich (GnuPG)

37 Anwendbarkeit von PGP im E-Mail Marketing
Vorteile Nachteile Jeder kann seine eigenen Schlüssel erstellen Als Open Source erhältlich (GnuPG) Mit PlugIn ähnlich benutzerfreundlich wie S/MIME

38 Anwendbarkeit von PGP im E-Mail Marketing
Vorteile Nachteile Jeder kann seine eigenen Schlüssel erstellen Als Open Source erhältlich (GnuPG) Mit PlugIn ähnlich benutzerfreundlich wie S/MIME Mit PlugIn Signatur leicht erkenntlich

39 Anwendbarkeit von PGP im E-Mail Marketing
Vorteile Nachteile Jeder kann seine eigenen Schlüssel erstellen Als Open Source erhältlich (GnuPG) Mit PlugIn ähnlich benutzerfreundlich wie S/MIME Mit PlugIn Signatur leicht erkenntlich Mit PlugIn automatische Entschlüsselung, wenn privater Schlüssel vorhanden

40 Anwendbarkeit von PGP im E-Mail Marketing
Vorteile Nachteile Jeder kann seine eigenen Schlüssel erstellen Als Open Source erhältlich (GnuPG) Mit PlugIn ähnlich benutzerfreundlich wie S/MIME Mit PlugIn Signatur leicht erkenntlich Mit PlugIn automatische Entschlüsselung, wenn privater Schlüssel vorhanden Funktioniert auch auf Clients, die PGP nicht unterstützen

41 Anwendbarkeit von PGP im E-Mail Marketing
Vorteile Nachteile Jeder kann seine eigenen Schlüssel erstellen Als Open Source erhältlich (GnuPG) Mit PlugIn ähnlich benutzerfreundlich wie S/MIME Mit PlugIn Signatur leicht erkenntlich Mit PlugIn automatische Entschlüsselung, wenn privater Schlüssel vorhanden Funktioniert auch auf Clients, die PGP nicht unterstützen Es muß zusätzliche Software installiert werden

42 Anwendbarkeit von PGP im E-Mail Marketing
Vorteile Nachteile Jeder kann seine eigenen Schlüssel erstellen Als Open Source erhältlich (GnuPG) Mit PlugIn ähnlich benutzerfreundlich wie S/MIME Mit PlugIn Signatur leicht erkenntlich Mit PlugIn automatische Entschlüsselung, wenn privater Schlüssel vorhanden Funktioniert auch auf Clients, die PGP nicht unterstützen Es muß zusätzliche Software installiert werden Trust Settings weitgehend willkürlich. Für Laien zu kompliziert

43 Anwendbarkeit von PGP im E-Mail Marketing
Vorteile Nachteile Jeder kann seine eigenen Schlüssel erstellen Als Open Source erhältlich (GnuPG) Mit PlugIn ähnlich benutzerfreundlich wie S/MIME Mit PlugIn Signatur leicht erkenntlich Mit PlugIn automatische Entschlüsselung, wenn privater Schlüssel vorhanden Funktioniert auch auf Clients, die PGP nicht unterstützen Es muß zusätzliche Software installiert werden Trust Settings weitgehend willkürlich. Für Laien zu kompliziert Funktioniert nicht für HTML Mails

44 Anwendbarkeit von PGP im E-Mail Marketing
Vorteile Nachteile Jeder kann seine eigenen Schlüssel erstellen Als Open Source erhältlich (GnuPG) Mit PlugIn ähnlich benutzerfreundlich wie S/MIME Mit PlugIn Signatur leicht erkenntlich Mit PlugIn automatische Entschlüsselung, wenn privater Schlüssel vorhanden Funktioniert auch auf Clients, die PGP nicht unterstützen Es muß zusätzliche Software installiert werden Trust Settings weitgehend willkürlich. Für Laien zu kompliziert Funktioniert nicht für HTML Mails Signierte Testmails durch ASCII Header „entstellt“

45 PGP Signatur (ohne PlugIn)

46 Anwendbarkeit von PGP im E-Mail Marketing
Vorteile Nachteile Jeder kann seine eigenen Schlüssel erstellen Als Open Source erhältlich (GnuPG) Mit PlugIn ähnlich benutzerfreundlich wie S/MIME Mit PlugIn Signatur leicht erkenntlich Mit PlugIn automatische Entschlüsselung, wenn privater Schlüssel vorhanden Funktioniert auch auf Clients, die PGP nicht unterstützen Es muß zusätzliche Software installiert werden Trust Settings weitgehend willkürlich. Für Laien zu kompliziert Funktioniert nicht für HTML Mails Signierte Testmails durch ASCII Header „entstellt“ Web of Trust für Marketing nicht geeignet

47 Anwendbarkeit von PGP im E-Mail Marketing
Vorteile Nachteile Jeder kann seine eigenen Schlüssel erstellen Als Open Source erhältlich (GnuPG) Mit PlugIn ähnlich benutzerfreundlich wie S/MIME Mit PlugIn Signatur leicht erkenntlich Mit PlugIn automatische Entschlüsselung, wenn privater Schlüssel vorhanden Funktioniert auch auf Clients, die PGP nicht unterstützen Es muß zusätzliche Software installiert werden Trust Settings weitgehend willkürlich. Für Laien zu kompliziert Funktioniert nicht für HTML Mails Signierte Testmails durch ASCII Header „entstellt“ Web of Trust für Marketing nicht geeignet Signierte Mails enthalten nicht zwangsläufig den öffentlichen Schlüssel

48 Verschlüsselung mit S/MIME im Massenversand
Empfängerzahlen für Mailings im Marketing gehen in die Tausende

49 Verschlüsselung mit S/MIME im Massenversand
Empfängerzahlen für Mailings im Marketing gehen in die Tausende Jeder Empfänger benötigt ein S/MIME Zertifikat

50 Verschlüsselung mit S/MIME im Massenversand
Empfängerzahlen für Mailings im Marketing gehen in die Tausende Jeder Empfänger benötigt ein S/MIME Zertifikat Problem: Wer bezahlt die Zertifikate?

51 Verschlüsselung mit S/MIME im Massenversand
Empfängerzahlen für Mailings im Marketing gehen in die Tausende Jeder Empfänger benötigt ein S/MIME Zertifikat Problem: Wer bezahlt die Zertifikate? Lösung: Aufbau einer eigenen PKI

52 PKI Entwurf Vorgabe: Alles soll als Modul für die Inxmail Software programmiert werden

53 PKI Entwurf Vorgabe: Alles soll als Modul für die Inxmail Software programmiert werden Damit die Wirtschaftlichkeit gewahrt bleibt, müssen die Kosten möglichst gering gehalten werden

54 PKI Entwurf Vorgabe: Alles soll als Modul für die Inxmail Software programmiert werden Damit die Wirtschaftlichkeit gewahrt bleibt, müssen die Kosten möglichst gering gehalten werden Java Krypto-Bibliothek (Open Source): Bouncy Castle

55 PKI Entwurf Vorgabe: Alles soll als Modul für die Inxmail Software programmiert werden Damit die Wirtschaftlichkeit gewahrt bleibt, müssen die Kosten möglichst gering gehalten werden Java Krypto-Bibliothek (Open Source): Bouncy Castle Datenbank: MySQL

56 PKI Entwurf Vorgabe: Alles soll als Modul für die Inxmail Software programmiert werden Damit die Wirtschaftlichkeit gewahrt bleibt, müssen die Kosten möglichst gering gehalten werden Java Krypto-Bibliothek (Open Source): Bouncy Castle Datenbank: MySQL Server: Apache Tomcat

57 Funktionen der PKI Erstellung von Zertifikaten nach Überprüfung der Adresse durch Testmail (Zuordnung zwischen Adresse und angeblichem Inhaber wird nicht überprüft!)

58 Funktionen der PKI Erstellung von Zertifikaten nach Überprüfung der Adresse durch Testmail (Zuordnung zwischen Adresse und angeblichem Inhaber wird nicht überprüft!) Speicherung des öffentlichen Teils des Zertifikats (PKCS#7) in der Datenbank mit Statusflag (gültig, widerrufen)

59 Funktionen der PKI Erstellung von Zertifikaten nach Überprüfung der Adresse durch Testmail (Zuordnung zwischen Adresse und angeblichem Inhaber wird nicht überprüft!) Speicherung des öffentlichen Teils des Zertifikats (PKCS#7) in der Datenbank mit Statusflag (gültig, widerrufen) Rootzertifikat als Download

60 Funktionen der PKI Erstellung von Zertifikaten nach Überprüfung der Adresse durch Testmail (Zuordnung zwischen Adresse und angeblichem Inhaber wird nicht überprüft!) Speicherung des öffentlichen Teils des Zertifikats (PKCS#7) in der Datenbank mit Statusflag (gültig, widerrufen) Rootzertifikat als Download Überprüfungsmöglichkeiten für Zertifikate nach Adresse und Seriennummer

61 Funktionen der PKI Erstellung von Zertifikaten nach Überprüfung der Adresse durch Testmail (Zuordnung zwischen Adresse und angeblichem Inhaber wird nicht überprüft!) Speicherung des öffentlichen Teils des Zertifikats (PKCS#7) in der Datenbank mit Statusflag (gültig, widerrufen) Rootzertifikat als Download Überprüfungsmöglichkeiten für Zertifikate nach Adresse und Seriennummer Widerruf für Zertifikate nach Überprüfung durch Testmail

62 Funktionen der PKI Erstellung von Zertifikaten nach Überprüfung der Adresse durch Testmail (Zuordnung zwischen Adresse und angeblichem Inhaber wird nicht überprüft!) Speicherung des öffentlichen Teils des Zertifikats (PKCS#7) in der Datenbank mit Statusflag (gültig, widerrufen) Rootzertifikat als Download Überprüfungsmöglichkeiten für Zertifikate nach Adresse und Seriennummer Widerruf für Zertifikate nach Überprüfung durch Testmail Entgegen des X.509v3 Standards keine Widerrufslisten

63 Fazit Für den spezifischen Hintergrund des Marketing ist S/MIME besser geeignet. Aber: GnuPG entwickelt sich rasend weiter. In Zukunft mag sich dieses Verhältnis noch ändern. Neuere Entwicklung: Hybride PKIs.

64 Fazit Für den spezifischen Hintergrund des Marketing ist S/MIME besser geeignet. Aber: GnuPG entwickelt sich rasend weiter. In Zukunft mag sich dieses Verhältnis noch ändern. Neuere Entwicklung: Hybride PKIs. Digitale Signatur als Mittel gegen Phishing Mails ist mit Vorsicht zu genießen. Es funktioniert, aber nur, wenn die Empfänger sich die Zeit nehmen, das Zertifikat auch zu überprüfen.

65 Uni-externe Diplomarbeiten
Vorteile Nachteile Praxiserfahrung

66 Uni-externe Diplomarbeiten
Vorteile Nachteile Praxiserfahrung Stärkeres Interesse an einer erfolgreichen Diplomarbeit seitens des Auftraggebers

67 Uni-externe Diplomarbeiten
Vorteile Nachteile Praxiserfahrung Stärkeres Interesse an einer erfolgreichen Diplomarbeit seitens des Auftraggebers Gehalt

68 Uni-externe Diplomarbeiten
Vorteile Nachteile Praxiserfahrung Stärkeres Interesse an einer erfolgreichen Diplomarbeit seitens des Auftraggebers Gehalt Persönliche Erfahrung

69 Uni-externe Diplomarbeiten
Vorteile Nachteile Praxiserfahrung Stärkeres Interesse an einer erfolgreichen Diplomarbeit seitens des Auftraggebers Gehalt Persönliche Erfahrung Kontakte

70 Uni-externe Diplomarbeiten
Vorteile Nachteile Praxiserfahrung Stärkeres Interesse an einer erfolgreichen Diplomarbeit seitens des Auftraggebers Gehalt Persönliche Erfahrung Kontakte Zusätzlicher Organisationsaufwand

71 Uni-externe Diplomarbeiten
Vorteile Nachteile Praxiserfahrung Stärkeres Interesse an einer erfolgreichen Diplomarbeit seitens des Auftraggebers Gehalt Persönliche Erfahrung Kontakte Zusätzlicher Organisationsaufwand Verpflichtungen gegenüber dem Auftraggeber

72 Uni-externe Diplomarbeiten
Vorteile Nachteile Praxiserfahrung Stärkeres Interesse an einer erfolgreichen Diplomarbeit seitens des Auftraggebers Gehalt Persönliche Erfahrung Kontakte Zusätzlicher Organisationsaufwand Verpflichtungen gegenüber dem Auftraggeber Eingeschränkte Spielwiese

73 Uni-externe Diplomarbeiten
Vorteile Nachteile Praxiserfahrung Stärkeres Interesse an einer erfolgreichen Diplomarbeit seitens des Auftraggebers Gehalt Persönliche Erfahrung Kontakte Zusätzlicher Organisationsaufwand Verpflichtungen gegenüber dem Auftraggeber Eingeschränkte Spielwiese Teilweise Ablenkung durch andere Aufgaben

74 Uni-externe Diplomarbeiten
Vorteile Nachteile Praxiserfahrung Stärkeres Interesse an einer erfolgreichen Diplomarbeit seitens des Auftraggebers Gehalt Persönliche Erfahrung Kontakte Zusätzlicher Organisationsaufwand Verpflichtungen gegenüber dem Auftraggeber Eingeschränkte Spielwiese Teilweise Ablenkung durch andere Aufgaben Risiko (Firma geht Pleite, Firma ändert kurzfristig Anforderungen etc.)

75 Ende