Sichere E-Mail im E-Mail Marketing. Inxmail GmbH Vertrieb und Pflege des E-Mail Marketing Tools.

Sichere E-Mail im E-Mail Marketing

Inxmail GmbH

• Vertrieb und Pflege des E-Mail Marketing Tools

Inxmail GmbH


• E-Mail Marketing?

Inxmail GmbH



• Werbekampagnen per E-Mail

Inxmail GmbH




• Aber auch Serviceleistungen per E-Mail. Beispiele: Newsletter, Mailinglisten, Diskussionsgruppen, etc

Inxmail GmbH




• Aber auch Serviceleistungen per E-Mail. Beispiele Newsletter, Mailinglisten, Diskussionsgruppen, etc

• Probleme: Spam und Phishing Mails

Phishing Mail

Aufgabenstellung

• Digitale Signatur als Mittel gegen Phishing

Aufgabenstellung


• Unterstützung von S/MIME

Aufgabenstellung



• Andere E-Mail Sicherheitsstandards? (PGP)

Aufgabenstellung




• Verschlüsselung zur Erschließung neuer Serviceangebote

Aufgabenstellung




• Verschlüsselung zur Erschließung neuer Serviceangebote

• Konzeption und Prototyp

E-Mail Sicherheitsstandards

• S/MIME (Secure Multipurpose Internet Mail Extension)

• PGP (Pretty Good Privacy)

E-Mail Sicherheitsstandards: Gemeinsamkeiten

• Verwendete Algorithmen weitgehend gleich für Signatur und Verschlüsselung



• Hybrides Verschlüsselungsverfahren. Asymmetrische Verschlüsselung für Sessionkey, symmetrische Verschlüsselung für eigentlichen Inhalt



• Hybrides Verschlüsselungsverfahren. Asymmetrische Verschlüsselung für Sessionkey, symmetrische Verschlüsselung für eigentlichen Inhalt

• Problem: Integre Schlüsselverteilung

E-Mail Sicherheitsstandards: Unterschiede

• Wird von den drei großen E-Mail Clients (Mozilla Thunderbird, Netscape Messenger, Outlook (/Express)) und den meisten anderen Clients unterstützt

S/MIME PGP



• Wird von Mozilla Thunderbird und Outlook (/Express) und einigen anderen Clients mittels PlugIns unterstützt

S/MIME PGP




• Funktioniert aber auch bei nicht unterstützten Clients

S/MIME PGP



• Kommerzieller Hintergrund. Wird zumeist in der Industrie eingesetzt



S/MIME PGP






• Als Open Source Variante erhältlich (GnuPG) und in Ingenieurskreisen beliebt

S/MIME PGP




• Hierarchische PKI




S/MIME PGP




• Hierarchische PKI




• PKI: Web of Trust

S/MIME PGP

Hierarchische PKI

Beispiel: S/MIME Zertifikat

Web of Trust

Anwendbarkeit von S/MIME im E-Mail Marketing

• Empfänger signierter Mails benötigt nur S/MIME fähigen E-Mail Client (Mehrzahl der Clients).

Vorteile Nachteile



• Signatur ist auch für Laien leicht zu erkennen

Vorteile Nachteile




• Signatur der CA garantiert die Identität des Zertifikatsinhabers

Vorteile Nachteile





• Einfache Bedienung: Signatur und Verschlüsselung per Checkbox

Vorteile Nachteile






• Automatische Entschlüsselung wenn privater Schlüssel vorhanden

Vorteile Nachteile







• „Glaubwürdige“ Zertifikate sind nur gegen Gebühren von etablierten Zertifizierungsstellen erhältlich

Vorteile Nachteile








• Trügerische Sicherheit: Testzertifikate von besagten Zertifizierungsstellen sind frei erhältlich und erwecken den Anschein von Vertrauenswürdigkeit

Vorteile Nachteile








• Trügerische Sicherheit: Testzertifikate von besagten Zertifizierungsstellen sind frei erhältlich und erwecken den Anschein von Vertrauenswürdigkeit

• Problem: Für jeden Empfänger von verschlüsselten Nachrichten muß ein Zertifikat vorhanden sein

Vorteile Nachteile

Anwendbarkeit von PGP im E-Mail Marketing

• Jeder kann seine eigenen Schlüssel erstellen

Vorteile Nachteile



• Als Open Source erhältlich (GnuPG)

Vorteile Nachteile




• Mit PlugIn ähnlich benutzerfreundlich wie S/MIME

Vorteile Nachteile





• Mit PlugIn Signatur leicht erkenntlich

Vorteile Nachteile






• Mit PlugIn automatische Entschlüsselung, wenn privater Schlüssel vorhanden

Vorteile Nachteile







• Funktioniert auch auf Clients, die PGP nicht unterstützen

Vorteile Nachteile








• Es muß zusätzliche Software installiert werden

Vorteile Nachteile









• Trust Settings weitgehend willkürlich. Für Laien zu kompliziert

Vorteile Nachteile










• Funktioniert nicht für HTML Mails

Vorteile Nachteile











• Signierte Testmails durch ASCII Header „entstellt“

Vorteile Nachteile

PGP Signatur (ohne PlugIn)











• Signierte Testmails durch ASCII Header „entstellt“

• Web of Trust für E-Mail Marketing nicht geeignet

Vorteile Nachteile










• Funktioniert nicht für HTML Mails• Signierte Testmails durch ASCII

Header „entstellt“• Web of Trust für E-Mail Marketing

nicht geeignet• Signierte Mails enthalten nicht

zwangsläufig den öffentlichen Schlüssel

Vorteile Nachteile

Verschlüsselung mit S/MIME im Massenversand

• Empfängerzahlen für Mailings im E-Mail Marketing gehen in die Tausende



• Jeder Empfänger benötigt ein S/MIME Zertifikat




• Problem: Wer bezahlt die Zertifikate?




• Problem: Wer bezahlt die Zertifikate?

• Lösung: Aufbau einer eigenen PKI

PKI Entwurf

• Vorgabe: Alles soll als Modul für die Inxmail Software programmiert werden

PKI Entwurf


• Damit die Wirtschaftlichkeit gewahrt bleibt, müssen die Kosten möglichst gering gehalten werden

PKI Entwurf



• Java Krypto-Bibliothek (Open Source): Bouncy Castle

PKI Entwurf




• Datenbank: MySQL

PKI Entwurf




• Datenbank: MySQL

• Server: Apache Tomcat

Funktionen der PKI

• Erstellung von Zertifikaten nach Überprüfung der E-Mail Adresse durch Testmail (Zuordnung zwischen Adresse und angeblichem Inhaber wird nicht überprüft!)

Funktionen der PKI


• Speicherung des öffentlichen Teils des Zertifikats (PKCS#7) in der Datenbank mit Statusflag (gültig, widerrufen)

Funktionen der PKI



• Rootzertifikat als Download

Funktionen der PKI




• Überprüfungsmöglichkeiten für Zertifikate nach E-Mail Adresse und Seriennummer

Funktionen der PKI




• Überprüfungsmöglichkeiten für Zertifikate nach E-Mail Adresse und Seriennummer

• Widerruf für Zertifikate nach Überprüfung durch Testmail

Funktionen der PKI



• Rootzertifikat als Download• Überprüfungsmöglichkeiten für Zertifikate nach E-Mail

Adresse und Seriennummer• Widerruf für Zertifikate nach Überprüfung durch Testmail• Entgegen des X.509v3 Standards keine Widerrufslisten

Fazit

• Für den spezifischen Hintergrund des E-Mail Marketing ist S/MIME besser geeignet. Aber: GnuPG entwickelt sich rasend weiter. In Zukunft mag sich dieses Verhältnis noch ändern. Neuere Entwicklung: Hybride PKIs.

Fazit

• Für den spezifischen Hintergrund des E-Mail Marketing ist S/MIME besser geeignet. Aber: GnuPG entwickelt sich rasend weiter. In Zukunft mag sich dieses Verhältnis noch ändern. Neuere Entwicklung: Hybride PKIs.

• Digitale Signatur als Mittel gegen Phishing Mails ist mit Vorsicht zu genießen. Es funktioniert, aber nur, wenn die Empfänger sich die Zeit nehmen, das Zertifikat auch zu überprüfen.

Uni-externe Diplomarbeiten

• Praxiserfahrung

Vorteile Nachteile


• Praxiserfahrung

• Stärkeres Interesse an einer erfolgreichen Diplomarbeit seitens des Auftraggebers

Vorteile Nachteile


• Praxiserfahrung


• Gehalt

Vorteile Nachteile


• Praxiserfahrung


• Gehalt

• Persönliche Erfahrung

Vorteile Nachteile


• Praxiserfahrung


• Gehalt


• Kontakte

Vorteile Nachteile


• Praxiserfahrung


• Gehalt


• Kontakte

• Zusätzlicher Organisationsaufwand

Vorteile Nachteile


• Praxiserfahrung


• Gehalt


• Kontakte


• Verpflichtungen gegenüber dem Auftraggeber

Vorteile Nachteile


• Praxiserfahrung


• Gehalt


• Kontakte



• Eingeschränkte Spielwiese

Vorteile Nachteile


• Praxiserfahrung


• Gehalt


• Kontakte




• Teilweise Ablenkung durch andere Aufgaben

Vorteile Nachteile


• Praxiserfahrung


• Gehalt


• Kontakte




• Teilweise Ablenkung durch andere Aufgaben

• Risiko (Firma geht Pleite, Firma ändert kurzfristig Anforderungen etc.)

Vorteile Nachteile

Sichere E-Mail im E-Mail Marketing. Inxmail GmbH Vertrieb und Pflege des E-Mail Marketing Tools.

Documents

Transcript of Sichere E-Mail im E-Mail Marketing. Inxmail GmbH Vertrieb und Pflege des E-Mail Marketing Tools.