Erstellung digitale /Signatur Unterschrift in Outlook

[KaLu1976]

Wie erstelle ich eine digitale Unterschrift in Outlook 2003?

[lupo49]

Mit einem Zertifikat bspw. von einem kommerziellen CA wie Trustcenter.de

[KaLu1976]

Und wie erstelle ich ein Zertifikat? Dabei soll der Kommerz ausgeschlossen sein.

[lupo49]

Wenn du kein kommerzielles Zertifikat erstellst, dann wird es bei den Empfängern der E-Mail als nicht gültig angezeigt.

Hier lesen: MSXFAQ.DE - OpenSSL

[KaLu1976]

Ich dachte es geht so einfach und kostenlos wie bei bei "pdf" bei Adobe.

Dort kann ich doch auch mir selbst ein Zerifikat erstellen und eine digitale Unterschrift auf das Dokument hinterlegen.

[Sheggy]

Der Sinn eines Zertifikates ist, dass man damit seine Identität bestätigt.

Wenn du ein solches beantragst, werden deine Personalien überprüft. Das Zertifikat ist so eine Art Personalausweis für Datenverarbeitung.

[Guybrush Threepwood]

Ob da Personalien oder ähnliches überprüft werden ist für das Zertifikat unerheblich.

Der Unterschied ist das das Zertifikat automatisch als vertrauenswürdig eingestuft wird wenn es zum Beispiel von VeriSign oder so ausgestellt wird. Das liegt daran das Windows schon eine Reihe vertrauenswürdiger Stammzertifizierungsstellen mitbringt und somit alle von diesen Root Zertifikaten ausgestellen Zertifikate vertrauenswürdig sind.

Wenn du nun selber ein Zertifikat erstellst ist dieses auf einem anderen Pc erstmal unbekannt. Das heiß der Nutzer muss es manuell als vertrauenswürdig einstufen. Dabei muss er dann natürlich auch irgendwie wissen das das jetzt auch wirklich das von dir ausgestellte Zertifikat ist und nicht von jemand anderem.

Wenn er das dann als vertrauenswürdig eingestuft hat macht das keinen Unterschied mehr zu einem gekauften Zertifikat.

Innerhalb einer Firma kann man zum Beispiel auch einfach hingehen und ein eigenes Rootzertifikat automatisch in der Domäne verteilen um für die Mitarbeiter Zertifikate zu erstellen.

[Schandfleck]

Ob da Personalien oder ähnliches überprüft werden ist für das Zertifikat unerheblich.

Es macht aber für die Vertrauenswürdigkeit des Zertifikates einen Unterschied. Dabei geht es nicht um Technk. Das Zertifikat soll den öffentlichen Schlüssel dem Inhaber des zugehörigen privaten Schlüssels zuordnen. Erfolgt vor der Ausstellung des Zertifikates keine Identitätsprüfung des Antragstellers, ist das Zertifikat eben nicht vertrauenswürdig, da man nicht weiß, ob die im Zertifikat genannte Person tatsächlich diejenige ist, die über den privaten Schlüssel verfügt.

Natürlich kann man, wie geschrieben, selbst Nutzerzertifikate mit einem eigenen Root-Zertifikat signieren. Jedoch darf man nicht alles unbesehen blind unterschreiben, sonst ist es vorbei mit der Sicherheit, die man mit den Zertifikaten eigentlich ereichen wollte.

Zertifikate darf man nur dann als vertrauenswürdig im System hinterlegen, wenn man auch weiß, daß der Aussteller ordentlich arbeitet und das Zertifikat aus vertrauenswürdiger Quelle erhalten hat.

[Guybrush Threepwood]

Nein es macht keinen Unterschied für die Vertrauenswürdigkeit des Zertifikats.

Wenn die Stammzertifizierungsstelle bei dir als vertrauenswürdig gilt ist auch das damit ausgestellte Zertifikat vertrauenswürdig. Egal was da überprüft wurde oder ob die Daten darin stimmen.

Wenn du dir nun selber ein Zertifikat ausstellst musst du dir irgendwas überlegen wie du das dem Nutzer so übermitteln kannst das er weiß das auch tatsächlich von dir ist

PS: es geht um die technische Vertrauenswürdigkeit nicht um die persöhnlich gefühlte

[Schandfleck]

Wenn die Stammzertifizierungsstelle bei dir als vertrauenswürdig gilt ist auch das damit ausgestellte Zertifikat vertrauenswürdig. Egal was da überprüft wurde oder ob die Daten darin stimmen.

Ja, aber genau das ist doch das Problem. Das System sieht Zertifikate als vertrauenswürdig an, die es nicht sind; auf die Richtigkeit der im Zertifikat genannten Daten kann man sich so nicht verlassen.

Wenn du dir nun selber ein Zertifikat ausstellst musst du dir irgendwas überlegen wie du das dem Nutzer so übermitteln kannst das er weiß das auch tatsächlich von dir ist

Richtig, der Nutzer muss wissen, dass das Zertifikat tatsächlich von mir ist; spirch er den Angaben im Zertifikat vertrauen kann. Erst dann darf er das Zertifikat dem System als vertrauenswürdig bekannt machen.

PS: es geht um die technische Vertrauenswürdigkeit nicht um die persöhnlich gefühlte

Im Endeffekt schon. Eine Signatur unter einer E-Mail hat den Zweck, dass der Empfänger darauf vertrauen kann, dass die E-Mail von dem im Zertifikat genannten Unterzeichner stammt und nicht verändert wurde. Dazu muss er auf die Richtigkeit der Angaben im Zertifikat (im persönlichen Sinn) vertrauen können. Das System kann das mit Technik auf das Vertrauen gegenüber der Stammzertifizierungsstelle zurückführen. Es kann aber nicht selbst entscheiden, ob diese vertrauenswürdig ist. Spätestens hier kommt der Nutzer ins Spiel, der dem System bekannt gemacht haben muss, welchen Zertifizierungsstellen er dahingehend vertraut, dass sie die Identität des Inhabers des Endbenutzerzertifikates hinreichend geprüft haben.

Dabei muss man der Stammzertifizierungsstelle mehr Vertrauen entgegebringen, als dem Endbenutzerzertifikat. Bei letzterem braucht man nur sicher zu seien, dass die Angaben stimmen, ob und was der Nutzer, möglicherweise ungeprüft, unterschreibt ist egal.

[pruefer_gg]

Eine weitere Möglichkeit, ein kostenloses Zertifikat zu erhalten geht über cacert.org.

GG

[lupo49]

CACert konnte bis jetzt noch nicht die eigenen Zertifikate als Root-Zertifikate in den Browsern implementieren lassen, somit würden die bei einer Standardinstallation auch nicht als vertrauenswürdig eingestuft werden.

[pruefer_gg]

CACert konnte bis jetzt noch nicht die eigenen Zertifikate als Root-Zertifikate in den Browsern implementieren lassen, somit würden die bei einer Standardinstallation auch nicht als vertrauenswürdig eingestuft werden.

Aber die Root-Zertifikate sind downloadbar - was ein Fachinformatiker hinbekommen sollte!

GG

[lupo49]

Das bringt mir aber überhaupt nichts, wenn ich mit Personen kommuniziere, die das nicht können und auch nicht machen werden.

Solange das nicht mit den Browsern mitkommt, ist das nicht brauchbar um das in der Gesellschaft nutzen zu können.

(Wobei ich selber dort auch auf dem Weg zu Assurer bin )

[pruefer_gg]

Das bringt mir aber überhaupt nichts, wenn ich mit Personen kommuniziere, die das nicht können und auch nicht machen werden.

Den E-Mail-Client interessiert das relativ wenig. Zumindest, wenn es um Verschlüsselung geht!

(Wobei ich selber dort auch auf dem Weg zu Assurer bin )

Gut! Einer mehr!

GG

[Schandfleck]

Den E-Mail-Client interessiert das relativ wenig. Zumindest, wenn es um Verschlüsselung geht!

Ich hoffe schon. Der E-Mail-Client sollte zumindest eine Warnung ausspucken. Immerhin will der Nutzer mit der Verschlüsselung sicherstellen, dass nur der beabsichtigte Empfänger die E-Mail lesen kann. Da sollte man schon sicher gehen, dass das Zertifikat auch vertrauenswürdig ist und der genannten Person gehört.

[lupo49]

Den E-Mail-Client interessiert das relativ wenig. Zumindest, wenn es um Verschlüsselung geht!

Zumindest ist das bei Outlook relevant, da es den Zertifikatsspeicher vom Internet Explorer nutzt. Natürlich ist generell auch für alle anderen geschützten Verbindungen wichtig.