Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen RevisionVorhergehende Überarbeitung
Nächste Überarbeitung		Vorhergehende Überarbeitung
Nächste ÜberarbeitungBeide Seiten der Revision
thundercert [2011/02/08 14:27] – bushthundercert [2011/02/08 16:50] – jede Menge Text und Bilder bush
Zeile 19: Zeile 19:
 {{:bilder-thunderbird3:zertifizieren:certmanager.png|}} {{:bilder-thunderbird3:zertifizieren:certmanager.png|}}
  
-Es müsste jetzt mindestens ein Zertifikat aufgeführt sein - Ihr persönliches. Durch einen Doppelklick können Sie sich den Inhalt anzeigen lassen. Nachdem Sie sich vergewissert haben, dass das Zertifikat vorliegt, schließen Sie die Fenster wieder.+Es müsste jetzt mindestens ein Zertifikat aufgeführt sein - Ihr persönliches - das vom Zertifikate-Manager als vertrauenswürdig eingestuft wird. Durch einen Doppelklick können Sie sich den Inhalt anzeigen lassen. 
 + 
 +{{:bilder-thunderbird3:zertifizieren:certallgemein.png|}} 
 + 
 +In den **Details** finden Sie u.a. die sog. Vertrauenskette (**Zertifikatshierarchie**) von Ihrem eigenen Zertifikat bis hoch zum Wurzelzertifikat der Deutschen Telekom. 
 + 
 +{{:bilder-thunderbird3:zertifizieren:certdetails.png|}} 
 + 
 +Nachdem Sie sich vergewissert haben, dass das Zertifikat vorliegt, schließen Sie die Fenster wieder.
  
 \\ \\
Zeile 31: Zeile 39:
 <note tip>Die folgende Voreinstellung muss übrigens für jedes Mailkonto einzeln vorgenommen werden, da die persönlichen Zertifikate ja immer für ein individuelles Mailkonto herausgegeben werden.</note> <note tip>Die folgende Voreinstellung muss übrigens für jedes Mailkonto einzeln vorgenommen werden, da die persönlichen Zertifikate ja immer für ein individuelles Mailkonto herausgegeben werden.</note>
  
-In den Konten-Einstellungen öffnen Sie die Kategorie **S/MIME-Sicherheit** und lassen sich mit Hilfe der Schaltfläche **Auswählen** die verfügbaren Zertifikate anzeigen. Wählen Sie das Zertifikat aus (falls überhaupt mehrere angeboten werden) - **die Mailadresse muss mit der des Kontos übereinstimmen** - und bestätigen Sie, dass Sie ggf. mit diesem Zertifikat auch ver- und entschlüsseln wollen. Zusätzlich setzen Sie einen  Haken bei **Nachrichten digital unterschreiben (als Standard)**, wenn die Unterschrift grundsätzlich unter jede Mail gesetzt werden soll, die von diesem Konto verschickt wird.+{{:bilder-thunderbird3:zertifizieren:smimesecurity.png|}}
  
-Die hier getroffene Entscheidung kann vor dem Versenden jeder Mail grundsätzlich revidiert werden, allerdings nur für einen Sende-Vorgang. Deshalb die Anmerkung „als Standard“. Üblicherweise wählt man bei der Standard-Verschlüsselung die Option „Nie“, da üblicherweise nur in Einzelfällen eine Mail verschlüsselt verschickt wird.+In den Konten-Einstellungen öffnen Sie die Kategorie **S/MIME-Sicherheit** und lassen sich mit Hilfe der Schaltfläche **Auswählen** die verfügbaren Zertifikate anzeigen. Wählen Sie das passende Zertifikat aus (falls überhaupt mehrere angeboten werden) - **die Mailadresse muss mit der des Kontos übereinstimmen** - und bestätigen Sie, dass Sie ggf. mit diesem Zertifikat auch ver- und entschlüsseln wollen. 
 + 
 +Zusätzlich setzen Sie einen  Haken bei **Nachrichten digital unterschreiben (als Standard)**, wenn die Unterschrift grundsätzlich unter jede Mail gesetzt werden soll, die von diesem Konto verschickt wird. Die hier getroffene Entscheidung kann vor dem Versenden jeder Mail grundsätzlich revidiert werden, allerdings nur für einen Sende-Vorgang. Deshalb die Anmerkung „als Standard“.  
 + 
 +Üblicherweise wählt man bei der **Standard-Verschlüsselung** die Option **Nie**, da üblicherweise nur in Einzelfällen eine Mail verschlüsselt verschickt wird. 
 + 
 +\\
  
 ===== Sperrlisten konfigurieren ===== ===== Sperrlisten konfigurieren =====
  
 +Wenn ein Zertifikat für ungültig erklärt wird, weil z.B. durch eine Neuinstallation der private Schlüssel verloren gegangen ist, wird der **[[http://portal.uni-freiburg.de/rz/services/sicherheit/zertifikate#sperren_eines_zertifikates|Rückruf]]** von der Zertifizierungsstelle in einer Sperrliste veröffentlicht. Leider werden solche Listen von vielen Zertifikate-Nutzern sehr stiefmütterlich behandelt. Deshalb möchten wir hier etwas genauer darauf eingehen.
 +
 +Die Zertifikate sind in der Lage, die Quelle für die Rückrufliste der eigenen Zertifizierungsstelle mit zu liefern (im vorliegenden Beispiel **g_cacrl.crl**):
 +
 +{{:bilder-thunderbird3:certcrl1.png|}}
 +
 +Um die Sperrliste zu importieren, rufen Sie die **[[https://pki.pca.dfn.de/uni-freiburg-ca/cgi-bin/pub/pki?cmd=getStaticPage;name=index;id=3&RA_ID=0ticPage;name=index;id=3&RA_ID=0|Sperrlistenseite]]** der Uni-FR CA auf.
 +
 +{{:bilder-thunderbird3:zertifizieren:importcrl.png|}}
 +
 +Klicken Sie dann mit der linken Maustaste auf den Menüpunkt **Zertifikatsperrliste installieren**.
 +
 +Es erscheint folgendes Fenster:
 +
 +{{:bilder-thunderbird3:zertifizieren:crlimportok.png|}}
 +
 +Klicken Sie auf jeden Fall auf die Schaltfläche Ja, damit Sie die Gelegenheit bekommen, das automatische Verfahren zum regelmäßigen Import der Sperrliste zu konfigurieren. Das geschieht dann im nachfolgenden Fenster. Wählen Sie die Optionen wie vorgeschlagen:
 +
 +{{:bilder-thunderbird3:zertifizieren:crlimportconfig.png|}}
 +
 +Das von der Sperrliste selbst festgelegte und meist recht großzügig bemessene Update-Intervall kann man durchaus kürzer einstellen.
 +
 +Auf diese Weise kann man von diversen Zertifizierungsstellen die Sperrlisten importieren und das Update-Verhalten festlegen.
 +
 +Sie finden die Liste der importierten Sperrlisten in den Thunderbird-Einstellungen:
 +
 +{{:bilder-thunderbird3:zertifizieren:listofcrls.png|}}
 +
 +Dort können Sie auch nachträglich die Update-Einstellungen verändern.
 +
 +\\
 +
 +==== Der OCSP-Server ====
 +
 +Außerdem wird von vielen Zertifizierungsstellen ein Server bereit gestellt, bei dem die Client-Programme (wie z.B. Thunderbird) beim Eintreffen eines Zertifikates unmittelbar nachfragen können, ob das Zertifikat z.Zt. noch (oder schon) gültig ist. Das geschieht über ein spezielles Protokoll mit dem Namen **OCSP (Online Certificate Status Protocol)**. Die Uni-FR CA kann __persönliche__ und __Webserver-Zertifikate__ mit der Option OCSP ausliefern. Man muss allerdings dabei berücksichtigen, das eventuell vorhandene Firewalls die OCSP-Kommunikation verhindern könnten und deshalb dafür freigeschaltet werden müssen.
 +
 +Auch die Adresse des OCSP-Servers wird von einem OCSP-fähigen Zertifikat mitgeliefert:
 +
 +{{:bilder-thunderbird3:zertifizieren:certcrl2.png|}}
 +
 +Um die Verwendung des OCSP-Protokolles müssen Sie sich nicht bemühen; Thunderbird setzt es wenn möglich selbständig ein.
 +
 +\\
  
 ===== Mail senden ===== ===== Mail senden =====
  
 +:!: **Hier wird weiter gebaut!** :!:
 +
 +\\
  
 ==== Standard: Mail unterschreiben ==== ==== Standard: Mail unterschreiben ====
  
 +\\
  
 ==== Ausnahme: Mail nicht unterschreiben ==== ==== Ausnahme: Mail nicht unterschreiben ====
  
 +
 +\\
  
 ===== Mail empfangen ===== ===== Mail empfangen =====
  
 +
 +\\
  
 ==== Mail mit gültiger Unterschrift ==== ==== Mail mit gültiger Unterschrift ====
  
 +
 +\\
  
 ==== Mail mit ungültiger Unterschrift ==== ==== Mail mit ungültiger Unterschrift ====
  
  

Zuletzt angesehen:

QR-Code
QR-Code thundercert (erstellt für aktuelle Seite)