Signierte E-Mails von Amazon?

Thursday, September 7. 2006

Signierte E-Mails von Amazon?

Einige Blogschreiber möchten, dass Amazon ihre Mails signieren, damit diese auf Authentizität geprüft werden können.

Interessanterweise scheinen sich die Blogschreiber auf PGP/GPG beschränken zu wollen — und übersehen dabei, dass Amazon bei ihren Mailservern bereits TLS unterstützt:

matthias@asterix:~/tmp> ./tls-tester.pl amazon.com
domain=amazon.com;mx=smtp-fw-1101.amazon.com;ip0=207.171.164.54;rdns0=164-54.amazon.com.;
banner="smtp-border-fw-1101.amazon.com";tls=yes;cnsubject="smtp-fw-0101.amazon.com";cnmatch=no;
issuer="CN=Amazon.com IT Security CA/O=Amazon.com";cipher=AES256-SHA

Da Amazon ein Eigenbau-Zertifikat verwendet, ist die Verifizierung etwas schwieriger, aber nicht unmöglich.

Das was ihr wollt gibt es schon: Erzwingen von TLS für eingehende Mails (am Beispiel von Postfix).

Posted by Matthias Leisi in Mail, Security at 09:11 | Comments (5) | Trackbacks (0)

Trackbacks

Trackback specific URI for this entry

No Trackbacks

Comments

Display comments as (Linear | Threaded)

Das was ihr wollt gibt es schon

Nein, gibt es nicht. Denn zum einen sichert TLS nur den Transportweg zwischen den Servern, es bietet dem EmpfÃƒÂ¤nger der Mail keine MÃƒÂ¶glichkeit den Absender zu verifizieren. Und selbst wenn einem die Absicherung des Weges zwischen den Mailservern reichen wÃƒÂ¼rde (was es meiner Meinung nach nicht tut) – wie viele Amazon-Kunden konfigurieren ihre Mailserver wohl selber?

#1 Carsten Dobschat (Homepage) on 2006-09-07 09:51 (Reply)

SMTP/TLS bietet sehr wohl die MÃƒÂ¶glichkeit, den Absender zu identifizieren. Genau genommen ist es nicht der Absender als Person (im Falle von Amazon sowieso: "ein Programm"), sondern der ausliefernde Mailserver.

FÃƒÂ¼r die Art der Gefahr, von der Amazon und ÃƒÂ¤hnliche am meisten betroffen sind (Phishing), ist der Einsatz von SMTP/TLS mit PrÃƒÂ¼fung der Zertifikate auf Mailserver-Ebene sinnvoll: Ein Mail, angeblich von Amazon, ohne ÃƒÂ¼berprÃƒÂ¼fbares Zertifikat? REJECT.

Es ist genauso ein Feature von SMTP/TLS, dass der Amazon-Kunde eben nicht den Mailserver dafÃƒÂ¼r konfigurieren muss. Ein Administrator macht das, und hat damit alle seine User geschÃƒÂ¼tzt.

#1.1 Matthias Leisi (Homepage) on 2006-09-07 10:15 (Reply)

Eben, es wird nur der ausliefernde Mailserver identifiziert – und was bringt das einem Enduser? Erstmal nix. Keine Frage: TLS ist sinnvoll, aber es ist fÃƒÂ¼r dieses Problem nicht die LÃƒÂ¶sung.
Tatsache ist nun mal: eine LÃƒÂ¶sung auf Basis von GnuPG/PGP erfordert keinen Eingriff von Dritten (Mailserver-Administratoren, auf die man als Endkunde meist nicht durchgreifen kann) und erlaubt es zwei Kommunikationspartnern ganz unabhÃƒÂ¤ngig von den dazwischen verwendeten Mailservern und Mailanbietern gesichert zu kommunizieren. Und nur darum geht es!

SMTP/TLS ist kein Problem von Endusern, sondern von Mailserver-Administratoren.

#1.1.1 Carsten Dobschat (Homepage) on 2006-09-07 10:31 (Reply)

Warum muss es Aufgabe des Endbenutzers sein? Im Gegenteil, da die grosse Zahl der Endbenutzer damit ÃƒÂ¼berfordert sind (egal ob PGP oder S/MIME), bringt es wesentlich mehr Benefit, wenn die Identifizierung und Authentifizierung zentral erfolgt.

Sicher ist SMTP/TLS nicht die LÃƒÂ¶sung fÃƒÂ¼r alle Probleme, und wenn Anbieter Methoden wie PGP unterstÃƒÂ¼tzen ist das eine Gute Sache™.

Aber: Endbenutzer-Crypto-LÃƒÂ¶sungen sind ÃƒÂ¤usserst aufwÃƒÂ¤ndig in der organisatorischen und administrativen Handhabung; ihr Nutzen hÃƒÂ¤ngt stark davon ab, ob die Endbenutzer richtig damit umgehen kÃƒÂ¶nnen — was in vielen FÃƒÂ¤llen bezweifelt werden darf.

#1.1.1.1 Matthias Leisi (Homepage) on 2006-09-07 11:05 (Reply)

Ende-zu-Ende / Site-to-Site. Ãƒâ€žpfel / Birnen. Was gibts darÃƒÂ¼ber eigentlich zu diskutieren? :-o

#2 martin (Homepage) on 2006-09-08 18:24 (Reply)

Add Comment

Name
Email
Homepage
In reply to
Comment	Textile-formatting allowed E-Mail addresses will not be displayed and will only be used for E-Mail notifications To prevent automated Bots from commentspamming, please enter the string you see in the image below in the appropriate input box. Your comment will only be submitted if the strings match. Please ensure that your browser supports and accepts cookies, or your comment cannot be verified correctly. Enter the string from the spam-prevention image above:
	Remember Information? Subscribe to this entry