KMail mit S/MIME
Inhaltsverzeichnis
Voraussetzungen
Unter Linux haben Sie die Möglichkeit sich entweder mittels des Befehls openssl zu arbeiten oder ein Software-Paket namens TinyCA zu installieren, um sich eine eigene PKI aufzubauen. Dazu müssen Sie sich zuerst ein Zertifikat für eine eigene Zertifizierungs-Authorität (CA) aufbauen. Dann müssen Sie ein Benutzerzertifikat für Sie bzw. Ihre E-Mail-Adresse erstellen, dieses mit dem Zertifikat der CA signieren und es dann exportieren. Allerdings hat das Verfahren, eine eigene PKI aufzubauen, den Nachteil, dass das Zertifikat Ihrer CA nirgends anerkannt ist und Kommunikationspartner, die mit Ihnen verschlüsselte und digital signierte E-Mails austauschen wollen, nicht nur über Ihr Zertifikat sondern auch über das Zertifikat Ihrer CA verfügen müssen. Dennoch macht so etwas Sinn, z. B., wenn eine Firma Ihre eigene PKI aufbaut.
Ich gehe hier von einer Standard Linux Desktop Installation aus, bei der KDE als Benutzeroberfläche installiert wurde. In Abweichung zur überschrift, kommt der KDE-PIM Kontact zum Einsatz, was aber kaum eine Rolle spielt, da dies eigentlich nur ein Container für andere Programme ist. Das E-Mail-Programm in Kontact ist KMail, weshalb die Beschreibungen grundsätzlich identisch sind. Man kann KMail natürlich auch als Einzelprogramm nutzen, jedoch bietet Kontakt mehr Komfort und fasst eigentlich alles zusammen, was man für die Kommunikation braucht. Kontakt wird bei einigen Distributionen standardmäß mit installiert, wenn man KDE als Desktop auswählt, bei anderen muss man es separat mit der Paketverwaltung installieren. Das Paket trägt den Namen kdepim.
Alle andere benötigte Software ist bereits "an Bord". Weitere Pakete müssen also nicht installiert werden.
Achtung!
Sollten Sie bisher noch keinerlei Erfahrung mit Verschlüsselung und digitaler Signatur haben, sollten Sie sich unbedingt die Grundlagen zu dieser Thematik auf unserer Website durchlesen, bevor Sie hier weiter machen.
Zertifikat besorgen
Wir wollen hier aber von dem Szenario ausgehen, dass Sie sich von einem anerkannten Zertifizierungsdienstanbieter ein Zertifikat besorgen. Als Anlaufstelle möchten wir Ihnen hier die Fa. TC Trustcenter nennen, die Privatpersonen für die nicht kommerzielle Nutzung kostenlose Zertifikate mit einer Gültigkeit von einem Jahr anbietet.
Gehen Sie auf die Website von TC Trustcenter. Benutzen Sie dazu den Browser Mozilla Firefox, da wir uns in der weiteren Beschreibung auf diesen beziehen. Sollten Sie einen anderen Browser verwenden, müssen Sie Ihr Zertifikat später aus diesem exportieren, um es in den E-Mail-Client bzw. dessen Zertifikatsverwaltung importieren zu können. Achten Sie auf jeden Fall bei der Erstellung des Zertifikats darauf, dass Sie für Ihren privaten Schlüssel ein sicheres Passwort vergeben, das auch eine ausreichende Länge hat. Da die mit Ihrem privaten Schlüssel erzeugten digitalen Signaturen auch Ihre Identität bezeugen, muss ein starkes Passwort gewählt werden. Schwache Passwörter beinhalten die Gefahr, dass unbefugte Personen an Ihren privaten Schlüssel kommen und damit Ihre Identität annehmen können.
Auf der Website von TC Trustcenter wählen Sie Produket & Services aus der Menüleiste am oberen Rand der Seite und dort TC Certificates. Sie landen auf einer Seite auf der Sie sofort TC Internet ID sehen. Dort klicken Sie auf mehr und erhalten dann genügend Informationen, um ein kostenloses Zertifikat beantragen zu können. Da diese Informationen den gesamten Vorgang ausreichend genau erklären, wird auf die Beantragung Ihres Zertifikats bei TC Trustcenter nicht weiter eingegangen.
Eine Sache ist aber noch wichtig. Damit Sie mit Ihrem Zertifikat auch wirklich arbeiten können: Während die Zertifikate der Zertifikatanbieter für kommerzielle Zertifikate in Ihren Browser in der Regel fest eingebaut sind, müssen Sie das Zertifikat, das die Echtheit Ihres kostenlosen Zertifikats bestätigt, erst noch von TC Trustcenter herunterladen.
Gehen Sie hierzu folgendermaßen vor: Gehen Sie auf die Website von TC Trustcenter und wählen Sie Service Center und dort Root-Zertifikate. Auf der Seite, die dann erscheint sehen Sie ganz oben 1.1 TC Class 1. Wenn Sie diesem Link folgen, sehen Sie zwei unterschiedliche Formate dieses Zertifikats zum Herunterladen angeboten. Dabei ist es egal, welches davon Sie wählen, beide Formate werden anstandslos vom der Zertifikatsverwaltung Ihres E-Mail-Clients importiert.
Installation des Root-Zertifikats
Nachdem Sie das Root-Zertifikat herunter geladen haben, starten Sie Ihren E-Mail-Client. Wählen Sie Bearbeiten (unter Windows finden Sie dies sinnvoller Weise unter Extras) und dort Einstellungen. In dem dann erscheinenden Fenster wählen Sie Erweitert, dann das Register Verschlüsselung und dort die Schaltfläche Zertifikate. Dann wählen Sie das Register Zertifizierungsstellen und importieren das herunter geladene Zertifikat mittels der Schaltfläche Importieren.
Im nebenstehenden Dialog, der beim Import erscheint, sollten Sie angeben, für welche Zwecke Sie diesem Zertifikat vertrauen wollen. Außerdem können Sie sich über die Schaltfläche Ansicht die Details dieses Zertifikats ansehen. (Wie Sie vielleicht bemerkt haben, zeigt die Abbildung kein Zertifikat von TC Trustcenter sondern ein eigenes für die Fa. Dr. Harry Knitter EDV-Beratung erstelltes Root-Zertifikat.) Importieren Sie dann das Zertifikat, indem Sie auf die Schaltfläche OK klicken.
Dieses Zertifikat, das Sie soeben importiert haben. dient dazu, Ihr noch zu installierendes Zertifikat und auch Zertifikate der gleichen Kategorie anderer Personen in ihrer Echtheit zu bestätigen.
Damit haben wir jetzt die Vorbereitungen getroffen, die nötig waren, um uns jetzt um Ihr eigentliches Zertifikat zu kümmern.
Export Ihres Zertifikats aus dem Browser
Nachdem Sie Ihr Zertifikat von TC Trustcenter erhalten haben, liegt dies in Ihrem Browser, von dem aus wir es erst mal in den E-Mail-Client übertragen müssen. Dazu gehen Sie im Mozilla Firefox zu Bearbeiten (unter Windows ist dies mal wieder sinniger Weise unter Extras zu finden) und dort zu Einstellungen, wo Sie unter Erweitert auf dem Register Verschlüsselung die Schaltfläche Zertifikate finden.
Im Dialog Zertifikate wählen Sie das Register Eigene Zertifikate und dort die Schaltfläche Sichern.
Es erscheint dann der Standard-speichern-unter-Dialog. Speichern Sie Ihr Zertifikat an einer für andere Personen unzugängliche Stelle ab. Dabei werden Sie zur Vergabe eines Backup-Passworts aufgefordert, das Sie bei der Wiederherstellung des Zertifikats benötigen werden. Dieses Passwort hat nichts mit dem Passwort zu tun, das Sie bei der Erstellung Ihres Zertifikats bei TC Trustcenter vergeben haben. Sollten Sie hier ein anderes Passwort verwenden, so merken Sie sich genau, welches der Passwörter für was Verwendung findet!
Jetzt können Sie alle Dialoge und auch Ihren Browser wieder schließen.
Installation der Zertifikate in die Zertifikatsverwaltung
Um die Zertifikate auch anderen Anwendungen als nur Ihrem E-Mail-Client zur Verfügung zu stellen, werden wir diese in der zentralen Zertifikatsverwaltung des KDE installieren. Klicken Sie dazu auf das Hauptmenü links in der Kontrolleiste und wählen Sie Kontrollzentrum.
Im Kontrollzentrum öffnen Sie links den Menüpunkt Sicherheit und Privatsphäre und klicken auf Verschlüsselung und dort auf das Register SSL-Unterzeichner. Hier hinein importieren Sie jetzt das Root-Zertifikat, das Sie bei TC Trustcenter heruntergeladen haben. Sollten Sie die Schaltfläche Importieren nicht sehen, verwenden Sie die untere horizontale Bildlaufleiste, um den Inhalt des Fensters zu verschieben.
Nach dem Import werden Sie gefragt, ob Sie dieses Zertifikat für KMail verfügbar machen wollen, was Sie natürlich mit Verfügbar machen beantworten.
Jetzt wird die Zertifikatsverwaltung von KMail mit dem schönen Namen Kleopatra aufgerufen, vor der zuerst noch ein Dialog mit den Informationen zum Import erscheint, den Sie mit OK bestätigen können. Nun können Sie diese Zertifikatsverwaltung durchsuchen bis Sie das importierte Wurzel-Zertifikat von TC Trustcenter sehen können. (Wie Sie am nebenstehenden Bild feststellen können, habe ich hier ein eigenes Wurzel-Zertifikat meiner eigenen CA importiert). Schließen Sie Kleopatra und kehren Sie zum Kontrollzentrum zurück.
Bevor Sie jetzt zum Import Ihres Zertifikats schreiten, das Sie aus dem Mozilla Firefox gesichert haben, sollten Sie erst mal auf die Schaltfläche Anwenden klicken.
Wählen Sie das Register Ihre Zertifikate, klicken Sie auf die Schaltfläche Importieren und importieren Sie das Zertifikat, das Sie aus dem Mozilla Firefox gesichert haben. Dann werden Sie zur Eingabe Ihres Zertifikatspassworts, hier ist das Backup-Passwort gemeint, das Sie beim Sichern aus dem Browser vergeben haben, aufgefordert und gefragt, ob Sie auch dieses Zertifikat für KMail verfügbar machen wollen. Danach erscheint wieder Kleopatra und eine nochmalige Aufforderung das Zertifikatspasswort einzugeben. Jetzt müssen Sie noch ein Passwort vergeben, das Ihr Zertifikat in der Zertifikatsverwaltung schützt, was mit einer nochmaligen Abfrage des selben Passworts bestätigt werden muss.
Danach sehen Sie in Kleopatra auch Ihr persönliches Zertifikat. Kleopatra kann jetzt geschlossen werden. Klicken Sie nun im Kontrollzentrum auf Anwenden
.Sie können jetzt auch überprüfen, ob alles geklappt hat, indem Sie auf die gleichnamige Schaltfläche ganz rechts (evtl. mit der horizontalen Bildlaufleiste nach rechts scrollen) klicken. Hat die überprüfung geklappt, können Sie das Kontrollzentrum jetzt schließen.
KMail bzw. Kontact einrichten
Ich gehe hierbei davon aus, dass Sie KMail bzw. Kontact bereits für das Senden und Empfangen von E-Mails eingerichtet haben.
Starten Sie KMail bzw. Kontact. Klicken Sie auf Einstellungen und dann auf KMail einrichten. bei Identität klicken Sie auf die Schaltfläche ändern
Es erscheint ein Dialog mit mehreren Registern. Wählen Sie Kryptografie und klicken Sie bei S/MIME-Verschlüsselungszertifikat auf die Schaltfläche ändern, worauf ein Auswahldialog für das zu verwendende Zertifikat erscheint. Wählen Sie Ihr Zertifikat aus und bestätigen Sie mit OK. Das Gleiche führen Sie auch noch für S/MIME-Verschlüsselungszertifikat durch.
Sie können jetzt die übergeordneten Dialoge schließen.
Die Praxis mit KMail
Nun ist Ihr E-Mail-Client eingerichtet für das Versenden und Empfangen verschlüsselter und digital signierter Mails. Um eine Mail zu signieren, klicken Sie im Fenster, in dem Sie Ihre Mail erstellen, auf die Schaltfläche mit dem Federhalter. Um eine zu verschlüsseln, klicken Sie auf die mit dem Schloss. Nachdem Sie auf die Schaltfläche für das Versenden geklickt haben, wird bei signierten Mails das Passwort abgefragt, das Ihren privaten Schlüssel schützt, beim Verschlüsseln wird Ihnen eine Auswahl von Zertifikaten des oder der Mail-Empfänger angeboten.
Startseite
Dienstleistungen
Tipps
