Elster Zertifikat zur E-Mail Signatur und Verschlüsselung nutzen!

[Thorsten-Hartmaier]

Hallo,

ich habe im Netz gelesen das ich das Zertifikat von Elster auch zur E-Mail Verschlüsselung nutzen kann!

Aber irgendwie funktioniert das bei mir im Outlook 2010 nicht, ich kann zwar das Zertifikat auswählen, aber wenn ich dann eine E-Mail Signieren oder Verschlüsseln will kommt beim versenden die Meldung das kein Zertifikat ausgewählt wurde!

Kann mir jemand dabei helfen???

Eine weitere Frage wäre warum kommt bei der Installation des Zertifikater die Meldung das nicht bestätigt werden kann dass, das Zertifikat von ElsterCA kommt und das dies ein Sicherheitsproblem darstellt!

Vielen Dank im Voraus für eure Hilfe!

[DC1961-1]

AW: Elster Zertifikat zur E-Mail Signatur und Verschlüsselung nutzen!

Sehr geehrter Herr Hartmaier,

ich habe zwar nicht das gesamt Internet gelesen, sondern nur das
Neue Universal Lexikon, Köln 1978.
Dort steht zu Zertifikat (lat.), das:
1) Beglaubigung, Bescheinigung,
2) Miteigentumszertifikat.

Von welcher Stelle im welt-weiten-Web haben Sie Ihre Information?

[stiller]

AW: Elster Zertifikat zur E-Mail Signatur und Verschlüsselung nutzen!

Mir ist dies nicht bekannt, da das Zertifikat keine digitale Unterschrift ist, sondern nur den Datenlieferer identifiziert.

Die Quelle würde mich allerdings auch interessieren.

[Mime]

Ich bin hierauf gestoßen, weil ich mir dieselben Gedanken gemacht habe: Es wäre doch schön, wenn sich das Zertifikat einfach verwenden ließe, um eigene E-Mails zu signieren und anderen einen vertrauenswürdigen Schlüssel zur Verfügung zu stellen, mit dem sie für den Zertifikatsinhaber E-Mails verschlüsseln können. Es gibt ein paar Probleme dabei, die sich teilweise lösen lassen:
1. Die Zertifizierungsbehörde ElsterRootCA ist zwar aus meiner Sicht vertrauenswürdig, aber ihr Zertifikat ist nicht standardmäßig in E-Mail-Programmen integriert. Man könnte ElsterRootCA aber manuell hinzufügen.
2. Ich kenne S/MIME-Zertifikate, die nur die E-Mail-Adresse oder neben der E-Mail-Adresse auch den Namen beglaubigen. Das Elster-Zertifikat beglaubig nur zwei sehr ähnliche Seriennummern, keinen Namen, keine E-Mail-Adresse. Das E-Mail-Programm will aber bei der Prüfung der Signatur, dass die E-Mail-Adresse beglaubigt ist. Das hat Elster nicht gemacht und lässt sich auch nicht nachholen. Prinzipiell wird mit dem Zertifikat die Echtheit der Seriennummer beglaubigt. Wer die Seriennummer kennt, kann sich sicher sein, dass der (meist) mit der E-Mail mitgelieferte öffentliche Signaturprüfschlüssel zum Inhaber mit dieser Seriennummer gehört. (Die Seriennummer ist nicht die Steuer-ID oder die Steuernummer, zumindest gibt es keinen für mich offensichtlichen Zusammenhang.)
3. Meine ersten Versuche, das Elster-Zertifikat in ein S/MIME-Zertifikat umzuwandeln sehen ungefähr so aus:
openssl pkcs12 -in elster.zertifikat.pfx -out temp.pem -nodes -legacy
(Der Schalter "legacy" ist wegen des verwendeten RC2-40-CBC nötig, den das Werkzeug sonst nicht mag. In diesem Schritt muss man sein als Elster-PIN bezeichnetes Passwort verwenden.)

openssl rsa -in temp.pem -out privkey.pem

openssl x509 -in temp.pem -out cert.pem

openssl pkcs12 -export -in cert.pem -inkey privkey.pem -out smime.p12 -name "Nome Cognome"
(In diesem Schritt vergibt man auch das Passwort für das erzeugte Zertifikat.)
Aus den oben genannten Gründen ist das Zertifikat nicht wirklich zu gebrauchen, ich habe es gar nicht erst versucht.
4. Interessanter ist schon der Inhalt des Zertifikats, der sich so anzeigen lässt:
openssl pkcs12 -in elster.zertifikat.pfx -info -nodes -legacy
(Elster-PIN bereithalten)
Darin gibt es diese Elemente:
2 verschlüsselte private Schlüssel (Shrouded Keybag)
4 Zertifikate (Certificate bag) - das sind vermutlich:
Verschlüsselungs-Zertifikat (C wie crypt?)
Signatur-Zertifikat (A wie authentication oder Anmeldung?)
ElsterIdNrSoftCA (Intermediate)
ElsterRootCA (Root)