Zeigen Sie ein TLS-Symbol für Nachrichten an, die TLS-gesichert sind (Outlook).

Einer meiner Kollegen bei einem großen Finanzinstitut hat Lotus Notes so angepasst, dass ein TLS-Symbol für TLS-gesicherte Nachrichten angezeigt wird.

Ich bin daran interessiert, diese Funktion in Outlook zu imitieren, und glaube, dass hierfür VBScript, benutzerdefinierte Formulare und möglicherweise die Bibliothek für benutzerdefinierte Formulare in Exchange erforderlich sind.

Hat jemand experimentiert, wie die Anzeige einer E-Mail basierend auf NamedProps oder Text, auf den im E-Mail-Header zugegriffen werden kann, geändert werden kann?

— goodguys_activate
quelle

Nachrichten sind nicht TLS-gesichert, Netzwerkflüsse sind. Welche "Sicherheit" er auch immer mit dem Symbol anzeigt, es ist kein TLS.

— Michael Hampton

@ makerofthings7 Es ist mir egal, welche Terminologie Sie mit Ihren Benutzern verwenden, aber bitte ändern Sie Ihre Frage, um die Standardterminologie zu verwenden . "TLS-gesicherte E-Mail" bedeutet nichts - Wenn Sie über die Verschlüsselung der Nutzdaten (der E-Mail) sprechen, sagen Sie dies. Wenn Sie über die Verschlüsselung des Transports sprechen (SMTP + STARTTLS, IMAPS usw.), geben Sie dies an. Wenn Sie beide haben müssen, geben Sie beide an. Ihre Frage, wie sie ist, macht keinen Sinn. (Um Ihre Benutzer nicht wie Idioten klingen zu lassen, möchten Sie ihnen möglicherweise auch die richtige Terminologie beibringen…)

— voretaq7

Wenn Sie dies tun, um ein Audit zu bestehen, was zum Teufel beweist ein GUI-Abzeichen in Outlook? Wenn Sie zeigen müssen, dass eine bestimmte Nachricht mit TLS gesendet oder empfangen wurde, müssen Sie SMTP-Protokolle vorlegen. Warum ist Ihr Mail-Admin-Team für Sie nicht an diesem Projekt beteiligt?

— Mfinni

Dieses GUI-Badge für sicher zugestellte Nachrichten ist bereits in Outlook 2007 und höher integriert. Wenn die Nachrichten nicht bereits als domänengesichert für den Endbenutzer festgelegt sind und Nachrichten zwischen Exchange 2007 (oder neueren) Edge-Transport-Servern zugestellt werden, kann davon ausgegangen werden, dass die Domänensicherheit nicht ordnungsgemäß konfiguriert ist.

— Skyhawk

Ja, viele von uns haben einen "religiösen Eifer", Dinge richtig zu machen. Sie sollten sich nicht wundern, wenn Sie im Zusammenhang mit dieser Frage darauf stoßen.

— Michael Hampton

Antworten:

Gegenseitig erzwungenes TLS , auch als Domänensicherheit bezeichnet, wird in Exchange 2007 und höher unterstützt. Die ordnungsgemäße Konfiguration dieser Funktion ist in der Finanzbranche eine häufige Anforderung an die Lieferantenprüfung: Große Finanzinstitute verlangen von ihren Lieferanten und Geschäftspartnern, dass sie TLS gemäß den E-Mail- Domainnamen der Partnerinstitute durchsetzen. Diese Funktion vermeidet die Weiterleitung über nicht vertrauenswürdige SMTP-Server, indem sichergestellt wird, dass Nachrichten direkt an den Exchange-Server der Empfängerinstitution übermittelt werden, der über TLS verschlüsselt ist, ohne unterwegs nicht vertrauenswürdige Mailserver zu passieren.

Die von Ihnen angeforderte Funktion (Identifizieren domänengesicherter Nachrichten an Endbenutzer) ist bereits in Microsoft Outlook integriert. Wenn die Domänensicherheit korrekt konfiguriert ist, werden alle Nachrichten, deren Transport auf diese Weise gesichert wurde, mit einem grünen Häkchensymbol gekennzeichnet . Sie benötigen keine Skripte oder benutzerdefinierten Formulare, um dies zu erreichen.

Beispiel für ein Dialogfeld mit authentifizierter E-Mail für Exchange-Domänen

— Skyhawk
quelle

Schauen Sie, Microsoft-Software belügt ihre Benutzer, indem sie zu stark vereinfacht. Nochmal.

— MadHatter

Nun, es lügt nicht. Es erzwingt TLS zwischen Ihrer Organisation und einer einzelnen bekannten Organisation, nicht der Welt.

— Mfinni

Es lügt. Wenn " Die Nachricht und ihr Inhalt wurden während der Übertragung nicht angezeigt oder geändert " angezeigt wird, bedeutet dies tatsächlich, dass sie im letzten Hop in der Übermittlungskette nicht angezeigt oder geändert wurden . Es kann nicht garantieren , End-to-End - Integrität, aber die Nachricht den Benutzer ermöglicht , dass weit klar.

— MadHatter

@MadHatter Es gibt keine SMTP "Lieferkette". Damit dies korrekt konfiguriert werden kann, muss ein Sendeconnector vorhanden sein, der so konfiguriert ist, dass E-Mails direkt vom Edge-Transport-Server einer Exchange-Organisation an einen anderen gesendet werden.

— Skyhawk

@MadHatter Ich weiß es nicht, aber ich kann Ihnen sagen, dass in der Finanzbranche (wo ich diese Funktion persönlich pro Client-Anforderung implementiert habe) das Zulassen der Verbindung von Desktops mit dem Exchange-Server über unverschlüsseltes SMTP oder POP3 zu einer Prüfung führen würde Ausnahme. Ich habe für ein Unternehmen gearbeitet, das mehr als 20 IT-Sicherheitsüberprüfungen pro Jahr unterzogen wurde (aufgrund einer großen Anzahl von Kunden aus der Bankenbranche, von denen jeder die Initiative ergriffen hat, uns unabhängig von den anderen zu prüfen), häufig einschließlich Port-Scans von uns Netzwerk von innen. Ja, dies kann falsch implementiert werden. Die meisten Dinge können.

— Skyhawk

TL; DR

Sie können nicht tun, was Sie fragen. Das einzige, was Sie unter Sicherheitsgesichtspunkten zuverlässig mit einem echten Wert überprüfen können , ist die Verschlüsselung der Nachricht selbst (S / MIME, PGP oder ähnliches).

Die lange Version

Aus Ihrem Kommentar

TLS, das beim Transport im offenen Internet gesichert ist, ist für das Unternehmen (und viele große Peer-Unternehmen) ausreichend.

Dies klingt so, als ob Ihr Unternehmen (und seine "vielen großen Peer-Unternehmen") nicht verstehen, was "TLS beim Transport im offenen Internet gesichert" in Bezug auf die Sicherheit für E-Mails bedeutet.

E-Mail (SMTP) ist KEINE Punkt-zu-Punkt-Verbindung. Es ist ein Staffellauf.
Die Sicherheitsanalogie lautet wie folgt:

SMTP + TLS legt Ihre Nachricht in einen leeren Umschlag und gibt sie einem Fremden auf der Straße.
Diese Person öffnet den Umschlag und liest die Nachricht, um zu sehen, an wen sie gerichtet ist.
- Wenn die Nachricht für sie ist, behalten sie sie.
- Wenn die Nachricht für jemand anderen bestimmt ist, legen sie sie in einen neuen leeren Umschlag und geben sie einem anderen Fremden auf der Straße.

Es ist der zweite Punkt unter (2), an dem alles birnenförmig verläuft, da die Nachricht ungestraft abgefangen (kopiert oder geändert) werden kann - TLS schützt den Kanal (sodass andere Leute auf der Straße Ihren Brief nicht sehen können, wenn er ist übergeben werden), aber nicht den Inhalt , den die Zwischenserver entschlüsseln müssen, um zu sehen, an wen die Nachricht gerichtet ist.

Es gibt keine Möglichkeit für Sie, SMTP-TLS in Nachrichten zu überprüfen, die über das öffentliche Internet gesendet werden. Sie können die Kopfdaten einsehen, aber die Kopfdaten sind nur eine Haftnotiz, die jeder Fremde, der sie berührt, auf Ihren Brief klebt - die Kopfzeilen können eine Packung Lügen sein.

Sie können überprüfen, ob der letzte Server, der Ihre Nachricht verarbeitet hat (derjenige, der mit Ihnen gesprochen hat) , TLS verwendet hat, als er mit Ihnen gesprochen hat, da Sie die Details dieser Verbindung kennen. Dies ist jedoch alles, was Sie überprüfen können und das den Rest der Verbindung nicht schützt Kette (oder den Inhalt der Nachricht wie oben angegeben).

Zumindest in meinem Bereich (medizinisch) ist TLS in der Nachrichtenkette als Authentifizierungs- / Signatur- oder Verschlüsselungs- / Vertraulichkeitstechnologie völlig unzureichend - es ist für seine eigenen Zwecke nützlich, aber nicht zuverlässig genug, um Ihren Hut in einem Audit festzuhalten.

Es ist sinnvoll zu überprüfen, ob die Leseverbindung (POP, IMAP, RPC / HTTP (Outlook), Webmail) mit SSL / TLS gesichert ist. Auch dies schützt die Nachricht selbst nicht (und stellt auch nicht die SMTP-Hälfte sicher Der E-Mail-Prozess hatte keinerlei Sicherheit. Er verhindert nur, dass neugierige Blicke über die virtuellen Schultern Ihrer Benutzer lesen, wenn diese ihre E-Mails herunterladen, und schützt ihr Passwort (was ziemlich wichtig ist).

— voretaq7
quelle

Tolle Analogie. :)

— EEAA

Respektvoll hat die Finanzindustrie ganz andere Erwartungen als die medizinische Industrie. Unabhängig davon, ob dies der beste Weg ist, um den Nachrichtenfluss zwischen Partnerinstitutionen zu verschlüsseln, ist die gegenseitige Durchsetzung der TLS-Verschlüsselung (auch bekannt als Domain Security) eine sehr häufige Prüfungsanforderung für Finanzinstitute und deren Anbieter und wird von außerhalb unterstützt. Box in Exchange 2007 und neuer. Es ist sachlich ungenau zu behaupten, dass Nachrichten, die über einen sicheren Transport übermittelt werden, nicht an Endbenutzer identifiziert werden können, da Outlook dies tatsächlich automatisch tut.

— Skyhawk

@ voretaq7 Was nach RFC 2821 passieren kann , ist in diesem Zusammenhang irrelevant. Damit Nachrichten das Domain Secured E-Mail-Badge erhalten, müssen sie über eine mit TLS gesicherte Verbindung direkt vom Edge Transport-Server einer Organisation an den Edge Transport-Server einer anderen Organisation übermittelt werden. Unter normalen Umständen liest nur die NSA den Inhalt dieser Nachrichten.

— Skyhawk

the headers can be a pack of lies.Ich stimme dir nicht zu. Die Vertrauensabgrenzung beginnt und endet mit dem letzten Server, dem Sie vertrauen. Dies kann eine sein, die Sie besitzen, oder eine bei einem Anbieter / externen Cloud-Host.

— goodguys_activate

@ makerofthings7 Ein geeigneter Techniker berücksichtigt alle Fehlerfälle in seinem Design, insbesondere diejenigen, die in Standards kodifiziert sind (z. B. wenn sein MX ein Spam-Filterdienst wie Postini ist, sind alle Wetten deaktiviert). Aber hey, wenn Ihre Auditoren verzeihender sind als meine und Sie nach der ersten Übergabe Ihre Hände waschen können, bedeutet das weniger Arbeit für Sie.

— voretaq7