13
SMIME Zertifikat Funktionspostfach
Hallo zusammen,
ich habe ein kleines Problem. Wir setzen Outlook ein, und haben jetzt von einen externen Partner ein Zertifikat für eine Funktionsadresse bekommen. Klar um verschlüsselte Mails zu senden und empfangen. Das Funktioniert auch prinzipiell soweit ganz gut. Nur leider muss bzw. müsste ich jetzt für jeden Benutzer der Zugriff auf das Postfach hat das Zertifikat manuell Importieren, die User sind dazu leider nur bedingt befähigt.
Ein Logon Script würde ich gerne vermeiden, das wir das eigl. nicht mehr einsetzen. Zudem kommt das Cmd Scripte bei uns durch AppLocker blockiert werden. Alles was ich bis jetzt gefunden habe basiert quasi immer auf Certutil allerdings immer nur als script. Und ich würde jetzt ungern dafür irgendwas über kompliziertes mit signierten Powershell script basteln wenn es ggf. noch eine andere Lösung gibt?
Ziel in kurz: Wie kann ich bei einer bestimmten Benutzergruppe eine PFX/P12 Datei in den Privaten Zertifikatsspeicher importieren? Ohne das die User davon etwas mitbekommen oder anklicken müssen.
Zertifikat liegt als P12 oder PFX vor.
Systeme sind alle Windows 10 Mit Office 2019 und Server 2019 als Domain Controller und Exchange On Premises
ich habe ein kleines Problem. Wir setzen Outlook ein, und haben jetzt von einen externen Partner ein Zertifikat für eine Funktionsadresse bekommen. Klar um verschlüsselte Mails zu senden und empfangen. Das Funktioniert auch prinzipiell soweit ganz gut. Nur leider muss bzw. müsste ich jetzt für jeden Benutzer der Zugriff auf das Postfach hat das Zertifikat manuell Importieren, die User sind dazu leider nur bedingt befähigt.
Ein Logon Script würde ich gerne vermeiden, das wir das eigl. nicht mehr einsetzen. Zudem kommt das Cmd Scripte bei uns durch AppLocker blockiert werden. Alles was ich bis jetzt gefunden habe basiert quasi immer auf Certutil allerdings immer nur als script. Und ich würde jetzt ungern dafür irgendwas über kompliziertes mit signierten Powershell script basteln wenn es ggf. noch eine andere Lösung gibt?
Ziel in kurz: Wie kann ich bei einer bestimmten Benutzergruppe eine PFX/P12 Datei in den Privaten Zertifikatsspeicher importieren? Ohne das die User davon etwas mitbekommen oder anklicken müssen.
Zertifikat liegt als P12 oder PFX vor.
Systeme sind alle Windows 10 Mit Office 2019 und Server 2019 als Domain Controller und Exchange On Premises
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 1871068254
Url: https://administrator.de/contentid/1871068254
Printed on: April 25, 2024 at 12:04 o'clock
13 Comments
Latest comment
Hi,
meine Idee wäre ein GPO? So habe ich das SSL Zertifikat für meinen Proxy verteilt.
meine Idee wäre ein GPO? So habe ich das SSL Zertifikat für meinen Proxy verteilt.
Eine GPO lässt dich soweit ich es bis jetzt rausfinden konnte nur Öffentliche schlüssel verteilen, leider nicht den Privaten teil den ich ja gerade brauche.
Ist jetzt natürlich eine ziemliche Killer-Lösung aber Ich bin ein großer Freund von Gateways, so das die E-Mails intern dann unverschlüsselt in den Postfächern liegen und die Zertifikate alle auf dem Gateway. Das sollte man jetzt nicht wegen eines Zertifikates einführen, könnte dein Problem mit lösen aber auch neue schaffen.
Tatsächlich hatte ich auch diese Idee schon, und vielleicht wäre das eine gelegenheit das umzusetzen. Wir haben aktuell sowieso die Proxmox Mail Gateways im Einsatz aber ich könnte diese z.b. gegen ein sinnvolleres Mailgateway tauschen.
Habt @ukulele-7 hast Du zufällig ein Produkt das Du empfehlen kannst. irgendwas simples gerne Open Source oder Free bzw. wie immer für schmales Geld
Habt @ukulele-7 hast Du zufällig ein Produkt das Du empfehlen kannst. irgendwas simples gerne Open Source oder Free bzw. wie immer für schmales Geld
Ich glaube NOSPAMPROXY erfüllt deinen Zweck auch.
Hallo,
das geht nur geskriptet. Ich sehe auch keinen Weg, das sicher gruppenbasiert zu tun, denn als SYSTEM kanns du das nicht in den User-Store importieren und als User kannst Du pfx und Passwort abrufen. Für Protect-CmsMessage brauchst du dann wieder Nutzerzertifikate, arbeitest effektiv also nicht gruppenbasiert.
Eine Möglichkeit wäre, den Nutzern Token/Smartcards mit dem Zertifikat auszuhändigen. Der Nachteil von Gateways ist, dass sie recht ineffizient sind, sofern man ein hohes Mail-Aufkommen/Bursts und geringen Verschlüsselungsbedarf hat, d.h. es läuft dann ein Milter mit, generiert Datenbankabfragen etc.
Grüße
Richard
das geht nur geskriptet. Ich sehe auch keinen Weg, das sicher gruppenbasiert zu tun, denn als SYSTEM kanns du das nicht in den User-Store importieren und als User kannst Du pfx und Passwort abrufen. Für Protect-CmsMessage brauchst du dann wieder Nutzerzertifikate, arbeitest effektiv also nicht gruppenbasiert.
Eine Möglichkeit wäre, den Nutzern Token/Smartcards mit dem Zertifikat auszuhändigen. Der Nachteil von Gateways ist, dass sie recht ineffizient sind, sofern man ein hohes Mail-Aufkommen/Bursts und geringen Verschlüsselungsbedarf hat, d.h. es läuft dann ein Milter mit, generiert Datenbankabfragen etc.
Grüße
Richard
Moin,
Gruß,
Dani
Ich glaube NOSPAMPROXY erfüllt deinen Zweck auch.
so ist es.Eine Möglichkeit wäre, den Nutzern Token/Smartcards mit dem Zertifikat auszuhändigen.
Dann müsstest du in diesen Fall die Smartcard zentral plazieren, wo jeder der Nutzer des Funktionposfaches phykalischen Zugriff hat. Was wiederrum der Logik und dem Sinn wiedersprechen würde.Der Nachteil von Gateways ist, dass sie recht ineffizient sind, sofern man ein hohes Mail-Aufkommen/Bursts und geringen Verschlüsselungsbedarf hat, d.h. es läuft dann ein Milter mit, generiert Datenbankabfragen etc.
Heutzutage mit der Virtualisierung fällt das kaum noch ins Gewicht. Die meiste Leistung bei Produkte wie NoSpaMproxy wird nicht durch Ver-/Entschlüsslung beeinträchtigt sondern maßgeblich durch die Zahl der aus-/eingehenden E-Mails.Gruß,
Dani
Zitat von @Dani:
Dann müsstest du in diesen Fall die Smartcard zentral plazieren, wo jeder der Nutzer des Funktionposfaches phykalischen Zugriff hat. Was wiederrum der Logik und dem Sinn wiedersprechen würde.
Dann müsstest du in diesen Fall die Smartcard zentral plazieren, wo jeder der Nutzer des Funktionposfaches phykalischen Zugriff hat. Was wiederrum der Logik und dem Sinn wiedersprechen würde.
Oder man gibt jedem Nutzer eine Smartcard mit diesem Zertifikat.
Heutzutage mit der Virtualisierung fällt das kaum noch ins Gewicht. Die meiste Leistung bei Produkte wie NoSpaMproxy wird nicht durch Ver-/Entschlüsslung beeinträchtigt sondern maßgeblich durch die Zahl der aus-/eingehenden E-Mails.
Ja, die eigentliche Verschlüsselung fällt nicht ins Gewicht, weil diese Gateways per se ineffizent sind. Wenn du den Verschlüsselungsgateway zusätzlich aufstellst, hast du den Mehraufwand in 1:1 in dem benötigten Host abgebildet. Wenn du ihn z.B. auf einer bestehenden Postfix-Infrastruktur integrierst, verschieben sich die Spezifikationen ganz erheblich. Und das in der Tat proportional zum Durchsatz und fast unabhängig davon, ob nun verschlüsselt wird oder nicht. Entsprechend lohnt es sich in der Regel nicht, diese Ressourcen einzusetzen, wenn der Anteil signierter/verschlüsselter Mails sehr gering ist.
Moin,
Gruß,
Dani
Oder man gibt jedem Nutzer eine Smartcard mit diesem Zertifikat.
Ich habe in unseren Account bei TeleSec und SwissSign nachgeschaut. Dort kann ich keine Stückzahl für die Fertigung angeben. Ist das nur bei bestimmten Anbietern möglich?Gruß,
Dani
Ich nutze Ciphermail, ehemals Djigzo. Ist ein geiles Ding aber Support dafür ist selten. Man muss schon willens sein sich das anzutun, dafür halt free. Ich habe noch keine PKI angebunden, mache alles per Hand über die Whitelist. Ansonsten läuft das Ding aber viele Jahre stabil.
Zitat von @Dani:
Ich habe in unseren Account bei TeleSec und SwissSign nachgeschaut. Dort kann ich keine Stückzahl für die Fertigung angeben. Ist das nur bei bestimmten Anbietern möglich?
Ich habe in unseren Account bei TeleSec und SwissSign nachgeschaut. Dort kann ich keine Stückzahl für die Fertigung angeben. Ist das nur bei bestimmten Anbietern möglich?
Das weiß ich nicht, habe ich so noch nicht gekauft. Denkbar, dass das nicht im Sinne der Anbieter ist, um sich nicht als Träger der Risiken daraus sehen zu müssen.
Der Fragesteller hat aber das Zertifikat ja als pfx, die er auf beliebig viele Karten schreiben kann.
Danke schonmal für die Antworten, ich werde wohl kurzfristig die PFX datei den Usern erstmal zur verfügung stellen zum selber importieren. Ggf. baue ich eine .exe datei mit autoIT oder so damit nicht jeder gleich an den Private Key kommt. Ich kann die Datei ja auch ein AD Gruppe begrenzen. Und mittelfristig werde ich mal Ciphermail testen. Das Mailaufkommen ist nicht so hoch daher perfomance kein Problem, aber verschlüsselung wird mehr werden und ich habe auch schon die nächste anfrage mit PGP, und ein extra Plugin will ich bei den Usern vermeiden.
Wir haben Ciphermail damals aufgetan als PDF-Verschlüsselung gewünscht war. Das hatten wir davor in sehr teuer und technisch deutlich schlechter von Utimaco, da war Ciphermail ein echter Traum.
Als Kommerzieller Anbieter scheint mir NoSpamProxy sehr gut und etabliert zu sein, habe ich aber noch nie genutzt. Die decken Funktionsumfang jenseits der Verschlüsselung mit ab (wie der Name suggeriert halt auch Spam-Filter) und laufen auf Windows, das ist schon eine etwas andere Ausrichtung.
Teste es, ich kann das ein oder andere beantworten. Es gab auch ein deutsches Unternehmen mit denen ich mal telefoniert habe die Support bieten, ist aber recht klein.
Als Kommerzieller Anbieter scheint mir NoSpamProxy sehr gut und etabliert zu sein, habe ich aber noch nie genutzt. Die decken Funktionsumfang jenseits der Verschlüsselung mit ab (wie der Name suggeriert halt auch Spam-Filter) und laufen auf Windows, das ist schon eine etwas andere Ausrichtung.
Teste es, ich kann das ein oder andere beantworten. Es gab auch ein deutsches Unternehmen mit denen ich mal telefoniert habe die Support bieten, ist aber recht klein.
