E-Mail-Sicherheit
Was bedeutet eine BSI-Zertifizierung nach BSZ?
Von Stefan Cink, Director Business and Professional Services, Net at Work GmbH
Als erstes Softwareprodukt für Mail Security weltweit wurde NoSpamProxy vom Bundesamt für Sicherheit in der Informationstechnik (BSI) nach der Beschleunigten Sicherheitszertifizierung (BSZ) zertifiziert. Das BSI ermöglicht es Herstellern, ihre Sicherheitsaussagen bezüglich eines Produktes durch ein unabhängiges Zertifikat bestätigen zu lassen. Im Gegensatz zu anderen Zertifizierungen umfasst die BSZ eine intensive Prüfung mit realen Angriffsszenarien und Penetrationstests und schafft so ein besonders hohes Niveau an Vertrauen in die Sicherheitsaussagen der Hersteller zu einem Produkt.
Konformität mit den Empfehlungen des BSI geprüft
In der BSZ werden vollständige Produkte in dem für sie typischen Einsatzszenario betrachtet. Mithilfe von Konformitätstests wird die tatsächliche Bereitstellung der zugesagten Sicherheitsleistung geprüft. In diesen formalen Prüfungen auf Konformität werden insbesondere die verwendeten Krypto-Algorithmen untersucht und damit sichergestellt, dass sie alle den Empfehlungen des BSI entsprechen.
Bei Softwareprodukten von besonderer Bedeutung ist zudem die sichere Konfiguration der Basisumgebung, in der die Lösung läuft. Dazu muss der Hersteller eine detaillierte Installations- und Konfigurationsanleitung mitliefern, die ebenfalls Bestandteil der Zertifizierung ist. Im Falle von NoSpamProxy wird die Konfiguration des Windows-Server-Systems, auf dem NoSpamProxy Server installiert wird, detailliert vorgegeben und durch ein Härtungsskript unterstützt.
Penetrationstests durch erfahrene Expertinnen und Experten
Über Penetrationstests wird dann die Wirksamkeit der technischen Sicherheitsmaßnahmen durch anerkannte Prüfstellen mit erfahrenen IT-Sicherheitsexperten und Penetrationstestern – im Fall von NoSpamProxy secuvera – getestet. Dabei werden alle extern erreichbaren Schnittstellen und Ports des Systems sowie die Kommunikation analysiert und intensiv versucht, Zugriff über die erkannten Schnittstellen und Ports zu erhalten.
Umfassendes Testen der Funktion
Weiterhin wird die verlässliche Funktion der E-Mail-Security-Lösung umfassend geprüft. Mit einer automatisierten Erstellung von RFC-konformen und nicht-konformen E-Mails wird versucht, die Zustellung manipulierter E-Mails zu erreichen. Das System wird dabei mit E-Mails mit falschen, manipulierten oder zu kurzen, zu langen oder anderweitig nicht den BSI-Richtlinien (TR02102) entsprechenden Schlüsseln konfrontiert – jeweils für PGP und S/Mime. Insgesamt wurden bei der Prüfung von NoSpamProxy 20 verschiedene Tests durchgeführt. In allen Fällen wurden die E-Mails von NoSpamProxy korrekt erkannt und abgewiesen. Auch die Positivtests mit Mails mit korrekten Signaturen wurden von NoSpamProxy in allen Fällen korrekt verarbeitet.
Weitere Tests prüfen auf eine potentielle Anfälligkeit für einen EFAIL-Angriff (https://efail.de ), bei dem ein Angreifer eine mit PGP oder mit S/Mime verschlüsselte Mail abfängt und in eine manipulierte Mail einbettet, auf die korrekte Erkennung zurückgezogener Zertifikate und daraus resultierend auf das Abweisen solche Mails. Schließlich wird auch die TLS-Transportverschlüsselung sowohl mit einem internen Werkzeug des Prüflabors als auch dem kommerziell verfügbaren Werkzeug „TLS Inspector“ untersucht.
In Summe wird deutlich, dass die Prüfungen und Penetrationstests sehr detailliert und mit guter Kenntnis des Angriffsziels durchgeführt werden. Um ein solches Verfahren zu überstehen, muss das System über entsprechend hochentwickelte und robuste Sicherheitsmechanismen verfügen, die nahtlos ineinandergreifen.
Zertifizierung nach BSI-BSZ gibt Anwendern bestmögliche Sicherheit
So liefert die BSZ den Anwenderinnen und Anwendern eines entsprechend zertifizierten Produkts eine belastbare Aussage über die Widerstandsfähigkeit des Produkts auf Basis einer eindeutigen und verständlichen Darstellung der gebotenen Sicherheitsleistung. Zudem gibt die Zertifizierung eine Gewähr dafür, über einen definierten Zeitraum – in der Regel zwei Jahre – vom Hersteller mit Aktualisierungen bei neu erkannten Schwachstellen versorgt zu werden. Für die Hersteller definiert die BSI-Zertifizierung nach BSZ klar die Messlatte für den geforderten Stand der Technik. Ohne eine solche Zertifizierung werden die wenigsten Kunden ein Produkt einsetzen wollen. Da das BSI intensiv die wechselseitige Anerkennung der BSZ im europäischen Ausland – beispielsweise durch die französische ANSSI – vorantreibt, bietet eine derartige Zertifizierung auch international deutliche Vorteile für Anwender und Hersteller.
Mehr Informationen zum weltweit ersten vom BSI nach BSZ zertifizierten Software-Produkt für E-Mail-Sicherheit finden Sie hier: https://www.nospamproxy.de/de/bsz/
