Inhalt

Das Kommunikationsmedium E-Mail ist aus der heutigen Welt nicht mehr wegzudenken. Weltweit werden hunderte Milliarden von E-Mails am Tag, beruflich wie privat, verschickt.

Die überwiegende Mehrheit dieser E-Mails kann jedoch selbst mit einfachsten Mitteln nachverfolgt, abgehört, bewusst verändert oder schlicht korrumpiert werden; Spammer missbrauchen Schwachstellen im E-Mail-Verkehr zum Massenversand unerwünschter E-Mails.

Dieses Seminar behandelt eine Einführung in das Thema E-Mail-Sicherheit. An einer Vielzahl von Beispielen werden Unzulänglichkeiten existierender Systeme vorgestellt und mögliche Angriffsvektoren zusammen mit existierenden Lösungsvorschläge diskutiert.

Ort und Zeit

• Seminar
  Donnerstag, 10:15 - 11:45 Uhr, 04.137
• Vorbesprechung
  Donnerstag, 23.04.2009, 10:15 - 11:45 Uhr, 04.137
• Anmeldung
  noch möglich auch nach der Vorbesprechung per E-Mail an Kai-Steffen Hielscher.

Themen

• Einführung (I7)
  Systemarchitektur und Dienste
  Termin: 14.05.2009
• Bedrohungsszenarien (Frank Fischer)
  Forgery, MITM-Angriffe, Würmer und Botnetze
  Beobachter: Rudolf Proske, Aggressiver Fragensteller: Wolfgang Schnurrer
  Termin: 28.05.2009
• Detailaufbau der Kopfzeilen (Rudolf Proske)
  Traces, Bounces, DSNs
  Beobachter: Andreas Hörger, Aggressiver Fragensteller: Frank Fischer
  Termin: 04.06.2009
• Detailaufbau des Inhalts (Andreas Hörger)
  Codierung, Formate und MIME-Tricks
  Beobachter: Johannes Hampel, Aggressiver Fragensteller: Rudolf Proske
  Termin: 04.06.2009
• On-Disk-Formate von Mails
  Maildir und Mbox
• Serverseitige Filterung (Johannes Hampel)
  Procmail und Sieve
  Beobachter: Andreas Mosthaf, Aggressiver Fragensteller: Andreas Hörger
  Termin: 18.06.2009
• Sichere Übertragung zwischen zwei Knoten (Andreas Mosthaf)
  Authentifizierung, Autorisierung und Verschlüsselung
  Beobachter: Anton Kaiser, Aggressiver Fragensteller: Johannes Hampel
  Termin: 25.06.2009
• Schutz der Kopfzeilen
  SPF/SRS und DomainKeys
• Schutz des Inhalts (Anton Kaiser)
  PGP und S/MIME
  Beobachter: Wolfgang Schnurrer, Aggressiver Fragensteller: Andreas Mosthaf
  Termin: 02.07.2009
• Maßnahmen gegen Spam (Wolfgang Schnurrer)
  Razor/Pyzor, RBLs, Graylisting und Filtern
  Beobachter: Frank Fischer, Aggressiver Fragensteller: Anton Kaiser
  Termin: 09.07.2009
• Labor (I7)
  Termin: 16.07.2009
• WOT (I7)
  Termin: 23.07.2009

Folien

• Inhalt und Organisation
• Hinweise zu Seminaren
• Einführung
• Getting started in the Web of Trust
• The lab

Keysigning Party

• Termin: 23.07.2009
• Uhrzeit: 10:15
• Ort: 04.137 (Besprechungsraum I7, s. Adresse und Karte)
• Weitere Infos zu nötigen Ausweisdokumenten und ggf. zur Vorbereitung: Folien "Getting started in the Web of Trust"
• Poster "Einladung"
• Hinweise
  • CAcert-Anmeldungen mit E-Mail-Adressen bei uni-erlangen.de werden durch Greylisting am RRZE verkompliziert.
    Wenn sich CAcert das erste Mal über die nicht-Zustellbarkeit der Verifizierungsmail beschwert hat genügt es aber, die Anmeldung ca. 30 Minuten später einfach noch einmal zu versuchen.
    Bitte CAcert-Formular "CAP/TTP > A4 - WoT Formular" ausfüllen (aber noch nicht unterschreiben!) und ausreichend Ausdrucke mitbringen.
  • Thawte-Assurer müssen im Vorfeld in der Liste der Thawte-Notaries in Erlangen freigeschaltet werden.
    Meldungen habe ich bisher von:

    Armin Schmidt, Christoph Sommer, Holger Sickenberg, Isabella Thomm, Jan Moritz Struebe, Michael Stilkerich, Tobias Limmer, Christoph Settgast, Richard Schaller, Helmut Schweinzer.

    Bitte Thawte-Formular ausfüllen (aber noch nicht unterschreiben!) und ausreichend Ausdrucke mitbringen.
    Kopie des Personalausweises nicht vergessen – ein Kopierer wird aber auch im Raum stehen.
  • PGP-Keys sollten der Einfachkeit halber schon vor dem Keysigning auf einen Keyserver geladen worden sein.
    Es empfiehlt sich außerdem, die Adresse des Keyservers, auf dem der Key liegt, zusammen mit dem Fingerprint abzudrucken.
• Schlußbemerkungen
  • Die Keysigning-Party war ein voller Erfolg - mit einem derartigen Ansturm hätte wohl niemand gerechnet. Vielen Dank an alle Assurer!
  • Es wäre nett, wenn mir die Thawte-Assurer die spontan mitgemacht haben eine kurze Mail schreiben. Ich würde sie dann in die Liste oben aufnehmen.