E-Mail Sicherheit - Dummies

E-Mail hat sich zu einem der wichtigsten Kommunikationsmedien in unserer globalen Wirtschaft entwickelt, mit täglich mehr als 50 Milliarden E-Mail-Nachrichten weltweit. Unglücklicherweise macht Spam bis zu 85 Prozent dieses E-Mail-Volumes aus. Spam ist mehr als nur ein kleines Ärgernis - es ist eine ernsthafte Sicherheitsbedrohung für alle Organisationen weltweit.

Das Simple Mail Transfer Protocol (SMTP) wird zum Senden und Empfangen von E-Mails über das Internet verwendet. Es arbeitet auf TCP / UDP-Port 25 und enthält viele bekannte Schwachstellen. Die meisten SMTP-Mailserver sind standardmäßig so konfiguriert, dass sie alle E-Mails weiterleiten (oder weiterleiten), unabhängig davon, ob die Adresse des Absenders oder des Empfängers gültig ist.

Wenn Sie die Mailserver Ihrer Organisation nicht sichern, können Spammer Ihre Server und Bandbreite als offenes Relay missbrauchen, um ihren Spam zu verbreiten. Die schlechte Nachricht ist, dass Sie (in der Regel nicht länger als ein paar Tage) von einer großen Anzahl von Organisationen auf die schwarze Liste gesetzt werden, die Echtzeit-Blackhole-Listen (RBLs) gegen offene Relais verwalten und so die meisten alle E-Mail-Nachrichten von Ihrer Organisation, die ihre beabsichtigten Empfänger erreichen. Es dauert in der Regel mehrere Monate, bis Sie von diesen RBLs entfernt werden, nachdem Sie auf die schwarze Liste gesetzt wurden, und die Kommunikationsinfrastruktur und die Glaubwürdigkeit Ihres Unternehmens werden dadurch erheblich beschädigt.

Die Verwendung von RBLs ist nur eine Methode, um Spam zu bekämpfen, und es ist im Allgemeinen nicht einmal die effektivste oder zuverlässigste Methode. Die Organisationen, die diese massiven Listen führen, sind nicht perfekt und machen Fehler. Wenn ein Fehler mit Ihrer Domain oder IP-Adresse gemacht wird, verfluchen Sie ihre Existenz - es ist ein Fall, in dem die Heilung manchmal schlimmer ist als die Krankheit.

Wenn Sie in Ihrem Unternehmen keine angemessenen Anstrengungen zur Spam-Prävention unternehmen, ist dies ein Versäumnis der Sorgfaltspflicht. Eine Organisation, die keine angemessenen Gegenmaßnahmen einleitet, kann sich in einem Rechtsstreit wegen sexueller Belästigung als Angeklagter eines Angestellten befinden, der mit pornographischen E-Mails überschwemmt wurde, die von einem Spammer an seine E-Mail-Adresse gesendet wurden.

Weitere Risiken im Zusammenhang mit Spam-E-Mails sind:

• Wichtige E-Mails werden verpasst oder gelöscht: Ihr Boss könnte versehentlich diese E-Mail löschen und Ihre Werbung bewerben und erhöhen, da ihr Posteingang mit Spam überschwemmt ist. wird mit dem Löschen-Button schießwütig - zumindest eine gute Ausrede!
• Viren und anderer Spam-Code: Obwohl Sie in den letzten Jahren weniger über Viren zu erfahren scheinen, sind sie immer noch weit verbreitet und E-Mail bleibt das bevorzugte Medium für deren Verbreitung.
• Phishing- und Pharming-Betrug: Phishing und pharming Angriffe, bei denen Opfer auf eine scheinbar legitime Website (typischerweise Online-Banking oder Auktionen) gelockt werden, um ihre persönlichen Kontoinformationen zu validieren. werden meist durch Massensendungen verübt. Es ist ein komplexer Betrug, der zunehmend von organisierten Kriminellen begangen wird. Letztendlich kosten Phishing- und Pharming-Betrügereien das Opfer seine oder ihre Moolah - und möglicherweise auch seine oder ihre Identität.

Um diesen Bedrohungen zu begegnen, bedarf es eines Arsenals an technischen Lösungen und Bemühungen um die Sensibilisierung der Nutzer und ist - zumindest vorerst - ein niemals endender Kampf. Beginnen Sie mit der Sicherung Ihrer Server und Client-PCs. Mail-Server sollten immer in einer DMZ platziert werden und unnötige oder unbenutzte Dienste sollten deaktiviert werden - und diese Standard-Relay-Einstellung ändern! Bei den meisten anderen Servern und fast allen Client-PCs sollte Port 25 deaktiviert sein. Implementieren Sie einen Spamfilter oder ein anderes sicheres Mailgateway. Beachten Sie außerdem die folgenden Tipps zur Benutzererkennung:

• Nie wieder abmelden oder auf Spam-E-Mails antworten. Unsubscribe-Links in Spam-E-Mails werden oft verwendet, um die Legitimität Ihrer E-Mail-Adresse zu bestätigen, die dann zu Massen-Mailing-Listen hinzugefügt werden kann, die an andere Spammer verkauft werden. Und so verlockend es auch ist, einem Spammer zu sagen, was Sie wirklich von seinem unwiderstehlichen Angebot halten, Ihr soziales Leben zu verbessern oder Ihr finanzielles Portfolio zu verbessern, lesen die meisten Spammer Ihre Antworten nicht und (leider) sind sie wahrscheinlich nicht. Folge deinem Vorschlag, dass sie von einer Klippe springen.

Obwohl legitime Angebote von bekannten Einzelhändlern oder Newslettern von professionellen Organisationen von vielen Leuten als Spam angesehen werden, ist es wahrscheinlich, dass irgendwann ein Empfänger eines solchen Massensendings tatsächlich für dieses Zeug angemeldet wurde - also ist es technisch nicht Spam. Jeder scheint Ihre E-Mail-Adresse zu wollen, wenn Sie eine Bewerbung für etwas ausfüllen, und wenn Sie Ihre E-Mail-Adresse angeben, bedeutet dies oft eine offene Einladung, um Ihnen von jedem Verkauf von hier bis in die Ewigkeit zu erzählen. In solchen Fällen sind die Absender nach US-Recht verpflichtet, einen Unsubscribe-Hyperlink in ihren Massensendungen bereitzustellen. Wenn Sie darauf klicken, wird der Empfänger aus zukünftigen Mailings entfernt.

• Senden Sie keine automatischen Antwortnachrichten an Internet-E-Mail-Adressen (falls möglich). E-Mail-Server können so konfiguriert werden, dass keine automatischen Antwortnachrichten (z. B. Abwesenheitsnachrichten) an Internet-E-Mail-Adressen gesendet werden. Diese Einstellung ist jedoch in Ihrer Organisation möglicherweise nicht (und wahrscheinlich auch nicht) praktikabel. Seien Sie sich der Implikationen bewusst - automatische Antwortregeln diskriminieren nicht gegen Spammer, daher wissen die Spammer auch, wenn Sie im Urlaub sind!
• Holen Sie sich eine Firewall für Ihren Heimcomputer, bevor Sie mit dem Internet verbinden. Diese Ermahnung ist besonders zutreffend, wenn Sie ein Hochgeschwindigkeitskabel oder ein DSL-Modem verwenden. In der Regel wird ein Heimcomputer mit Hochgeschwindigkeitszugriff innerhalb von Minuten nach der Verbindung mit dem Internet gescannt. Und wenn es nicht durch eine Firewall geschützt wird, wird dieser Computer mit Sicherheit zu einem kompromisslosen Zombie in der Spammer-Armee werden (über 250.000 neue Zombies werden jeden Tag ins Internet gestellt!).). Dann werden Sie ein Teil des Problems, weil Ihr Heimcomputer und Ihre Internetbandbreite verwendet werden, um Spam und Phishing-E-Mails an Tausende von anderen Opfern auf der ganzen Welt zu senden, und Sie werden sich wundern, warum Ihr brandneuer Status-of- Der Heimcomputer ist plötzlich so langsam und Ihre brandneue Hochgeschwindigkeits-Internetverbindung ist nicht so schnell, nur zwei Wochen nachdem Sie sie bekommen haben.

Ihre Endbenutzer müssen nicht CISSP-zertifiziert sein, um ihre Heimcomputer zu sichern. Ein einfaches Firewall-Softwarepaket mit einer Basiskonfiguration reicht in der Regel aus, um die Mehrheit der heutigen Hacker abzuschrecken - die meisten verwenden automatisierte Tools, um das Internet zu scannen und nicht für einen Computer zu bremsen, der selbst die geringste Herausforderung darstellt. In diesen Botnetz-Armeen spielt die Größe eine große Rolle, und viel zu viele ungeschützte Computer sind da draußen, um Zeit (oder sogar Minuten) zu verschwenden, die Ihre Firewall besiegt.

Spam ist nur die Spitze des Eisbergs. Machen Sie sich bereit für neue Bedrohungen wie SPIM (Spam über Instant Messaging) und SPIT (Spam über Internet-Telefonie), die im Kampf um die Messaging-Sicherheit an Bedeutung gewinnen.

Andere Überlegungen zur E-Mail-Sicherheit schließen bösartigen Code in Anhängen, mangelnde Privatsphäre und fehlende Authentifizierung ein. Diesen Überlegungen kann durch die Implementierung von Antivirenscansoftware, Verschlüsselung und digitalen Signaturen begegnet werden.

Mehrere Anwendungen, die verschiedene kryptographische Techniken verwenden, wurden entwickelt, um Vertraulichkeit, Integrität, Authentifizierung, Nichtabstreitbarkeit und Zugangskontrolle für E-Mail-Kommunikation bereitzustellen.

• Sichere Multipurpose Internet Mail Extensions (S / MIME): S / MIME ist eine sichere Methode zum Senden von E-Mails, die in verschiedenen gängigen Browsern und E-Mail-Anwendungen enthalten sind. S / MIME bietet Vertraulichkeit und Authentifizierung durch Verwendung des asymmetrischen RSA-Schlüsselsystems, digitaler Signaturen und digitaler X. 509-Zertifikate. S / MIME entspricht dem Format des Public Key Cryptography Standards (PKCS) # 7 und einer IETF-Spezifikation (Internet Engineering Task Force).
• MIME-Objektsicherheitsdienste (MOSS): MOSS bietet Vertraulichkeit, Integrität, Identifizierung und Authentifizierung sowie Nichtablehnung durch Verwendung von MD2- oder MD5-, RSA-asymmetrischen Schlüsseln und DES. MOSS wurde nie umfassend implementiert oder verwendet, hauptsächlich wegen der Popularität von PGP.
• Privacy Enhanced Mail (PEM): PEM wurde von der IETF als PKCS-konformer Standard vorgeschlagen, wurde jedoch nie umfassend implementiert oder verwendet. Es bietet Vertraulichkeit und Authentifizierung durch die Verwendung von 3DES für die Verschlüsselung, MD2- oder MD5-Nachrichten-Digests, digitale X. 509-Zertifikate und das asymmetrische RSA-System für digitale Signaturen und sichere Schlüsselverteilung.
• Pretty Good Privacy (PGP): PGP ist eine beliebte E-Mail-Verschlüsselungsanwendung. Es bietet Vertraulichkeit und Authentifizierung durch Verwendung des IDEA Cipher für die Verschlüsselung und des asymmetrischen RSA-Systems für digitale Signaturen und sichere Schlüsselverteilung. Anstelle einer zentralen Zertifizierungsstelle (CA) verwendet PGP ein dezentrales Vertrauensmodell (in dem sich die kommunizierenden Parteien implizit vertrauen), das für kleinere Gruppen ideal geeignet ist, um die Benutzeridentität zu validieren (statt PKI-Infrastruktur zu verwenden)., was kostspielig und schwierig zu warten sein kann).

Heute sind zwei grundlegende Versionen der PGP-Software verfügbar: eine kommerzielle Version von Symantec Corporation und eine Open-Source-Version, GPG.