Wie sicher ist E-Mail ?

[michaelw]

Es heißt ja immer das E-Mails so sicher vor fremdem Blicken sind wie Postkarten.
Wie sieht das nun in der Praxis aus wenn jemand die E-Mails einer Firma ausspionieren will? Wie kommt der da eingentlich nun angeblich so einfach ran?

Muss man da den E-Mail Account am Provider-Server hacken probieren und alle E-Mails mitlesen?
Oder muss man da die Internetverbindung der Firma irgendwie belauschen was ich mir auch als technisch ziemlich aufwenig vorstelle?

Und falls des da gröbere Lücken gibt, was für Abwermaßnahmen könnt ihr mir empfehlen? Bieten z.B die meisten Provider ein verschlüsseltes Abrufen der E-Mails an? (Wir nutzen im Moment hauptsächlich Telekom Business E-Mail aber auch noch Aon E-Mail. )

[timurinamanu]

Im Grunde ist email unverschlüsselt.
Das bedeutet du musst nur mitsniffen z.B. mit ethereal oder wireshark
(da kriegst du sogar den Loginnamen und das Passwort von demjenigen mit)
allerdings kann man emails auch verschlüssen und dann ist der text nicht mehr lesbar.
mfg

[medice]

die Mail-Server selbst sind üblicherweise so sicher wie Server anderer Verwendungsart, das Problem ist wie schon angesprochen die Klartextübertragung im Normalbetrieb. Inzwischen sollte es aber bei fast allen Mailsystemen möglich sein über ssl/tls zu senden und zu empfangen (wie sich Mailserver untereinander austauschen entzieht sich meiner Kenntnis, aber da sollten dann auch keine account-passwörter mehr drin sein)

Unabhängig davon ist natürlich die gesamte Architektur rund um SMTP inzwischen zu hinterfragen, da sie auf reines Funktionieren ausgelegt zu sein scheint und nun haben wir den Spam-Salat

[lordpeng]

grundsätzlich ist email gar nicht sicher, auch wenn die verbindung verschlüsselt wäre, müsste gewährleistet werden, dass die daten am server dies ebenfalls wären

wir übermitteln unseren kunden vertrauliche daten wie kennwortlisten oder vorkonfigurierte vpn clients etc. grundsätzlich nicht per email, es sei denn der kunde wünscht dies explizit in dem fall werden die daten gepackt und mit aes256 verschlüsselt, die passphrase zum entschlüsseln bekommt der kunde dann auf anderem wege (mündlich oder per fax)

[michaelw]

Ja aber so ein belauschen des Datenverkehrs stell ich mir eben technisch recht aufwenig vor, sodass es sich wohl nur bei ziemlich großen Firmen lohnt?
Und wie soll diesen Belauschen nun realistisch funktionieren? An welcher Schnittstelle kommt da denn nun ein Hacker an den Datenstrom ran und wie identifiziert er denn Teil der einer bestimmten Firma gehört?

[lordpeng]

>Und wie soll diesen Belauschen nun realistisch funktionieren?
ganz einfach ... den mailserver des opfers rooten, dort ein paar entsprechende backdoors platzieren - fertig - wenn das backdoor auf dem server nicht wirklich so platziert wird, dass der sysadmin drüberstolpert (oder der server sich komisch verhält weil er vielleicht auch von anderen leuten kompromittiert wird) fällt sowas in der regel nicht wirklich leicht auf

kompromittierte server sind mir schon oft genug untergekommen und ob $bösewicht jetzt auf dem teil irgendwelche bots installiert oder einen packetsniffer, der passwörter oder kreditkartennummern abfängt macht für $bösewicht im grunde keinen wirklichen unterschied ...

d.h. solang du nicht ausschliessen kannst, ob dein gegenüber einen kompromittierten server hat oder nicht, ist email unsicher ...

... und da du ja im grunde nicht nur mit einer person per email kommunizierst, gilt das natürlich für alle leute

[timurinamanu]

<Ja aber so ein belauschen des Datenverkehrs stell ich mir eben technisch recht aufwenig vor

naja also wenn ich beim wlan von unserer schule mitlogge
bekomm ich schon einiges an Daten

Aufwendig ist es nicht, es ist ganz einfach.
Vor allem wenn der/die Belauschte ein email programm wie outlook verwendet
, da muss man die pakete nur per pop Sortieren und man hat schon alle Daten


Mitlerweile hat man aber beim WLan die Treiber schon so umgeschrieben dass man nur seinen Traffic loggen kann ....
Also wenn jemand weiss wie ich meinen Intel 3945 abg Treiber manipulieren kann (ohne Linux aufzusetzen) bitte antworten

mfg

[al]

Wie sieht das nun in der Praxis aus wenn jemand die E-Mails einer Firma ausspionieren will? Wie kommt der da eingentlich nun angeblich so einfach ran?

Naja, Email-Verkehr passiert (wenn Du es nicht anders machst) unverschlüsselt, das heißt, auf dem ganzen Weg von dem Rechner, von dem sie weggeschickt wird, bis zu dem Rechner, bei dem sie gelesen wird, ist sie mitlauschbar. Am beliebtesten: WLAN Strecken, da ist das Mitlauschen am einfachsten.

Aber noch viel bequemer ist es, Dein Passwort rauszufinden (was ja, wenn Du Deine Mails zB über einen WLAN-Zugang unverschlüsselt machst, auch wieder ganz bequem geht). Dann brauche ich nur mehr schneller als Du zu sein und kann alle Deine Mails lesen...

Was tut man dagegen? Emails verschlüsseln. Das passiert End-to-End, damit ist also der ganze Weg geschützt. Wahlweise mit PGP/GnuPG oder mit X.509 Zertifikaten (in jedem besseren Mailer eingebaut).

Falls Interesse besteht, können wir gern mal einen Zertifikat-Signier-Event machen, sowohl für PGP/GPG wie auch für CAcert wie auch für Thawte Free Email Zertifikate.

/al

[ANOther]

WLAN-Zugang

internetcafe, verseuchten rechner (eigenen oder fremden), ...

oder einfach kr@zz sichere passwürter, wie neulich der huber, dessen passwort sepp war...