Kapitel 1. Übersicht

GEAM ist eine Software, die es ermöglicht, die gesamte E-Mail eines LANs automatisch zu ver- und entschlüsseln. Als Verschlüsselungsverfahren wird das OpenPGP-Protokoll benutzt; eine Erweiterung auf andere Verfahren ist jedoch auch möglich.

Es ist möglich, GEAM in verschiedenen Konfigurationen zu betreiben; nachfolgend werden einige Beispiele gegeben. Zu beachten ist, daß GEAM kein eigenständiger MTA ist und der Hilfe eines vollständigen MTA zum Routen bedarf. Es ist zur Zeit noch nicht möglich, GEAM ohne Verwendung des SMTP-Protokolls zu betreiben. Insbesondere gibt es noch keinen vollständigen Ersatz für /usr/lib/sendmail, welches unter Vermeidung von SMTP Nachrichten direkt an den MTA ausliefert, d.h. Sie können auf dem Rechner, auf dem GEAM installiert ist, einige Mail-Programme nicht benutzen.

Kombinationen der einzelnen Konfigurationen sind auch möglich; insbesondere können durch geeignete Konfiguration Rechner eingespart werden. Es ist möglich, mehrere MTAs sowie GEAM auf demselben Rechner zu betreiben. Der Konfigurationsaufwand ist aber wesentlich höher und kann hier nicht beschrieben werden.

Kapitel 2. Installation

Die Installation von GEAM bedarf einer Reihe Schritte und verlangt nach der Änderung der Systemkonfiguration. Hier wird im einzelnen beschrieben, wie die Installation abläuft.

Da durch eine fehlerhafte Installation schwer erkennbare Sicherheitslücken entstehen können, sollte die Installation und Konfiguration von GEAM (wie von aller sicherheitsrelevanten Software) unbedingt durch kundiges Fachpersonal vorgenommen werden.

hermes:~$ zcat pth-1.2.1.tar.gz | tar xf - 
hermes:~$ cd pth-1.2.1
hermes:~/pth-1.2.1$ ./configure

hermes:~/pth-1.2.1$ make

hermes:~/pth-1.2.1$ su -c 'make -s install'

hermes:~/pth-1.2.1$ su -c ldconfig

hermes:~$ zcat geam-1.0.0.tar.gz | tar xf - 
hermes:~$ cd geam-1.0.0
hermes:~/geam-1.0.0$ ./configure

hermes:~/geam-1.0.0$ make

hermes:~/geam-1.0.0$ make check

hermes:~/pth-1.2.1$ su -c 'make -s install'

Kapitel 3. Der tägliche Betrieb von GEAM

Im laufenden Betrieb mit bekannten Kommunikationspartnern ist für den Administrator wenig zu tun. Seine einzige Aufgabe besteht dann darin, die Log-Dateien gelegentlich zu kontrollieren. Dies kann aber auch durch automatische Werkzeuge (z.B. AWACS) geschehen.

Wenn allerdings E-Mail an Empfänger gesendet werden soll, die noch nicht konfiguriert sind, sind die Konfigurationsdateien zu erweitern sowie der Schlüssel des neuen Empfängers in den Schlüsselring aufzunehmen.

Sollte der Verdacht bestehen, daß Außenstehende Zugriff auf den Rechner mit der installierten GEAM-Software hatten, so ist zu überprüfen, ob die geheimen Schlüssel kompromittiert wurden. In diesem Fall sollten diese Schlüssel sofort ausgetauscht werden, um größeren Schaden zu vermeiden.

Kapitel 4. Sicherheitsratschläge

GEAM ist lediglich als Hilfsmittel gedacht, um den E-Mail-Verkehr zwischen zwei lokalen Netzwerken zu verschlüsseln. Damit ist es nicht mehr möglich, außerhalb dieser LANs E-Mail mitzulesen. Die Sicherheit eines LANs hängt allerdings von vielen weiteren Punkten ab, und eine externe E-Mail-Verschlüsselung ist nur ein erster Schritt zu einem sicheren Netz.

Grundsätzlich ist eine Verschlüsselung, die auf der gesamten Strecke zwischen Absender und Empfänger besteht, der „Notlösung“ GEAM vorzuziehen. Der wesentliche Vorteil von GEAM ist seine Transparenz und die einfache Installation, da GEAM lediglich auf einem Rechner zu installieren ist.

Weiterhin bestehen Gefahren bei fehlerhafter Konfiguration der MTA-Software, des LANs oder GEAM selbst. Beispielsweise kann ein fehlerhaft konfigurierter MTA dazu führen, daß Nachrichen, die bereits durch GEAM entschlüsselt wurden, wieder aus dem LAN hinausgelangen. Ein Angreifer könnte sich dies zunutze machen, um abgefangene Nachrichten entschlüsseln zu lassen. Wenn allerdings derartige Schwachstellen vorhanden sind, kann davon ausgegangen werden, daß weitere externe Angriffspunkte im Netz existieren.

Sie sollten auf jeden Fall fachkundigen Rat einholen und eventuell die Konfiguration und Sicherheitsüberprüfung durch eine Fachfirma vornehmen lassen.