Eine sichere Verbindung zum Mailserver für secure-mail.biz ist nicht gewährleistet!

[maxwell smart]

...zu dem ergebnis kommt jedenfalls https://de.ssl-tools.net/mailservers/secure-mail.biz.

zum hintergrund:

seit fast zwei monaten ist das zertifikat mail.secure-mail.biz abgelaufen.
da man im mail-prog. eine ausnahme bestätigen muss, kam es, u.a. im
forum von perfect-privacy, diesbezüglich schon zu mehreren nachfragen.

frank, anscheinend das "mädchen-für-alles" bei secure-mail, antwortete,
es sei egal, das cert sei sicher.

nun habe ich mal auf o.g. seite 'nen check gemacht und das ergebnis war nicht
eben vertrauen stärkend.
neben der aussage in der überschrift ergab der test noch fehlende perfectf forward secrecy
und "verwundbarkeit" hinsichtlich heartbleed.

nun weiß ich nicht genau, was ich davon halten soll...
ist secure-mail sicher?

wäre dankbar für sachkundige einschätzungen.

 

[perpetuum.mobile]

Re: Eine sichere Verbindung zum Mailserver für secure-mail.biz ist nicht gewährleiste

ist secure-mail sicher?

Nein!

 

[Perfect Privacy]

Re: Eine sichere Verbindung zum Mailserver für secure-mail.biz ist nicht gewährleiste

Das Ablaufdatum im Cert ist auch nur ein Datum, was im Endeffekt nichts kritisches ist.

"heartbleed" ist ebenso kein Problem, da die OpenSSL Bibliothek die anfällig dafür ist, nicht vorhanden ist, sondern aktualisiert...

PFS ging leider vorher schon nicht...

Wir machen den Key/Cert sobald wir Zeit haben.....

 

[accC]

Re: Eine sichere Verbindung zum Mailserver für secure-mail.biz ist nicht gewährleiste

Viele Heartbleed-Tester achten tatsächlich nur auf die verwendete Version von OpenSSL, ohne wirklich die Lücke abzutesten, was genau genommen allerdings auch ein Angriff wäre. Jedenfalls wurde bei einigen Linux Distributionen ein Hotfix mit gleicher Versionsnummer eingeführt.

@Perfect Privacy: Das Zertifikat auszutauschen sollte aber schon Priorität haben. Macht einen schlechten Eindruck..

 

[Perfect Privacy]

Re: Eine sichere Verbindung zum Mailserver für secure-mail.biz ist nicht gewährleiste

Jau. Sieht auch wirklich mies aus. Hab dem Kollegen der das machen sollte schon gesagt.

Is nich wirklich schön. Secure Mail ist eben nur ein Nebenprojekt, wo das Cert schlicht und ergreifend vergessen wurde *grummel*

"Viele Heartbleed-Tester achten tatsächlich nur auf die verwendete Version von OpenSSL,"

Da ist aber definitiv keine anfällige Version drauf. Wir hatten sofort geupdeted als der Bug bekannt wurde....

 

[Perfect Privacy]

Re: Eine sichere Verbindung zum Mailserver für secure-mail.biz ist nicht gewährleiste

Wir haben heute mal an dem Mailserver gearbeitet. Das Cert ist noch das Alte, da dieser b1gmail irgendwie die neuen nicht nehmen wollte. Wir haben aber PFS jetzt drin, was Secure Mail anscheinend noch nie hatte. Und die komische Anzeige wegen Heartbleed ist auch weg....

Wegen dem abgelaufenen Cert müssen wir die Tage nochmal gucken

 

[maxwell smart]

Re: Eine sichere Verbindung zum Mailserver für secure-mail.biz ist nicht gewährleiste

erfreulich, dass ihr anfangt, die sicherheitsstruktur zu überarbeiten!

ich hoffe nur, dass die sache mit dem cert nicht wieder auf einem "nebengleis" landet
und tatsächlich schnellstmöglich behoben wird.

 

[Perfect Privacy]

Re: Eine sichere Verbindung zum Mailserver für secure-mail.biz ist nicht gewährleiste

Wegen PFS musste ich das gesammt Ding von b1gmail updaten. Mir wurde zwar mal gesagt PFS solle irgendwann mal gegangensein, aber dem war definitiv nicht so, da anscheinend b1gmail das auch erst seit ein paar Wochen/Monaten unterstützt. Furchtbare Software....

Wegen dem Cert habe ich eine Supportanfrage dort gestellt, da irgendwas nicht hinhaut. Wenn ich dort eine sinnvolle Antwort bekomme, werde ich auch das fixen. Das scheitert bei mir an der b1gmail-Software, denn ein einfacher Postfix ist da ja nicht das problem sowas zu updaten.

Viel werden wir aber eh nicht an Secure-Mail mehr machen. Leider ist uns wieder jemand abgesprungen der an der neuen Plattform für Secure-Mail arbeiten sollte, was das Ganze noch weiter verzögert. Sollten wir bis Ende des Jahres nicht die neue Plattform an den Start bekommen, werden wir ganz sicher diskutieren müssen, wie es mit Secure Mail weiter geht.

Das nur mal als kleine Info vorab.... Den rest kann sich jeder denken

 

[maxwell smart]

Re: Eine sichere Verbindung zum Mailserver für secure-mail.biz ist nicht gewährleiste

also leute, schaut euch bitte rechtzeitig nach einem anderen anbieter um!
z.b. hier: https://axablends.com/merchants-accepting-bitcoin/email-security/alternatives-to-tormail/

huch! jetzt hab ich's ausgesprochen...
aber das meintest du doch letztendlich, oder?

 

[Perfect Privacy]

Re: Eine sichere Verbindung zum Mailserver für secure-mail.biz ist nicht gewährleiste

So wollte ich das nicht ausdrücken. Aber der Gedanke liegt nah. Die jetzige Plattform ist aus unserer Sicht Mist. Sorry wenn ich das so deutlich sage. Deswegen hatten wir von anfang an gesagt das wir was Neues bauen wollten. Die Leute dafür hatten wir schon im Auge. Wir versuchen es aber weiterhin, von daher ist es bisher nicht sicher.

Also:

1. Keine Panik schieben
2. Wenn wir irgendwas machen, dann gibt das ausreichend vorher eine Ankündigung, wo man alles nötige erfährt.
3. Wenn die Kiste nicht grad Feuer fängt, der Hamster Kabel durchbeisst, oder die NSA das Rechenzentrum bombardiert, dann wird da auch nichts von heute auf Morgen abgeschaltet

Von daher: Wir spielen mit dem Gedanken, sollten wir da wirklich nichts mehr hinbekommen, mehr aber auch nicht. PP ist schliesslich unser Mainprojekt wofür die Leute zahlen und da wird auch in 1. Linie dran gearbeitet: Bei Secure-Mail ist momentan alles für lau und da braucht egal was passiert niemand jammern

 

[accC]

Re: Eine sichere Verbindung zum Mailserver für secure-mail.biz ist nicht gewährleiste

Also meine Meinung ist, ihr solltet euch auf euren VPN Service konzentrieren und darein eure Energie legen, nicht in einen Mail-Service.
Aber das ist nur mein Gedanke dazu.

 

[perpetuum.mobile]

Re: Eine sichere Verbindung zum Mailserver für secure-mail.biz ist nicht gewährleiste

Die jetzige Plattform ist aus unserer Sicht Mist.

Zumindest kommt jetzt mal der wahre Kern an die User die einen Account haben und darauf vertraut haben! Nichts anderes habe ich immer vermutet und ausgesprochen, keiner wollte es hören. Danke dafür!

 

[Perfect Privacy]

Re: Eine sichere Verbindung zum Mailserver für secure-mail.biz ist nicht gewährleiste

@Perpetuum

Es geht hier um Benutzbarkeit und die verwendete Software. Im Endeffekt ist das ein kleiner günstiger Server, der irgendwo angemietet wurde und dort drauf wurde dann mit irgendwelchen Produkten versucht sein Ziel zu erreichen. Den Sinn und Zweck hat man da durchaus erreicht. Aber wie das dann aussieht, ist aus meiner Sicht furchtbar. Verwendung von b1gmail zb.
Also nicht gleich übertreiben.

 

[TheOnly1]

Re: Eine sichere Verbindung zum Mailserver für secure-mail.biz ist nicht gewährleiste

Ach ja...das großartige b1gmail...das hat damals auch (indirekt) ZaaaPmail die Existenz gekostet.

 

[Perfect Privacy]

Re: Eine sichere Verbindung zum Mailserver für secure-mail.biz ist nicht gewährleiste

So. Ich habe jetzt die Certs getauscht. Der test zeigt mir auf der Seite aber immer noch eine komische Fehlermeldung. Ich kann aber keinen fehler feststellen... Ich lasse das jetzt erstmal so, da SSL/TLS grundsätzlich funktioniert. Ich muss mich damit später nochmal befassen wenn ich wieder etwas Zeit habe

Ach ja...das großartige b1gmail...das hat damals auch (indirekt) ZaaaPmail die Existenz gekostet.

Ist schon ziemliches gefrickel. Aber grundsätzlich bietet das eine Menge. Nett sind die Verschlüsselungs-Plugins die auch genutzt werden. Aber das zum Beispiel PFS erst vor kurzem eingefügt wurde, das ist schon so nen Ding. Mein eigener Postfix ist nun schon wirklich nen paar Tage alt und schafft immer noch jeden Test. Was ich nicht verstehe warum die so eine Oberfläche machen und dann einen eigenen Mailserver da rein frickeln? Da kommt man doch mit bewährten und OSS-Diensten wie Postfix und Dovecot deutlich besser. Aber gut, es läuft und macht meist das was es machen soll und wofür es da ist..... Man muss ja nicht immer nur meckern

 

[accC]

Re: Eine sichere Verbindung zum Mailserver für secure-mail.biz ist nicht gewährleiste

mx2.secure-mail.biz

185.18.148.9

10

unterstützt

*.perfect-privacy.net Zertifikat passt nicht zum Hostname

Meinst du den? Für mich sieht das so aus, als würde sich secure-mail.biz mit einem Cert von p/p.net ausweisen, was natürlich zunächst zu einem Fehler führen sollte. Dass p/p und s/m zusammengehören, sieht ja das Protokoll nicht.

Bezüglich Heartbleed:
https://filippo.io/Heartbleed/#secure-mail.biz --> All good, secure-mail.biz seems fixed or unaffected!

 

[Perfect Privacy]

Re: Eine sichere Verbindung zum Mailserver für secure-mail.biz ist nicht gewährleiste

@accc

Nein: Das ist vollkommen OK. Das ist der MX-Backup Eintrag. Der ist nur dazu gut, das wenn SM nicht erreichbar sind, die Mails zwischen gelagert werden. Den hatte ich damals eingerichtet nach dem wir SM-Mail übernommen hatten. ich fand das grausam das die Mails im Notfall nicht ankommen. Ein MX Backup ist aus meiner Sicht nach Pflicht....
Ich bestelle natürlich für unseren Mailserver und SM nicht jedesmal extra Kisten, sondern lasse das eine machen.
Da der Server usrpünglich für PP der MX Backup war, hat der natürlich auch das Cert drin.

Mist: Ich musste das alte Cert wieder aufspielen... Empfangen ging, nur beim Senden von Mails ging nichts. Ich schnalle das nicht.... Ist das ein Murks.... Ich gucke die Tage nochmal. Solange ist das Datum eben im Cert abgelaufen. Ich kann das grad nicht ändern. Sicherheitsmässig ist das auch kein Problem....

 

[Kugelfisch]

Re: Eine sichere Verbindung zum Mailserver für secure-mail.biz ist nicht gewährleiste

Das ist vollkommen OK. Das ist der MX-Backup Eintrag. Der ist nur dazu gut, das wenn SM nicht erreichbar sind, die Mails zwischen gelagert werden. Den hatte ich damals eingerichtet nach dem wir SM-Mail übernommen hatten. ich fand das grausam das die Mails im Notfall nicht ankommen. Ein MX Backup ist aus meiner Sicht nach Pflicht....

Ein Backup-MX ist sicherlich sinnvoll, allerdings könntest du den Server dann auch z.B. `mx2.perfect-privacy.net` nennen, dann würde der CN im vorgewiesenen Zertifikat zum FQDN passen. Ein MX für `example.com` muss schliesslich nicht zwingend einen FQDN der Form `mx\d*.example.com` tragen - wenn er als MX im DNS gelistet ist, reicht das vollkommen aus.

 

[Pleitgengeier]

Re: Eine sichere Verbindung zum Mailserver für secure-mail.biz ist nicht gewährleiste

erfreulich, dass ihr anfangt, die sicherheitsstruktur zu überarbeiten!

ich hoffe nur, dass die sache mit dem cert nicht wieder auf einem "nebengleis" landet
und tatsächlich schnellstmöglich behoben wird.

Ist das Zertifikat nicht sowieso bedeutungslos, da sich jene Organisationen die zu MITM-Angriffen fähig sind, auch selbst gültige Zertifikate generieren können?

 

[Kugelfisch]

Re: Eine sichere Verbindung zum Mailserver für secure-mail.biz ist nicht gewährleiste

Zumindest in Bezug auf Geheimdienste ist das anzunehmen. Gegen fragwürdige CAs, welche von staatlichen Stellen zum Ausstellen gefälschter Zertifikate gezwungen werden, schützt die X.509-PKI nicht. In diesem Fall kommt hinzu, dass das Zertifikat grundsätzlich gültig und `nur` abgelaufen ist. Das ist zwar unschön, jedoch kein direktes Sicherheitsrisiko.