Microsoft Outlook: Korrekt signierte E-Mails (S/MIME) werden nach Ablauf des Signaturzertifikats als ungültig angezeigt

Folgendes Szenario angenommen:

  • Ein Benutzer hat in der Vergangenheit eine E-Mail Nachricht erhalten.
  • Die Nachricht wurde mit einem S/MIME Zertifikat signiert.
  • Das Signatur-Zertifikat des Absender wurde von einer Zertifizierungsstelle ausgestellt, der beim Empfänger Vertrauensstatus eingeräumt wurde.
  • Die Signatur wurde also zum Zeitpunkt des Erhalts der Nachricht als gültig anerkannt.
  • Der Benutzer öffnet die Mail einige Zeit später erneut und stellt fest, dass die Signatur als ungültig eingestuft wird.

Sieht man sich die Details der Signatur an, stellt man fest, dass das Signaturzertifikat angelaufen ist.

Fehler: Das Zertifikat, das zum Erstellen dieser Signatur verwendet wurde, ist nicht mehr gültig. 

Aufschluss über das Verhalten geben das RFC 5750, welches die Behandlung von Zertifikaten im Kontext von S/MIME regelt, sowie das RFC 8551, welches S/MIME im Allgemeinen regelt:

Some of the many places where signature and certificate checking might fail include: […] the certificate is expired

RFC 5750

When determining the time for a certificate validity check, agents have to be careful to use a reliable time. […] this time MUST NOT be the SigningTime attribute found in an S/MIME message.

RFC 5750

The signingTime attribute is used to convey the time that a message was signed. The time of signing will most likely be created by a signer and therefore is only as trustworthy as that signer.

RFC 8551

Da bei S/MIME kein signierter Zeitstempel (Time Stamp, RFC 3161) eingesetzt wird, besteht keine Möglichkeit, sicherzustellen, dass eine Nachricht wirklich zur angegebenen Zeit signiert wurde. Signaturen könnten von einem Angreifer rückdatiert werden, um Signaturen mit einem mittlerweile gesperrten oder abgelaufenen Zertifikat somit als gültig erscheinen zu lassen.

Aus diesem Grund werden "historische" Mails, also solche, die zum Zeitpunkt des Erhalts mit einem zeitgültigen Zertifikat signiert wurden, als nicht mehr signaturgültig eingestuft, wenn das Signaturzertifikat abgelaufen ist.

Aus gleichem Grund werden auch Nachrichten, die von einem mittlerweile widerrufenen Zertifikat signiert wurden, als nicht signaturgültig angezeigt, auch wenn der Widerruf nach Signatur der Nachricht erfolgte.

Weiterführende Links:

Externe Quellen

de_DEDeutsch