TÜBİTAK UEKAE ULUSAL ELEKTRONİK ve KRİPTOLOJİ ARAŞTIRMA ENSTİTÜSÜ GÜVENLİ KURUMSAL MESAJLAŞMA UYGULAMASI Ulusal Elektronik İmza Sempozyumu, 7-8 Aralık 2006 İsmail GÜNEŞ E-posta:ismail@uekae.tubitak.gov.tr
Plan Giriş E-Posta Güvenliği Mevcut Mesajlaşma Standartları Güvenli Kurumsal Mesajlaşma Uygulaması Sonuç 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 2
Plan Giriş E-Posta Güvenliği Mevcut Mesajlaşma Standartları Güvenli Kurumsal Mesajlaşma Uygulaması Sonuç 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 3
Giriş... E-Posta Elektronik Posta : Kullanıcıların sayısal ortamda yazdıkları ve birbirlerine gönderdikleri iletiler Çok sayıda avantajı ile telefon, faks, teleks ve posta iletişiminin yerini almıştır Düşük maliyet Yüksek hız Esneklik Ses, video, html vb. 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 4
Giriş... Kurumsal Mesajlaşma Kurumsal Mesajlaşma: Ekstra güvenlik/gizlilik gerekliliği Resmi yazışmalar, raporlar, şablonlar içerilmesi Neden önemli? Kurumsal prestij ve rekabet Etkin ve güvenli kurumsal iletişim Güvenli kurumsal iletişim ağı oluşturulması Yönetim ve kurumsal iletişim maliyetlerin azaltılması Kağıttan ve tekrarlanan veriden tasarruf 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 5
Giriş... Kurumsal Mesajlaşma Kurumsal mesajlaşmada mevcut durum: Sorunlar Çözüm 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 6
Giriş... Kurumsal Mesajlaşma Kurumlarda yapılan ankete göre; Mevcut e-posta uygulamaları güvensiz Halihazırda, Çeşitli e-posta sunucuları Çeşitli dizin sunucuları Çeşitli işletim sistemleri Çeşitli mesajlaşma istemcileri 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 7
Plan Giriş E-Posta Güvenliği Mevcut Mesajlaşma Standartları Güvenli Kurumsal Mesajlaşma Uygulaması Sonuç 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 8
E-Posta Güvenliği... Çözümler PGP (Pretty Good Privacy) Güçlü şifreleme algoritmaları Karışık güvenlik mekanizması Herkes otorite olabilir S/MIME (Secure/Multipurpose Internet Mail Extensions) MIME + CMS (Cryptographic Messaging Syntax) Merkezi güvenlik mekanizması Güvenli sertifika otoriteleri 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 9
E-Posta Güvenliği... Çözümler... CMS ile e-posta güvenliği İmzalama Gönderenin kimliğinden emin olma Mesaj bütünlüğü İnkar edememe Şifreleme İçerik gizliliği 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 10
E-Posta Güvenliği... Çözümler... İmzalı veri yapısı (CMS ile) İmza Özel anahtar ile üretilir Özel anahtar PC, akıllı kart, token veya HSM (Hardware Security Module) de saklanır Kullanılan kriptografik algoritmalar Sertifika bilgileri Sertifika ve sertifika iptal listeleri Mesaj içeriği vb. 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 11
E-Posta Güvenliği... Çözümler... Şifreli veri yapısı (CMS ile) Alıcılara ait şifreleme sertifikaları kullanılır Yerel sertifika deposu veya dizinden Şifreli veri Kullanılan şifreleme algoritmaları Sertifika bilgileri Sertifika iptal listeleri vb. 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 12
E-Posta Güvenliği... Açık Anahtar Altyapısı(AAA)... E-posta güvenliği için bir Açık Anahtar Altyapısı kullanılmalıdır 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 13
Plan Giriş E-Posta Güvenliği Mevcut Mesajlaşma Standartları Güvenli Kurumsal Mesajlaşma Uygulaması Sonuç 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 14
Mesajlaşma Standartları... Mesaj İletim Protokolleri X.400 Mesaj bütünlüğü ve güvenilirliği Geliştirme ve kullanım zorlukları SMTP Basit Yaygın Yeni eklentiler MIME, teslim raporları vs. 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 15
Mesajlaşma Standartları... Mesaj Erişim Protokolleri POP3 (Post Office Protocol) Basit, kullanımı kolay Yerelde saklama zorunluluğu Eş zamanlı erişim ve yeni e-posta desteklenmez IMAP (Interactive Mail Access Protocol) Daha karmaşık, daha çok imkan E-postalar sunucuda saklanır Erişim zamanı ve yereldeki alan minimum Eş zamanlı erişim, arama, klasör yönetimi vb. 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 16
Mesajlaşma Standartları... E-Posta İçerik Protokolleri RFC 822 8-bit karakterleri desteklemez Metin tabanlı olmayan dosyaları desteklemez Çoklu içeriği desteklemez MIME Daha karmaşıktır RFC 822 de yaşanan sorunları giderir 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 17
Mesajlaşma Standartları... Tüm Mesajlaşma Protokolleri Mevcut Standartlar Gönderen Sunucu Alıcı SMTP SMTP X.400 X.400 RFC 822 RFC 822 MIME MIME POP3 POP3 IMAP IMAP LDAP LDAP 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 18
Plan Giriş E-Posta Güvenliği Mevcut Mesajlaşma Standartları Güvenli Kurumsal Mesajlaşma Uygulaması Sonuç 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 19
Güvenli Kurumsal Mesajlaşma Uygulaması... Güvenlik S/MIME MIME mesajı imzalanarak ve/veya şifrelenerek S/MIME a çevrilir Alıcıda imza doğrulama, şifre çözme 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 20
Güvenli Kurumsal Mesajlaşma Uygulaması... Güvenlik Genel & özel anahtar çifti 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 21
Güvenli Kurumsal Mesajlaşma Uygulaması... Güvenlik MA3 (Milli Açık Anahtar Altyapısı) Sertifika doğrulama, kriptografik işlemler Dizin (Sertifika erişimi) Akıllı kartlar, kart okuyucular SM SM Sunucusu Ayşe için üretilen sertifika depoya kaydedilir X.500, DNS, vs. Açık Anahtar Deposu Bana Ayşe nin sertifikasını gönder Ayşe nin sertifikası Ayşe için üretilen sertifika Ayşe ye gönderilir Ayşe, açık anahtarını ve kimliğini SM ye gönderir. Veriyi Ayşe nin açık anahtarı ile şifreleyerek Ayşe ye gönderir. Ayşe Ayşe 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 22 Bora Bora
Güvenli Kurumsal Mesajlaşma Uygulaması... Mesaj Alışverişi SMTP & IMAP / POP3 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 23
Güvenli Kurumsal Mesajlaşma Uygulaması... Ortam Bağımsızlığı İşletim sisteminden bağımsız Windows, Pardus, Linux vb. E-posta sunucusundan bağımsız MS Exchange Server, Lotus, QMail vb. Dizin sunucusundan bağımsız Active Directory, Critical Path vb. 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 24
Güvenli Kurumsal Mesajlaşma Uygulaması... Diğer İmkanlar Dizin Erişimi (Milli Dizin Gezgini) Adres grupları, adreslerin yönetimi Sertifika erişimi E-posta şablonları Evrak yönetim, dağıtımı Rapor, dilekçe, rapor vb. 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 25
Plan Giriş E-Posta Güvenliği Mevcut Mesajlaşma Standartları Güvenli Kurumsal Mesajlaşma Uygulaması Sonuç 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 26
Sonuç Kurumlar arasında, platformdan bağımsız, güvenli e-posta iletimi Elektronik imzanın kurumsal mesajlaşmada kullanılması Güvenli mesajlaşma alanında teknolojik bağımsızlığın sağlanması 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 27
Hedefler Kurumlar arası mesajlaşmanın güvenli olarak gerçeklenmesi, e-imzanın mesajlaşmada yaygın olarak kullanılması Mesajlaşma sisteminin tüm bileşenlerinin milli olarak gerçeklenebilmesi 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 28
Sorular Katılımınız için teşekkürler... 04.02.2007 İsmail GÜNEŞ,TÜBİTAK UEKAE 29