Domain Security zwischen zwei Firmen mit Smarthost möglich?

1. offizieller Beitrag

    Hallo Community,


    folgendes Szenario. Firma A und Firma B möchten Email per TLS Verschlüsselung austauschen.
    Firma A versendet bislang seine Emails über einen Smarthost des Providers.
    Firma B sendet Email direkt.
    Firma A und B tauschen öffentliche Zertifikate aus und tragen diese entsprechend ein.
    Auch die öffentlichen Zertifikate der CA werden ausgetauscht und eingetragen. Soweit so gut.
    Firma A sendet mit Exchange Server 2010 HT mit einem neuen Sendekonnektor Mails an Firma B. Im Sendekonnektor sind die Domains von Firma B hinterlegt sowie TLS Authentifizierung und Domainsecurity. Dabei nutzt Firma A keinen Smarthost, sondern sendet via MX Record. Die Email wird per TLS erfolgreich zugestellt. Auch in der Transportkonfiguration von Firma A wird angepasst:
    Set-TransportConfig -TLSSendDomainSecureList firmaB.de -TLSReceiveDomainSecureList firmaB.de
    Wenn Firma B nun auf diese Email antwortet erhält Firma B eine Fehlermeldung vom Smarthost von Firma A mit folgender Meldung:
    FROM:<vorname.nachname@firmaB.de> SIZE=9023:
    host mail.firmaA.de [99.99.99.99]: 530 5.7.1 Not authenticated


    Gehe ich recht in der Annahme das auf dem System des Smarthosts ebenfalls Zertifikate eingespielt werden müssen, damit die Kommunikation funktionieren kann?


    Theoretisch müsste der Smarthost ja nur die Zertifikate von FirmaB auf seinem Server hinterlegen und schon gehts.


    Mein Ziel wäre es das Firma B Mails erfolgreich per TlS durch den Smarthost von Firma A zustellen kann.

    • Offizieller Beitrag

    Moin,


    bei DomainSecurity wird normalerweise kein Smarthost verwendet. Es ist ja gerade Sinn der Geschichte, dass man weiß, dass es sich auf beiden Seiten um die richtigen Server handelt (neben Verschlüsselung ist auch Authentizität gefragt).


    Daher müssen die beiden Geräte verschlüsseln, die die Mails übertragen. Entweder Smarthost <-> B oder ohne SH direkt A <-> B.


    Was Du meinst ("das auf dem System des Smarthosts ebenfalls Zertifikate eingespielt werden müssen") bedeutet im Prinzip, dass Du eine neue, andere Domain Security einrichtest.


    Danach hast Du dann A -> SH und SH -> B sicher, genaugenommen aber nicht A -> B, weil da ein MITM ist.

    Grüße aus Berlin schickt Robert