PGP-Mails der internen Außenstelle trotz Ausnahme in Entschlüsselungsrichtlinie blockiert

[joerg]

Hallo zusammen,

wir betreiben einen zentralen Exchange-Server mit dem NoSpamProxy (NSP) als zentrales Mail-Gateway.

Unser Szenario:

• Für die reguläre Verwaltung nutzen wir standardmäßig S/MIME über den NSP.
• Unsere angeschlossene Außenstelle läuft über dieselbe Exchange- und NSP-Infrastruktur, nutzt extern für ihre Kommunikation allerdings GnuPG (PGP).
• Da wir die PGP-Schlüssel der Leitstelle nicht auf dem NSP verwalten, müssen diese Mails das Gateway zwingend unbehandelt und unverändert passieren, während S/MIME für die Verwaltung normal weiterlaufen muss.

Das Problem & unsere bisherigen Einstellungen:In den Details der Nachrichtenverfolgung laufen wir bei eingehenden PGP-Mails für die Leitstelle in folgenden Fehler:

„OpenPGP-Entschlüsselung: Die E-Mail konnte nicht entschlüsselt werden. Der notwendige Entschlüsselungsschlüssel konnte nicht gefunden werden. Einer der Schlüssel mit der folgenden ID ist notwendig...“

Wir haben daraufhin in den Krypto-Aktionen unter „Entschlüsselungsrichtlinien“ den Haken bei „Akzeptiere PGP-verschlüsselte E-Mails oder Anhänge, wenn der Entschlüsselungsschlüssel fehlt“ gesetzt. Bei den Überprüfungsrichtlinien für PGP wurden zudem alle Signatur-Prüfungen deaktiviert.

Trotz dieser gesetzten Haken bleibt der Fehler absolut identisch und die Mails werden nicht korrekt transparent durchgereicht. Es scheint, als würde der NSP die Mail dennoch blockieren oder fehlerhaft behandeln, weil er den PGP-Inhalt nicht auflösen kann.

Unsere Frage:Wie sieht der korrekte Best-Practice-Weg aus, um PGP-Traffic für bestimmte Empfänger (die Leitstelle) komplett an der Entschlüsselung vorbeizuleiten, ohne dass das S/MIME-Regelwerk für die restliche Verwaltung beeinträchtigt wird?Müssen wir hierzu eine eigene Mail Flow Regel mit höchster Priorität für die Leitstelle bauen, in der die Aktion „S/MIME- und PGP-Überprüfung sowie Entschlüsselung“ komplett fehlt, oder kollidiert das dann mit dem gewünschten S/MIME-Verkehr der Leitstelle?

Über eure Hilfe und einen konkreten Konfigurations-Tipp würden wir uns sehr freuen!

 

[Sören]

Trotz dieser gesetzten Haken bleibt der Fehler absolut identisch und die Mails werden nicht korrekt transparent durchgereicht. Es scheint, als würde der NSP die Mail dennoch blockieren oder fehlerhaft behandeln, weil er den PGP-Inhalt nicht auflösen kann.

als erstes würde ich mal sicherstellen ob die Regel überhaupt greift... geh mal ins Message Tracking such nach der Mail die abgewiesen wurde, wechsel in den Tab Überprüfung -> oben steht dann durch welche Regel die Mail verarbeitet wurde

Mail Flow Regel mit höchster Priorität für die Leitstelle bauen, in der die Aktion „S/MIME- und PGP-Überprüfung sowie Entschlüsselung“ komplett fehlt, oder kollidiert das dann mit dem gewünschten S/MIME-Verkehr der Leitstelle?

auf den ersten Blick würde ich sagen da kollidiert nichts, Mails die nicht entschlüsselt werden können, gehen dann einfach durch... und ja, die Regel braucht eine höhere Prio als die default Regel und natürlich den Scope innerhalb der Regel auf die internen Adressen

 

[joerg]

Guten Morgen,

1. die Regel greift. Es ist wird die Richtige angewendet, welche ich für die Außenstelle erstellt habe.
2. Prio habe ich bereits ziemlich weit nach oben geschoben.

Ich wüsste nicht, was sonst noch gemacht werden könnte...

 

[Sören]

Ich wüsste nicht, was sonst noch gemacht werden könnte...

Moin

ich ehrlich gesagt auch nicht, auf den ersten Blick hast du alles absolut richtig gemacht... am besten wäre es, wenn du mal ein Ticket aufmachst und die Kollegen sich das anschauen.

EDIT: ich sehe auch gerade, dass das Forum eine Mail an dich generiert hat. Die hat euer NSP abgewiesen weil die Mail an dich nicht entschlüsselt werden konnte. Daher bin ich der Meinung, da muss wirklich mal der Support ran und sich das anschauen.

 

[joerg]

Moin

ich ehrlich gesagt auch nicht, auf den ersten Blick hast du alles absolut richtig gemacht... am besten wäre es, wenn du mal ein Ticket aufmachst und die Kollegen sich das anschauen.

EDIT: ich sehe auch gerade, dass das Forum eine Mail an dich generiert hat. Die hat euer NSP abgewiesen weil die Mail an dich nicht entschlüsselt werden konnte. Daher bin ich der Meinung, da muss wirklich mal der Support ran und sich das anschauen.

Jetzt solltet ihr mir wieder senden können. ;-)
Da ich ein Domänenzertifikat eingeführt habe, hatte ich kurzzeitig meinen Schlüssel rausgenommen.