标签: smime

我们目前使用 Mailman 作为邮件列表管理器。Mailman 修改邮件消息的内容。问题是我们的一些用户正在发送数字签名的消息，并且修改使签名中断。我已经在 Apple Mail、Outlook 和 Thunderbird 中看到了这种行为。

问题似乎是这样的：S/MIME 签名消息是使用Content-Type: multipart/signed;MIME 内容类型实现的。Mailman 将其包装在Content-Type: multipart/mixedMIME Con​​tent-Type 中。邮件的读者都不看外内mixed的内部signed。

我们将无法修复客户。无论如何要修改Mailman，使其没有这种行为？

我刚刚重新安装了我的 Windows 操作系统 7，但忘记事先备份 Outlook 2010 的电子邮件证书。现在我无法阅读任何加密的电子邮件。当我尝试时，它说“无法打开此项目。底层安全系统无法找到您的数字 ID 名称。”

该证书是由我们的内部 Windows 证书颁发机构颁发的，我仍然可以在那里看到它，但我认为没有任何方法可以将它重新导入我的计算机或以任何其他方式读取那些加密的电子邮件？

如果这有什么不同，证书也在 GAL 中，但我只是尝试导出它并且没有 PFX 选项:(

我管理多台安装了 Thunderbird 的计算机。我知道 Thunderbird 有一个选项要求所有电子邮件都加密。但是，我想要一种正常允许未加密电子邮件的方法，但要求向某些联系人发送加密电子邮件。

例如，如果我向 ceo@mycompany.com 发送电子邮件，Thunderbird 应该要求加密，但如果我向 JohnDoe@othercompany.com 发送电子邮件，Thunderbird 将允许未加密的电子邮件。

是否有任何设置或附加组件可以提供此功能？

谢谢！

我试图弄清楚如何使用关键扩展集进行合格从属，但我无法弄清楚如何在 MSFT AD CS 中执行此操作。

对于给定的证书，如何确保在颁发的证书上正确设置名称约束？

编辑

到目前为止完成的工作（有关完成的更多工作，请参阅编辑历史记录）：

我安装了一个子CA在这里这些方向以下。

名称约束在两个位置之一配置。创建新 CA 时，您可以通过配置 CAPolicy.inf 来施加名称约束，从而为该 CA 定义名称约束。同样，如果您要创建合格的从属 CA 证书，您将在 Policy.inf 文件中定义名称约束。在这两种情况下，都使用以下语法：

[NameConstraintsExtension]
Include = NameConstraintsPermitted
Exclude = NameConstraintsExcluded
Critical = TrUe

[NameConstraintsPermitted]
DNS = ""
email=""
UPN=""

[NameConstraintsExcluded]
DNS = .nwtraders.com
email = @nwtraders.com
UPN = .nwtraders.com
UPN = @nwtraders.com
URI = ftp://.nwtraders.com
DIRECTORYNAME = "DC=NWtraders, DC=com"

Run Code Online (Sandbox Code Playgroud)

我在 subCA 上的 capolicy.inf 是这个

[Version]
Signature="$Windows NT$"

[PolicyStatementExtension]
Policies=LegalPolicy

[LegalPolicy]
OID=1.2.3.4.1455.67.89.5
Notice="Legal Policy Statement"
URL=http://pki.bitclear.us/pki/cps.txt

[Certsrv_Server]
RenewalKeyLength=2048 …

我需要支持需要访问 LDAP 服务器以定位 SMIME 密钥的 Mac 客户端。

由于密钥已经在 AD 中，而且我很容易在其中创建 RODC 或只读森林，将证书推送到其中，将未经身份验证的 LDAP 和 LDAP 公开到互联网是否可以接受？

我能想到的一个问题是目录收集攻击的 LDAP 形式，垃圾邮件发送者可以确定哪些地址有效，哪些无效。

我们有一个 Mailscanner，它可以扫描传入和传出的邮件并添加一个小的免责声明（邮件已检查病毒...... bla bla bla）。

到目前为止，我可以在不签署邮件的情况下添加免责声明，或者在不添加免责声明的情况下签署电子邮件。如果使用证书签署邮件，有没有办法仍然能够添加此免责声明？

谢谢

史蒂夫