что такое сертификат электронной почты
Что такое сертификат электронной почты
SSL сертификат — это криптографический протокол. Он защищает пользователей от кражи информации, которую мы предоставляем сайту при посещении. Принцип его работы — шифровка соединения между посетителем и сервером (это удаленный компьютер, где хранятся данные сайта). Но зачем нужен SSL — сертификат? В каких случаях его используют?
Для чего нужен SSL сертификат
Мы сидим на сайтах, делаем покупки, оставляем свои контакты. Такие как почта, телефон, имя, адрес доставки, номер карты. Каждое действие на сайте — даже обыкновенный визит, — обмен информацией между пользователем и сайтом. Как только вы заходите на сайт, он регистрирует заход, фиксирует браузер, тип и модель устройства, страну, из которой совершается запрос.
Поисковики обязаны иметь эту информацию, но используется она для статистики и корректной работы сервисов. Если на сайте не установлен SSL — сертификат злоумышленникам не составляет труда подключиться к соединению и перехватить эту информацию, потому что подключение не зашифровано, то есть открыто. Это можно проверить. В левом верхнем углу браузера около URL-адреса страницы нужно найти надпись «Не защищено». А в адресной строке перед доменным именем сайта будет префикс «http».
Как работает сертификат и как отличить надёжный сайт?
При нажатии на ссылку сайта в поиске или где-нибудь ещё, сайт передаёт браузеру копию сертификата. Затем обращается к сервису, в котором был заказан протокол. После идентификации сертификата сайт и браузер генерируют секретный ключ и обмениваются им. В верхнем углу браузера в строке поиска появляется знак замка, «https» вместо «http» и название организации. Это говорит о том, данные никем не просматриваются и сайту можно доверять.
Https — (Hyper Text Transfer Protocol Secure) — расширенная версия протокола http, защищенная шифрованием, на что указывает Secure в конце расшифровки аббревиатуры. После подключения SSL нужно сменить все адреса с http на https, настроить редиректы.
Как установить SSL и сколько это стоит
Чтобы получить SSL — сертификат, нужно обратиться к хостинг — провайдеру. Этот протокол чаще всего заказывают из личного кабинета и стоит он от 2500 до 3000 тысяч. Можно найти как дешевле, так и дороже, в зависимости от тарифов хостинга и компаний, которые предоставляют услуги сертификации. Позже мы расскажем вам, как получить и установить SSL-сертификат бесплатно. Установить его можно по инструкции, которую вы получаете при заказе. Часто все настройки проделываются через панели управления хостингом, такими как CPanel и ISPmanager. После того как вы проделаете последовательность установки, вам останется настроить сайт.
1. Настроить редиректы со страниц c префиксом http на https, что займёт время, зато после этого сайт будет сертифицирован и безопасен.
2. Привязать сайт заново в сервисах статистики.
Как получить SSL — сертификат бесплатно
К счастью, проходить через это не обязательно если сайт сделан на нашем конструкторе. Как пользователь конструктора сайтов Fo.ru, вы получаете SSL сертификат бесплатно. И с самого начала работы над сайтом он настроен и работает. Об этом вы могли читать на странице « » и теперь понимаете, зачем SSL-сертификат так нужен.
Всё о SSL-сертификатах простыми словами: устройство, типы, выбор
Если вы уже сталкивались с созданием собственного сайта, то наверняка краем уха слышали про сертификат SSL и HTTPS — поэтому в нашем новом посте расскажем, как защитить данные посетителей сайта, чем HTTPS отличается от HTTP, что такое SSL-сертификат и какие виды сертификатов существуют?
Что такое SSL-сертификат
SSL (Secure Sockets Layer — уровень защищённых сокетов) — это протокол шифрования, который позволяет кодировать данные для более безопасного обмена.
Проще говоря, сертификат обеспечивает зашифрованное соединение между человеком и используемым сайтом. Когда вы смотрите видео на YouTube, загружаете фотографию в Facebook или открываете Instagram, ваш браузер и сервер обмениваются информацией.
Благодаря SSL информация, которая передаётся, защищена от посторонних: администратора Wi-Fi сети, провайдера, оператора и других лиц — значит она не может быть перехвачена и использована в мошеннических целях. Кроме того, SSL-сертификат выступает в качестве подтверждения надёжности ресурса и даёт возможность проверить, кто является его настоящим владельцем.
Можно сказать, что SSL-сертификат — это своего рода уникальная цифровая подпись сайта.
Такой сертификат нужен всем сайтам, которые в каком-либо виде работают с персональными данными пользователей: от логинов и паролей до более подробных. В первую очередь это, конечно, банки, платёжные системы, интернет-магазины и коммерческие платформы.
Проверить наличие SSL несложно. Для этого достаточно посмотреть на адресную строку в браузере. Слева от адреса сайта вы увидите значок с изображением закрытого замка.
А если на сайт установлен OV или EV сертификат, то при клике на замочек, появятся данные об организации, которой принадлежит сайт.
В таких типах сертификатов во вкладке «Подробнее» вы найдёте следующую информацию:
Разница между HTTP и HTTPS
Как вы уже знаете, каждый вбитый в поисковую строку запрос проходит путь от вас (пользователя) к серверу и обратно. Такая коммуникация возможна благодаря работе протокола HTTP. Аббревиатура расшифровывается как Hypertext Transfer Protocol. И всем он хорош — только данные не шифрует, а значит злоумышленники могут перехватить вашу личную информацию (данные банковских карт, пароли, реквизиты).
Для безопасности данных был внедрён протокол HTTPS — HyperText Transfer Protocol Secure (то есть защищённый протокол HTTP). В этом случае передача данных осуществляется по такому же протоколу, но с криптографическим шифрованием, о чём говорит дополнительная буква «S». HTTPS работает благодаря SSL/TLS-сертификату.
SSL/TLS-сертификат ― это цифровая подпись сайта. С её помощью подтверждается его подлинность.
Перед тем как установить защищённое соединение, браузер запрашивает этот SSL-сертификат и обращается к центру сертификации, чтобы подтвердить легальность документа. Если он действителен, то браузер и сервер доверяют друг другу и договариваются о разовом шифре. Так происходит каждую сессию, то есть каждый раз при обмене запросами и ответами. Вот откуда взялась и что означает «S» в HTTPS.
Каким сайтам нужен SSL?
SSL-сертификат необходимо подключать к сайтам, которые работают с финансами и персональными данными пользователей. Это интернет-магазины, банки, платёжные системы, социальные сети, почтовые сервисы и любые другие проекты.
SSL-сертификат лучше ставить с самого начала, чтобы иметь более высокие позиции в поисковых системах. Если всё же изначально не использовался сертификат, то переехать можно быстро, а вот поисковики могут увидеть это только спустя пару месяцев. Тем более сегодня поставить SSL можно и бесплатно.
Какие виды SSL-сертификатов есть и кто их выдаёт?
Есть специальные центры сертификации или как ещё называют — удостоверяющие центры (УЦ). Вы могли встречать названия таких УЦ: Symantec, Comodo, GlobalSign, Thawte, GeoTrust, DigiCert. Они подтверждают подлинность ключей шифрования с помощью сертификатов электронной подписи.
Кроме того, есть проекты, CloudFlare или LetsEncrypt, где можно получить сертификат бесплатно и самостоятельно. Такой сертификат выпускается на 3 месяца и далее требует продления. Однако во время их установки и дальнейшей работы есть ряд нюансов, которые стоит учитывать. Например, при выборе сертификата Cloudflare учтите, что он выдаётся сразу на 50 сайтов. Тем самым сертификат будет защищать не только ваш домен, но и ещё несколько чужих, что несёт за собой риски безопасности. Также у Cloudflare нет печати доверия. Если говорить о недостатках LetsEncrypt, то сюда можно отнести поддержку далеко не всех браузеров, отсутствие гарантии сохранности данных сайта и печати доверия.
Печать доверия — это особый знак, позволяющий посетителям видеть, что соединение с вашим сайтом и все передаваемые данные надёжно защищены.
Итак, существует несколько типов SSL-сертификатов по источнику подписи и типу проверки данных.
Так вот, разница между самоподписанными сертифкатами и, выданными УЦ, как раз и заключается в том, что браузер знаком с УЦ и доверяет ему, и при использовании такого сертификата ваш посетитель никогда не увидит огромное уведомление о небезопасности ресурса. Купить такой SSL-сертификат можно как напрямую в УЦ, так и через хостинг-провайдеров.
Подписанные доверенным центром сертификаты, в свою очередь, тоже подразделяются по типу проверки данных:
Сертификаты всех указанных типов обеспечивают шифрование трафика между сайтом и браузером. Кроме того, у них есть дополнительные опции:
Какой SSL-сертификат выбрать?
Итак, мы определились с тем, что SSL-сертификаты различаются между собой не только брендом и ценой. Сегодняшний ассортимент предложений предусматривает широкий круг задач, для которых может потребоваться SSL.
Например, если вы просто хотите уберечь пользователей вашего веб-сайта от навязчивых предупреждений браузера о посещении непроверенного сайта, будет достаточно за несколько минут получить простой DV (Domain Validation) сертификат. Если же вы используете свою интернет-площадку для операций, требующих повышенного уровня безопасности данных компании и клиентов — стоит задуматься об EV (Extended Validation) сертификате. А если вы используете не один, а несколько веб-адресов для сайта или сайтов компании — для вас на рынке представлены сертификаты Wildcard и SAN.
Для выбора оптимального сертификата для определённого сайта нужно изучить, что предлагают центры сертификации, обращая внимание на следующие аспекты:
4 причины установить SSL-сертификат
Безопасность данных
Конечно же, стоит начать с этого пункта, ведь в этом заключается основная цель использования SSL-сертификатов. Если вы работаете с персональными данными пользователей, вам просто необходимо их шифровать при передаче к серверу. Само по себе использование сертификата не лекарство от всех бед, злоумышленники могут перехватить данные ещё до момента передачи их на сервер на заражённом компьютере или устройстве посетителя сайта. Однако использование протокола шифрования — значительный вклад в снижение уязвимости сайта.
Доверие к сайту
Пользователи привыкают, что все крупные проекты используют SSL-сертификаты. Надпись «Защищено» и замочек дают посетителю сайта представление о том, что он и его данные находятся в безопасности.
Поддержка сторонних сервисов
Некоторые платёжные системы (Яндекс.Деньги) и сервисы (Голосовой помощник Google Chrome) работают только с сайтами с HTTPS протоколом. Если специфика вашей работы подразумевает взаимодействие с аналогичными сервисами, рекомендуем вам установить SSL-сертификат.
Фактор ранжирования
Google не раз заявлял, что поддержка HTTPS протокола станет одним из факторов ранжирования. Для Яндекса сайты по HTTP и HTTPS протоколам участвуют в ранжировании на равных, однако, поисковик обозначает, что подключать SSL стоит, если на сайте можно совершать покупки и другие финансовые операции.
SSL-сертификат от авторитетного УЦ говорит о надёжной защите пользовательских данных — это не только хороший способ заслужить доверие пользователей и поисковых систем, но и большой вклад в стабильное продвижение и развитие сайта.
Общие сведения об S/MIME для подписывания и шифрования электронной почты в Intune
Сертификаты электронной почты, также известные как сертификаты S/MIME, призваны обеспечивать дополнительную безопасность ваших сообщений электронной почты с помощью шифрования и расшифровки. Microsoft Intune может использовать сертификаты S/MIME для подписывания и шифрования сообщений электронной почты для мобильных устройств под управлением следующих платформ:
Intune может автоматически доставлять сертификаты шифрования S/MIME на все платформы. Сертификаты S/MIME автоматически связываются с профилями электронной почты, использующими собственный почтовый клиент в iOS, а также с Outlook на устройствах iOS и Android. Для платформ Windows и macOS, а также для других почтовых клиентов на iOS и Android Intune также предоставляет сертификаты, но пользователи должны вручную включить S/MIME в своем почтовом приложении и выбрать сертификаты S/MIME.
Дополнительные сведения о подписывании и шифровании электронной почты S/MIME с Exchange см. в разделе S/MIME для подписывания и шифрования сообщений.
В этой статье описывается использование сертификатов S/MIME для подписывания и шифрования сообщений электронной почты на устройствах.
Сертификаты для подписи
Сертификаты для подписи позволяют приложению электронной почты клиента безопасно обмениваться данными с почтовым сервером.
Чтобы использовать сертификаты подписи, создайте шаблон в центре сертификации для подписи. В центре сертификации Microsoft Active Directory в разделе Настройка шаблона сертификата сервера перечислены шаги по созданию шаблонов сертификатов.
Сертификаты подписи в Intune используют сертификаты PKCS. В разделе Настройка и использование сертификатов PKCS описывается развертывание и использование сертификатов PKCS в среде Intune. К этим действиям относятся:
Можно также импортировать сертификат подписи для конкретного пользователя. Сертификат подписи развертывается на любом устройстве, которое регистрирует пользователь. Чтобы импортировать сертификаты в Intune, используйте командлеты PowerShell в GitHub. Чтобы развернуть сертификат PKCS, импортированный в Intune для подписывания электронной почты, выполните действия, описанные в разделе Настройка и использование сертификатов PKCS с помощью Intune. К этим действиям относятся:
Сертификаты шифрования
Сертификаты для шифрования гарантируют, что зашифрованные электронные письма будут расшифрованы только их предполагаемым получателем. Шифрование S/MIME — дополнительный уровень безопасности, который можно использовать в электронных письмах.
При отправке зашифрованного сообщения другому пользователю извлекается открытый ключ этого сертификата шифрования, который используется для шифрования отправляемого сообщения. Получатель расшифровывает письмо с помощью закрытого ключа на устройстве. Пользователи могут иметь журнал сертификатов, используемых для шифрования электронной почты. Каждый из этих сертификатов должен быть развернут на всех устройствах пользователя для того, чтобы сообщения можно было успешно расшифровать.
Не рекомендуется создавать сертификаты шифрования электронной почты в Intune. Хотя Intune поддерживает выдачу сертификатов PKCS, которые могут использовать шифрование, Intune создает уникальный сертификат на каждом устройстве. Уникальный сертификат на каждом устройстве не является оптимальным для сценария шифрования S/MIME, в котором сертификат шифрования следует использовать сразу на всех устройствах пользователя.
Чтобы развернуть сертификаты S/MIME с помощью Intune, необходимо импортировать все сертификаты шифрования пользователя в Intune. После этого Intune развертывает все эти сертификаты на каждом устройстве, которое регистрирует пользователь. Чтобы импортировать сертификаты в Intune, используйте командлеты PowerShell в GitHub.
Чтобы развернуть сертификат PKCS, импортированный в Intune для шифрования электронной почты, выполните действия, описанные в разделе Настройка и использование сертификатов PKCS с помощью Intune. К этим действиям относятся:
Импортированные сертификаты для шифрования S/MIME будут удалены Intune при удалении данных компании или при отмене регистрации пользователей в компоненте управления. При этом сертификаты не отзываются центром сертификации.
Профили электронной почты S/MIME
После создания профилей сертификатов подписывания и шифрования S/MIME вы можете включить S/MIME для собственной почты iOS/iPadOS.
Обзор средств защиты электронной почты
Мы начинаем серию статей, посвященных защите и взлому электронной почты. Всего будет три статьи. В первой статье мы рассмотрим современные алгоритмы, средства и методы защиты электронной почты. Во второй будут рассмотрены методы взлома электронной почты, а в третьей статье мы расскажем вам о новом средстве защиты электронной почты — CyberSafe Mail Encryption, которое в данный момент находится на стадии разработки.
Средства защиты электронной почты
Далее будут рассмотрены различные средства защиты электронной почты и приведены преимущества и недостатки каждого из них.
Начнем с классики жанра. Думаю, все знакомы с PGP — даже если кто ее не использовал, тот знает о ее существовании. Если кто-то знаком с PGP, тогда рекомендуем отличную статью«Введение в шифрование с открытым ключом и PGP». В ней описаны, как основы криптографии с открытым ключом, так и рассказано, что такое PGP.
Лучше остановимся на преимуществах и недостатках PGP, а, если быть предельно точными, программы PGP Desktop от Symantec. Если отбросить все остальные возможности программы PGP Desktop, а остановиться только на защите электронной почты, то преимуществ (на фоне других решений) будет не так уж и много — наличие сервера ключей keyserver.pgp.com, который пользователи могут использовать для обмена ключами. Больше нет необходимости публиковать свои открытые ключи на сайте или передавать их лично каждому адресату.
Особенность программы — это ее метод защиты электронной почты, а именно перехват на уровне драйвера трафика почтового клиента. Программа обнаруживает трафик почтового клиента и шифрует отправляемые сообщения и автоматически расшифровывает входящие сообщения. Казалось бы, такой метод защиты очень удобен. Ведь не нужно отдельно настраивать почтовый клиент, да и метод перехвата работает с любым почтовым клиентом. Вам не нужно знать особенности настройки каждого клиента, если вам захочется, например, перейти с Outlook на The Bat!
Настраивать сами клиенты при этом не нужно, но нужно настроить программу PGP Desktop для каждого почтового ящика, который вы используете — нужно задать e-mail, адреса SMTP/POP/IMAP-серверов и т.д. Понятное дело, также нужно настроить и ключи шифрования. Все это не очень просто для начинающего пользователя. Если вы никогда не работали с PGP Desktop, оценить сложность настройки программы можно в следующем видео: http://www.itprotect.ru/support/video/pgp-desktop-email/
Рис. 1. PGP Desktop обнаружила исходящее сообщение
Но ведь отсюда вытекает и главный недостаток программы — уже расшифрованные письма остаются незащищенными на клиенте. То есть, запустив почтовый клиент, который ничем не защищен, можно прочитать переписку. Если злоумышленник перехватит трафик, то прочитать ваши сообщения он не сможет, а вот если он завладеет вашим жестким диском, то все будет открыто, как на ладони. Понятно, что программа поддерживает также и создание виртуальных контейнеров, и шифрование физических дисков. Можно хранить базу сообщений почтового клиента в виртуальном контейнере или на зашифрованном диске, тогда у злоумышленника ничего не получится. Но речь сейчас сугубо о защите электронной почте без всяких вспомогательных средств.
Есть и еще один, не менее существенный недостаток. Если приложение PGP Desktop не было запущено, а потовый клиент уже получил сообщения, то они останутся нерасшифрованными. И повторно их расшифровать… непонятно как… Конечно, в Symantec не могли этого не предусмотреть и разработали специальный плагин для почтового клиента Outlook, который называется Outlook Addin. Вот только есть два момента: о «глюках» данного плагина не говорил разве что ленивый и что делать тем пользователям, у которых вместо Outlook, скажем, Thunderbird?
S/MIME
S/MIME (Secure/Multipurpose Internet Mail Extensions) — это стандарт для шифрования и подписи в электронной почте с помощью открытого ключа. Принцип защиты электронной почты следующий. Пользователь генерирует ключевую пару (открытый/закрытый ключ), настраивает свой почтовый клиент и предоставляет открытый ключ всем желающим. Они шифруют его открытым ключом письма, которые можно расшифровать только закрытым ключом. Другими словами, посредством S/MIME можно реализовать классическую схему ассиметричного шифрования со всеми ее преимуществами и недостатками.
Впрочем, не все недостатки являются такими уж и недостатками. Если использовать специальные программы для создания и управления сертификатами пользователя, например, CyberSafe Top Secret, то первые два недостатка неактуальны — вы сможете создать и опубликовать свой ключ на сервере ключей. Также программа позволяет выполнять поиск ключей, опубликованных другими пользователями.
Рис. 2. Создание сертификата программой CyberSafe Top Secret
По сути, единственный ощутимый недостаток S/MIME — это необходимость настройки каждого почтового клиента вручную. На предприятии можно настроить адресную книгу Outlook и все будет гораздо проще (при условии, что используется Outlook). Если же вы — конечный пользователь и используете шифрование для личных целей, вам придется настраивать сертификаты в каждом почтовом клиенте, который вы используете. В другой нашей статье было показано, как настроить шифрование в Outlook.
Безопасные почтовые сервисы. HushMail
Ранее считалось, что достаточно «завести» почтовый ящик на защищенном почтовом сервисе вроде GMail.com и таких мер безопасности будет вполне достаточно для сохранности электронной почты. Однако в 2013 году Google заявило, что больше не гарантирует безопасность данных. Такое заявление повергло многих пользователей этого сервиса в шок и заставило искать либо средства шифрования, либо сразу защищенные сервисы. Преимущество последних очевидно — ничего не нужно настраивать. Просто заводите себе «безопасный» почтовый ящик и используете его как обычно.
Один из таких сервисов — HushMail. На их сайте все очень красиво расписано, если не верите нам, можете убедиться в этом самостоятельно:
Даже приведена матрица угроз, позволяющая определить, от чего может защитить HushMail, а от чего — нет. На сайте сказано, что сервис поможет от перехвата вашего Интернет-соединения, от утечки данных, от неавторизированного анализа контента, а также от правительственных программ наблюдения. Особенно хочется остановиться на последней возможности. Однако всем известно, что ранее компания HushMail передала полиции расшифрованные сообщения некоторых своих пользователей — при судебном разбирательстве дела о контрабанде наркотиков. Суть даже не в факте передачи данных (понятное дело, никому не хочется укрывать преступников), а в факте расшифровки данных.
Рис. 3. Матрица угроз HushMail
Когда-то HushMail был знаменит тем, что он был единственным криптографическим сервисом, где все криптографические операции выполнялись на клиентской стороне в специальном Java-апплете. В этом же апплете генерировались ключевые пары, а на сервере хранились лишь зашифрованные пользователями сообщения, что исключало доступ к закрытым ключам пользователя. Данный апплет даже проверялся на наличие закладок. Их не обнаружили. Но факт передачи расшифрованных сообщений был и с этим не поспоришь.
Далее HushMail превратился в обычную почтовую службу с поддержкой SSL, хотя и с поддержкой OpenPGP, однако, все криптографические операции при этом выполняются на сервере. Именно поэтому мы не рекомендуем использовать подобные сервисы — никогда не знаешь, что происходит «на той стороне».
К слову, у HushMail два варианта интерфейса — новый и «оригинальный» (исходный). Последний изображен на рис. 4. Именно в этой версии интерфейса есть пункт меню Hushtools, вызывающий одноименное окно, предоставляющее средство управления ключами. В «новой» версии интерфейса вообще непонятно, как управлять ключами и шифрованием. В ней HushMail похож на обычную почтовую службу вроде Gmail.com.
Рис. 4. Исходный интерфейс HushMail
Плагин браузера PGP Mail
То, что шифрование производится на стороне клиента — это единственное преимущество данного плагина. А вот рекомендация использования TOR может усложнить знакомство с этим плагином для неопытных пользователей. А ведь для таких пользователей данный плагин и создается, поскольку все более опытные используют PGP или S/MIME.
Да и зависимость от браузера — то же не есть хорошо. А что, если пользователь использует Edge? А ведь этот браузер, не смотря на популярность Chrome и Firefox, довольно популярен только потому, что он «придворный» браузер Microsoft.
Плагин браузера SecureGmail
В отличие от PGP Mail, предлагает плагин SecureGmail симметричное шифрование, то есть каждое секретное сообщение шифруется паролем, который должен знать и отправитель, и получатель. Такая система шифрования может использоваться при полном доверии между всеми ее участниками. К тому же при росте количества участников придется увеличивать и количество ключей. Например, вы переписываетесь с Ивановым, Петровым и Сидировым. Можно, конечно, шифровать все сообщения одним паролем, который будут знать все три адресата. Но это не есть правильно. Правильнее создать отдельные ключи (пароли) для каждого из адресатов. Когда их трое, особых проблем это не составит. Но когда вам нужно обмениваться электронной почтой с сотнями адресатов, как запомнить все ключи? Следовательно, такая система шифрования удобна при обмене электронной почтой с небольшой группой адресатов.
Плагин SecureGmail работает в паре с браузером Chrome, остальные браузеры он не поддерживает.
Рис. 5. Плагин SecureGmail
Плагин браузера Encrypted Communication
Плагин Encrypted Communication по своему функционалу похож на SecureGmail, однако работает только в браузере Firefox, остальные браузеры не поддерживаются.
О недостатках симметричной системы шифрования мы уже говорили, поэтому не будем повторяться. Если вы переписываетесь секретной информацией с одним-двумя пользователями, такие плагины еще оправдывают свое существование. В противном случае лучше использовать ассиметричную систему.
Рис. 6. Плагин Encrypted Communication
Преимущество подобных плагинов — простота использования. Не нужно разбираться ассиметричным шифрованием (ведь концепция открытого/закрытого ключа может показаться сложной новичкам), не нужно морочить голову с ключами, их резервным копированием. Просто нужно помнить пароль и желательно сообщить его своим друзьям так, чтобы злоумышленник не мог перехватить его.
Плагин почтового клиента Enigmail
Аналогично браузерам, для почтовых клиентов также существуют плагины шифрования. Один из них — Enigmail. Представляет собой OpenPGP-плагин для Thunderbird и Postbox.
Особых преимуществ у этого решения нет, поскольку все равно приходится устанавливать и настраивать дополнительное программное обеспечение — программу GnuPG. Когда все настроено, можно сказать, что плагин удобен в использовании.
Недостаток — все равно нужно вникать в асимметричную систему шифрования и разбираться, что есть открытый и закрытый ключ и для чего используется каждый из них. Впрочем, это недостаток всех способов, использующих асимметричную криптографию. Здесь или безопасность и знание или же незнание и симметричная криптография.
Угрозы и средства защиты
Далее мы рассмотрим матрицу угроз (табл. 2), но сначала предлагаем вам ознакомиться с общей таблицей преимуществ и недостатков каждого средства защиты электронной почты.
Таблица 1. Сравнительная таблица средств защиты почты
При построении таблицы 2 мы взяли за основу матрицу угроз проекта HushMail, дополнили ее и можем использовать для сравнения описанных в таблице средств защиты электронной почты. Номер средства в этой таблице соответствует номеру средства в таблице 1. Значение «Да» означает, что вы защищены от угрозы. Значение «Да/Нет» означает, что есть какие-либо ограничения, о которых мы расскажем.
Таблица 2. Сравнение средств защиты электронной почты в разрезе матрицы угроз
Прокомментируем данную таблицу на примере средств защиты PGP Desktop и Huhsmail (колонки 1 и 3).
Поскольку шифрование осуществляется на стороне клиента, то программа PGP Desktop защищает вашу переписку от прослушивания Интернет-соединения. Что же касается HushMail, приходится полагаться только на SSL. Но такую защиту предлагает и gmail и если вас в первую очередь интересует именно защита от «прослушки» Интернет-соединения, то можно вообще не использовать какие-либо средства защиты. Однако на сайте HushMail указано, что сервис защищает от прослушки, поэтому в таблице указано «Да».
Что будет, если злоумышленник узнает ваш пароль от почтового ящика? Поскольку на сервере письма хранятся в зашифрованном виде, то ничего страшного не произойдет — максимум, что он сможет прочитать — это спам (куда же без него) и прочую неважную корреспонденцию, которую вы никак не шифровали.
А что будет, если злоумышленник компрометирует или контролирует сам веб-сервер? PGP Desktop, как и любое средство, где шифрование происходит на стороне клиента, защитит вас от этой неприятности. Ведь данные с пользовательского компьютера уже пересылаются в зашифрованном виде. Чего не скажешь о HushMail. Да, от прослушки спасает протокол SSL, а «внутри него» данные передаются в открытом виде, пока не происходит шифрование на самом сервере. Поэтому веб-сервер обладает полным доступом к данным. Это и есть ответ на вопрос, как администрация HushMail смогла предоставить доступ к переписке при судебном разбирательстве.
При использовании PGP Desktop после расшифровки сообщения хранятся в незашифрованном виде. Поэтому если кто-то получит доступ к вашему компьютеру после прочтения ваши письма или же завладеет вашим жестким диском, то PGP Desktop вам мало чем поможет. Конечно, если PGP Desktop не была запущена на момент поступления сообщения, следовательно, его не было кому расшифровать, тогда может информация все еще останется в тайне. Поэтому напротив PGP Desktop в таблице 2 стоит значение Да/Нет для последней угрозы. Что же касается HushMail, то вам не нужно беспокоиться об этих угрозах — ведь сообщения находится на сервере в зашифрованном виде.
Зато оба средства защиты уязвимы при использовании keylogger. Если злоумышленник перехватит ваши пароли (в частности, от сертификатов), то вам уже ничто не поможет. Разве что переход на токены вместо ввода паролей.
Все остальные средства защиты используют шифрование на стороне клиента, поэтому им не страшен ни перехват, ни доступ к вашему почтовому ящику — сообщения будут зашифрованы. Единственно, что предоставляет угрозу для этих средств защиты — это перехват ввода с клавиатуры. Злоумышленник может получить доступ не только к вашим паролям, но и к обычному тексту, который вы вводите в теле сообщения перед тем, как оно будет зашифровано. Кстати, нужно сделать важное замечание относительно S/MIME, а именно почему при правильном использовании S/MIME может не помочь даже «кейлоггер». Если ключ добавлен в хранилище, как не экспортируемый (что, кстати и делает CyberSafe Top Secret), то у злоумышленника ничего не выйдет. Именно поэтому на данный момент S/MIME можно считать самым надежным способом защиты электронной почты.
Общая информация о средствах защиты электронной почты приводится в таблице 3.
Таблица 3. Сводка по средствам защиты электронной почты
Выводы
Самый простой способ защиты электронной почты — это использование симметричного шифрования. Для его реализации можно использовать плагины браузера SecureGmail и Encrypted Communication или вообще обойтись без них, а использовать программы, позволяющие создавать архивы, защищенные паролем (например, WinRAR, 7-Zip). Расчет прост: вы защищаете архивом файл, помещаете в него сообщение с возможными вложениями и отправляете другому человеку. Он, зная пароль, открывает архив. Самый простой в реализации, но не очень простой в использовании способ. Создавать архив для каждого нового сообщения — довольно рутинно. Плагины SecureGmail и Encrypted Communication делают симметричное шифрование более удобным, но безопаснее оно от этого не становится.
Более надежная система асимметричного шифрования. Она реализована множеством самых разных способов. Можно использовать стандарт S/MIME (что позволяет использовать асимметричную криптографию даже на мобильных устройствах), можно использовать PGP и производные продукты (OpenPGP, PGP Mail, GnuPG).
В идеале мы как раз и рекомендуем использовать стандарт S/MIME как наиболее надежный и универсальный.
Надежность его заключается в том, что в самом почтовом клиенте сообщения хранятся в зашифрованном виде и расшифровываются только по мере обращения к ним (то есть если кто-то завладеет вашим жестким диском, он не сможет расшифровать ваши сообщения). При расшифровке запрашивается пароль, который знаете только вы (в отличие от симметричного шифрования, где пароль знают, как минимум двое).
Универсальность заключается в том, что один раз создав свой сертификат, вы можете использовать его в любых почтовых клиентах (разумеется, с поддержкой S/MIME), а также в любых операционных системах, в которых работают эти почтовые клиенты. Например, вы можете сгенерировать сертификат Windows-программой, установить его в Outlook и в мобильном почтовом клиенте MailDroid. Никаких ограничений на использование сертификатов нет. Главное при использовании S/MIME выбрать удобную программу для создания самих сертификатов. Желательно, чтобы она позволяла публиковать сертификаты на сервере ключей и управлять ними.