Jak zabezpieczyć pocztę? Podpisywanie i szyfrowanie

O certyfikatach i nie tylko. Przegląd certyfikatów na pocztę email. Różnice pomiędzy szyfrowaniem PGP a SMIME. Zobacz, co powinieneś wiedzieć, aby skutecznie zabezpieczyć firmową pocztę.

Bezpieczeństwo poczty elektronicznej to ciągle powracający temat. W tym kontekście pisze się bardzo dużo, mimo to wciąż nie udaje się uniknąć podstawowych błędów. Poczta, czyli narzędzie, bez którego prowadzenie e-biznesu nie byłoby możliwe. Serwer pocztowy to niezbędny, a jednocześnie najbardziej newralgiczny punkt w firmie. Cel ataków cyberprzestępców, którzy za pomocą wiadomości email infekują system, stosują metody phishingowe i zalewają użytkowników spamem. Bezpieczne korzystanie z firmowej poczty to obowiązek każdego pracownika, ale też wiedza, którą warto przenieść na swoje prywatne podwórko.

Przechwycona wiadomość

Wielu użytkowników wciąż wysyła maile otwartym tekstem, które są tylko częściowo chronione dzięki szyfrowaniu na poziomie sieci (TLS). Jeśli nie chcemy, aby wiadomość została odczytana „po drodze”, np. przez administratora serwera pocztowego, warto zwrócić uwagę na dodatkowe zabezpieczenia. Certyfikat SSL pozwala na szyfrowanie połączeń strony WW, serwera ftp, a także poczty. Stosowanie protokołu szyfrującego w komunikacji e-mailowej minimalizuje przechwycenia wiadomości np. przez programy szpiegujące.

Kryptologia

Certyfikaty na pocztę e-mail mają na celu chronienie przesyłanych treści z wykorzystaniem kryptografii asymetrycznej.

Kryptografia asymetryczna (nazywana też kryptografią klucza publicznego) –w powszechnym rozumieniu to szyfrowanie oraz podpisy cyfrowe opierające się o 2 klucze – prywatne i publiczne.

• Klucz publiczny - klucz który udostępniamy innym osobom, do których będą kierowane szyfrowane wiadomości. Klucz publiczny stosowany jest do szyfrowania informacji. Klucz publiczny jest identyfikatorem użytkownika - kluczem, który jest potrzebny innym do wysłania wiadomości. Dopiero po udostepnieniu klucza publicznego bezpieczne przesyłanie wiadomości e-mail będzie możliwe.
• Klucz prywatny - jest to najważniejszy klucz, który nie powinien być nikomu udostępniony i znany tylko danej osobie. Klucz prywatny służy do odszyfrowywania wiadomości. To, co zostanie zaszyfrowane przez klucz publiczny może być odszyfrowane tylko przez klucz prywatny.

Uwierzytelniona komunikacja

Nawet jeśli osoba niepowołana zdoła przechwycić wysyłaną wiadomość, bez znajomości klucza, dane będą jedynie bezużytecznym ciągiem losowo wygenerowanych znaków. Kolejną ważną zaletą systemu kluczy prywatnych i publicznych jest zapewnienie o autentyczności nadawcy. Transakcje handlowe często realizowane są na ścieżce wymiany wiadomości e-mail, jeśli chcemy mieć 100% pewność, że nadawcą danej wiadomości jest w rzeczywistości kontrahent, z którym korespondujemy podpis cyfrowy będzie odpowiednim potwierdzeniem. W przypadku podpisu elektronicznego, klient ma klucz prywatny, którym podpisuje, co zamyka drogę podszywającym się oszustom do manipulacji.

Stosowane Technologie:

• PGP (Pretty Good Privacy) - opracowany 27 lat temu przez Phila Zimmermanna kryptosystem, w którym użytkownik z pomocą programu generuje parę kluczy (prywatny i publiczny). Stosowane w środowiskach technologicznych, do szyfrowania nie tylko poczty, ale też np. plików.
• S/MIME (Secure/Multipurpose Internet Mail Extensions) – alternatywa dla PGP, protokół oparty na certyfikatach wystawianych przez urzędy certyfikacji takie jak np. Comodo Secure E-mail. Automatycznie szyfruje i podpisuje załączniki.

Certyfikat s/mime stosowany do zabezpieczeń firmowej poczty i użytkowników korzystający z desktopowych rozwiązań takich jak Thunderbird czy Outlook.

Główne zalety certyfikatu S/MIME

Korzystając z tego typu szyfrowania poczty, zyskujemy wyraźne graficzne oznaczenie w skrzynce odbiorczej. Tak przesyłane wiadomości są wyróżnione znakiem także po otwarciu wiadomości. Dlaczego klienci decydują się na tego typu zabezpieczenie? Głównym powodem jest wygoda, S/MIME jest łatwiejszy w użytkowaniu, zwykle obsługa jest już wbudowana w pocztę klienta, do PGP wymagane jest instalowanie wtyczek. Co więcej, PGP nie ma kontrolowanej metody wymiany kluczy. Przy tym rozwiązaniu nikt kluczy nie poświadcza, trzeba je ściągać samemu, np. ze strony www, albo przesłać, co nie do końca może być bezpieczne.

Dlaczego warto?

• Ochrona przed kradzieżą tożsamości
• Podpis cyfrowy zapewniający poufność
• Prosta aplikacja i instalacja
• Integracje z systemami pocztowymi

Jak to działa?

Cyfrowe podpisanie wiadomości jest gwarancją dla adresata, że przesłana wiadomość nie została zmodyfikowana. Wiadomości podpisane cyfrowo można wysyłać do dowolnych adresatów, jednak obie strony musza mieć zainstalowany ten sam certyfikat aby szyfrować pocztę. Adresat musi mieć zainstalowaną kontrolkę S/MIME w celu zweryfikowania podpisu cyfrowego.

Umiejętność rozpoznawania zagrożeń pozwoli zminimalizować konsekwencje działalności cyberprzestępców. Oczywiście, wdrożenie certyfikatu nie zwalnia użytkowników z czujnego monitorowania poczty i zwracania uwagi na podejrzaną korespondencję. Szyfrowanie oznacza, że tylko zamierzony odbiorca będzie mógł odczytać pocztę, podczas gdy podpis elektroniczny pozwoli zweryfikować prawdziwość nadawcy oraz to, czy wiadomość nie została zmodyfikowana.

• Sprawdź jak wdrożyć zabezpieczenie poczty