S/MIME в корпоративной электронной почте

Secure/Multipurpose Internet Mail Extensions — это стандарт шифрования с открытым ключом и подписания данных MIME, то есть формата, используемого для электронной почты. В отличие от PGP, S/MIME использует сертификаты X.509, выданные центрами сертификации, а не сеть доверия. S/MIME встроен в большинство корпоративных почтовых клиентов, что упрощает развертывание в управляемых средах.

PGP полагается на ручной обмен открытыми ключами и установление доверия к ним. S/MIME полагается на сертификаты, связывающие открытый ключ с адресом электронной почты и подписанные доверенным CA. CA подтверждает личность владельца сертификата. Если Вы доверяете CA, то автоматически доверяете сертификатам, выданным им, и Вам не нужно проверять каждый ключ отдельно.

Личные сертификаты S/MIME можно получить у коммерческих центров сертификации, таких как Sectigo или DigiCert, иногда бесплатно для личного использования. Перед выдачей сертификата центр сертификации проверяет, что Вы контролируете указанный адрес электронной почты. Получившийся файл содержит Ваш сертификат (открытый ключ) и Ваш закрытый ключ. Затем сертификат импортируется в почтовый клиент.

Microsoft Outlook имеет встроенную поддержку S/MIME в Windows и после установки сертификата может автоматически подписывать или шифровать все исходящие письма. Apple Mail в macOS и iOS также изначально поддерживает S/MIME, отображая значки замка для зашифрованных сообщений и значки ленты для подписанных сообщений. В обоих клиентах не требуются дополнения.

S/MIME поддерживает две независимые операции. Цифровая подпись прикрепляет криптографическое подтверждение того, что сообщение отправлено указанным отправителем и не изменялось. Шифрование преобразует тело сообщения в зашифрованный вид, чтобы его мог прочитать только получатель. Можно подписать сообщение без шифрования, зашифровать без подписания или выполнить обе операции. В большинстве корпоративных систем требуется как минимум подписание.

Когда Вы подписываете электронное письмо с помощью S/MIME, Ваш почтовый клиент использует закрытый ключ для создания подписи хеша сообщения. Клиент получателя проверяет подпись с помощью открытого ключа из Вашего сертификата и подтверждает, что сертификат выдан доверенным CA. Действительная подпись сообщает получателю, что сообщение действительно отправлено с Вашего адреса электронной почты и не подвергалось подделке.

Чтобы отправить зашифрованное письмо S/MIME, Вам нужен сертификат получателя, а именно его открытый ключ. Получатели обычно передают свой сертификат, сначала отправляя Вам подписанное электронное письмо, после чего Ваш почтовый клиент автоматически сохраняет их сертификат. Без сохраненного сертификата получателя шифрование невозможно, и это часто создает трудности при развертывании.

Крупные организации часто разворачивают собственный внутренний центр сертификации с помощью Microsoft Active Directory Certificate Services или аналогичной системы. Внутренний центр сертификации автоматически выдает сертификаты S/MIME всем сотрудникам через групповую политику. Все компьютеры компании по умолчанию доверяют внутреннему центру сертификации, что позволяет беспрепятственно обмениваться зашифрованными и подписанными письмами внутри организации без затрат на внешние центры сертификации.

S/MIME использует иерархическую модель доверия центров сертификации, тогда как PGP использует децентрализованную сеть доверия. Сертификаты S/MIME содержат сведения о личности, проверенные центром сертификации, а ключи PGP содержат любые сведения, заявленные владельцем. S/MIME лучше подходит для управляемых корпоративных сред, а PGP предоставляет независимым пользователям больше гибкости. При правильной настройке оба варианта обеспечивают равноценную криптографическую стойкость.

S/MIME напрямую интегрируется с Outlook, Exchange и Active Directory без дополнительного программного обеспечения. Отделы IT могут автоматизировать выдачу и продление сертификатов. Такие нормативные рамки, как HIPAA, и финансовые требования часто прямо упоминают S/MIME. Для PGP требуется устанавливать дополнения, управлять связкой ключей и обучать пользователей работе с сетью доверия, поэтому его сложнее развертывать в больших масштабах.

S/MIME шифрует тело сообщения, но не строку темы, которая остается в открытом виде. Почтовый сервер не может искать зашифрованные сообщения или отбирать их с помощью фильтров. Если Вы потеряете закрытый ключ, зашифрованные архивные письма навсегда станут нечитаемыми. Депонирование ключей центром сертификации организации — распространенный способ предотвратить потерю данных, но при этом появляется третья сторона, получающая доступ ко всей зашифрованной почте.

Что требуется перед отправкой коллеге зашифрованного письма S/MIME?

S/MIME обеспечивает шифрование электронной почты и цифровые подписи с помощью сертификатов X.509 от доверенных центров сертификации. Он встроен в Outlook и Apple Mail, что упрощает корпоративное развертывание. Подписание подтверждает личность отправителя, а для шифрования требуется сертификат получателя. Внутренние центры сертификации позволяют автоматически выдавать сертификаты в больших масштабах. Строки темы остаются незашифрованными во всех реализациях S/MIME.