S/MIME ในอีเมลระดับองค์กร

ส่วนขยายจดหมายอินเทอร์เน็ตที่ปลอดภัย/อเนกประสงค์เป็นมาตรฐานสำหรับการเข้ารหัสด้วยกุญแจสาธารณะและการลงลายเซ็นให้ข้อมูล MIME ซึ่งเป็นรูปแบบที่ใช้สำหรับอีเมล ต่างจาก PGP ตรงที่ S/MIME ใช้ใบรับรอง X.509 ที่ออกโดย CA แทนการใช้เครือข่ายความไว้วางใจ โดยมีอยู่ในโปรแกรมรับส่งอีเมลสำหรับองค์กรส่วนใหญ่ จึงทำให้ติดตั้งใช้งานได้ง่ายขึ้นในสภาพแวดล้อมที่มีการจัดการ

PGP อาศัยการแลกเปลี่ยนและสร้างความไว้วางใจกับกุญแจสาธารณะด้วยตนเอง ส่วน S/MIME อาศัยใบรับรองที่ผูกกุญแจสาธารณะเข้ากับที่อยู่อีเมล และมี CA ที่เชื่อถือได้ลงลายเซ็นรับรอง CA รับรองตัวตนของผู้ถือใบรับรอง หากคุณไว้วางใจ CA คุณก็จะไว้วางใจใบรับรองที่ CA ออกให้โดยอัตโนมัติ จึงไม่จำเป็นต้องตรวจสอบกุญแจแต่ละรายการ

คุณสามารถขอรับใบรับรอง S/MIME ส่วนบุคคลจาก CA เชิงพาณิชย์ เช่น Sectigo หรือ DigiCert และบางครั้งอาจขอรับได้โดยไม่คิดค่าใช้จ่ายสำหรับการใช้งานส่วนบุคคล CA จะตรวจสอบว่าคุณควบคุมที่อยู่อีเมลนั้นได้ก่อนออกใบรับรอง ไฟล์ผลลัพธ์ประกอบด้วยใบรับรองของคุณ (กุญแจสาธารณะ) และกุญแจส่วนตัวของคุณ จากนั้นจึงนำเข้าใบรับรองในโปรแกรมรับส่งอีเมลของคุณ

Microsoft Outlook มีการรองรับ S/MIME ในตัวบน Windows และสามารถตั้งค่าให้ลงลายเซ็นหรือเข้ารหัสอีเมลขาออกทั้งหมดโดยอัตโนมัติเมื่อมีการติดตั้งใบรับรองแล้ว Apple Mail บน macOS และ iOS ก็รองรับ S/MIME ในตัวเช่นกัน โดยแสดงไอคอนแม่กุญแจสำหรับข้อความที่เข้ารหัส และไอคอนริบบิ้นสำหรับข้อความที่ลงลายเซ็น ทั้งสองโปรแกรมไม่จำเป็นต้องติดตั้งส่วนเสริม

S/MIME รองรับการดำเนินการที่แยกจากกันสองอย่าง ลายเซ็นดิจิทัลจะแนบหลักฐานทางการเข้ารหัสว่าข้อความมาจากผู้ส่งที่ระบุไว้และไม่ได้ถูกแก้ไข การเข้ารหัสจะทำให้เนื้อความของข้อความอ่านไม่ออก เพื่อให้มีเพียงผู้รับเท่านั้นที่อ่านข้อความได้ คุณสามารถลงลายเซ็นโดยไม่เข้ารหัส เข้ารหัสโดยไม่ลงลายเซ็น หรือทำทั้งสองอย่าง การใช้งานในองค์กรส่วนใหญ่กำหนดให้ลงลายเซ็นเป็นอย่างน้อย

เมื่อคุณลงลายเซ็นให้อีเมลด้วย S/MIME โปรแกรมรับส่งอีเมลของคุณจะใช้กุญแจส่วนตัวสร้างลายเซ็นบนค่าแฮชของข้อความ โปรแกรมของผู้รับจะตรวจสอบลายเซ็นโดยใช้กุญแจสาธารณะในใบรับรองของคุณ และยืนยันว่าใบรับรองนั้นออกโดย CA ที่เชื่อถือได้ ลายเซ็นที่ถูกต้องบอกผู้รับได้ว่าข้อความมาจากที่อยู่อีเมลของคุณจริง และไม่ได้ถูกดัดแปลง

หากต้องการส่งอีเมล S/MIME ที่เข้ารหัส คุณต้องมีใบรับรองของผู้รับ โดยเฉพาะกุญแจสาธารณะของผู้รับ โดยทั่วไปผู้รับจะแบ่งปันใบรับรองด้วยการส่งอีเมลที่ลงลายเซ็นให้คุณก่อน จากนั้นโปรแกรมรับส่งอีเมลของคุณจะจัดเก็บใบรับรองของผู้รับโดยอัตโนมัติ หากไม่มีใบรับรองของผู้รับเก็บไว้ ก็จะไม่สามารถเข้ารหัสได้ ซึ่งเป็นอุปสรรคที่พบบ่อยในการนำระบบไปใช้งาน

องค์กรขนาดใหญ่มักดำเนินการ CA ภายในของตนเอง โดยใช้ Microsoft Active Directory Certificate Services หรือระบบที่คล้ายกัน CA ภายในจะออกใบรับรอง S/MIME ให้พนักงานทุกคนโดยอัตโนมัติผ่าน Group Policy คอมพิวเตอร์ทุกเครื่องของบริษัทจะไว้วางใจ CA ภายในเป็นค่าเริ่มต้น ทำให้อีเมลภายในองค์กรสามารถเข้ารหัสและลงลายเซ็นได้อย่างราบรื่นโดยไม่ต้องเสียค่าใช้จ่ายให้ CA ภายนอก

S/MIME ใช้รูปแบบความไว้วางใจแบบ CA ลำดับชั้น ขณะที่ PGP ใช้เครือข่ายความไว้วางใจแบบกระจายศูนย์ ใบรับรอง S/MIME มีข้อมูลเมตาของตัวตนที่ CA ตรวจสอบแล้ว ส่วนกุญแจ PGP มีข้อมูลตามที่เจ้าของอ้างเท่านั้น S/MIME เหมาะกับสภาพแวดล้อมขององค์กรที่มีการจัดการมากกว่า ส่วน PGP ยืดหยุ่นกว่าสำหรับผู้ใช้ที่เป็นอิสระ ทั้งสองระบบมีความแข็งแกร่งด้านการเข้ารหัสเทียบเท่ากันเมื่อกำหนดค่าอย่างถูกต้อง

S/MIME ผนวกรวมเข้ากับ Outlook, Exchange และ Active Directory ได้โดยตรงโดยไม่ต้องใช้ซอฟต์แวร์เพิ่มเติม แผนก IT สามารถทำให้การออกและต่ออายุใบรับรองเป็นอัตโนมัติได้ กรอบการปฏิบัติตามข้อกำหนดอย่าง HIPAA และกฎระเบียบทางการเงินมักระบุถึง S/MIME โดยเฉพาะ PGP ต้องติดตั้งส่วนเสริม จัดการพวงกุญแจ และฝึกผู้ใช้เกี่ยวกับเครือข่ายความไว้วางใจ จึงนำไปใช้งานในวงกว้างได้ยากกว่า

S/MIME เข้ารหัสเนื้อความของข้อความ แต่ไม่เข้ารหัสบรรทัดเรื่อง ซึ่งยังคงเป็นข้อความที่อ่านได้โดยไม่ต้องถอดรหัส เซิร์ฟเวอร์จดหมายไม่สามารถค้นหาหรือกรองข้อความที่เข้ารหัสได้ หากคุณสูญเสียกุญแจส่วนตัว อีเมลที่เข้ารหัสและจัดเก็บถาวรจะไม่สามารถอ่านได้อีกอย่างถาวร การฝากกุญแจไว้กับ CA ขององค์กรเป็นเรื่องที่พบได้ทั่วไปเพื่อป้องกันข้อมูลสูญหาย แต่จะทำให้บุคคลที่สามสามารถเข้าถึงอีเมลที่เข้ารหัสทั้งหมดได้

S/MIME ให้การเข้ารหัสอีเมลและลายเซ็นดิจิทัลโดยใช้ใบรับรอง X.509 จาก CA ที่เชื่อถือได้ ระบบนี้มีอยู่ใน Outlook และ Apple Mail จึงทำให้การติดตั้งใช้งานในองค์กรทำได้ง่าย การลงลายเซ็นพิสูจน์ตัวตนของผู้ส่ง ส่วนการเข้ารหัสต้องใช้ใบรับรองของผู้รับ CA ภายในช่วยจัดสรรใบรับรองโดยอัตโนมัติในวงกว้าง บรรทัดเรื่องยังคงไม่ได้รับการเข้ารหัสในการใช้งาน S/MIME ทุกแบบ