Kurumsal E-postada S/MIME

Güvenli/Çok Amaçlı İnternet Posta Uzantıları (S/MIME), e-posta için kullanılan biçim olan MIME verilerini açık anahtarla şifrelemek ve imzalamak için bir standarttır. PGP'nin aksine S/MIME, bir Güven Ağı yerine Sertifika Otoriteleri tarafından verilen X.509 sertifikalarını kullanır. S/MIME çoğu kurumsal e-posta istemcisinde yerleşik olduğundan yönetilen ortamlarda dağıtımı kolaylaştırır.

PGP, açık anahtarların elle değiştirilmesine ve bunlara güvenilmesine dayanır. S/MIME ise açık anahtarı bir e-posta adresine bağlayan ve güvenilir bir CA tarafından imzalanan sertifikalara dayanır. CA, sertifika sahibinin kimliğine kefil olur. CA'ya güveniyorsanız, onun verdiği sertifikalara otomatik olarak güvenirsiniz; böylece tek tek anahtar doğrulama gereği ortadan kalkar.

Kişisel S/MIME sertifikaları, Sectigo veya DigiCert gibi ticari CA'lerden edinilebilir; kişisel kullanım için kimi zaman ücretsizdir. CA, sertifikayı vermeden önce e-posta adresini kontrol ettiğinizi doğrular. Ortaya çıkan dosya sertifikanızı (açık anahtarınızı) ve özel anahtarınızı içerir. Ardından sertifika e-posta istemcinize aktarılır.

Microsoft Outlook, Windows'ta yerleşik S/MIME desteğine sahiptir ve bir sertifika yüklendikten sonra giden tüm postaları otomatik olarak imzalayacak veya şifreleyecek şekilde yapılandırılabilir. macOS ve iOS üzerindeki Apple Mail de S/MIME'ı yerel olarak destekler; şifreli mesajlarda kilit, imzalı mesajlarda ise şerit simgeleri gösterir. Her iki istemcide de eklenti gerekmez.

S/MIME iki bağımsız işlemi destekler. Dijital imza, mesajın belirtilen gönderenden geldiğini ve değiştirilmediğini kanıtlayan kriptografik bir kanıt ekler. Şifreleme, mesaj gövdesini yalnızca alıcının okuyabileceği şekilde karıştırır. Şifrelemeden imzalayabilir, imzalamadan şifreleyebilir veya her ikisini de yapabilirsiniz. Çoğu kurumsal dağıtım en azından imzalamayı gerektirir.

S/MIME ile bir e-posta imzaladığınızda e-posta istemciniz, mesajın özet değeri üzerinde bir imza oluşturmak için özel anahtarınızı kullanır. Alıcının istemcisi, imzayı sertifikanızın açık anahtarını kullanarak doğrular ve sertifikanın güvenilir bir CA tarafından verildiğini teyit eder. Geçerli bir imza, alıcıya mesajın gerçekten e-posta adresinizden geldiğini ve üzerinde oynama yapılmadığını bildirir.

Şifreli bir S/MIME e-postası göndermek için alıcının sertifikasına, özellikle de açık anahtarına sahip olmanız gerekir. Alıcılar genellikle önce size imzalı bir e-posta göndererek sertifikalarını paylaşır; bunun ardından e-posta istemciniz sertifikalarını otomatik olarak saklar. Alıcının sertifikası kayıtlı değilse şifreleme mümkün değildir; bu da dağıtımlarda sık karşılaşılan bir uygulama sorunudur.

Büyük kuruluşlar genellikle Microsoft Active Directory Certificate Services veya benzeri bir sistem kullanarak kendi dahili Sertifika Otoritelerini çalıştırır. Dahili CA, Grup İlkesi aracılığıyla tüm çalışanlara otomatik olarak S/MIME sertifikaları verir. Tüm şirket bilgisayarları dahili CA'ya varsayılan olarak güvenir; böylece harici CA maliyetleri olmadan kuruluş içinde sorunsuz biçimde şifreli ve imzalı e-posta kullanılabilir.

S/MIME hiyerarşik bir CA güven modeli kullanırken PGP merkeziyetsiz bir Güven Ağı kullanır. S/MIME sertifikaları CA tarafından doğrulanmış kimlik meta verileri taşır; PGP anahtarları ise sahibinin ileri sürdüğü bilgileri taşır. S/MIME yönetilen kurumsal ortamlara daha uygundur; PGP bağımsız kullanıcılar için daha esnektir. Her ikisi de doğru yapılandırıldığında eşdeğer kriptografik güç sağlar.

S/MIME, ek yazılım gerektirmeden Outlook, Exchange ve Active Directory ile doğrudan bütünleşir. IT departmanları sertifika verme ve yenileme işlemlerini otomatikleştirebilir. HIPAA gibi uyumluluk çerçeveleri ve finansal düzenlemeler çoğu zaman özellikle S/MIME'a atıfta bulunur. PGP; eklenti yüklemeyi, anahtar zincirini yönetmeyi ve kullanıcıları Güven Ağı konusunda eğitmeyi gerektirdiğinden geniş ölçekte dağıtılması daha zordur.

S/MIME mesaj gövdesini şifreler, ancak düz metin olarak kalan konu satırını şifrelemez. Şifreli mesajlar posta sunucusu tarafından aranamaz veya filtrelenemez. Özel anahtarınızı kaybederseniz arşivlenmiş şifreli e-postalar kalıcı olarak okunamaz hâle gelir. Veri kaybını önlemek için kuruluş CA'sı tarafından anahtar emanetleme yaygındır; ancak bu, şifrelenmiş tüm postalara erişebilen üçüncü bir taraf oluşturur.

S/MIME, güvenilir CA'lerden alınan X.509 sertifikalarını kullanarak e-posta şifreleme ve dijital imzalar sağlar. Outlook ve Apple Mail'de yerleşik olduğundan kurumsal dağıtımı kolaylaştırır. İmzalama gönderenin kimliğini kanıtlar; şifreleme ise alıcının sertifikasını gerektirir. Dahili CA'ler, büyük ölçekte otomatik sertifika sağlanmasına olanak tanır. Konu satırları tüm S/MIME uygulamalarında şifrelenmeden kalır.