S/MIME هي طريقة طويلة الأمد لإرسال البريد الإلكتروني المشفر والموقع، وهي قائمة على معايير الإنترنت العامة. نصادف بانتظام متطلبات S/MIME، خاصة من الصناعات المنظمة مثل البنوك والصحة والتمويل.
S/MIME هو طريقة قديمة لإرسال البريد الإلكتروني المشفر والموقع، وهو مبني على معايير الإنترنت العامة. غالباً ما تواجهنا متطلبات لـ S/MIME، لا سيما من الصناعات المنظمة مثل البنوك، الصحة، والمالية. غالباً ما يكون S/MIME مطلوبًا عند التواصل بين الشركات والوكالات الحكومية، كمثال.
معيار بريد آمن آخر، PGP (الذي يحمل اسمًا طريفًا مثل "خصوصية جيدة جدًا")، يُستخدم أكثر للتواصل الآمن من شخص إلى شخص. إنه أقل شهرة الآن لأن الإصدارات الاستهلاكية من عملاء البريد الإلكتروني الشائعين عبر الويب مثل Gmail و Outlook/Hotmail لا يمكنها عرض بريد مشفر. هذا هو أحد الأسباب التي جعلت العديد من الاتصالات من شخص إلى شخص التي تتطلب الخصوصية تنتقل إلى منصات مثل WhatsApp (والعديد من الآخرين) التي تقدم تشفيرًا مدمجًا من النهاية إلى النهاية.
يتطلب كلا من PGP و S/MIME عميل بريد يمكنه استخدام المفاتيح والشهادات. يتناسب العديد من عملاء سطح المكتب والهواتف المحمولة، بما في ذلك Apple Mail، Microsoft Outlook، وMozilla Thunderbird مع المتطلبات، وتفعل ذلك الإصدارات التجارية من بعض عملاء الويب مثل Microsoft Office 365. يتطلب إعداد المفاتيح بعض العمل، لكن العديد من المؤسسات ما زالت تعتبره مجديًا، على الرغم من الإفصاحات الأخيرة عن الثغرات التي تتطلب الحلول لحظر تحميل المحتوى عن بعد.
توجد S/MIME منذ 1995 وقد مرت بعدة مراجعات؛ النسخة الحالية مغطاة بواسطة RFC 5751. يتطلب تبادل المفاتيح العامة، وهي مهمة غير تافهة تتطلب غالبًا دعم فريق تكنولوجيا المعلومات أو مورد مماثل. بالنسبة للمؤسسات التي تشغل بنية تحتية للبريد الإلكتروني داخليًا، يتطلب تنفيذ S/MIME اعتبارات إضافية للمنصات مثل PowerMTA وMomentum، والتي نغطيها في دليلنا عن S/MIME للبريد الإلكتروني الآمن الداخلي. ومع ذلك، توجد طرق مؤتمتة لتبسيط هذه العملية، مثل جمع مفاتيح المستلمين العامة من خلال أنظمة تعتمد على البريد الإلكتروني يمكن أن تبسط إدارة المفاتيح للتدفقات البريدية التي يتم إنشاؤها بواسطة التطبيقات. هنا تدخل الشركات التجارية مثل شركاء SparkPost Virtru وEchoworkx لتسهيل الأمن للمراسلات التجارية من شخص إلى شخص (انظر SparkPost/Echoworkx كيفية لمزيد من المعلومات).
هذا هو الحال، دعونا نتعمق في S/MIME القديم ونرى ما يمكننا القيام به معه.
لماذا يجب أن أهتم؟
الإصدار المختصر:
التشفير يمنحك خصوصية الرسائل.
التوقيع يمنحك المصادقة (لمصدر الرسالة)، عدم الإنكار للمصدر، وفحوصات سلامة الرسائل.
S/MIME يعمل بشكل مختلف عن DKIM وDMARC ويمكن أن يتعايش معهما.
الخصوصية
إذا كانت رسائلك لا تحتوي على شيء شخصي أو خاص أو مهم قانونيًا، فلن تحتاج على الأرجح إلى التفكير في S/MIME. أنظمة توصيل البريد الإلكتروني الحديثة مثل SparkPost تستخدم بالفعل "TLS الانتقائي" لتأمين نقل الرسائل من الخادم المرسل إلى الخادم المستلم.
ومع ذلك، فإن الجزء "الانتقائي" يعني أن الرسالة سيتم إرسالها في حالة عدم قدرة الخادم المرسل على التفاوض على اتصال آمن. هذا ليس مناسبًا إذا كنت تريد إجبار الرسالة على أن تكون آمنة طوال الطريق. يمكنك إلقاء نظرة على موفري صناديق البريد الذين يدعون دعم TLS والذين يفعلون بالفعل. على فرض أن خادم المستلم يدعم TLS، فإن رسالتك ستكون مؤمنة كما يلي:
يقوم TLS بتأمين المحادثات بين خوادم البريد (ولذلك يسمى تأمين طبقة النقل). يهتم MIME (بما في ذلك S/MIME) بمحتوى الرسالة وطريقة معالجتها، ويمكن اعتبارها جزءًا من "طبقة العرض".
S/MIME يؤمن محتوى الرسالة بالكامل طوال الطريق (من النهاية إلى النهاية) من مصدر الرسالة إلى عميل البريد الإلكتروني للمستلم، ويقوم بتغليف جسم الرسالة.
S/MIME يقوم بتشفير جسم الرسالة باستخدام المفتاح العام للمستلم. لا يمكن فك تشفير الجسم دون المفتاح الخاص للمستلم - ليس بواسطة أي "شخص في الوسط" مثل مزود خدمة الإنترنت، أو SparkPost، أو خادم البريد للمستلم.
لا يتم الإفصاح أبدًا عن المفتاح الخاص؛ يحتفظ به المستلم وحده. تنتقل الرسالة المشفرة عبر الإنترنت إلى خادم البريد المستلم. عند وصولها إلى صندوق الوارد للمستلم، يتم فك تشفيرها (عادةً تلقائيًا) باستخدام مفتاحهم الخاص وتصبح قابلة للقراءة.
بعض الجوانب السيئة لـ S/MIME التي يجب أن تكون على علم بها:
S/MIME التشفير له أثر جانبي في منع فحص الرسائل الواردة المستند إلى الخادم للبرامج الضارة لأن الحمولة الرسالية تكون في شكل مشفر لذا هي غير قابلة للتحديد.
لاحظ أن رؤوس الرسائل (مثل: من، إلى، الموضوع: إلخ) ليست مشفرة، لذا يجب إنشاء محتوى سطر الموضوع مع وضع ذلك في الاعتبار.
التوقيع – المصادقة
يوفر S/MIME أيضًا للمستلم القدرة على التحقق من أن هوية مرسل الرسالة هي بالفعل ما يقولون إنها.
يرفق رسالة البريد الإلكتروني للمرسل شهادة، والتي، مثل الشهادة على الموقع الآمن، يمكن تتبعها إلى سلطة إصدار. هناك وصف كامل لعملية التوقيع هنا.
سنتبع نهج التوقيع على البريد أولاً، ثم تشفيره، لذا سيبدو الإجراء هكذا.
عدم الإنكار
فائدة أخرى مفيدة للتوقيع للمستلم هي عدم الإنكار للمصدر. خذ في الاعتبار وضعية يتم فيها استخدام رسالة بريد إلكتروني للموافقة على عقد. يحصل المستلم على العقد في رسالة من المرسل. إذا حاول المرسل لاحقًا أن يقول "لا، لم أرسل لك تلك الرسالة"، فإن الرسالة المستلمة توضح أن شهادة المرسل قد تم استخدامها بالفعل.
سلامة الرسالة
تقوم عملية التوقيع بإنشاء بصمة للرسالة المصدر العادية (المعروفة باسم ملخص الرسالة)، وتقوم بتشفير الملخص باستخدام المفتاح الخاص للمرسل، ويتضمنه في الرسالة المرسلة. يمكن لعميل البريد الإلكتروني للمستلم معرفة ما إذا تم العبث بجسم الرسالة.
ربما قد تقول، "ظننت أن DKIM يعطيني فحوصات سلامة الرسائل!" حسنًا نعم، يقدم DKIM فحوصات سلامة جسم الرسالة والرأس – ضمانات ضد العبث. ومع ذلك، فإن فشل DKIM (أو غيابه) لن يتسبب عادةً في تأشير الرسالة الواردة على أنها غير صالحة تمامًا، ...ما لم يكن هناك سياسة DMARC بـ `p=reject` سارية (المزيد عن DMARC هنا). DKIM هو أحد العوامل من بين العديد من العوامل المستخدمة من قبل مزود خدمة الإنترنت لاعتماد السمعة على نطاق وهو، بطبيعة الحال، جزء أساسي من مكدس المراسلة الخاص بك.
سيظهر عميل البريد الإلكتروني الخاص بك بشكل بارز إذا فشل فحص التوقيع على رسالة S/MIME:
الملخص: النهاية إلى النهاية (S/MIME) مقابل الخادم إلى الخادم (DKIM، DMARC، TLS)
S/MIME هو وظيفة لطبقة العرض يمكن أن تعمل بين مستخدمي بريد إلكتروني اثنين (مع شهادات/مفاتيح صالحة) دون أي إجراء من قبل مدير البريد الإلكتروني. يوفر S/MIME التشفير والتوقيع وهو شخصي لكل مستخدم.
S/MIME مرتبط بالعنوان الكامل للإرسال (الجزء المحلي وجزء النطاق)، لذا، على سبيل المثال، alice@bigcorp.com وbob@bigcorp.com سيحتاجان إلى شهادات مختلفة. بالمقابل، DKIM يتحقق من أن البريد الإلكتروني يأتي من نطاق التوقيع. DKIM هو موضوع كامل بحد ذاته؛ هذه المقالة هي مكان جيد للبدء.
يتم إعداد DKIM وDMARC من قبل مدير البريد الإلكتروني الخاص بك (العمل على خادم البريد وسجلات DNS). بمجرد الإعداد، تكون نشطة للنطاقات، بدلاً من المستخدمين الأفراد.
كيف يرتبط هذا بـ SparkPost؟
ما هي العملاء الذين يدعمون S/MIME؟
جيميل للمستهلك
يعرض عميل الويب العادي لجيميل تواقيع البريد الوارد (انظر أدناه)، ولكنه غير مُجهز للاحتفاظ بمفتاحك الخاص لقراءة الرسائل المشفرة. حتى لو كان ذلك ممكن عبر الإضافات الخارجية، فإن تحميل مفتاحك الخاص ليس فكرة جيدة من ناحية الأمان.
لم أتمكن من جعل بريد Yahoo! يفسر التوقيعات في الرسائل على الإطلاق.
تنبهك النسخة الاستهلاكية من حسابات Microsoft Outlook/Hotmail إلى وجود توقيع S/MIME، لكنها لا تمنحك الوصول الكامل لعرض الشهادة أو فحصها.
بريد الأعمال المستضاف
بالنسبة للمؤسسات التي تستخدم بريدًا مستضافًا، فإن Microsoft Office 365 و G Suite Enterprise يدعمان S/MIME.
عملاء بريد Outlook
يعمل برنامج Microsoft Outlook القائم على العميل (مثل 2010 لنظام Windows):
النقر على الأيقونات يمنحك مزيدًا من المعلومات:
في Outlook 2010 / Windows، يتم الوصول إلى مخزن الشهادات عبر ملف / خيارات / مركز الثقة / إعدادات مركز الثقة / أمان البريد الإلكتروني / استيراد / تصدير.
Thunderbird – عبر المنصات ومجاني
إذا كنت تبحث عن عميل مجاني، فإن Mozilla Thunderbird يناسب الاحتياج. إنه متاح على الكمبيوتر الشخصي والماك ولينكس، ويدعم S/MIME عبر جميع هذه الأنظمة. هكذا يبدو الأمر على جهاز Mac. تشير أيقونة “المغلف المختوم” إلى أن الرسالة موقعة، وتشير القفل إلى أنها مشفرة.
النقر على المغلف/القفل يعرض معلومات حول الرسالة:
لدى Thunderbird مخزن مفاتيح خاص به، يتم الوصول إليه بطرق مشابهة على كل منصة:
Mac عبر التفضيلات / متقدم / شهادات / إدارة الشهادات
PC: القائمة ("الهامبرغر" في الزاوية العلوية اليمنى)، متقدم / شهادات / إدارة الشهادات
Linux: القائمة ("الهامبرغر" في الزاوية العلوية اليمنى)، تفضيلات / متقدم / إدارة الشهادات
بريد Mac
يدعم بريد Mac أيضًا S/MIME. يعتمد على سلسلة المفاتيح في جهاز Mac الخاص بك لحفظ مفاتيحك.
بريد iOS
أولاً، قم باستيراد شهادة حساب بريدك الإلكتروني بهذه الطريقة، ثم يمكنك عرض رسائل البريد الإلكتروني الموقعة والمشفرة بـ S/MIME. لا تبدو مختلفة بشكل كبير على شاشة العرض.
أندرويد
بعض الأجهزة والتطبيقات تدعم S/MIME، هناك تنوع كبير. سامسونج لديها دليل.
أخيرًا...
هذا هو عرضنا السريع للاستخدامات العملية لـ S/MIME. إذا كنت ترغب في الحصول على شهادات البريد الخاصة بك، هناك قائمة بمقدمي الخدمة هنا. لقد وجدت أن Comodo يعمل جيدًا (مجاني للاستخدام غير التجاري - افتح هذا في Firefox، وليس Chrome).
في الجزء 2، سوف نستكشف كيفية تطبيق توقيع وتشفير S/MIME على الرسائل التي تقوم بتسليمها عبر SparkPost.
قراءة إضافية
لدى Microsoft مقالة تمهيدية جيدة حول S/MIME هنا.
لمزيد من المعلومات حول ثغرة EFAIL وكيف تم التعامل معها، هذا هو الموقع الشامل. تفسيرات أخرى سهلة الفهم تجدها هنا وهنا.
