S/MIME: ما هو، ولماذا يجب أن أهتم، وكيف يرتبط بـ SparkPost؟
طائر
19/12/2018
البريد الإلكتروني
1 min read
النقاط الرئيسية
المقدمة: S/MIME (امتدادات بريد الإنترنت الآمن/متعدد الأغراض) هي معيار طويل الأمد لإرسال رسائل البريد الإلكتروني الموقعة والمشفرة - وهذا أمر حيوي للصناعات التي تتعامل مع البيانات الحساسة مثل المالية والرعاية الصحية والحكومة.
الهدف: شرح ماذا يفعل S/MIME، ولماذا هو مهم، وكيف يختلف عن DKIM/DMARC/TLS، وكيف يندمج مع SparkPost.
أبرز النقاط:
التعريف: يمكّن S/MIME capabilities أساسية:
التشفير → يحمي محتوى الرسالة (الخصوصية).
التوقيع → يؤكد هوية المرسل، يمنع التلاعب، ويضمن عدم الإنكار.
استخدام الصناعة: مطلوب أو مفضل من قبل القطاعات المنظمة التي تحتاج إلى خصوصية الرسائل من النهاية إلى النهاية وهوية قابلة للتحقق.
المقارنة مع أنظمة حماية البريد الإلكتروني الأخرى:
TLS: ي secure transmission بين الخوادم (طبقة النقل).
S/MIME: يؤمن محتوى الرسالة نفسه (طبقة العرض).
DKIM/DMARC: تحقق من صحة النطاقات، وليس الأفراد، وتعمل على مستوى الإدارة/الخادم.
الآلية:
يستخدم أزواج المفاتيح العامة/الخاصة والشهادات الرقمية الصادرة لكل هوية بريد إلكتروني (مثل، alice@company.com).
يتطلب عملاء البريد المدعومين (Apple Mail، Outlook، Thunderbird، iOS Mail، إلخ).
القيود:
يمكن أن تكون المفاتيح والشهادات معقدة من حيث الإدارة.
لا يمكن مسح الحمولة المشفرة بحثًا عن البرامج الضارة.
تظل الرؤوس (من، إلى، الموضوع) مرئية.
التكامل مع SparkPost:
يمكن لمستخدمي SparkPost توقيع الرسائل باستخدام S/MIME لزيادة الأصالة.
لإرسال مشفر، يجب على المستلمين أولاً مشاركة المفتاح العام الخاص بهم (مثل، من خلال إرسال رسالة موقعة).
شركاء تجاريون مثل Virtru و Echoworx يبسطون هذا للعملية في المؤسسات.
الخطوات التالية:
الجزء 2 من السلسلة يوضح كيفية توقيع وتشفير الرسائل عبر SparkPost.
الأجزاء اللاحقة توضح الإعدادات على الخادم باستخدام PowerMTA وMomentum.
أهم النقاط في الأسئلة والأجوبة
لماذا تعتبر S/MIME مهمة إذا كنت أستخدم TLS أو DKIM بالفعل؟
تحمي TLS الاتصال بين الخوادم، بينما تحمي S/MIME المحتوى نفسه - مما يضمن بقاؤه خاصًا وقابلًا للتحقق حتى بعد التسليم.
من يحتاج إلى S/MIME أكثر؟
الصناعات المت regulated (المالية ، الحكومة ، الرعاية الصحية) وأي منظمة ترسل بريدًا إلكترونيًا حساسًا من الناحية القانونية ، أو يتطلب هويّة.
ما المشكلات التي تحلها S/MIME؟
يمنع الاعتراض والتزوير، ويضمن مصداقية المرسل، ويقدم دليلاً على أن الرسالة لم تتغير.
هل يدعم SparkPost S/MIME بشكل أصلي؟
يدعم SparkPost إرسال الرسائل بتنسيق S/MIME؛ تحتاج فقط إلى توقيع/تشفير المحتوى الخاص بك قبل التقديم عبر API أو SMTP.
كيف يمكنني الحصول على الشهادات؟
يمكن إصدار الشهادات من قبل مزودين مثل كومودو (مجانًا للاستخدام غير التجاري) أو توقيعها ذاتيًا للاختبار الداخلي.
ماذا لو كان المستلم لا يستطيع قراءة الرسائل الإلكترونية المشفرة؟
سيظلوا يرون رأس الرسالة الموقعة، ولكن لفك التشفير، يجب عليهم تثبيت عميل متوافق واستيراد مفتاحهم الخاص.
كيف يتم التعامل مع تبادل المفاتيح لرسائل البريد الإلكتروني التي أنشأتها التطبيقات؟
يمكن للمستلمين إرسال بريد إلكتروني إلى خدمتك مع رسالة موقعة; يمكن بعد ذلك استخراج مفتاحهم العام تلقائيًا عبر أجهزة الاستقبال الواردة للويب.
S/MIME هي طريقة مثبتة منذ فترة طويلة لإرسال رسائل البريد الإلكتروني المشفرة والموقعة، بناءً على معايير الإنترنت العامة. نواجه بانتظام متطلبات لـ S/MIME، لا سيما من الصناعات المنظمة مثل البنوك والصحة والتمويل. غالبًا ما يكون S/MIME مطلوبًا عند التواصل بين الشركات والوكالات الحكومية، على سبيل المثال.
معيار بريد آمن آخر، PGP (الذي يُطلق عليه بشكل طريف "خصوصية جيدة جدًا")، يستخدم أكثر للتواصل الآمن من شخص إلى شخص. فهو أقل شيوعًا الآن لأن النسخ الخاصة بالمستهلكين من عملاء البريد الإلكتروني المستندة إلى الويب الشائعة مثل Gmail وOutlook/Hotmail غير قادرة على عرض البريد المشفر. هذه واحدة من الأسباب التي جعلت الكثير من التواصل بين الأشخاص الذي يتطلب الخصوصية قد انتقل إلى منصات مثل WhatsApp (والعديد من الآخرين) التي تقدم تشفيرًا محليًا من طرف إلى طرف.
كلا من PGP و S/MIME يتطلبان عميلاً للبريد يمكنه استخدام المفاتيح والشهادات. العديد من العملاء المكتبيين والمحمولين، بما في ذلك Apple Mail وMicrosoft Outlook وMozilla Thunderbird ينطبق عليهم ذلك، كما تنطبق على الإصدارات التجارية لبعض عملاء الويب مثل Microsoft Office 365. إعداد المفاتيح يتطلب جهدًا، لكن العديد من المؤسسات لا تزال تعتبره مجديًا، رغم الكشف الأخير عن الثغرات الأمنية التي تتطلب علاجات لمنع تحميل المحتوى عن بعد.
كان S/MIME موجودًا منذ 1995 ومرت بعدة مراجعات؛ الإصدار الحالي مشمول في RFC 5751. يتطلب تبادل المفاتيح العامة، وهي مهمة ليست بسيطة وغالبًا ما تتطلب دعم فريق تكنولوجيا المعلومات أو موارد مماثلة. بالنسبة للمؤسسات التي تدير بنية تحتية للبريد الإلكتروني على الخادم، يتطلب تنفيذ S/MIME اعتبارات إضافية لمنصات مثل PowerMTA وMomentum، والتي نغطيها في دليلنا حول S/MIME للبريد الإلكتروني الآمن على الخادم. ومع ذلك، هناك طرق آلية لتبسيط هذه العملية، مثل جمع المفاتيح العامة للمرسل إليهم من خلال أنظمة البريد الإلكتروني التي يمكن أن تسهل إدارة المفاتيح لتدفقات البريد الإلكتروني الناتجة عن التطبيقات. هنا تأتي الحلول التجارية من شركات مثل شركاء SparkPost Virtru وEchoworkx، مما يجعل الأمان أسهل لتسليم البريد التجاري من شخص إلى شخص (راجع دليل SparkPost/Echoworkx للحصول على مزيد من المعلومات).
مع ذلك، دعونا نتعمق في S/MIME العادي قليلاً ونرى ما يمكننا القيام به معه.
S/MIME هي طريقة مثبتة منذ فترة طويلة لإرسال رسائل البريد الإلكتروني المشفرة والموقعة، بناءً على معايير الإنترنت العامة. نواجه بانتظام متطلبات لـ S/MIME، لا سيما من الصناعات المنظمة مثل البنوك والصحة والتمويل. غالبًا ما يكون S/MIME مطلوبًا عند التواصل بين الشركات والوكالات الحكومية، على سبيل المثال.
معيار بريد آمن آخر، PGP (الذي يُطلق عليه بشكل طريف "خصوصية جيدة جدًا")، يستخدم أكثر للتواصل الآمن من شخص إلى شخص. فهو أقل شيوعًا الآن لأن النسخ الخاصة بالمستهلكين من عملاء البريد الإلكتروني المستندة إلى الويب الشائعة مثل Gmail وOutlook/Hotmail غير قادرة على عرض البريد المشفر. هذه واحدة من الأسباب التي جعلت الكثير من التواصل بين الأشخاص الذي يتطلب الخصوصية قد انتقل إلى منصات مثل WhatsApp (والعديد من الآخرين) التي تقدم تشفيرًا محليًا من طرف إلى طرف.
كلا من PGP و S/MIME يتطلبان عميلاً للبريد يمكنه استخدام المفاتيح والشهادات. العديد من العملاء المكتبيين والمحمولين، بما في ذلك Apple Mail وMicrosoft Outlook وMozilla Thunderbird ينطبق عليهم ذلك، كما تنطبق على الإصدارات التجارية لبعض عملاء الويب مثل Microsoft Office 365. إعداد المفاتيح يتطلب جهدًا، لكن العديد من المؤسسات لا تزال تعتبره مجديًا، رغم الكشف الأخير عن الثغرات الأمنية التي تتطلب علاجات لمنع تحميل المحتوى عن بعد.
كان S/MIME موجودًا منذ 1995 ومرت بعدة مراجعات؛ الإصدار الحالي مشمول في RFC 5751. يتطلب تبادل المفاتيح العامة، وهي مهمة ليست بسيطة وغالبًا ما تتطلب دعم فريق تكنولوجيا المعلومات أو موارد مماثلة. بالنسبة للمؤسسات التي تدير بنية تحتية للبريد الإلكتروني على الخادم، يتطلب تنفيذ S/MIME اعتبارات إضافية لمنصات مثل PowerMTA وMomentum، والتي نغطيها في دليلنا حول S/MIME للبريد الإلكتروني الآمن على الخادم. ومع ذلك، هناك طرق آلية لتبسيط هذه العملية، مثل جمع المفاتيح العامة للمرسل إليهم من خلال أنظمة البريد الإلكتروني التي يمكن أن تسهل إدارة المفاتيح لتدفقات البريد الإلكتروني الناتجة عن التطبيقات. هنا تأتي الحلول التجارية من شركات مثل شركاء SparkPost Virtru وEchoworkx، مما يجعل الأمان أسهل لتسليم البريد التجاري من شخص إلى شخص (راجع دليل SparkPost/Echoworkx للحصول على مزيد من المعلومات).
مع ذلك، دعونا نتعمق في S/MIME العادي قليلاً ونرى ما يمكننا القيام به معه.
S/MIME هي طريقة مثبتة منذ فترة طويلة لإرسال رسائل البريد الإلكتروني المشفرة والموقعة، بناءً على معايير الإنترنت العامة. نواجه بانتظام متطلبات لـ S/MIME، لا سيما من الصناعات المنظمة مثل البنوك والصحة والتمويل. غالبًا ما يكون S/MIME مطلوبًا عند التواصل بين الشركات والوكالات الحكومية، على سبيل المثال.
معيار بريد آمن آخر، PGP (الذي يُطلق عليه بشكل طريف "خصوصية جيدة جدًا")، يستخدم أكثر للتواصل الآمن من شخص إلى شخص. فهو أقل شيوعًا الآن لأن النسخ الخاصة بالمستهلكين من عملاء البريد الإلكتروني المستندة إلى الويب الشائعة مثل Gmail وOutlook/Hotmail غير قادرة على عرض البريد المشفر. هذه واحدة من الأسباب التي جعلت الكثير من التواصل بين الأشخاص الذي يتطلب الخصوصية قد انتقل إلى منصات مثل WhatsApp (والعديد من الآخرين) التي تقدم تشفيرًا محليًا من طرف إلى طرف.
كلا من PGP و S/MIME يتطلبان عميلاً للبريد يمكنه استخدام المفاتيح والشهادات. العديد من العملاء المكتبيين والمحمولين، بما في ذلك Apple Mail وMicrosoft Outlook وMozilla Thunderbird ينطبق عليهم ذلك، كما تنطبق على الإصدارات التجارية لبعض عملاء الويب مثل Microsoft Office 365. إعداد المفاتيح يتطلب جهدًا، لكن العديد من المؤسسات لا تزال تعتبره مجديًا، رغم الكشف الأخير عن الثغرات الأمنية التي تتطلب علاجات لمنع تحميل المحتوى عن بعد.
كان S/MIME موجودًا منذ 1995 ومرت بعدة مراجعات؛ الإصدار الحالي مشمول في RFC 5751. يتطلب تبادل المفاتيح العامة، وهي مهمة ليست بسيطة وغالبًا ما تتطلب دعم فريق تكنولوجيا المعلومات أو موارد مماثلة. بالنسبة للمؤسسات التي تدير بنية تحتية للبريد الإلكتروني على الخادم، يتطلب تنفيذ S/MIME اعتبارات إضافية لمنصات مثل PowerMTA وMomentum، والتي نغطيها في دليلنا حول S/MIME للبريد الإلكتروني الآمن على الخادم. ومع ذلك، هناك طرق آلية لتبسيط هذه العملية، مثل جمع المفاتيح العامة للمرسل إليهم من خلال أنظمة البريد الإلكتروني التي يمكن أن تسهل إدارة المفاتيح لتدفقات البريد الإلكتروني الناتجة عن التطبيقات. هنا تأتي الحلول التجارية من شركات مثل شركاء SparkPost Virtru وEchoworkx، مما يجعل الأمان أسهل لتسليم البريد التجاري من شخص إلى شخص (راجع دليل SparkPost/Echoworkx للحصول على مزيد من المعلومات).
مع ذلك، دعونا نتعمق في S/MIME العادي قليلاً ونرى ما يمكننا القيام به معه.
لماذا يجب أن أهتم؟
النسخة المختصرة:
التشفير يمنحك خصوصية الرسائل.
التوقيع يمنحك التحقق (من المرسل)، عدم إنكار الأصل، وفحوصات سلامة الرسالة.
S/MIME يعمل بشكل مختلف عن DKIM و DMARC ويمكن أن يتعايش معها.
الخصوصية
إذا كانت رسائلك لا تحتوي على أي شيء شخصي أو خاص أو قانوني مهم، فمن المرجح أنك لن تحتاج إلى التفكير في S/MIME. أنظمة توصيل البريد الحديثة مثل SparkPost تستخدم بالفعل "TLS الانتقائي" لتأمين نقل الرسالة من الخادم المرسل إلى خادم المستلم.
لكن جزء "الانتقائي" يعني أنه إذا لم يتمكن خادم الإرسال من التفاوض على اتصال آمن، فسنرسل البريد كنص عادي. هذا ليس مناسبًا إذا كنت ترغب في فرض تأمين الرسالة بالكامل. يمكنك الاطلاع على مقدمي خدمات البريد الإلكتروني الذين يدعون دعم TLS وأي من الذين يفعلون ذلك فعليًا. بافتراض أن خادم المستلم يدعم TLS، يتم تأمين رسالتك بهذه الطريقة:
تأمين TLS المحادثات بين خوادم البريد (لذا يُسمى ذلك أمان طبقة النقل). MIME (بما في ذلك S/MIME) تهتم بمحتوى الرسالة وطريقة معالجتها، ويمكن اعتبارها جزءًا من "طبقة العرض".
S/MIME تأمن محتوى الرسالة كاملًا من أصل الرسالة إلى عميل البريد الخاص بالمستلم، وتغلف جسم الرسالة.
S/MIME تشفر جسم الرسالة باستخدام المفتاح العام للمستلم. لا يمكن فك تشفير الجسم بدون المفتاح الخاص للمستلم - ليس من قبل أي "شخص في الوسط" مثل ISP الخاص بك، SparkPost، أو خادم البريد الخاص بالمستلم.
المفتاح الخاص لا يتم الكشف عنه أبدًا؛ يتم الاحتفاظ به في حيازة المستلم فقط. تسافر الرسالة المشفرة عبر الإنترنت إلى خادم البريد المستلم. عند وصولها إلى صندوق الوارد للمستلم، يتم (عادة بشكل تلقائي) فك تشفيرها باستخدام مفتاحه الخاص وتصبح قابلة للقراءة.
هناك بعض الأشياء الخاصة بـ S/MIME التي يجب أن تكون على دراية بها:
تشفير S/MIME له تأثير جانبي يتمثل في منع المسح الوارد القائم على الخادم للرسائل للكشف عن البرامج الضارة لأن تحميل الرسالة يأتي في شكل مشفر وبالتالي غير قابل للتعريف.
يرجى ملاحظة أن رؤوس الرسالة (من:، إلى:، الموضوع: إلخ) ليست مشفرة، لذا يجب إنشاء محتوى الخط الفرعي مع وضع ذلك في الاعتبار.
التوقيع – التحقق
S/MIME يوفر أيضًا للمستلم القدرة على التحقق من أن هوية مرسل الرسالة هي من يقولون إنهم.
تحتوي رسالة البريد الإلكتروني للمرسل على شهادة مرفقة، والتي، تمامًا مثل الشهادة على موقع ويب آمن، يمكن تتبعها إلى جهة إصدار الشهادة. لمزيد من التفاصيل حول عملية التوقيع، راجع عملية توقيع S/MIME PDF.
سنتخذ نهج توقيع البريد أولاً، ثم تشفيره، لذا تبدو العملية كالتالي.
عدم الإنكار
فائدة أخرى مفيدة للتوقيع للمستلم هي عدم إنكار الأصل. اعتبر حالة يُستخدم فيها بريد إلكتروني للموافقة على عقد. يحصل المستلم على العقد في رسالة من المرسل. إذا حاول المرسل لاحقًا أن يقول: "لا، لم أرسل تلك الرسالة إليك"، فإن الرسالة الواردة تظهر أن شهادة المرسل قد تم استخدامها بالفعل.
سلامة الرسالة
تخلق عملية التوقيع بصمة لرسالة المصدر العادية (المعروفة باسم ملخص الرسالة)، تشفر الملخص باستخدام المفتاح الخاص للمرسل، وتضمنه في الرسالة المستلمة. يمكن لعميل البريد الخاص بالمستلم أن يخبر إذا تم العبث بجسم الرسالة.
ربما قد تقول: "كنت أظن أن DKIM يعطي فحوصات سلامة الرسالة!" حسنًا، نعم، توفر DKIM فحوصات سلامة جسم الرسالة و رأس الرسالة - ضمانات ضد التلاعب. ومع ذلك، فشل DKIM (أو غيابه) لن يؤدي عادةً إلى تصنيف الرسالة الواردة على أنها غير صالحة تمامًا ... إلا إذا كانت سياسة DMARC من نوع p=reject قيد التنفيذ (انظر مقالتنا DMARC: كيفية حماية سمعة بريدك الإلكتروني). DKIM هو عوامل من بين العديد من العوامل المستخدمة من قبل ISP لتحديد سمعة موثوقة لنطاق ما، وهو بالطبع جزء أساسي من كومة الرسائل الخاصة بك.
سيظهر لك عميل البريد الخاص بك بوضوح إذا فشل توقيع رسالة S/MIME:
الملخص: من النهاية إلى النهاية (S/MIME) مقابل من الخادم إلى الخادم (DKIM، DMARC، TLS)
S/MIME هي قدرة على طبقة العرض يمكن أن تعمل بين مستعملي البريد الإلكتروني (مع شهادات / مفاتيح صالحة) دون أي إجراء من قبل مدير البريد الإلكتروني. يوفر S/MIME التشفير والتوقيع ويميز كل مستخدم.
S/MIME مرتبط بالعوان الكامل للإرسال (الجزء المحلي وجزء النطاق)، لذا، على سبيل المثال، يحتاج alice@bigcorp.com و bob@bigcorp.com إلى وجود شهادات مختلفة. بالمقابل، DKIM يتحقق من أن البريد الإلكتروني يأتي من النطاق الموقع. DKIM هو موضوع كامل في حد ذاته؛ تلك المقالة هي مكان جيد للبدء.
DKIM و DMARC يتم إعدادها من قبل مدير البريد الإلكتروني الخاص بك (الذي يعمل على خادم البريد وسجلات DNS). بمجرد إعدادها، تكون نشطة للنطاقات، بدلاً من المستخدمين الأفراد.
النسخة المختصرة:
التشفير يمنحك خصوصية الرسائل.
التوقيع يمنحك التحقق (من المرسل)، عدم إنكار الأصل، وفحوصات سلامة الرسالة.
S/MIME يعمل بشكل مختلف عن DKIM و DMARC ويمكن أن يتعايش معها.
الخصوصية
إذا كانت رسائلك لا تحتوي على أي شيء شخصي أو خاص أو قانوني مهم، فمن المرجح أنك لن تحتاج إلى التفكير في S/MIME. أنظمة توصيل البريد الحديثة مثل SparkPost تستخدم بالفعل "TLS الانتقائي" لتأمين نقل الرسالة من الخادم المرسل إلى خادم المستلم.
لكن جزء "الانتقائي" يعني أنه إذا لم يتمكن خادم الإرسال من التفاوض على اتصال آمن، فسنرسل البريد كنص عادي. هذا ليس مناسبًا إذا كنت ترغب في فرض تأمين الرسالة بالكامل. يمكنك الاطلاع على مقدمي خدمات البريد الإلكتروني الذين يدعون دعم TLS وأي من الذين يفعلون ذلك فعليًا. بافتراض أن خادم المستلم يدعم TLS، يتم تأمين رسالتك بهذه الطريقة:
تأمين TLS المحادثات بين خوادم البريد (لذا يُسمى ذلك أمان طبقة النقل). MIME (بما في ذلك S/MIME) تهتم بمحتوى الرسالة وطريقة معالجتها، ويمكن اعتبارها جزءًا من "طبقة العرض".
S/MIME تأمن محتوى الرسالة كاملًا من أصل الرسالة إلى عميل البريد الخاص بالمستلم، وتغلف جسم الرسالة.
S/MIME تشفر جسم الرسالة باستخدام المفتاح العام للمستلم. لا يمكن فك تشفير الجسم بدون المفتاح الخاص للمستلم - ليس من قبل أي "شخص في الوسط" مثل ISP الخاص بك، SparkPost، أو خادم البريد الخاص بالمستلم.
المفتاح الخاص لا يتم الكشف عنه أبدًا؛ يتم الاحتفاظ به في حيازة المستلم فقط. تسافر الرسالة المشفرة عبر الإنترنت إلى خادم البريد المستلم. عند وصولها إلى صندوق الوارد للمستلم، يتم (عادة بشكل تلقائي) فك تشفيرها باستخدام مفتاحه الخاص وتصبح قابلة للقراءة.
هناك بعض الأشياء الخاصة بـ S/MIME التي يجب أن تكون على دراية بها:
تشفير S/MIME له تأثير جانبي يتمثل في منع المسح الوارد القائم على الخادم للرسائل للكشف عن البرامج الضارة لأن تحميل الرسالة يأتي في شكل مشفر وبالتالي غير قابل للتعريف.
يرجى ملاحظة أن رؤوس الرسالة (من:، إلى:، الموضوع: إلخ) ليست مشفرة، لذا يجب إنشاء محتوى الخط الفرعي مع وضع ذلك في الاعتبار.
التوقيع – التحقق
S/MIME يوفر أيضًا للمستلم القدرة على التحقق من أن هوية مرسل الرسالة هي من يقولون إنهم.
تحتوي رسالة البريد الإلكتروني للمرسل على شهادة مرفقة، والتي، تمامًا مثل الشهادة على موقع ويب آمن، يمكن تتبعها إلى جهة إصدار الشهادة. لمزيد من التفاصيل حول عملية التوقيع، راجع عملية توقيع S/MIME PDF.
سنتخذ نهج توقيع البريد أولاً، ثم تشفيره، لذا تبدو العملية كالتالي.
عدم الإنكار
فائدة أخرى مفيدة للتوقيع للمستلم هي عدم إنكار الأصل. اعتبر حالة يُستخدم فيها بريد إلكتروني للموافقة على عقد. يحصل المستلم على العقد في رسالة من المرسل. إذا حاول المرسل لاحقًا أن يقول: "لا، لم أرسل تلك الرسالة إليك"، فإن الرسالة الواردة تظهر أن شهادة المرسل قد تم استخدامها بالفعل.
سلامة الرسالة
تخلق عملية التوقيع بصمة لرسالة المصدر العادية (المعروفة باسم ملخص الرسالة)، تشفر الملخص باستخدام المفتاح الخاص للمرسل، وتضمنه في الرسالة المستلمة. يمكن لعميل البريد الخاص بالمستلم أن يخبر إذا تم العبث بجسم الرسالة.
ربما قد تقول: "كنت أظن أن DKIM يعطي فحوصات سلامة الرسالة!" حسنًا، نعم، توفر DKIM فحوصات سلامة جسم الرسالة و رأس الرسالة - ضمانات ضد التلاعب. ومع ذلك، فشل DKIM (أو غيابه) لن يؤدي عادةً إلى تصنيف الرسالة الواردة على أنها غير صالحة تمامًا ... إلا إذا كانت سياسة DMARC من نوع p=reject قيد التنفيذ (انظر مقالتنا DMARC: كيفية حماية سمعة بريدك الإلكتروني). DKIM هو عوامل من بين العديد من العوامل المستخدمة من قبل ISP لتحديد سمعة موثوقة لنطاق ما، وهو بالطبع جزء أساسي من كومة الرسائل الخاصة بك.
سيظهر لك عميل البريد الخاص بك بوضوح إذا فشل توقيع رسالة S/MIME:
الملخص: من النهاية إلى النهاية (S/MIME) مقابل من الخادم إلى الخادم (DKIM، DMARC، TLS)
S/MIME هي قدرة على طبقة العرض يمكن أن تعمل بين مستعملي البريد الإلكتروني (مع شهادات / مفاتيح صالحة) دون أي إجراء من قبل مدير البريد الإلكتروني. يوفر S/MIME التشفير والتوقيع ويميز كل مستخدم.
S/MIME مرتبط بالعوان الكامل للإرسال (الجزء المحلي وجزء النطاق)، لذا، على سبيل المثال، يحتاج alice@bigcorp.com و bob@bigcorp.com إلى وجود شهادات مختلفة. بالمقابل، DKIM يتحقق من أن البريد الإلكتروني يأتي من النطاق الموقع. DKIM هو موضوع كامل في حد ذاته؛ تلك المقالة هي مكان جيد للبدء.
DKIM و DMARC يتم إعدادها من قبل مدير البريد الإلكتروني الخاص بك (الذي يعمل على خادم البريد وسجلات DNS). بمجرد إعدادها، تكون نشطة للنطاقات، بدلاً من المستخدمين الأفراد.
النسخة المختصرة:
التشفير يمنحك خصوصية الرسائل.
التوقيع يمنحك التحقق (من المرسل)، عدم إنكار الأصل، وفحوصات سلامة الرسالة.
S/MIME يعمل بشكل مختلف عن DKIM و DMARC ويمكن أن يتعايش معها.
الخصوصية
إذا كانت رسائلك لا تحتوي على أي شيء شخصي أو خاص أو قانوني مهم، فمن المرجح أنك لن تحتاج إلى التفكير في S/MIME. أنظمة توصيل البريد الحديثة مثل SparkPost تستخدم بالفعل "TLS الانتقائي" لتأمين نقل الرسالة من الخادم المرسل إلى خادم المستلم.
لكن جزء "الانتقائي" يعني أنه إذا لم يتمكن خادم الإرسال من التفاوض على اتصال آمن، فسنرسل البريد كنص عادي. هذا ليس مناسبًا إذا كنت ترغب في فرض تأمين الرسالة بالكامل. يمكنك الاطلاع على مقدمي خدمات البريد الإلكتروني الذين يدعون دعم TLS وأي من الذين يفعلون ذلك فعليًا. بافتراض أن خادم المستلم يدعم TLS، يتم تأمين رسالتك بهذه الطريقة:
تأمين TLS المحادثات بين خوادم البريد (لذا يُسمى ذلك أمان طبقة النقل). MIME (بما في ذلك S/MIME) تهتم بمحتوى الرسالة وطريقة معالجتها، ويمكن اعتبارها جزءًا من "طبقة العرض".
S/MIME تأمن محتوى الرسالة كاملًا من أصل الرسالة إلى عميل البريد الخاص بالمستلم، وتغلف جسم الرسالة.
S/MIME تشفر جسم الرسالة باستخدام المفتاح العام للمستلم. لا يمكن فك تشفير الجسم بدون المفتاح الخاص للمستلم - ليس من قبل أي "شخص في الوسط" مثل ISP الخاص بك، SparkPost، أو خادم البريد الخاص بالمستلم.
المفتاح الخاص لا يتم الكشف عنه أبدًا؛ يتم الاحتفاظ به في حيازة المستلم فقط. تسافر الرسالة المشفرة عبر الإنترنت إلى خادم البريد المستلم. عند وصولها إلى صندوق الوارد للمستلم، يتم (عادة بشكل تلقائي) فك تشفيرها باستخدام مفتاحه الخاص وتصبح قابلة للقراءة.
هناك بعض الأشياء الخاصة بـ S/MIME التي يجب أن تكون على دراية بها:
تشفير S/MIME له تأثير جانبي يتمثل في منع المسح الوارد القائم على الخادم للرسائل للكشف عن البرامج الضارة لأن تحميل الرسالة يأتي في شكل مشفر وبالتالي غير قابل للتعريف.
يرجى ملاحظة أن رؤوس الرسالة (من:، إلى:، الموضوع: إلخ) ليست مشفرة، لذا يجب إنشاء محتوى الخط الفرعي مع وضع ذلك في الاعتبار.
التوقيع – التحقق
S/MIME يوفر أيضًا للمستلم القدرة على التحقق من أن هوية مرسل الرسالة هي من يقولون إنهم.
تحتوي رسالة البريد الإلكتروني للمرسل على شهادة مرفقة، والتي، تمامًا مثل الشهادة على موقع ويب آمن، يمكن تتبعها إلى جهة إصدار الشهادة. لمزيد من التفاصيل حول عملية التوقيع، راجع عملية توقيع S/MIME PDF.
سنتخذ نهج توقيع البريد أولاً، ثم تشفيره، لذا تبدو العملية كالتالي.
عدم الإنكار
فائدة أخرى مفيدة للتوقيع للمستلم هي عدم إنكار الأصل. اعتبر حالة يُستخدم فيها بريد إلكتروني للموافقة على عقد. يحصل المستلم على العقد في رسالة من المرسل. إذا حاول المرسل لاحقًا أن يقول: "لا، لم أرسل تلك الرسالة إليك"، فإن الرسالة الواردة تظهر أن شهادة المرسل قد تم استخدامها بالفعل.
سلامة الرسالة
تخلق عملية التوقيع بصمة لرسالة المصدر العادية (المعروفة باسم ملخص الرسالة)، تشفر الملخص باستخدام المفتاح الخاص للمرسل، وتضمنه في الرسالة المستلمة. يمكن لعميل البريد الخاص بالمستلم أن يخبر إذا تم العبث بجسم الرسالة.
ربما قد تقول: "كنت أظن أن DKIM يعطي فحوصات سلامة الرسالة!" حسنًا، نعم، توفر DKIM فحوصات سلامة جسم الرسالة و رأس الرسالة - ضمانات ضد التلاعب. ومع ذلك، فشل DKIM (أو غيابه) لن يؤدي عادةً إلى تصنيف الرسالة الواردة على أنها غير صالحة تمامًا ... إلا إذا كانت سياسة DMARC من نوع p=reject قيد التنفيذ (انظر مقالتنا DMARC: كيفية حماية سمعة بريدك الإلكتروني). DKIM هو عوامل من بين العديد من العوامل المستخدمة من قبل ISP لتحديد سمعة موثوقة لنطاق ما، وهو بالطبع جزء أساسي من كومة الرسائل الخاصة بك.
سيظهر لك عميل البريد الخاص بك بوضوح إذا فشل توقيع رسالة S/MIME:
الملخص: من النهاية إلى النهاية (S/MIME) مقابل من الخادم إلى الخادم (DKIM، DMARC، TLS)
S/MIME هي قدرة على طبقة العرض يمكن أن تعمل بين مستعملي البريد الإلكتروني (مع شهادات / مفاتيح صالحة) دون أي إجراء من قبل مدير البريد الإلكتروني. يوفر S/MIME التشفير والتوقيع ويميز كل مستخدم.
S/MIME مرتبط بالعوان الكامل للإرسال (الجزء المحلي وجزء النطاق)، لذا، على سبيل المثال، يحتاج alice@bigcorp.com و bob@bigcorp.com إلى وجود شهادات مختلفة. بالمقابل، DKIM يتحقق من أن البريد الإلكتروني يأتي من النطاق الموقع. DKIM هو موضوع كامل في حد ذاته؛ تلك المقالة هي مكان جيد للبدء.
DKIM و DMARC يتم إعدادها من قبل مدير البريد الإلكتروني الخاص بك (الذي يعمل على خادم البريد وسجلات DNS). بمجرد إعدادها، تكون نشطة للنطاقات، بدلاً من المستخدمين الأفراد.
كيف يرتبط هذا بـ SparkPost؟
تدعم أنظمة البريد للمراسلة من شخص إلى آخر، مثل خادم Microsoft Exchange، S/MIME منذ فترة طويلة.
إذا كنت تستخدم SparkPost لإرسال رسائل لمستلمين محددين باستخدام عملاء بريد يمكنهم قراءة S/MIME، فمن المنطقي حينها توقيع رسائلك باستخدام S/MIME. يضيف توقيع S/MIME تأكيدًا إضافيًا بأن الرسالة تأتي بالفعل من قبلك (أو من نظامك)، وأنه لم يتم العبث بها، وهو ما قد يكون ذا قيمة في بعض الحالات. كل ما تحتاجه لذلك هو مفتاحك الخاص وبعض البرمجيات المجانية التي سنقوم بعرضها في الجزء الثاني من هذه المقالة.
استخدام تشفير S/MIME هو خيار منفصل ينبغي اتخاذه. ستحتاج إلى المفتاح العام لكل من المستلمين لديك. قد يكون الحصول على ذلك سهلاً مثل أن يرسلوا لك (أو يتطبيقك) بريدًا إلكترونيًا موقعًا. سنستكشف أداة عملية لإرسال بريد S/MIME موقع ومشفر عبر SparkPost في منشور لاحق.
تدعم أنظمة البريد للمراسلة من شخص إلى آخر، مثل خادم Microsoft Exchange، S/MIME منذ فترة طويلة.
إذا كنت تستخدم SparkPost لإرسال رسائل لمستلمين محددين باستخدام عملاء بريد يمكنهم قراءة S/MIME، فمن المنطقي حينها توقيع رسائلك باستخدام S/MIME. يضيف توقيع S/MIME تأكيدًا إضافيًا بأن الرسالة تأتي بالفعل من قبلك (أو من نظامك)، وأنه لم يتم العبث بها، وهو ما قد يكون ذا قيمة في بعض الحالات. كل ما تحتاجه لذلك هو مفتاحك الخاص وبعض البرمجيات المجانية التي سنقوم بعرضها في الجزء الثاني من هذه المقالة.
استخدام تشفير S/MIME هو خيار منفصل ينبغي اتخاذه. ستحتاج إلى المفتاح العام لكل من المستلمين لديك. قد يكون الحصول على ذلك سهلاً مثل أن يرسلوا لك (أو يتطبيقك) بريدًا إلكترونيًا موقعًا. سنستكشف أداة عملية لإرسال بريد S/MIME موقع ومشفر عبر SparkPost في منشور لاحق.
تدعم أنظمة البريد للمراسلة من شخص إلى آخر، مثل خادم Microsoft Exchange، S/MIME منذ فترة طويلة.
إذا كنت تستخدم SparkPost لإرسال رسائل لمستلمين محددين باستخدام عملاء بريد يمكنهم قراءة S/MIME، فمن المنطقي حينها توقيع رسائلك باستخدام S/MIME. يضيف توقيع S/MIME تأكيدًا إضافيًا بأن الرسالة تأتي بالفعل من قبلك (أو من نظامك)، وأنه لم يتم العبث بها، وهو ما قد يكون ذا قيمة في بعض الحالات. كل ما تحتاجه لذلك هو مفتاحك الخاص وبعض البرمجيات المجانية التي سنقوم بعرضها في الجزء الثاني من هذه المقالة.
استخدام تشفير S/MIME هو خيار منفصل ينبغي اتخاذه. ستحتاج إلى المفتاح العام لكل من المستلمين لديك. قد يكون الحصول على ذلك سهلاً مثل أن يرسلوا لك (أو يتطبيقك) بريدًا إلكترونيًا موقعًا. سنستكشف أداة عملية لإرسال بريد S/MIME موقع ومشفر عبر SparkPost في منشور لاحق.
أي العملاء يدعمون S/MIME؟
جيميل المستهلك
عميل جيميل العادي على الويب يعرض توقيعات البريد الوارد (انظر أدناه)، لكنه ليس مُعدًا للاحتفاظ بمفتاحك الخاص لقراءة الرسائل المشفرة. حتى لو كان ذلك ممكنًا عبر المكونات الإضافية من الطرف الثالث، فإن تحميل مفتاحك الخاص ليس فكرة جيدة من منظور الأمان.
لم أتمكن من جعل ياهو! ميل يفكك توقيعات الرسائل على الإطلاق.
الإصدار الاستهلاكي من حسابات مايكروسوفت أوتلوك/هوتميل يُنبهك بوجود توقيع S/MIME، لكنه لا يمنحك الوصول الكامل لعرض الشهادة أو التحقق منها.
البريد التجاري المستضاف
بالنسبة للمنظمات التي لديها بريد مستضاف، فإن مايكروسوفت أوفيس 365 و G Suite Enterprise يدعمان S/MIME.
عملاء بريد أوتلوك
يعمل Microsoft Outlook المستند إلى العميل (مثل 2010 على ويندوز):
يؤدي النقر على الأيقونات إلى إعطائك مزيدًا من المعلومات:
في أوتلوك 2010 / ويندوز، يتم الوصول إلى مخزن الشهادات عبر ملف / خيارات / مركز الثقة / إعدادات مركز الثقة / أمان البريد الإلكتروني / استيراد / تصدير.
ثندربيرد – متعدد المنصات ومجاني
إذا كنت تبحث عن عميل مجاني، فإن موزيلا ثندربيرد تلبي احتياجاتك. وهو متوفر على الحاسوب الشخصي، وماك، ولينكس، ويدعم S/MIME عبر كل هذه الأنظمة. إليك كيف يبدو البريد على ماك. تشير أيقونة "المظروف المغلق" إلى أن الرسالة موقعة، ويدل القفل على أنها مشفرة.
النقر على المظروف/القفل يعرض معلومات عن الرسالة:
يمتلك ثندربيرد مخزن مفاتيحه الخاص، الذي يمكن الوصول إليه بطرق مشابهة على كل منصة:
ماك عبر التفضيلات / المتقدم / الشهادات / إدارة الشهادات
PC: القائمة (“همبرغر” أعلى اليمين)، المتقدم / الشهادات / إدارة الشهادات
لينكس: القائمة (“همبرغر” أعلى اليمين)، التفضيلات / المتقدم / إدارة الشهادات
بريد ماك
بريد ماك يدعم أيضًا S/MIME. يعتمد على سلسلة مفاتيح ماك للاحتفاظ بمفاتيحك.
بريد iOS
أولاً، قم باستيراد شهادة حساب بريدك الإلكتروني بهذه الطريقة، ثم يمكنك عرض رسائل البريد الإلكتروني الموقعة والمشفرة بتقنية S/MIME. إنها لا تبدو مختلفة كثيرًا على شاشة العرض.
أندرويد
بعض الأجهزة والتطبيقات تدعم S/MIME؛ هناك تنوع كبير هناك. سامسونغ لديها دليل.
جيميل المستهلك
عميل جيميل العادي على الويب يعرض توقيعات البريد الوارد (انظر أدناه)، لكنه ليس مُعدًا للاحتفاظ بمفتاحك الخاص لقراءة الرسائل المشفرة. حتى لو كان ذلك ممكنًا عبر المكونات الإضافية من الطرف الثالث، فإن تحميل مفتاحك الخاص ليس فكرة جيدة من منظور الأمان.
لم أتمكن من جعل ياهو! ميل يفكك توقيعات الرسائل على الإطلاق.
الإصدار الاستهلاكي من حسابات مايكروسوفت أوتلوك/هوتميل يُنبهك بوجود توقيع S/MIME، لكنه لا يمنحك الوصول الكامل لعرض الشهادة أو التحقق منها.
البريد التجاري المستضاف
بالنسبة للمنظمات التي لديها بريد مستضاف، فإن مايكروسوفت أوفيس 365 و G Suite Enterprise يدعمان S/MIME.
عملاء بريد أوتلوك
يعمل Microsoft Outlook المستند إلى العميل (مثل 2010 على ويندوز):
يؤدي النقر على الأيقونات إلى إعطائك مزيدًا من المعلومات:
في أوتلوك 2010 / ويندوز، يتم الوصول إلى مخزن الشهادات عبر ملف / خيارات / مركز الثقة / إعدادات مركز الثقة / أمان البريد الإلكتروني / استيراد / تصدير.
ثندربيرد – متعدد المنصات ومجاني
إذا كنت تبحث عن عميل مجاني، فإن موزيلا ثندربيرد تلبي احتياجاتك. وهو متوفر على الحاسوب الشخصي، وماك، ولينكس، ويدعم S/MIME عبر كل هذه الأنظمة. إليك كيف يبدو البريد على ماك. تشير أيقونة "المظروف المغلق" إلى أن الرسالة موقعة، ويدل القفل على أنها مشفرة.
النقر على المظروف/القفل يعرض معلومات عن الرسالة:
يمتلك ثندربيرد مخزن مفاتيحه الخاص، الذي يمكن الوصول إليه بطرق مشابهة على كل منصة:
ماك عبر التفضيلات / المتقدم / الشهادات / إدارة الشهادات
PC: القائمة (“همبرغر” أعلى اليمين)، المتقدم / الشهادات / إدارة الشهادات
لينكس: القائمة (“همبرغر” أعلى اليمين)، التفضيلات / المتقدم / إدارة الشهادات
بريد ماك
بريد ماك يدعم أيضًا S/MIME. يعتمد على سلسلة مفاتيح ماك للاحتفاظ بمفاتيحك.
بريد iOS
أولاً، قم باستيراد شهادة حساب بريدك الإلكتروني بهذه الطريقة، ثم يمكنك عرض رسائل البريد الإلكتروني الموقعة والمشفرة بتقنية S/MIME. إنها لا تبدو مختلفة كثيرًا على شاشة العرض.
أندرويد
بعض الأجهزة والتطبيقات تدعم S/MIME؛ هناك تنوع كبير هناك. سامسونغ لديها دليل.
جيميل المستهلك
عميل جيميل العادي على الويب يعرض توقيعات البريد الوارد (انظر أدناه)، لكنه ليس مُعدًا للاحتفاظ بمفتاحك الخاص لقراءة الرسائل المشفرة. حتى لو كان ذلك ممكنًا عبر المكونات الإضافية من الطرف الثالث، فإن تحميل مفتاحك الخاص ليس فكرة جيدة من منظور الأمان.
لم أتمكن من جعل ياهو! ميل يفكك توقيعات الرسائل على الإطلاق.
الإصدار الاستهلاكي من حسابات مايكروسوفت أوتلوك/هوتميل يُنبهك بوجود توقيع S/MIME، لكنه لا يمنحك الوصول الكامل لعرض الشهادة أو التحقق منها.
البريد التجاري المستضاف
بالنسبة للمنظمات التي لديها بريد مستضاف، فإن مايكروسوفت أوفيس 365 و G Suite Enterprise يدعمان S/MIME.
عملاء بريد أوتلوك
يعمل Microsoft Outlook المستند إلى العميل (مثل 2010 على ويندوز):
يؤدي النقر على الأيقونات إلى إعطائك مزيدًا من المعلومات:
في أوتلوك 2010 / ويندوز، يتم الوصول إلى مخزن الشهادات عبر ملف / خيارات / مركز الثقة / إعدادات مركز الثقة / أمان البريد الإلكتروني / استيراد / تصدير.
ثندربيرد – متعدد المنصات ومجاني
إذا كنت تبحث عن عميل مجاني، فإن موزيلا ثندربيرد تلبي احتياجاتك. وهو متوفر على الحاسوب الشخصي، وماك، ولينكس، ويدعم S/MIME عبر كل هذه الأنظمة. إليك كيف يبدو البريد على ماك. تشير أيقونة "المظروف المغلق" إلى أن الرسالة موقعة، ويدل القفل على أنها مشفرة.
النقر على المظروف/القفل يعرض معلومات عن الرسالة:
يمتلك ثندربيرد مخزن مفاتيحه الخاص، الذي يمكن الوصول إليه بطرق مشابهة على كل منصة:
ماك عبر التفضيلات / المتقدم / الشهادات / إدارة الشهادات
PC: القائمة (“همبرغر” أعلى اليمين)، المتقدم / الشهادات / إدارة الشهادات
لينكس: القائمة (“همبرغر” أعلى اليمين)، التفضيلات / المتقدم / إدارة الشهادات
بريد ماك
بريد ماك يدعم أيضًا S/MIME. يعتمد على سلسلة مفاتيح ماك للاحتفاظ بمفاتيحك.
بريد iOS
أولاً، قم باستيراد شهادة حساب بريدك الإلكتروني بهذه الطريقة، ثم يمكنك عرض رسائل البريد الإلكتروني الموقعة والمشفرة بتقنية S/MIME. إنها لا تبدو مختلفة كثيرًا على شاشة العرض.
أندرويد
بعض الأجهزة والتطبيقات تدعم S/MIME؛ هناك تنوع كبير هناك. سامسونغ لديها دليل.
أخيرًا…
هذا هو لمحة سريعة عن الاستخدامات العملية لـ S/MIME. إذا كنت ترغب في الحصول على شهادات البريد الخاصة بك، فهناك قائمة بالمزودين هنا. لقد وجدت أن Comodo يعمل جيدًا (مجاني للاستخدام غير التجاري - افتح هذا في Firefox، وليس Chrome).
في الجزء الثاني، سنستكشف كيفية تطبيق توقيع S/MIME والتشفير على الرسائل التي تقوم بتسليمها عبر SparkPost.
قراءة إضافية
مايكروسوفت لديها مقال تعريفي جيد عن S/MIME في التوثيق الخاص بهم.
لمزيد من المعلومات حول ثغرة EFAIL وكيف تم التعامل معها، يرجى الاطلاع على الموقع الرسمي لـ EFAIL. توضيحات أخرى سهلة المتابعة متاحة على صفحة ويكيبيديا EFAIL وفي منشور مدونة CipherMail EFAIL: من هو المعرض للخطر، PGP، S/MIME أو عميل البريد الخاص بك؟.
هذا هو لمحة سريعة عن الاستخدامات العملية لـ S/MIME. إذا كنت ترغب في الحصول على شهادات البريد الخاصة بك، فهناك قائمة بالمزودين هنا. لقد وجدت أن Comodo يعمل جيدًا (مجاني للاستخدام غير التجاري - افتح هذا في Firefox، وليس Chrome).
في الجزء الثاني، سنستكشف كيفية تطبيق توقيع S/MIME والتشفير على الرسائل التي تقوم بتسليمها عبر SparkPost.
قراءة إضافية
مايكروسوفت لديها مقال تعريفي جيد عن S/MIME في التوثيق الخاص بهم.
لمزيد من المعلومات حول ثغرة EFAIL وكيف تم التعامل معها، يرجى الاطلاع على الموقع الرسمي لـ EFAIL. توضيحات أخرى سهلة المتابعة متاحة على صفحة ويكيبيديا EFAIL وفي منشور مدونة CipherMail EFAIL: من هو المعرض للخطر، PGP، S/MIME أو عميل البريد الخاص بك؟.
هذا هو لمحة سريعة عن الاستخدامات العملية لـ S/MIME. إذا كنت ترغب في الحصول على شهادات البريد الخاصة بك، فهناك قائمة بالمزودين هنا. لقد وجدت أن Comodo يعمل جيدًا (مجاني للاستخدام غير التجاري - افتح هذا في Firefox، وليس Chrome).
في الجزء الثاني، سنستكشف كيفية تطبيق توقيع S/MIME والتشفير على الرسائل التي تقوم بتسليمها عبر SparkPost.
قراءة إضافية
مايكروسوفت لديها مقال تعريفي جيد عن S/MIME في التوثيق الخاص بهم.
لمزيد من المعلومات حول ثغرة EFAIL وكيف تم التعامل معها، يرجى الاطلاع على الموقع الرسمي لـ EFAIL. توضيحات أخرى سهلة المتابعة متاحة على صفحة ويكيبيديا EFAIL وفي منشور مدونة CipherMail EFAIL: من هو المعرض للخطر، PGP، S/MIME أو عميل البريد الخاص بك؟.
