S/MIME è un metodo consolidato per inviare email criptate e firmate, basato su standard pubblici di Internet. Ci imbattiamo regolarmente in requisiti per S/MIME, in particolare da settori regolamentati come banca, salute e finanza.
Business in a box.
Scopri le nostre soluzioni.
Parla con il nostro team di vendita
S/MIME è un metodo di lunga data per l'invio di email crittografate e firmate, basato su standard Internet pubblici. Ci imbattiamo regolarmente in requisiti per S/MIME, in particolare dalle industrie regolamentate come banche, sanità e finanza. S/MIME è spesso richiesto quando si comunica tra aziende e agenzie governative, ad esempio.
Un altro standard di posta sicura, PGP (scherzosamente chiamato "Pretty Good Privacy"), viene utilizzato di più per comunicazioni sicure da persona a persona. È meno popolare ora perché le versioni consumer dei client di posta elettronica basati sul web, come Gmail e Outlook/Hotmail, non sono in grado di visualizzare la posta crittografata. Ecco perché molte comunicazioni da persona a persona che richiedono privacy si sono spostate su piattaforme come WhatsApp (e molte altre) che offrono crittografia end-to-end nativa.
Sia PGP che S/MIME richiedono un client di posta in grado di usare chiavi e certificati. Molti client desktop e mobile, inclusi Apple Mail, Microsoft Outlook e Mozilla Thunderbird sono adatti, così come le versioni aziendali di alcuni client web come Microsoft Office 365. Configurare le chiavi richiede impegno, ma molte organizzazioni lo considerano ancora utile, nonostante le recenti rivelazioni di vulnerabilità che richiedono rimedi per bloccare il caricamento di contenuti remoti.
S/MIME esiste dal 1995 ed è stato sottoposto a diverse revisioni; la versione attuale è coperta da RFC 5751. Richiede lo scambio di chiavi pubbliche, un compito non banale che spesso richiede il supporto di un team IT o una risorsa simile. È qui che entrano in gioco le soluzioni commerciali di aziende come i partner di SparkPost Virtru e Echoworkx, che rendono più semplice la sicurezza per le comunicazioni aziendali da persona a persona (vedi il nostro how-to SparkPost/Echoworkx per ulteriori informazioni).
Detto ciò, esploriamo un po' più a fondo il semplice e vecchio S/MIME e vediamo cosa possiamo fare con esso.
Perché dovrei preoccuparmi?
La versione breve:
La crittografia ti offre la privacy dei messaggi.
La firma ti offre l'autenticazione (del mittente), la non ripudiabilità dell'origine e controlli sull'integrità del messaggio.
S/MIME funziona diversamente da DKIM e DMARC e può coesistere con essi.
Privacy
Se i tuoi messaggi non contengono nulla di personale, privato o legalmente importante, probabilmente non avrai bisogno di pensare a S/MIME. I moderni sistemi di consegna delle email come SparkPost utilizzano già "opportunistic TLS" per proteggere il trasporto dei messaggi dal server mittente al server destinatario.
La parte "opportunistica" significa tuttavia che, se il server mittente non riesce a negoziare una connessione sicura, invieremo la posta in testo normale. Questo non è adatto se desideri forzare il messaggio a rimanere sicuro per tutto il percorso. Puoi dare uno sguardo a quali fornitori di caselle di posta dichiarano il supporto TLS e quali lo fanno realmente. Assumendo che il server del destinatario supporti TLS, il tuo messaggio è protetto in questo modo:
TLS protegge le conversazioni tra i server di posta (da cui il nome Transport Layer Security). MIME (incluso S/MIME) si occupa del contenuto del messaggio e del suo trattamento, e può essere considerato parte dello “strato di presentazione”.
S/MIME protegge il contenuto del messaggio per intero (“end to end”) dall'origine del messaggio al client di posta del destinatario, incapsulando il corpo del messaggio.
S/MIME cripta il corpo del messaggio con la chiave pubblica del destinatario. Il corpo non può essere decodificato senza la chiave privata del destinatario, non da nessun “intermediario” come il tuo ISP, SparkPost, o il server di posta del destinatario.
La chiave privata non viene mai divulgata; è mantenuta in esclusivo possesso del destinatario. Il messaggio criptato viaggia su Internet fino al server di posta ricevente. Quando arriva nella casella di posta del destinatario, viene (solitamente automaticamente) decriptato con la loro chiave privata e diventa leggibile.
Alcuni accorgimenti su S/MIME di cui essere a conoscenza:
S/MIME ha l'effetto collaterale di prevenire la scansione dei messaggi in arrivo basata su server per la ricerca di malware perché il contenuto del messaggio è in forma crittografata e quindi non identificabile.
Nota che gli intestazioni del messaggio (Da:, A:, Oggetto: ecc.) non sono criptate, quindi il contenuto della linea dell'oggetto deve essere creato tenendo ciò presente.
Firma – autenticazione
S/MIME fornisce anche al destinatario la possibilità di controllare che l'identità del mittente del messaggio sia quella che affermano di essere.
L'email del mittente ha un certificato allegato che, piuttosto come il certificato su un sito Web sicuro, può essere tracciato fino a un'autorità emittente. Qui c'è una descrizione completa del processo di firma qui.
Adotteremo l'approccio di firmare la mail prima e quindi criptarla, quindi il processo sembra così.
Non ripudiabilità
Un altro vantaggio utile della firma per il destinatario è la non ripudiabilità dell'origine. Considera una situazione in cui un messaggio email viene utilizzato per approvare un contratto. Il destinatario riceve il contratto in un messaggio dal mittente. Se successivamente il mittente cerca di dire, “No, non ti ho mai inviato quel messaggio”, il messaggio ricevuto mostra che il certificato del mittente è stato infatti utilizzato.
Integrità del messaggio
Il processo di firma crea un'impronta digitale del messaggio sorgente originale (nota come message digest), crittografa il digest utilizzando la chiave privata del mittente e lo include nel messaggio consegnato. Il client di posta del destinatario può verificare se il corpo del messaggio è stato manomesso.
Forse potresti dire, “Pensavo che DKIM mi offrisse controlli di integrità del messaggio!” Bene sì, DKIM fornisce controlli di integrità del corpo del messaggio e delle intestazioni del messaggio – garanzie anti-manomissione. Tuttavia, un fallimento (o assenza) di DKIM di solito non causerà che il messaggio in arrivo venga segnato come completamente invalido, …a meno che non ci sia in atto una politica DMARC di `p=reject` (maggiori informazioni su DMARC qui). DKIM è uno dei tanti fattori utilizzati dall'ISP per l'assegnazione affidabile della reputazione a un dominio ed è, ovviamente, una parte essenziale del tuo stack di messaggistica.
Il tuo client di posta ti mostrerà chiaramente se un messaggio S/MIME non supera i controlli di firma:
Riepilogo: end-to-end (S/MIME) vs server-to-server (DKIM, DMARC, TLS)
S/MIME è una capacità dello strato di presentazione che può funzionare tra due utenti finali email (con certificati/chiavi validi) senza alcuna azione da parte dell'amministratore e-mail. S/MIME fornisce crittografia e firma ed è personale per ogni utente.
S/MIME è legato all'indirizzo completo di invio (parte locale e parte dominio), quindi, per esempio, alice@bigcorp.com e bob@bigcorp.com dovrebbero avere certificati diversi. Al contrario, DKIM valida che l'email provenga dal dominio firmante. DKIM è tutto un argomento a sé stante; questo articolo è un buon punto di partenza.
DKIM e DMARC vengono configurati dal tuo amministratore e-mail (lavorando sul server di posta e sui record DNS). Una volta configurati, sono attivi per i domini, piuttosto che per utenti individuali.
Come si relaziona questo a SparkPost?
Quali client supportano S/MIME?
Consumer Gmail
Il normale client web di Gmail visualizza le firme delle email in arrivo (vedi sotto), ma non è configurato per conservare la tua chiave privata per leggere i messaggi criptati. Anche se ciò fosse possibile tramite plugin di terze parti, caricare la tua chiave privata non è una grande idea dal punto di vista della sicurezza.
Non sono riuscito a far decodificare le firme nei messaggi da Yahoo! Mail.
La versione consumer degli account Microsoft Outlook/Hotmail ti avvisa della presenza di una firma S/MIME, ma non ti dà pieno accesso per visualizzare o verificare il certificato.
Hosted business mail
Per le organizzazioni con posta ospitata, Microsoft Office 365 e G Suite Enterprise supportano S/MIME.
Outlook mail clients
Il client Microsoft Outlook basato su client (ad esempio 2010 per Windows) funziona:
Cliccando sulle icone ottieni più informazioni:
Su Outlook 2010 / Windows, l'archivio certificati è accessibile tramite File / Opzioni / Centro protezione / Impostazioni centro protezione / Sicurezza email / Importa / Esporta.
Thunderbird – cross-platform and free
Se stai cercando un client gratuito, Mozilla Thunderbird fa al caso tuo. È disponibile su PC, Mac e Linux, e supporta S/MIME su tutti questi. Ecco come appare un messaggio su Mac. L'icona della "busta sigillata" indica che il messaggio è firmato, e il lucchetto indica che è stato criptato.
Cliccando sulla busta/lucchetto vengono visualizzate informazioni sul messaggio:
Thunderbird ha il proprio archivio chiavi, accessibile in modi simili su ogni piattaforma:
Mac tramite Preferenze / Avanzate / Certificati / Gestisci certificati
PC: menu (“hamburger” in alto a destra), Avanzate / Certificati / Gestisci certificati
Linux: menu (“hamburger” in alto a destra), Preferenze / Avanzate / Gestisci certificati
Mac Mail
Mac Mail supporta anche S/MIME. Si basa sul portachiavi Mac per conservare le tue chiavi.
iOS Mail
Innanzitutto, importa il certificato del tuo account email in questo modo, quindi puoi visualizzare email firmate e criptate S/MIME. Non hanno un aspetto molto diverso sullo schermo di visualizzazione.
Android
Alcuni dispositivi e applicazioni supportano S/MIME; c'è molta varietà là fuori. Samsung ha una guida.
Finalmente…
Ecco la nostra rapida panoramica sugli usi pratici di S/MIME. Se vuoi ottenere i tuoi certificati di posta, c'è un elenco di fornitori qui. Ho trovato che Comodo funziona bene (gratuito per uso non commerciale - apri questo in Firefox, non Chrome).
Nella parte 2, esploreremo come applicare la firma e la crittografia S/MIME ai messaggi che invii tramite SparkPost.
Ulteriori letture
Microsoft ha un buon articolo introduttivo su S/MIME qui.
Per ulteriori informazioni sulla vulnerabilità EFAIL e come è stata affrontata, questo è il sito definitivo. Altre spiegazioni facili da seguire sono qui e qui.
