De korte versie:

• Encryptie biedt je berichtprivacy.

• Ondertekening geeft je authenticatie (van de afzender), niet-repudiatie van oorsprong, en berichtintegriteitscontroles.

• S/MIME werkt anders dan DKIM en DMARC en kan naast hen bestaan.

Privacy
Als je berichten niets persoonlijks, privé, of wettelijk belangrijks bevatten, hoef je waarschijnlijk niet aan S/MIME te denken. Moderne e-mailbezorgsystemen zoals SparkPost gebruiken al "opportunistische TLS" om het berichtenverkeer van de verzendende server naar de ontvangende server te beveiligen.

Het "opportunistische" deel betekent echter dat als de verzendende server geen beveiligde verbinding kan onderhandelen, we de mail in platte tekst zullen verzenden. Dit is niet geschikt als je de boodschap onderweg volledig veilig wilt houden. Je kunt een kijkje nemen bij welke mailboxproviders beweren TLS-ondersteuning te hebben en welke dat daadwerkelijk doen. Als de server van de ontvanger TLS ondersteunt, wordt je bericht als volgt beveiligd:

TLS beveiligt de gesprekken tussen mailservers (daarom wordt het Transport Layer Security genoemd). MIME (inclusief S/MIME) houdt zich bezig met de berichtinhoud en de behandeling ervan, en kan worden beschouwd als onderdeel van de "Presentatielaag".

S/MIME beveiligt de berichtinhoud van begin tot eind ("end to end") van de berichtbron tot de e-mailclient van de ontvanger, waarbij de berichtinhoud wordt ingekapseld.

S/MIME versleutelt de berichtinhoud met de openbare sleutel van de ontvanger. De inhoud kan niet worden gedecodeerd zonder de privésleutel van de ontvanger—niet door enige "persoon in het midden" zoals je ISP, SparkPost of de mailserver van de ontvanger.

De privésleutel wordt nooit bekendgemaakt; hij blijft in het exclusieve bezit van de ontvanger. Het versleutelde bericht reist over het internet naar de ontvangende mailserver. Wanneer het in de inbox van de ontvanger belandt, wordt het (meestal automatisch) gedecodeerd met hun privésleutel en leesbaar gemaakt.

Een paar S/MIME valkuilen om je van bewust te zijn:

S/MIME-encryptie heeft als neveneffect dat servergebaseerde inkomende berichtenscanning op malware wordt voorkomen, omdat de berichtinhoud versleuteld is en daarom onidentificeerbaar.

Merk op dat de berichtkoppen (Van:, Aan:, Onderwerp: enz.) niet zijn versleuteld, dus de inhoud van de onderwerpregel moet met dat in gedachten worden gecreëerd.

Ondertekening – authenticatie
S/MIME biedt de ontvanger ook de mogelijkheid om te controleren dat de identiteit van de berichtafzender is wie ze zeggen dat ze zijn.

De e-mail van de afzender heeft een certificaat bijgevoegd, dat, net als het certificaat op een beveiligde website, kan worden herleid tot een uitgevende autoriteit. Voor een volledige beschrijving van het ondertekeningsproces, zie de S/MIME signing process PDF.

We zullen de aanpak hanteren om de mail eerst te ondertekenen en daarna te versleutelen, zodat het proces er zo uitziet.

Niet-repudiatie
Een ander nuttig voordeel van ondertekening voor de ontvanger is niet-repudiatie van oorsprong. Stel je een situatie voor waarin een e-mailbericht wordt gebruikt om een contract goed te keuren. De ontvanger ontvangt het contract in een bericht van de afzender. Als de afzender later probeert te zeggen: "Nee, ik heb dat bericht nooit naar je verstuurd", dan toont het ontvangen bericht aan dat het certificaat van de afzender daadwerkelijk werd gebruikt.

Berichtintegriteit
Het ondertekeningsproces creëert een vingerafdruk van het de originele bronbericht (bekend als een berichtsamenvatting), versleutelt de samenvatting met de privésleutel van de afzender en voegt deze toe aan het afgeleverde bericht. De mailclient van de ontvanger kan nagaan of de berichtinhoud is gemanipuleerd.

Misschien zou je zeggen: "Ik dacht dat DKIM mij berichtintegriteitscontroles biedt!" Ja, DKIM biedt integriteitscontroles voor zowel de berichtinhoud als de berichtkop - garanties tegen manipulatie. Echter, DKIM-falen (of afwezigheid) zal doorgaans niet betekenen dat het inkomende bericht volledig ongeldig wordt verklaard… tenzij er een DMARC-beleid van p=reject wordt gehanteerd (zie ons blogbericht DMARC: Hoe je je e-mailreputatie beschermt). DKIM is een aspect van vele die door de ISP worden gebruikt voor betrouwbare toewijzing van reputatie aan een domein en is natuurlijk een essentieel onderdeel van je berichtenstack.

Je mailclient zal je prominent laten zien als een S/MIME-bericht faalt bij ondertekeningscontroles:

Samenvatting: end-to-end (S/MIME) versus server-naar-server (DKIM, DMARC, TLS)
S/MIME is een presentatielaagcapaciteit die kan werken tussen twee e-mailgebruikers (met geldige certificaten/sleutels) zonder enige actie van de e-mailbeheerder. S/MIME biedt encryptie en ondertekening en is persoonlijk voor elke gebruiker.

S/MIME is gekoppeld aan het volledige verzendadres (lokaal deel en domeindeel), dus, bijvoorbeeld, alice@bigcorp.com en bob@bigcorp.com zouden verschillende certificaten moeten hebben. In tegenstelling hiermee valideert DKIM dat de e-mail afkomstig is van het ondertekenende domein. DKIM is een onderwerp op zichzelf; dit artikel is een goede plek om te beginnen.

DKIM en DMARC-instellingen worden gedaan door je e-mailbeheerder (werkend aan de mailserver en DNS records). Eenmaal ingesteld, zijn ze actief voor domeinen, in plaats van individuele gebruikers.