De korte versie:

• Encryptie geeft u berichtprivacy.

• Ondertekening biedt u authenticatie (van de afzender), niet-repudiatie van de oorsprong, en controles van de integriteit van berichten.

• S/MIME werkt anders dan DKIM en DMARC en kan naast hen bestaan.

Privacy
Als uw berichten niets persoonlijks, privés of juridisch belangrijks bevatten, hoeft u waarschijnlijk niet na te denken over S/MIME. Moderne e-mailsystemen zoals SparkPost gebruiken al “opportunistische TLS” om het berichttransport van de verzendserver naar de ontvangende server te beveiligen.

Het “opportunistische” gedeelte betekent echter dat als de verzendserver geen beveiligde verbinding kan onderhandelen, we de e-mail in platte tekst zullen verzenden. Dit is niet geschikt als u wilt dat het bericht de hele weg veilig is. U kunt een kijkje nemen bij welke mailboxproviders aangeven TLS-ondersteuning te bieden en welke het daadwerkelijk doen. Als de server van de ontvanger TLS ondersteunt, wordt uw bericht als volgt beveiligd:

TLS beveiligt de gesprekken tussen mailservers (die daarom Transport Layer Security wordt genoemd). MIME (inclusief S/MIME) betreft de inhoud van berichten en de behandeling ervan, en kan worden beschouwd als deel van de "Presentatielaag".

S/MIME beveiligt de inhoud van het bericht volledig (“end-to-end”) van de oorsprong van het bericht tot de mailclient van de ontvanger, waarbij de berichtinhoud wordt ingekapseld.

S/MIME versleutelt de berichtinhoud met de openbare sleutel van de ontvanger. De inhoud kan niet worden gedecodeerd zonder de privésleutel van de ontvanger — niet door een “persoon in het midden” zoals uw ISP, SparkPost of de mailserver van de ontvanger.

De privésleutel wordt nooit bekendgemaakt; deze blijft in het exclusieve bezit van de ontvanger. Het versleutelde bericht reist via het internet naar de ontvangende mailserver. Wanneer het in de inbox van de ontvanger terechtkomt, wordt het (doorgaans automatisch) met hun privésleutel ontsleuteld en leesbaar gemaakt.

Enkele S/MIME valkuilen om op te letten:

S/MIME encryptie heeft als neveneffect dat op server gebaseerde inkomende berichtenscanning op malware wordt voorkomen, omdat de berichtbelasting in versleutelde vorm en dus onherkenbaar is.

Merk op dat de berichtheaders (Van:, Aan:, Onderwerp: etc.) niet versleuteld zijn, dus de inhoud van de onderwerpregel moet met dat in gedachten worden gemaakt.

Ondertekening – authenticatie
S/MIME biedt de ontvanger ook de mogelijkheid om te controleren dat de identiteit van de afzender van het bericht is wie ze zeggen dat ze zijn.

De e-mail van de afzender heeft een bijgevoegd certificaat, dat, net als het certificaat op een beveiligde website, kan worden herleid naar een uitgevende instantie. Er is een volledige beschrijving van het ondertekeningsproces hier.

We zullen de aanpak hanteren van eerst de e-mail ondertekenen en vervolgens versleutelen, zodat het proces er zo uitziet.

Niet-repudiatie
Een ander nuttig voordeel van ondertekening voor de ontvanger is niet-repudiatie van de oorsprong. Overweeg een situatie waarin een e-mailbericht wordt gebruikt om een contract goed te keuren. De ontvanger krijgt het contract in een bericht van de afzender. Als de afzender later probeert te zeggen: “Nee, ik heb dat bericht nooit naar u gestuurd”, dan laat het ontvangen bericht zien dat het certificaat van de afzender feitelijk is gebruikt.

Berichtintegriteit
Het ondertekeningsproces creëert een vingerafdruk van het platte bronbericht (bekend als een berichtsamenvatting), versleutelt de samenvatting met de privésleutel van de afzender en voegt deze toe aan het afgeleverde bericht. De mailclient van de ontvanger kan zien of er met de inhoud van het bericht is geknoeid.

U zou misschien kunnen zeggen: “Ik dacht dat DKIM mij controles van de integriteit van berichten gaf!” Nou ja, DKIM biedt integriteitscontroles van de berichtinhoud en berichtheaders – anti-tampering garanties. Echter, DKIM-falen (of -afwezigheid) zal meestal niet ertoe leiden dat het binnenkomende bericht als volledig ongeldig wordt gemarkeerd, ...tenzij er een DMARC beleid van 'p=reject' in het spel is (meer over DMARC hier). DKIM is een van de vele factoren die door de ISP worden gebruikt voor betrouwbare toekenning van reputatie aan een domein en is natuurlijk een essentieel onderdeel van uw berichtgeving stack.

Uw mailclient toont u duidelijk als een S/MIME-bericht faalt bij handtekeningcontroles:

Samenvatting: end-to-end (S/MIME) vs server-to-server (DKIM, DMARC, TLS)
S/MIME is een presentatie-laagfunctie die kan werken tussen twee e-mail eindgebruikers (met geldige certificaten/sleutels) zonder enige actie door de e-mailbeheerder. S/MIME biedt encryptie en ondertekening en is persoonlijk voor elke gebruiker.

S/MIME is verbonden aan het volledige verzendadres (lokaal deel en domeindeel), dus bijvoorbeeld alice@bigcorp.com en bob@bigcorp.com zouden verschillende certificaten moeten hebben. In tegenstelling hiermee, valideert DKIM dat de e-mail afkomstig is van het ondertekeningsdomein. DKIM is een heel onderwerp op zich; dit artikel is een goed startpunt.

De opstelling van DKIM en DMARC wordt gedaan door uw e-mailbeheerder (werkt aan de mailserver en DNS-records). Zodra ze zijn opgezet, zijn ze actief voor domeinen, in plaats van individuele gebruikers.