obsługa S/MIME

Obsługa S/MIME to możliwość szyfrowania i podpisywania wiadomości certyfikatami wydanymi przez zaufane centrum.

Budowa i działanie wiadomości S/MIME

Obsługa S/MIME dotyczy zabezpieczania poczty elektronicznej za pomocą certyfikatów cyfrowych. S/MIME, czyli Secure/Multipurpose Internet Mail Extensions, wykorzystuje format MIME do opisania treści wiadomości oraz mechanizmy kryptograficzne CMS (Cryptographic Message Syntax) do tworzenia podpisu i szyfrowania. Certyfikat S/MIME jest zwykle certyfikatem klucza publicznego X.509, zawierającym między innymi klucz publiczny oraz informację o tożsamości właściciela. Klucz prywatny pozostaje w dyspozycji użytkownika i służy do podpisywania wiadomości albo odszyfrowywania korespondencji.

Podpis cyfrowy nie ukrywa treści wiadomości. Program pocztowy oblicza skrót kryptograficzny zawartości, a następnie tworzy podpis przy użyciu klucza prywatnego nadawcy. Odbiorca może zweryfikować podpis za pomocą klucza publicznego z certyfikatu. Pomyślna weryfikacja wskazuje, że wiadomość została podpisana przez posiadacza odpowiedniego klucza prywatnego oraz że podpisana treść nie została zmieniona po podpisaniu. Szyfrowanie działa inaczej: wiadomość jest zabezpieczana kluczem publicznym odbiorcy, a do jej odczytania potrzebny jest odpowiadający mu klucz prywatny.

Certyfikat, klucze i zaufanie odbiorcy

Do podpisywania potrzebny jest własny certyfikat wraz z kluczem prywatnym. Do szyfrowania wiadomości do konkretnej osoby potrzebny jest natomiast jej certyfikat zawierający klucz publiczny. Sam adres poczty wpisany w polu odbiorcy nie wystarcza do zaszyfrowania treści, ponieważ program musi dysponować właściwym kluczem publicznym. Certyfikat może zostać dołączony do podpisanej wiadomości, dzięki czemu odbiorca ma możliwość zapisania go w książce adresowej lub magazynie certyfikatów.

Ważnym elementem jest łańcuch zaufania. Certyfikat użytkownika jest podpisany przez urząd certyfikacji albo przez pośredni urząd certyfikacji, którego certyfikat prowadzi do urzędu głównego uznawanego przez system lub program pocztowy. Podczas sprawdzania podpisu analizowana jest także ważność certyfikatu, jego okres obowiązywania, przeznaczenie klucza oraz zgodność adresu e-mail z certyfikatem. Błąd może pojawić się po wygaśnięciu certyfikatu, jego unieważnieniu, usunięciu certyfikatu urzędu zaufania albo zmianie adresu używanego przez nadawcę.

Podpisy, szyfrowanie i typowe problemy konfiguracyjne

W praktyce S/MIME może występować jako podpisana wiadomość typu multipart/signed albo jako wiadomość opakowana w strukturę CMS. Szyfrowana poczta jest często przedstawiana jako załącznik application/pkcs7-mime, a podpis może mieć postać pliku smime.p7s. Nazwy te opisują sposób zapisania zabezpieczonej wiadomości, a nie rodzaj samego programu pocztowego. Aktualne zasady używania S/MIME są opisane między innymi w RFC 8551, które odnosi się do zabezpieczania poczty przy użyciu CMS i certyfikatów X.509.

Problemy często wynikają z niepełnego importu certyfikatu. Plik zawierający wyłącznie certyfikat i klucz publiczny pozwala innym osobom zweryfikować podpis lub zaszyfrować wiadomość do właściciela, ale nie umożliwia podpisywania ani odszyfrowywania na komputerze użytkownika. Do tych operacji potrzebny jest także klucz prywatny, zwykle importowany z chronionego pliku PKCS#12 o rozszerzeniu .p12 albo .pfx. Należy również sprawdzić, czy certyfikat jest przypisany do właściwego konta pocztowego, czy program ma dostęp do klucza prywatnego oraz czy data i czas systemowy są poprawne. Utrata klucza prywatnego może uniemożliwić odczytanie wcześniej zaszyfrowanych wiadomości, dlatego kopia zapasowa certyfikatu musi być przechowywana razem z odpowiednią ochroną dostępu.

Sprawdzenie obsługi S/MIME w środowisku użytkownika

Diagnostyka powinna rozpocząć się od ustalenia, czy problem dotyczy podpisywania, weryfikacji podpisu, szyfrowania, czy odszyfrowywania. Następnie sprawdza się obecność certyfikatu użytkownika, dostępność klucza prywatnego, zgodność adresu e-mail oraz stan łańcucha certyfikatów. Przy weryfikacji podpisu warto rozróżnić ostrzeżenie o nieznanym urzędzie certyfikacji od komunikatu o naruszeniu integralności. Pierwszy problem dotyczy zaufania do wystawcy, natomiast drugi może oznaczać zmianę podpisanej treści albo nieprawidłowe przetwarzanie wiadomości.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym diagnostyką konfiguracji systemu oraz programów pocztowych używanych na takim sprzęcie. W przypadku S/MIME można sprawdzić poprawność importu certyfikatu, powiązanie z kontem pocztowym, dostęp programu do klucza prywatnego oraz sposób wyświetlania podpisanych i szyfrowanych wiadomości. Sama weryfikacja podpisu nie potwierdza, że nadawca jest godny zaufania w sensie biznesowym; potwierdza przede wszystkim zgodność podpisu z certyfikatem i integralność podpisanych danych.