S/MIME integracja

Integracja S/MIME z klientem pocztowym umożliwia automatyczne szyfrowanie i weryfikację podpisanych wiadomości.

Na czym polega integracja S/MIME z pocztą elektroniczną

S/MIME, czyli Secure/Multipurpose Internet Mail Extensions, jest rozszerzeniem formatu MIME używanym do podpisywania cyfrowego i szyfrowania wiadomości e-mail. Integracja S/MIME z klientem pocztowym polega na połączeniu programu obsługującego pocztę z certyfikatem użytkownika oraz odpowiadającym mu kluczem prywatnym. Dzięki temu klient może automatycznie tworzyć podpisane wiadomości, szyfrować treść dla określonych odbiorców, odszyfrowywać korespondencję i sprawdzać poprawność otrzymanych podpisów.

Podpis cyfrowy S/MIME pozwala zweryfikować, czy wiadomość została podpisana przez posiadacza określonego certyfikatu oraz czy jej treść nie zmieniła się po podpisaniu. Szyfrowanie działa inaczej: nadawca wykorzystuje klucz publiczny odbiorcy, a odbiorca odszyfrowuje wiadomość własnym kluczem prywatnym. Z tego powodu sam certyfikat publiczny nie wystarcza do odczytania zaszyfrowanej korespondencji. Konieczne jest zachowanie właściwego klucza prywatnego oraz poprawne zaimportowanie go do systemu lub klienta pocztowego.

Certyfikat, klucz prywatny i format wiadomości

Certyfikat S/MIME jest certyfikatem X.509 zawierającym między innymi klucz publiczny, dane właściciela, informacje o wystawcy oraz okres ważności. Certyfikat może być używany do podpisu, szyfrowania albo obu funkcji, zależnie od jego rozszerzeń i przeznaczenia określonego przez wystawcę. Klucz prywatny powinien pozostać pod kontrolą właściciela certyfikatu. W praktyce może być przechowywany w magazynie certyfikatów systemu operacyjnego, w profilu klienta pocztowego, na karcie inteligentnej albo w innym zabezpieczonym urządzeniu kryptograficznym.

Do przenoszenia certyfikatu razem z kluczem prywatnym często stosuje się pliki PKCS#12, spotykane z rozszerzeniami .p12 lub .pfx. Taki plik jest zwykle chroniony hasłem i może zawierać także certyfikaty pośrednie potrzebne do zbudowania łańcucha zaufania. Z kolei podpisane i zaszyfrowane wiadomości S/MIME wykorzystują format CMS, wywodzący się z PKCS#7. W wiadomości pocztowej dane te są przenoszone jako odpowiednie części MIME, dlatego klient musi rozpoznawać zarówno strukturę MIME, jak i mechanizmy kryptograficzne CMS.

Ważnym elementem konfiguracji jest łańcuch zaufania. Klient pocztowy sprawdza, czy certyfikat został wystawiony przez zaufany urząd certyfikacji, czy nie wygasł, czy nie został unieważniony oraz czy jego przeznaczenie odpowiada operacji wykonywanej na wiadomości. Błąd w magazynie zaufanych certyfikatów, brak certyfikatu pośredniego albo nieaktualny certyfikat może powodować ostrzeżenie mimo poprawnego technicznie podpisu.

Automatyczne szyfrowanie i weryfikacja podpisów

Automatyczne szyfrowanie wymaga wcześniejszego posiadania certyfikatu odbiorcy. Najczęściej klient pocztowy uzyskuje go z wcześniej odebranej wiadomości podpisanej przez daną osobę, z katalogu certyfikatów albo z konfiguracji dostawcy poczty. Bez klucza publicznego konkretnego odbiorcy program nie może przygotować wiadomości zaszyfrowanej dla tej osoby. Przy wysyłaniu do kilku adresatów wiadomość jest szyfrowana w sposób umożliwiający jej odczyt przez każdego wskazanego odbiorcę przy użyciu jego własnego klucza prywatnego.

Weryfikacja podpisu obejmuje kilka niezależnych czynności. Klient sprawdza kryptograficzną zgodność podpisu z treścią wiadomości, identyfikuje certyfikat podpisującego, analizuje jego ważność i przeznaczenie oraz ocenia łańcuch zaufania. W niektórych konfiguracjach może także sprawdzać status unieważnienia certyfikatu za pomocą CRL lub OCSP. Sam komunikat informujący, że podpis jest matematycznie poprawny, nie zawsze oznacza pełne zaufanie do tożsamości podpisującego. Znaczenie mają również ustawienia zaufania oraz wynik weryfikacji certyfikatu.

Problemy z integracją często wynikają z niezgodności między klientem pocztowym a magazynem certyfikatów. Przykładem jest zaimportowanie wyłącznie certyfikatu publicznego bez klucza prywatnego, użycie certyfikatu po jego wygaśnięciu albo przeniesienie profilu bez właściwych uprawnień do klucza. Kłopoty może powodować także zmiana adresu e-mail zapisanego w certyfikacie, ponieważ identyfikacja odbiorcy jest powiązana z danymi certyfikatu. Przy diagnozie należy sprawdzić obecność klucza prywatnego, zakres zastosowania certyfikatu, daty ważności, zaufane urzędy oraz to, czy klient rozpoznaje format S/MIME otrzymanej wiadomości.

Konfiguracja S/MIME na komputerze użytkownika

Konfiguracja rozpoczyna się od uzyskania certyfikatu przeznaczonego do podpisu i szyfrowania poczty, a następnie od bezpiecznego zaimportowania go wraz z kluczem prywatnym. W kliencie pocztowym trzeba wskazać certyfikat dla podpisywania oraz certyfikat używany do szyfrowania, jeśli program rozróżnia te zastosowania. Następnie można ustawić podpisywanie domyślne, sposób obsługi wiadomości zaszyfrowanych oraz zachowanie programu przy braku certyfikatu odbiorcy. Ustawienia powinny być sprawdzone na wiadomości testowej wysłanej do odbiorcy, którego certyfikat publiczny jest dostępny.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i ich podzespołów, a w ramach diagnostyki oprogramowania można ustalić, czy problem z S/MIME wynika z konfiguracji klienta pocztowego, magazynu certyfikatów, profilu użytkownika lub samego pliku certyfikatu. Bezpieczna procedura nie powinna ujawniać klucza prywatnego ani hasła do pliku PKCS#12. Jeżeli certyfikat został utracony, uszkodzony albo wygasł, sama zmiana ustawień programu nie przywróci możliwości odszyfrowania wcześniej odebranych wiadomości. W takim przypadku należy rozdzielić diagnozę konfiguracji od oceny dostępności klucza prywatnego i certyfikatu zastępczego.