usługa S/MIME

Usługa S/MIME zabezpiecza wiadomość certyfikatem wydanym przez zaufane centrum.

Certyfikat X.509 w skrzynce pocztowej

S/MIME opiera się na certyfikacie X.509 wystawionym na konkretny adres e-mail, z rozszerzeniem przeznaczenia wskazującym ochronę poczty. Certyfikat składa się z części publicznej, którą rozdaje się światu, i klucza prywatnego, który zostaje na komputerze użytkownika, w magazynie osobistym widocznym po uruchomieniu certmgr.msc. Do przenoszenia całości między urządzeniami służy plik PFX chroniony hasłem, bo sam plik CER zawiera wyłącznie część publiczną i do odczytu zaszyfrowanej poczty nie wystarczy.

W klasycznym Outlooku ustawienia znajdują się w Centrum zaufania, w sekcji zabezpieczeń poczty, gdzie wskazuje się certyfikat podpisujący i szyfrujący oraz decyduje, czy podpisywać wszystkie wychodzące wiadomości.

Podpis to nie to samo co szyfrowanie

Te dwie operacje są niezależne i mają odwrotny kierunek. Podpisując wiadomość, używamy własnego klucza prywatnego, a odbiorca weryfikuje ją naszą częścią publiczną, dołączoną do listu jako załącznik smime.p7s; treść pozostaje jawna, a gwarantowana jest tożsamość nadawcy i brak modyfikacji po drodze. Szyfrując, potrzebujemy części publicznej odbiorcy, więc zaszyfrowany list można wysłać dopiero po tym, jak druga strona przyśle nam wcześniej podpisaną wiadomość i jej certyfikat trafi do naszych kontaktów.

Alternatywnym standardem jest OpenPGP, oparty nie na hierarchii urzędów certyfikacji, lecz na wzajemnym poświadczaniu kluczy. Oba rozwiązania rozwiązują ten sam problem i są ze sobą niezgodne, więc w firmie wybiera się jedno.

Utracony klucz prywatny i wygasły certyfikat

Najdotkliwsza awaria wygląda tak: komputer został przeinstalowany, klucza prywatnego nikt nie wyeksportował, a w archiwum leżą tysiące zaszyfrowanych wiadomości, których nie odczyta już nikt. Nie ma tu procedury odzyskiwania, dlatego kopia pliku PFX na nośniku trzymanym poza komputerem jest częścią wdrożenia, a nie dodatkiem.

Codzienne kłopoty są łagodniejsze. Certyfikat wygasa zwykle po roku i po tej dacie podpis nadal daje się zweryfikować dla starych listów, ale nowych nie da się podpisać. Odbiorca korzystający wyłącznie z poczty w przeglądarce może w ogóle nie zobaczyć treści i dostać sam załącznik p7m. Bramki antywirusowe nie zajrzą do zaszyfrowanej wiadomości, więc skanowanie załączników przenosi się na stację końcową. Zdarza się też ostrzeżenie o niezaufanym wystawcy, gdy na komputerze brakuje certyfikatu pośredniego.

Wdrożenie certyfikatów na stanowiskach w biurze

Instalujemy certyfikaty na komputerach pracowników, konfigurujemy klientów pocztowych, przenosimy magazyny kluczy przy wymianie sprzętu i pilnujemy, żeby przy migracji na nowy dysk nie przepadła możliwość odczytu archiwum. Obsługujemy firmy i klientów indywidualnych o każdej porze, także poza godzinami pracy biura, kiedy taką operację najłatwiej przeprowadzić bez przestoju.