Când trimiți prin e-mail contracte, rapoarte financiare sau documente despre angajați, contează cine le poate citi și cum verifică destinatarul că vin de la tine. Criptarea e-mailurilor și semnarea digitală a mesajelor rezolvă probleme diferite. S/MIME și OpenPGP oferă ambele funcții, dar cer pregătire: aplicații compatibile, verificarea identității și păstrarea atentă a cheilor private.
Conexiunea protejată nu înseamnă conținut criptat de la un capăt la altul
TLS protejează conexiunea dintre aplicația ta și serverul de e-mail sau dintre două servere, atunci când este negociat. Nu înseamnă automat că mesajul rămâne inaccesibil sistemelor care îl procesează ori îl stochează. Verifică separat protecția conexiunii la trimitere și primire și politica de transport a serviciului.
De exemplu, o aplicație poate afișa că folosește o conexiune securizată, dar mesajul despre salarii poate rămâne disponibil în căsuță pentru oricine obține acces la cont.
- Criptarea transportului protejează datele pe legătura respectivă.
- Criptarea conținutului transformă mesajul astfel încât să poată fi citit folosind cheia privată corespunzătoare.
- Semnarea digitală permite verificarea integrității mesajului și a legăturii cu o cheie de semnare.
Un mesaj semnat nu este neapărat criptat. Un mesaj criptat nu dovedește, singur, cine l-a trimis. Pentru confidențialitatea corespondenței și verificarea expeditorului, poți folosi împreună criptarea și semnarea.
Cum funcționează certificatele S/MIME
S/MIME folosește certificate digitale care asociază o identitate sau o adresă de e-mail cu o cheie publică. Cheia privată corespunzătoare trebuie păstrată în siguranță. Certificatele S/MIME sunt utilizate frecvent în organizații care pot administra centralizat identitățile și aplicațiile de e-mail.
Ce schimbi cu destinatarul
Pentru a cripta un mesaj către un partener, ai nevoie de certificatul lui, cu o cheie publică potrivită pentru criptare. Pentru ca partenerul să îți răspundă criptat, are nevoie de certificatul tău. Un e-mail semnat poate transmite certificatul public, dacă aplicația acceptă acest flux.
De exemplu, înainte să trimiți un contract către contabil, îi trimiți un mesaj semnat și îi ceri să procedeze la fel. Verifici adresa din certificat, valabilitatea, utilizările permise și eventualele avertismente de încredere sau revocare.
Nu ignora un certificat necunoscut doar pentru că numele afișat pare corect. Confirmă printr-un canal deja cunoscut orice schimbare neașteptată. Un certificat pentru e-mail nu este același lucru cu certificatul TLS al site-ului.
Semnarea unui e-mail prin S/MIME nu este automat o semnătură electronică calificată. Dacă documentul cere o anumită formă de semnătură, verifică separat cerințele aplicabile.
Cum folosești cheile OpenPGP
OpenPGP se bazează tot pe chei publice și private, dar verificarea identității nu depinde obligatoriu de un certificat emis de o autoritate centrală. Publici sau transmiți cheia publică și păstrezi secretă cheia privată. Aplicațiile pot gestiona separat funcțiile de semnare și criptare, inclusiv prin subchei.
Ca să îi trimiți unui consultant un raport criptat, imporți cheia lui publică și verifici amprenta cheii: un identificator calculat din aceasta. Consultantul are nevoie de cheia ta publică pentru a verifica semnătura ta sau pentru a-ți trimite un răspuns criptat.
- Compară amprenta completă printr-un canal cunoscut, de exemplu într-o discuție telefonică la un număr verificat anterior.
- Nu considera o cheie autentică doar fiindcă apare într-un director public sau a sosit prin e-mail.
- Stabilește cum anunți înlocuirea, expirarea sau compromiterea unei chei.
De exemplu, dacă primești mesajul „Aceasta este noua mea cheie; trimite raportul aici”, verifică schimbarea înainte să continui. Criptarea cu cheia unui impostor îi protejează acestuia accesul la document, nu pe al tău.
Unde apar problemele de compatibilitate și limitele protecției
S/MIME și OpenPGP nu sunt interschimbabile. Ambele persoane trebuie să folosească aceeași tehnologie și aplicații compatibile. Suportul poate diferi între aplicația de pe calculator, telefon și interfața web, chiar pentru aceeași căsuță.
De exemplu, un mesaj poate fi citit pe laptop, dar nu și în browser, dacă acolo lipsește funcția necesară sau accesul la cheia privată. Verifică separat mesajele semnate, cele criptate, atașamentele și răspunsurile.
- Metadatele pot rămâne vizibile: adresele expeditorului și destinatarului, informațiile de rutare și, în multe configurații, subiectul.
- Dispozitivele rămân importante: un calculator compromis poate expune mesajul după decriptare.
- Destinatarul poate copia conținutul: criptarea nu împiedică redirecționarea lui după decriptare sau fotografierea ecranului.
- Filtrarea poate fi limitată: sistemele care nu pot decripta conținutul nu îl pot inspecta integral pentru amenințări.
Alege un subiect precum „Documente pentru verificare”, nu unul care dezvăluie o situație medicală. Păstrează autentificarea multifactor și actualizările aplicațiilor: criptarea nu le înlocuiește.
Recuperarea accesului începe înainte să pierzi cheia
Resetarea parolei căsuței nu recuperează automat cheia privată. Dacă pierzi cheia de decriptare și nu există o copie utilizabilă sau un mecanism de recuperare pregătit, mesajele vechi pot deveni imposibil de citit.
De exemplu, după înlocuirea laptopului unui coleg, importarea mesajelor nu este suficientă: ai nevoie și de cheia privată potrivită. Pentru S/MIME, un export destinat recuperării trebuie să includă cheia privată, nu doar certificatul public.
- Păstrează copii protejate ale cheilor de decriptare, conform politicii firmei, separat de dispozitivul principal.
- Stabilește cine poate accesa copiile și în ce condiții, cu evidența accesărilor.
- Testează restaurarea pe un dispozitiv autorizat și deschiderea unui mesaj vechi.
- Pregătește revocarea certificatelor sau a cheilor compromise și notificarea partenerilor.
- La plecarea unui angajat, gestionează separat accesul la arhivă și dreptul de a semna mesaje noi.
Expirarea sau revocarea nu criptează din nou arhiva și nu șterge copiile existente. Păstrează cheile vechi de decriptare cât timp ai nevoie legitimă de mesajele asociate. Aceste tehnologii nu oferă, în mod obișnuit, secretizare anticipată: compromiterea ulterioară a cheii poate expune mesaje vechi păstrate de un atacator.
Pornește cu un test între două persoane
Alege tehnologia pe care o poți administra și pe care partenerii o pot folosi. S/MIME poate fi potrivit într-un mediu cu administrare centralizată; OpenPGP poate funcționa bine cu parteneri care au deja proceduri pentru verificarea cheilor.
- Alege o pereche de utilizatori și documente fără date sensibile.
- Verifică aplicațiile, identitățile și schimbul de certificate sau chei publice.
- Trimite un mesaj semnat, apoi unul semnat și criptat, cu atașament.
- Testează răspunsul, telefonul, arhivarea și recuperarea după mutarea pe alt dispozitiv.
- Scrie o procedură scurtă pentru avertismente, schimbarea cheilor și incidente.
De exemplu, stabilește că un avertisment de semnătură oprește trimiterea documentelor confidențiale până la verificare, nu că trebuie ignorat pentru a continua.
Pentru infrastructura online a firmei, poți explora serviciile de găzduire web GazduireOnline.ro și poți cere prin formularul de contact clarificări despre opțiunile de e-mail disponibile. Înainte de extinderea criptării în echipă, confirmă compatibilitatea și testează recuperarea: acestea contează la fel de mult ca primul mesaj trimis cu succes.
