Come crittografare i messaggi di posta elettronica e se ciò lo renderà "più sicuro. Come crittografare i messaggi di posta elettronica e lo renderà "più sicuro"

In questo giorno, il servizio crittografico della Russia celebra la sua vacanza professionale.

"Crittografia" dal greco antico significa "Scrittura segreta".

Come nascondevi le parole prima?

Durante il regno della dinastia dei faraoni egizi esisteva un metodo peculiare per trasmettere una lettera segreta:

scelto uno schiavo. Gli hanno rasato la testa e hanno dipinto il testo del messaggio con vernice vegetale impermeabile. Quando i capelli sono ricresciuti, è stato inviato al destinatario.

CifraÈ un qualsiasi sistema per trasformare il testo con un segreto (chiave) per garantire la segretezza delle informazioni trasmesse.

AiF.ru ha fatto una selezione di fatti interessanti dalla storia della crittografia.

Tutta la crittografia ha sistemi

1. Acrostico- testo significativo (parola, frase o frase), composto dalle lettere iniziali di ogni verso della poesia.

Ad esempio, ecco una poesia indovinello con un indizio nelle prime lettere:

D Sono abbastanza conosciuto per il mio nome;
R il truffatore e l'integro giurano per lui,
Ho Io sono quello che è più in difficoltà,
F la vita è più dolce con me e nella parte migliore.
B Posso servire solo il pizzo delle anime pure,
UN tra cattivi - non sono stato creato.
Yuri Neledinsky-Meletsky
Sergei Yesenin, Anna Akhmatova, Valentin Zagoryansky usavano spesso acrostici.

2. Litorea- un tipo di scrittura crittografata utilizzata nell'antica letteratura manoscritta russa. A volte semplice e saggio. Quello semplice è chiamato senza senso, consiste nel seguente: mettere le consonanti in due file nell'ordine:

usa le lettere maiuscole invece di quelle inferiori e viceversa nella scrittura e le vocali rimangono invariate; Per esempio, toquepot = gattino eccetera.

Litorrea saggia suggerisce regole di sostituzione più complesse.

3. "ROT1"- un codice per i bambini?

Potresti averlo usato da bambino. La chiave del cifrario è molto semplice: ogni lettera dell'alfabeto è sostituita dalla lettera successiva.

A viene sostituito da B, B viene sostituito da C e così via. "ROT1" significa letteralmente "ruota 1 lettera in avanti in ordine alfabetico". Frase "Amo il borsch" si trasformerà in una frase segreta "E myavmya vps"... Questo codice è per divertimento ed è facile da capire e decifrare, anche se la chiave viene utilizzata nella direzione opposta.

4. Dalla permutazione dei termini...

Durante la prima guerra mondiale, i messaggi riservati venivano inviati utilizzando i cosiddetti caratteri rimpasto. In essi, le lettere vengono riorganizzate utilizzando alcune regole o chiavi predefinite.

Ad esempio, le parole possono essere scritte al contrario in modo che la frase "Mamma ha lavato il telaio" si trasforma in una frase "Amam umar scarlatto"... Un'altra chiave di permutazione è permutare ogni coppia di lettere in modo che il messaggio precedente diventi "Sono am yum al ar um".

Potrebbe sembrare che regole di permutazione complesse possano rendere questi cifrari molto difficili. Tuttavia, molti messaggi crittografati possono essere decifrati utilizzando anagrammi o moderni algoritmi informatici.

5. Il cifrario di Cesare mutevole

Si compone di 33 cifre diverse, una per ogni lettera dell'alfabeto (il numero di cifre varia a seconda dell'alfabeto della lingua utilizzata). La persona doveva sapere quale cifrario di Giulio Cesare usare per decifrare il messaggio. Ad esempio, se viene utilizzato il cifrario E, allora A diventa E, B diventa F, C diventa Z e così via in ordine alfabetico. Se si usa la cifra Y, allora A diventa Y, B diventa I, C diventa A e così via. Questo algoritmo è la base per molti cifrari più complessi, ma di per sé non fornisce una protezione affidabile della segretezza dei messaggi, poiché la verifica di 33 diverse chiavi di cifratura richiederà relativamente poco tempo.

Nessuno potrebbe. prova tu

I messaggi pubblici crittografati ci stuzzicano con i loro intrighi. Alcuni di essi rimangono ancora irrisolti. Eccoli:

Kryptos... Una scultura dell'artista Jim Sanborn situata di fronte alla sede della Central Intelligence Agency a Langley, in Virginia. La scultura contiene quattro cifre, il quarto codice non è stato ancora scoperto. Nel 2010, è stato rivelato che i caratteri 64-69 NYPVTT nella quarta parte rappresentano la parola BERLINO.

Ora che hai letto l'articolo, puoi probabilmente indovinare tre semplici cifre.

Lascia le tue opzioni nei commenti a questo articolo. La risposta apparirà alle 13:00 del 13 maggio 2014.

Risposta:

1) Piattino

2) L'elefantino è stanco di tutto

3) Bel tempo

La posta elettronica è il mezzo di comunicazione principale per la maggior parte delle aziende. La corrispondenza è necessaria sia per la comunicazione all'interno dell'azienda stessa sia per lo scambio di dati con partner, clienti, fornitori, agenzie governative, ecc. Non è un segreto che molte informazioni riservate vengano inviate tramite e-mail aziendale: contratti, fatture, informazioni sui prodotti e sui prezzi dell'azienda, indicatori finanziari, ecc.

Se tali informazioni cadono nelle mani dei concorrenti, possono danneggiare in modo significativo l'azienda fino alla sua cessazione. I concorrenti, avendo a disposizione una base di clienti, conoscendo le condizioni di lavoro e i prezzi, potranno offrire loro le migliori condizioni e, quindi, causare perdite finanziarie. Inoltre, i concorrenti possono trovare fatti di violazione della legge nelle informazioni ricevute e trasferirli agli organi statali competenti. Questo può provocare ispezioni, ma non sono di buon auspicio.

In una parola, se un'azienda ha una domanda sulla protezione delle comunicazioni, il primo passo è proteggere la posta, poiché la maggior parte dei documenti viene inviata attraverso di essa. Ma, nonostante l'importanza, poche aziende pensano alla sicurezza della posta.

I principali errori che portano all'intercettazione della posta elettronica:

• La posta aziendale viene utilizzata per registrarsi sui social network e su una serie di altre risorse. Più un indirizzo di posta è illuminato in vari servizi, più è probabile che finisca in varie mailing list di spam, e questo spesso provoca tentativi di hackerare l'indirizzo.
• La password specificata nella mail aziendale viene utilizzata per registrarsi sui vari siti. Molto spesso, quando si registra su qualche sito di incontri o tracker torrent, i dipendenti non si preoccupano di trovare una password, ma inseriscono quella per la posta aziendale.
• Fornisci una semplice password. La data di nascita, il tuo nome, ecc. è indicata come password per la posta e queste informazioni sono disponibili in forma aperta in molte fonti.
• Vengono utilizzati servizi di posta elettronica esterni. Molte aziende utilizzano i siti Google, Yandex, ecc. per l'hosting di domini aziendali. È considerato sicuro, ma ci sono fatti quando la posta pubblicata su questi servizi è arrivata su Internet. Inoltre, i media parlano costantemente dell'accesso diretto di servizi speciali alle informazioni degli utenti su queste risorse.
• La posta non è crittografata.È risaputo che è possibile hackerare una password per qualsiasi posta e che i prezzi per l'hacking di una casella di posta partono da 10-20 USD. Se la posta non è crittografata, dopo aver ottenuto l'accesso alla casella di posta, l'attaccante ottiene automaticamente l'accesso a tutte le informazioni commerciali.

Consideriamo un semplice esempio di crittografia della posta basata sul client di posta gratuito Mozilla Thunderbird che utilizza il meccanismo di crittografia OpenPGP. Per organizzare la crittografia, è necessario installare il componente aggiuntivo Enigmail in Thunderbird e l'applicazione GnuPG. Successivamente, la scheda OpenPGP apparirà in ThunderBird. Successivamente, è necessario generare una coppia di chiavi private. Questo è fatto in questo modo:

Lo stesso processo di corrispondenza criptata può essere scomposto in 4 fasi elementari.

Come puoi vedere, crittografare la posta non è affatto difficile e persino gratuito!

L'implementazione della crittografia della posta elimina la maggior parte dei rischi di perdita di informazioni e non richiede alcun costo, solo il costo dell'implementazione e della formazione degli utenti. Se stiamo parlando di una piccola azienda composta da 10 persone, allora è sufficiente riunire tutti, spiegare la necessità della crittografia, mostrare come è fatto e minacciare sanzioni in caso di mancato rispetto di questa regola. È un'altra cosa se l'azienda è grande ed è impossibile farlo nello stesso modo descritto sopra.

È difficile per tutti i dipendenti comunicare la necessità di proteggere la posta. Inoltre, dopo l'implementazione, i processi di crittografia sono difficili da controllare: nel tempo, i dipendenti possono rilassarsi e smettere di crittografare le lettere. È indispensabile formare nuovi dipendenti. In questo caso, utilizzando le politiche di dominio, è possibile configurare la crittografia forzata delle lettere che vengono inviate agli indirizzi del dominio di casa e organizzare l'archiviazione e lo scambio di chiavi pubbliche utilizzando ActiveDirectory. Ciò eliminerà la necessità di scambiare le chiavi pubbliche per ogni nuovo dipendente.

Il prossimo passo per migliorare la sicurezza della posta elettronica è organizzare il tuo server. Ciò richiederà costi hardware e di licenza leggermente superiori rispetto all'utilizzo dei servizi di posta elettronica. Tuttavia, è consigliabile utilizzare il proprio server di posta situato su un sito tecnico altamente accessibile e affidabile.

Il sito deve essere costantemente accessibile, il che significa riservare alimentazione, internet, aria condizionata. C'è un sacco di software per il server di posta, sia software gratuito che commerciale. È impossibile fare qui una scelta univoca, poiché il server deve essere selezionato per la funzionalità richiesta dall'azienda. È necessario prendere in considerazione il budget assegnato per l'implementazione del server. Utilizziamo MDaemon per una serie di motivi:

• È facile da configurare e amministrare. MDaemon sarà in grado di configurare e mantenere un amministratore anche con un livello di conoscenza di base. La configurazione di un server Exchange o di prodotti Open Source richiede molta più abilità e tempo per l'implementazione e la manutenzione.
• La funzionalità soddisfa tutti i requisiti della nostra attività. Supporta tutti i protocolli di posta, ha un'interfaccia Web "simile a Outlook" per posta, gruppi di distribuzione, inoltro della posta, filtri antispam, ecc.
• Il costo è molto inferiore rispetto a Exchange e Kerio. Il costo approssimativo delle licenze per 50 utenti MDaemon è di 20.000 rubli, 50.000 rubli per Kerio, 100.000 rubli per MS Exchange.
• Non ci sono requisiti specifici. Ad esempio, ActiveDirectory non è richiesto. Il prodotto può essere installato su un sistema operativo desktop, ad esempio Windows XP o Windows 7. Il prodotto non richiede un DBMS.

Lo schema operativo della posta sarà il seguente:

Figura 1 - Schema di funzionamento della posta

Avere il proprio server offre una serie di vantaggi rispetto all'utilizzo di server di posta pubblici:

• Sicurezza. Puoi solo fidarti di te stesso. Non importa quanto sembrino sicuri i servizi di Google, Yandex, ecc., appartengono ad altre società e anche queste società hanno accesso lì.
• Servizio. L'amministratore dell'azienda ha la capacità di configurare il server in modo flessibile e ha anche la capacità di eseguire un monitoraggio dettagliato. Il monitoraggio, ad esempio, ti consentirà di vedere i tentativi di hackerare un server di posta o le sue caselle di posta.
• Flessibilità. Se un'azienda dispone di un proprio server di posta, non è limitata dalle limitazioni del fornitore di servizi. L'azienda può scegliere il software per il server di posta a piacimento, ridimensionare il sistema, ecc.

Pertanto, per una protezione affidabile della posta, si consiglia di implementare due misure globali in azienda: implementare la crittografia della posta e organizzare il proprio server di posta. Il principio di Pareto si applica molto bene a loro. La prima misura fornisce l'80% di efficienza al 20% di costi e la seconda fornisce il restante 20% di efficienza, ma richiede l'80% di costi.

Un breve elenco di suggerimenti per l'utilizzo della posta elettronica aziendale:

1. Usa il tuo server di posta situato fuori dall'ufficio.
2. Non creare nomi di caselle semplici come [e-mail protetta]- finiranno sicuramente nelle mailing list di spam, meglio usare l'iniziale e il cognome del dipendente.
3. Usa password generate per la posta.
4. Non indicare il tuo indirizzo email aziendale quando ti registri su siti che non sono legati al lavoro.
5. Cripta il testo di tutti i messaggi che non vorresti condividere con concorrenti o altri soggetti.
6. Anche i file allegati alla lettera devono essere crittografati e, se esiste un portale aziendale sicuro, è meglio posizionare il file su di esso e inviare il collegamento nella lettera.

Integrazione del sistema. Consulenza

La crittografia e-mail è l'unico modo per garantire che le informazioni trasmesse al destinatario siano tenute segrete da hacker e altri intercettori.

In questo articolo, elencherò il miglior software di crittografia e-mail gratuito che puoi scaricare e utilizzare per mantenere privata la tua corrispondenza.

Perché crittografare la tua email?
Se i messaggi di posta elettronica scambiati tra le due parti vengono intercettati, il contenuto della lettera può essere facilmente compreso da un hacker se il messaggio è stato inviato in formato testo, ovvero senza alcuna crittografia.
E se il messaggio fosse criptato, l'intercettore vedrà solo parole incomprensibili invece di contenuto, a meno che ovviamente non lo abbia chiave di decrittazione messaggi (il che è ovviamente improbabile, dal momento che la lettera è stata intercettata mentre si recava al destinatario).
Quindi, la crittografia serve a tenere le tue e-mail private lontane da occhi indiscreti.

La crittografia è un'utilità divertente e facile da usare che aiuta a proteggere i file o le comunicazioni con altri dispositivi in ​​modo che nessun aggressore possa accedervi. Il principio alla base della crittografia è sorprendentemente semplice.

Il file o il messaggio è crittografato con un codice o una chiave. Il destinatario sa che è stato utilizzato un codice per crittografare il messaggio e può quindi utilizzare la stessa chiave per decrittografare o sbloccare il messaggio. Qualsiasi altra persona con una chiave diversa (o nessuna chiave) guarderà un mucchio di lettere e numeri che non hanno alcun senso logico.

Pertanto, se desideri inviare file finanziari, legali, aziendali o medici, riservati o per qualsiasi altro motivo, in formato elettronico, ovviamente vuoi proteggerli dagli hacker, quindi devi crittografare la tua email. Tuttavia, se si crittografano solo le e-mail che contengono informazioni sensibili e si inviano regolarmente le altre in formato testo, si finisce per invitare inavvertitamente gli aggressori a violare il proprio account e-mail.

il più saggio crittografa tutte le email che invii ... In questo caso, l'hacker non sarà mai in grado di indovinare quale delle tue e-mail contiene informazioni che desideri proteggere e non sprecherà il tempo e gli sforzi necessari per decifrare ogni messaggio.

Quando si tratta di provider di posta elettronica popolari utilizzati dalla maggior parte delle persone, come ad esempio mail.ru, Gmail, mail.yandex.ru e così via, nessuno di essi crittografa i messaggi di posta elettronica in uscita inviati utilizzando gli account.

Per crittografare la posta elettronica, è necessario utilizzare i servizi online o scaricare determinati software. Esistono molti tipi di software di crittografia, alcuni dei quali gratuiti. Ho compilato un elenco di 6 dei migliori programmi di crittografia e-mail gratuiti.

I migliori programmi di crittografia e-mail gratuiti

Infoencrypt

• Per chi non vuole scaricare tutto il software di crittografia e-mail e vuole solo aggiungere sicurezza a un singolo messaggio, Infoencrypt è un'ottima opzione in quanto è un programma browser.
• Non è necessario creare un account con nome utente, password e altri dettagli; su questo sito è presente un'interfaccia JavaScript in cui è possibile inserire contenuto di testo e la sua controparte crittografata apparirà immediatamente.
• È necessario fornire la password utilizzata per associare il messaggio alla sua chiave utilizzando questo programma. Il destinatario può aprire il contenuto dell'e-mail copiando e incollando il testo cifrato nello stesso punto di questo stesso sito e inserendo la password che hai impostato come chiave.
• Questo software utilizza un algoritmo di crittografia simmetrica e implementa Advanced Encryption Standard (AES) 128 e utilizza un vettore di inizializzazione casuale. La chiave viene determinata generando una chiave basata sulla funzione password (PBKDF) 2. Ciò garantisce che il testo non possa essere decifrato senza la password corretta e un meccanismo che segue questi standard esatti.
• Gli utenti devono assicurarsi di non rivelare la password al destinatario attraverso un ambiente non protetto (ad esempio, nella stessa o nelle successive e-mail).
• Inoltre, questo servizio può solo aiutare a proteggere il testo (contenuto della lettera) e non gli allegati e altri aspetti dell'e-mail inviata.

Mailvelope

• Mailvelopeè un software che utilizza la crittografia a chiave pubblica asimmetrica ed è conforme a OpenPGP, uno standard di privacy open source compatibile con tutte le forme di posta elettronica.
• È destinato principalmente alla crittografia della webmail ed è preconfigurato per funzionare con tutti i principali servizi di webmail come Gmail, Yahoo, Mail, e simili, e può anche essere configurato per funzionare con qualsiasi altro.
• Può essere scaricato come plug-in per un browser Web (ad esempio, come app da Chrome Store o Firefox) e configurato per crittografare la posta elettronica.
• Questo è un servizio molto sicuro in quanto crittografa l'intera sessione e quindi non consente di lasciare dati nel browser. L'unica vulnerabilità di questo programma è che non supporta la crittografia degli allegati di posta elettronica.
• Per accedere al sito Web ufficiale, fare clic su.

Enigmail

• Solo utenti client di posta Mozilla Thunderbird e Scimmia di mare può utilizzare questa straordinaria utility di crittografia della posta elettronica. È un software che supporta gli standard ApriPGP, chiave di crittografia pubblica e firma dei messaggi di posta.
• Lui usa GNU Privacy Guard(software di crittografia open source e con licenza pubblica, che fornisce una buona privacy PGP) per implementare l'aspetto crittografico della crittografia. GNU Privacy Guard non viene fornito con il software e deve essere installato separatamente.
• La parte migliore dell'utilizzo di enigmail è che crittografa e decrittografa anche gli allegati di posta elettronica.
• Per accedere al sito Web ufficiale, fare clic su.

silenzio

• silenzio non è solo un servizio di crittografia della posta elettronica, ma un intero fornitore di servizi di posta elettronica. Ci sono diversi tipi di account che puoi registrare. L'individuo può essere aperto gratuitamente con 25 MB di spazio libero. Con un account aziendale, puoi usufruire di una serie di vantaggi aggiuntivi, inclusi i download di e-mail POP3 o IMAP sul desktop del cliente.
• Messaggi inviati e ricevuti tra utenti. vengono crittografati e decifrati automaticamente poiché le chiavi pubbliche di tutti gli account utente sono note al software.
• Un messaggio crittografato viene inviato a un indirizzo email da diversi nomi di dominio, i mittenti devono fornire una password che verrà utilizzata per identificare il destinatario. Il mittente fornisce anche suggerimenti per aiutare il destinatario.
• silenzio utilizza gli standard OpenPGP per la crittografia, con una chiave a 2048 bit.
• Per accedere al sito Web ufficiale, fare clic su.

Gpg4win

• Installazione Gpg4win(Solo Windows) ti fornirà un'intera suite di software gratuito e open source che segue gli standard OpenPGP, incluso uno in grado di crittografare e firmare la tua e-mail inviata utilizzando Applicazioni Outlook.
• Ufficialmente distribuito da GNU Privacy Guard per Windows, questo software è completamente gratuito e concesso in licenza con GNU General Public License.
• Per utenti Mac e GNU Suite è un pacchetto software con le stesse funzionalità.
• Uno dei prodotti inclusi in Gpg4win ― Kleopatra è progettato per gestire e assegnare certificati ai tuoi documenti e persino alla posta elettronica. È un comodo servizio che ti permette di organizzare i tuoi certificati e coordinarti in modo efficiente con i tuoi server (per l'importazione e l'esportazione delle chiavi).
• Questo software funziona su tutte le versioni di Windows, da Windows XP a Windows 10. Il plug-in per l'applicazione Outlook consente di crittografare la posta elettronica, compatibile con qualsiasi versione a 32 e 64 bit. È versatile e disponibile anche in Russia.
• ☞ Oltre all'e-mail, questo programma ti consente di firmare e crittografare qualsiasi file sul tuo computer.
• ☞ Per accedere al sito Web ufficiale, fare clic su.

Certificato e-mail gratuito Comodo

• Sviluppato dalla società di sicurezza Internet Comodo Inc, che vanta prodotti come software antivirus, certificati SSL e altro ancora.Comodo Free Email Certificate è un servizio che ti consente di crittografare e firmare e-mail gratuitamente se sei un individuo e a un costo minimo se sei un utente aziendale.
• Crea un certificato di sicurezza e-mail che protegge la tua e-mail da occhi indiscreti e mantiene anche la sua autenticità in termini di verifica della tua paternità e protezione del contenuto.
• È facile da installare e funziona come un plug-in per quasi tutti i principali client di posta elettronica ( Veduta, Thunderbird e così via.). Per installarlo, gli utenti devono solo registrare un account con un certificato
• Per accedere al sito Web ufficiale, fare clic su.

Non ignorare i vantaggi della crittografia della posta elettronica o sottovalutare i rischi. Ci auguriamo che tra le numerose opzioni affidabili, leggere e gratuite, troverai quella che funziona meglio per te e che tu possa proteggere tutti i tuoi file e conversazioni.

Per utilizzare la crittografia e/o la firma digitale secondo lo standard OpenPGP, devi creare una coppia di chiavi PGP e inviare la tua chiave pubblica ai corrispondenti (in modo che possano crittografare le lettere a te indirizzate), oppure importare chiavi PGP pubbliche da altre persone (per avere la possibilità di inviare loro lettere crittografate). Entrambe le operazioni possono essere eseguite utilizzandoProcedure guidate di configurazione PGP nel menu Servizio ... La procedura guidata ti guiderà attraverso il processo di creazione/importazione di una coppia di chiavi PGP o di importazione di chiavi pubbliche.

Il primo passo della procedura guidata descrive i principi generali di come funziona PGP.

Al secondo passaggio, ti viene chiesto di scegliere tra la creazione di una nuova coppia di chiavi PGP pubbliche e private e l'importazione della chiave esistente.

Creazione di un nuovo set di chiavi PGP

Se si è scelto di creare una nuova coppia di chiavi, innanzitutto la procedura guidata propone di indicare per quale Personalità è stata creata la chiave.

Dovresti anche specificare una password che proteggerà la chiave.

Pulsante Impostazioni permette di impostare parametri aggiuntivi per la chiave (si possono lasciare i valori di default).

Tipo di chiave - consente di selezionare l'algoritmo di crittografia e la firma digitale. Ci sono due opzioni: RSA e Elgmal / DSS. Quando si sceglie l'algoritmo RSA, viene utilizzato sia per la crittografia che per la firma digitale. Nel caso di Elgmal / DSS, Elgmal viene utilizzato per la crittografia e DSS per la firma.

Dimensione chiave - permette di selezionare la lunghezza della chiave. Lunghezze delle chiavi più lunghe offrono una maggiore sicurezza. Tuttavia, tieni presente che una chiave lunga può causare ritardi significativi nella crittografia/decrittografia.

Scade - qui viene impostata la data di scadenza della chiave. Dopo la data di scadenza, sarà richiesta una nuova coppia di chiavi, la chiave privata non sarà più in grado di decrittare i messaggi e la chiave pubblica non sarà più in grado di crittografare.

Il passaggio successivo della procedura guidata propone di esportare la chiave pubblica in un file * .pgp per la sua successiva distribuzione.

Importazione chiavi PGP

Se hai scelto di non creare, ma di importare la chiave, il passaggio successivo offrirà di importare la chiave. Per fare ciò, premere il pulsante Panoramica e seleziona un file contenente una coppia di chiavi (aperta e chiusa) o file di chiavi pubbliche di persone con cui intendi corrispondere.

Una volta importate le chiavi pubbliche, è possibile inviare messaggi crittografati ai proprietari delle chiavi. Per crittografare il messaggio che stai creando, devi andare al menu PGP e abilitare il parametroCripta una lettera... L'e-mail verrà automaticamente crittografata quando viene premuto il pulsante Inviare ... Anche tutti gli allegati verranno crittografati.

La presenza di una chiave PGP privata consente di aggiungere una firma digitale alla lettera. Per il destinatario, la firma sarà una garanzia che la lettera è venuta su di te. Per aggiungere una firma digitale a un messaggio di posta elettronica, è necessario accedere al menu PGP attivare il parametroFirma la lettera.

Quando arriva un messaggio crittografato, EssentialPIM tenta di decrittografarlo automaticamente quando cerca di leggerlo. Le e-mail crittografate possono essere facilmente individuate dall'icona del lucchetto.

Se la tua chiave PGP è protetta da password, il programma ti chiederà di inserire la password quando proverai a leggere il messaggio crittografato.

Ricorda la password per X minuti- questo parametro consente un certo tempo per decrittografare i messaggi senza una richiesta di password aggiuntiva. Questa funzione è utile quando devi leggere più messaggi crittografati.

Quando la lettera viene decifrata con successo, EssentiaalPIM aggiunge la didascalia appropriata all'intestazione della lettera -Lettera decifrata.

Se la lettera è stata firmata digitalmente e la firma è stata confermata, all'intestazione viene aggiunta la seguente voce:

Se la decrittazione fallisce per qualsiasi motivo, sia che si tratti della password errata o dell'assenza della chiave corrispondente, all'intestazione viene aggiunto il seguente messaggio:

I servizi crittografici per la posta elettronica sono stati sviluppati per molto tempo, ma anche 25 anni dopo l'avvento di PGP, non sono particolarmente richiesti. Il motivo è che si basano su un'infrastruttura di messaggistica obsoleta, sono costretti a utilizzare un ambiente non affidabile (incluso un insieme arbitrario di server di posta), hanno una compatibilità limitata, una massa crescente di carenze note e sono semplicemente difficili per l'utente medio. Puoi facilmente capire le complessità della crittografia, ma il tuo capo sempre impegnato un giorno si confonderà in due chiavi e metterà il segreto sul server, bruciando tutta la tua corrispondenza in una volta. Colpevole, ovviamente, sarai nominato.

Il concetto stesso di cifratura della posta si articola in molti compiti applicati, dei quali si possono distinguere due principali: si tratta della protezione da sguardi indiscreti delle lettere già ricevute e predisposte per l'invio (database della posta) e della protezione delle lettere direttamente durante il loro trasferimento - da divulgazione o modifica del testo quando viene intercettato...

In altre parole, la protezione crittografica della posta combina metodi per contrastare gli attacchi non autorizzati e un attacco intermediario, che hanno soluzioni fondamentalmente diverse. Sfortunatamente, sono spesso confusi e cercano di usare metodi inappropriati. Ti offro una breve storia su due famosi personaggi crittografici, che dovrebbero mettere tutto al suo posto e dimostrare chiaramente i problemi con la crittografia della posta. Come si suol dire, non c'è storia più segreta della tomba della storia di Alice e di Bob!

In due clic, Bob lo crittografa con una chiave nota ad Alice. Spera di averlo inserito correttamente dalla memoria durante l'impostazione di CryptoData su un computer pubblico. In caso contrario, il messaggio importante rimarrà un guazzabuglio di caratteri, che ha inserito nel corpo della lettera copiandolo dalla finestra CryptoData.

Alice riceve una strana lettera, vede in essa l'inizio familiare di S3CRYPT e si rende conto che ha bisogno di usare CryptoData con la chiave che una volta hanno scambiato con Bob. Ma da allora, sono successe molte cose e quale fosse questa chiave - potrebbe non ricordare.

Tentativo di decifrare una lettera

Se Alice fa miracoli mnemonici e comunque inserisce la chiave corretta, il messaggio di Bob assumerà una forma leggibile.

Lettera decifrata

Tuttavia, la memoria della ragazza è lontana dall'EEPROM, quindi Bob ottiene una risposta inaspettata.

Ovviamente Bob sa come usare PGP. Ma l'ultima volta lo ha fatto nel client di posta The Bat, che è stato installato su un laptop esploso. Come controllare la chiave inviata? All'improvviso, in questo momento, Alice viene torturata e gli viene risposto dal suo indirizzo e sta cercando di scoprire segreti? Pertanto, Bob chiede ulteriori garanzie sull'autenticità della chiave. Ad esempio, puoi chiedere a Jack di verificarlo e firmarlo.

PGP Web of Trust

Alice reagisce in modo un po' strano. Dà la notizia dell'improvvisa scomparsa di Jack e offre un modo alternativo di verifica. Tuttavia, non è molto affidabile. La firma digitale S/MIME più semplice confermerà solo l'indirizzo del mittente, non la sua identità. Bob ricorre quindi a un trucco: chiede di confermare la chiave tramite un altro canale di comunicazione, verificando contemporaneamente il segreto condiviso con Alice, che solo loro conoscevano.

Utilizzo dell'impronta digitale della chiave e del segreto condiviso

Dopo un po', riceve un SMS con l'impronta corretta e una nuova lettera da Alice.

Impronta digitale chiave e risposta alla domanda segreta

La lettera sembra convincente, l'impronta della chiave corrisponde, ma Bob è un rotolo grattugiato. Dopo aver letto la risposta alla domanda segreta, si rende conto che non sta parlando con Alice.

L'ultimo post di Bob a pseudo Alice

CRITTOGRAFIA GEOMETRIA

In questa storia, Alice e Bob hanno cercato di utilizzare due tipi di protezione crittografica fondamentalmente diversi. CryptoData utilizza la stessa chiave per la crittografia e la decrittografia AES. Pertanto, un tale crittosistema è chiamato simmetrico.

A differenza di AES-CTR, PGP utilizza una coppia di chiavi diverse ma correlate matematicamente. Si tratta di un sistema asimmetrico, disposto secondo il principio di una serratura a scrocco: chiunque può sbattere la porta (crittografare il messaggio), ma solo il possessore della chiave può aprirla (decifrare il testo).

Nei sistemi simmetrici, è più facile ottenere un'elevata forza crittografica con una lunghezza della chiave relativamente piccola, ma per condurre una corrispondenza crittografata, questa chiave deve essere prima trasmessa in qualche modo all'interlocutore tramite un canale affidabile. Se la chiave viene a conoscenza di estranei, tutta la corrispondenza precedentemente intercettata verrà divulgata. Pertanto, la crittografia simmetrica viene utilizzata principalmente per la protezione locale dei database di posta, ma non per l'inoltro della posta.

I sistemi asimmetrici risolvono il problema del trasferimento di una chiave attraverso un ambiente inaffidabile utilizzando una coppia di chiavi. La chiave pubblica viene utilizzata per crittografare i messaggi inviati a un destinatario specifico e verificare la firma crittografica nelle lettere da lui ricevute. Segreto - per decifrare la lettera ricevuta e firmare quella inviata. Quando si organizza la corrispondenza sicura, gli interlocutori devono solo scambiare le proprie chiavi pubbliche e la loro intercettazione (quasi) non influirà su nulla. Pertanto, tale sistema è anche chiamato crittografia a chiave pubblica. Nei client di posta elettronica, il supporto PGP è stato implementato per molto tempo, ma quando si utilizza la posta tramite l'interfaccia web, sono necessari componenti aggiuntivi del browser.

Ad esempio, abbiamo scelto CryptoData, poiché di tutte le estensioni conosciute al momento della stesura di questo articolo, solo aveva uno stato aggiornato e un forum in lingua russa dal vivo. A proposito, con l'aiuto di CryptoData, puoi non solo crittografare la posta, ma anche archiviare note locali con protezione AES e persino creare e visualizzare siti crittografati.

CryptoData è disponibile come componente aggiuntivo per il browser Firefox. Supporta anche i client di posta elettronica Thunderbird e SeaMonkey. Il testo è crittografato utilizzando l'algoritmo AES. Nonostante la sua natura a blocchi, implementa la crittografia in streaming in modalità contatore (CTR).

I vantaggi di CryptoData includono la nota implementazione di AES-CTR tramite JavaScript. Il principale svantaggio di CryptoData (come qualsiasi sistema simmetrico) è che è impossibile scambiare le chiavi in ​​modo sicuro.

Quando si utilizza CryptoData nella posta elettronica, oltre al testo crittografato, è necessario in qualche modo trasferire la chiave per decrittografarlo. È estremamente difficile farlo in modo sicuro su Internet. Devi creare un canale affidabile e organizzare idealmente un incontro personale. Pertanto, cambiare le chiavi spesso non funzionerà. Quando la chiave viene compromessa, tutta la corrispondenza crittografata precedentemente intercettata viene da essa aperta.

Uno svantaggio meno significativo è l'inizio riconoscibile di tutti i testi cifrati. Dopo l'inizio standard "S3CRYPT: BEGIN", l'algoritmo utilizzato e la modalità di crittografia (AESCTR o RC4) sono indicati in testo semplice. Ciò rende più semplice intercettare selettivamente i messaggi crittografati (di solito tutti i più importanti sono scritti in essi) e romperli.

CryptFire, Encrypted Communication e molte altre estensioni hanno funzionato come CryptoData.

Per la comodità di scambiare chiavi pubbliche e confermarle, vengono creati repository specializzati. Su tali server a chiave pubblica, è più facile trovare quello rilevante per l'utente desiderato. In questo caso, non è necessario registrarsi su risorse dubbie e rischiare di esporre la chiave segreta.

DAGLI ALGORITMI AGLI STANDARD DI CRITTOGRAFIA DELLA POSTA

Per lavorare con la corrispondenza crittografata, gli interlocutori devono utilizzare gli stessi metodi crittografici. Pertanto, qualsiasi protezione della posta a livello di applicazione o servizio utilizza un qualche tipo di sistema crittografico all'interno dello standard di crittografia generalmente accettato. Ad esempio, il client Thunderbird supporta il fork GnuPG come implementazione aperta del sistema di crittografia PGP utilizzando lo standard OpenPGP tramite l'addon Enigmail.

A loro volta, PGP e qualsiasi altro sistema crittografico si basa su diversi algoritmi di crittografia che vengono utilizzati in diverse fasi del lavoro. Il più comune tra gli algoritmi di crittografia asimmetrica rimane RSA. Viene anche utilizzato nel crittosistema PGP originale di Philip Zimmermann. Utilizza RSA per crittografare un hash MD5 a 128 bit e una chiave IDEA a 128 bit.

Diversi fork di PGP (ad esempio, lo stesso GnuPG) hanno le proprie differenze algoritmiche. Ma se i sistemi crittografici soddisfano i requisiti dello standard generale OpenPGP, rimangono compatibili tra loro. Gli interlocutori possono condurre una corrispondenza sicura utilizzando diverse versioni di programmi crittografici, compresi quelli progettati per piattaforme diverse. Pertanto, una lettera scritta in Thunderbird per Linux, crittografata con PGP, può essere letta in The Bat per Windows e anche tramite un browser con supporto OpenPGP a livello di componente aggiuntivo.

CRITTOGRAFIA DELLA POSTA CON OPENPGP

OpenPGP è stato proposto nel 1997, ma lo sviluppo dello standard è stato difficile a causa del destino dell'algoritmo PGP stesso. I diritti su di esso sono stati successivamente trasferiti da Zimmermann e PGP Inc. a Network Associates (McAfee), PGP Corporation e Symantec. Ciascuno dei nuovi titolari del copyright ha modificato l'implementazione finale dell'algoritmo. È possibile che McAfee e Symantec abbiano indebolito la propria forza crittografica su richiesta delle autorità. Ad esempio, riducendo la qualità del generatore di numeri pseudo-casuali, la lunghezza effettiva della chiave o persino introducendo segnalibri software.

Quindi nel 1999 ci fu un'implementazione open source di GnuPG. Si crede che dietro ci sia la FSF, ma in realtà GnuPG è stato sviluppato da una sola persona: il programmatore tedesco Werner Koch, che una volta fu colpito dal discorso di Stallman e decise di creare un "PGP corretto e aperto". In seguito, aveva più volte intenzione di abbandonare il supporto per GnuPG, ma in un momento cruciale ha trovato nuovi incentivi per continuarlo.

Koch ora ha 53 anni, è disoccupato e molte volte sull'orlo della povertà prima di riuscire a raccogliere più di 300.000 dollari attraverso varie campagne di crowdfunding. Ha ricevuto denaro dalla Linux Foundation e da utenti ordinari, ha ricevuto sovvenzioni da Facebook e Stripe - semplicemente perché il destino di GPGTools, Enigmail, Gpg4win e molti altri progetti popolari nel mondo open source dipende interamente dal suo desiderio di continuare lo sviluppo di GnuPG.

Con una base così traballante, lo standard OpenPGP ha ancora noti punti deboli. Era più facile dichiararli "non bug, ma funzionalità" che risolverli. Ad esempio, ha un solo modo per confermare il mittente di un messaggio crittografato: una firma crittografica. Tuttavia, chiunque può verificarlo con la chiave pubblica del mittente (motivo per cui ho creato la clausola "quasi", indicando che è sicuro intercettare la chiave pubblica). Di conseguenza, la firma, oltre all'autenticazione, prevede non sempre la necessaria non negazione del messaggio.

Cosa significa in pratica? Immagina di aver inviato ad Assange un'altra serie di dati interessanti sugli alti funzionari di un paese fortemente democratico. La lettera è stata intercettata, l'IP è stato riconosciuto e sono venuti per te. Senza nemmeno rivelare il contenuto della lettera criptata, hai attirato l'attenzione proprio per il fatto della corrispondenza con una persona che è stata a lungo seguita. Non sarai in grado di fare riferimento a una lettera falsa o agli intrighi di un worm di posta: il messaggio è stato firmato con la tua chiave segreta. Senza la stessa firma, Assange non leggerà il messaggio, considerandolo un falso o una provocazione. Si scopre un circolo vizioso: le firme crittografiche rendono impossibile negare la paternità delle lettere a terzi e senza le firme per gli interlocutori stessi non ci sarà alcuna garanzia dell'autenticità dei messaggi reciproci.

Un altro svantaggio di PGP è che i messaggi crittografati hanno un aspetto molto riconoscibile, quindi il fatto stesso di scambiare tali lettere rende già gli interlocutori potenzialmente interessanti per servizi speciali. Sono facilmente rilevabili nel traffico di rete e lo standard OpenPGP non consente di nascondere né il mittente né il destinatario. Per questi scopi, insieme a PGP, cercano di utilizzare la steganografia come ulteriore livello di protezione, ma il routing onion ei metodi per nascondere i file di un formato all'interno di un altro hanno i loro problemi irrisolti. Inoltre, il sistema risulta essere troppo complesso, il che significa che non sarà popolare e rimarrà vulnerabile all'errore umano.

Inoltre, PGP manca di segretezza pre-assegnata e le chiavi tendono ad avere date di scadenza lunghe (in genere un anno o più) e raramente cambiano. Pertanto, se la chiave segreta viene compromessa, può decifrare la parte del leone della corrispondenza precedentemente intercettata. Ciò accade, tra l'altro, perché PGP non protegge dall'errore umano e non impedisce una risposta in chiaro a un messaggio crittografato (anche con la sua citazione). Avendo un messaggio crittografato, un testo decrittografato e una chiave pubblica, è molto più semplice calcolare il segreto a cui è associato.

S / MIME

Se OpenPGP ha così tanti difetti fondamentali, c'è un'alternativa? Sì e no. Parallelamente, si stanno sviluppando altri standard per la crittografia della posta, compresi quelli che utilizzano una chiave pubblica. Ma per ora, eliminano alcune carenze a scapito dell'apparenza di altre. Un esempio lampante di ciò è S/MIME (Secure/Multipurpose Internet Mail Extensions). Dalla seconda versione, apparsa nel 1998, S/MIME è diventato lo standard generalmente accettato. La vera popolarità gli arrivò un anno dopo, quando la terza versione di S/MIME iniziò a supportare programmi di posta come Microsoft Outlook (Express) ed Exchange.

S/MIME semplifica il compito di distribuire le chiavi pubbliche in un ambiente non attendibile perché il contenitore per la chiave pubblica è un certificato digitale, che di solito ha una o più firme digitali. Con la mano pesante di Microsoft, il moderno concetto di crittografia a chiave pubblica è spesso implementato attraverso certificati digitali e catene di fiducia. I certificati sono emessi a un soggetto specifico e contengono la sua chiave pubblica. L'autenticità del certificato stesso è garantita (di solito per denaro) dal suo emittente, ovvero l'organizzazione emittente, che inizialmente è considerata attendibile da tutti i partecipanti alla corrispondenza. Ad esempio, potrebbe essere Thawte, VeriSign, Comodo o un'altra grande azienda. Il certificato più semplice che conferma solo l'indirizzo e-mail può essere ottenuto gratuitamente.

In teoria, un certificato digitale risolve due problemi contemporaneamente: rende facile trovare la chiave pubblica dell'utente desiderato e verificarne l'autenticità. Tuttavia, in pratica, esistono ancora gravi vulnerabilità nel meccanismo dei certificati attendibili e nello standard S/MIME, che consentono vettori di attacco aggiuntivi oltre a quelli di OpenPGP. Così, nel 2011, è stato effettuato un attacco ai centri di certificazione DigiNotar e Comodo, a seguito del quale sono stati emessi centinaia di certificati falsi per conto dei nodi di rete più popolari: addons.mozilla.com, login.skype.com, login .yahoo.com, mail.google.com e altri. Successivamente, sono stati utilizzati in vari scenari di attacco, tra cui MITM, invio di e-mail di phishing e distribuzione di malware firmato con certificati di aziende note.

CRITTOGRAFIA WEB-MAIL E CLIENT MOBILE

Sempre più persone stanno abbandonando i client di posta desktop, preferendo lavorare con la posta tramite un'interfaccia web o applicazioni mobili. Questo cambia completamente le regole del gioco. Da un lato, con una connessione Web, la crittografia della connessione è già fornita tramite HTTPS. D'altra parte, l'utente non ha alcun controllo sulla base di posta sul server e sui metodi di invio delle lettere da essa. Possiamo solo fare affidamento sulla reputazione dell'azienda, che di solito varia da leggermente bagnata a fradicia fino in fondo.

Molti ricorderanno Hushmail, il primo servizio di posta elettronica basato sul Web con crittografia OpenPGP lato server. Sono sicuro che qualcuno lo usa ancora, considerandolo affidabile. Dopotutto, tutte le lettere sono presumibilmente archiviate in esso sul proprio server sicuro e trasmesse a indirizzi esterni tramite un altro server con supporto SSL. Da quasi dieci anni l'azienda assicura che è impossibile decifrare le lettere dei suoi clienti. Tuttavia, nel 2007, Hushmail è stata costretta ad ammettere di avere una tale capacità tecnica e l'ha fornita su richiesta delle autorità, inoltre registra gli indirizzi IP dei suoi clienti e raccoglie "altre statistiche" su di loro - se le autorità competenti chiedono per questo.

Tuttavia, al diavolo Hushmail. La maggior parte delle persone oggi utilizza Gmail, che è in continua evoluzione. "Molto attivo", afferma Matthew Green, professore di crittografia alla Johns Hopkins University. - Saranno trascorsi due anni da quando Google ha promesso di implementare la crittografia end-to-end della posta. Ebbene, dov'è?"

È curioso che, oltre a Google, Yahoo, Microsoft e altri abbiano promesso di farlo in diverse occasioni. C'è una spiegazione ovvia per il motivo per cui le aziende con miliardi di dollari di profitti annuali non sono ancora state in grado di implementare la crittografia end-to-end. Implica l'esecuzione di operazioni crittografiche in un ambiente attendibile e la trasmissione di messaggi tramite nodi non attendibili solo in forma crittografata. È quasi impossibile implementarlo senza il controllo sui dispositivi.

Il problema è che la crittografia e la decrittografia della posta devono essere eseguite su piattaforme completamente diverse. Ognuno di loro ha le proprie vulnerabilità, negando qualsiasi protezione crittografica a livello di applicazione. Le vulnerabilità critiche rimangono senza patch per mesi. Quindi a che serve crittografare le lettere se la loro copia può essere rubata segretamente in testo normale, ad esempio dalla RAM o da un file temporaneo?

È esattamente così che è stato hackerato l'Italian Hacking Team: l'attaccante ha ottenuto l'accesso remoto a uno dei computer sulla rete locale dell'azienda, e poi ha semplicemente aspettato che uno dei dipendenti aprisse lui stesso il contenitore TrueCrypt con tutta la corrispondenza segreta e la documentazione. Senza un ambiente affidabile, almeno crittografare o non crittografare: tuttavia, otterrai solo l'illusione della protezione.

Applicazioni per crittografare la corrispondenza della posta.

Mailvelope è una delle estensioni di crittografia della posta elettronica più avanzate in Google Chrome. Ne abbiamo già parlato in precedenza, e anche allora è stato uno sviluppo di alta qualità.

Gestione delle chiavi in ​​Mailvelope

Altre estensioni promettono funzionalità PGP di base nel browser, ma hanno i loro svantaggi. L'add-on Pandor ha una strana logica di lavoro. Per impostazione predefinita, gli utenti si registrano su pandor.me e generano chiavi PGP. Sono tutti memorizzati sul server e vengono utilizzati automaticamente per la crittografia e la decrittografia. In questo caso, non è necessario scambiare le chiavi. Convenientemente? Forse. Tuttavia, coloro che sacrificano la comodità per la sicurezza, finiscono per perderli entrambi. La chiave segreta è chiamata così per un motivo e puoi tranquillamente generare una coppia di chiavi solo localmente.

Crittografia della posta con Keybase.io

Le chiavi pubbliche non solo possono essere inviate manualmente a tutti gli interlocutori, ma anche caricate su un server specializzato. Ciò li renderà più facili da trovare e firmare, ampliando la rete di fiducia. Abbiamo già scritto su uno di questi repository di chiavi pubbliche: Keybase.io. Dopo un rapido avvio, l'interesse per lo sviluppo di questo server a chiave pubblica è svanito dai suoi sviluppatori. Il repository è in beta testing da due anni, ma questo non ne impedisce l'utilizzo.

Keybase.io conferma non solo la validità della chiave pubblica e dell'indirizzo email dell'interlocutore, ma anche l'URL del sito personale, nonché gli account Twitter e GitHub dell'utente, se presenti. In breve, se i tuoi interlocutori caricano le loro chiavi pubbliche su Keybase.io, puoi sempre trovarle lì insieme alle informazioni di contatto correnti.