Posso aspettarmi che il mio messaggio di posta elettronica venga instradato in modo sicuro?

15

Se mi collego al mio server e-mail tramite SSL (SMTP / SSL) e il destinatario controlla anche la sua posta elettronica via SSL (web / https o IMAP / SSL), questo - in generale - aumenta la sicurezza per il contenuto del messaggio in alcun modo?

Cioè, la comunicazione tra il server di posta elettronica del mio fornitore e il server di posta elettronica dei destinatari sarà "sicura" (*), o l'e-mail sarà consegnata in chiaro tra i server?

(*) Sicuro nel contesto di: crittografato durante il suo transito. Non sicuro, nel senso che metterei informazioni veramente sensibili lì dentro.

    
posta Martin 21.10.2011 - 08:05
fonte

3 risposte

10

I server SMTP potrebbero (probabilmente lo faranno) ancora trasferire l'e-mail come testo normale. A volte viene utilizzato SSL, ma non è possibile fare affidamento su questo caso, a meno che non si conosca specificamente la configurazione dei server specifici su entrambe le estremità. Ciò significa che nel tuo scenario, un avversario in grado di monitorare il traffico backbone di Internet potrebbe intercettare l'email. (Generalmente gli avversari con questo livello di capacità sono attori statali.)

SSL è ancora importante su entrambe le estremità per proteggere le credenziali dell'account e ti proteggerà dagli avversari che controllano il traffico sulla tua rete locale. Molti attacchi saranno a questo livello - qualcuno sulla stessa rete wireless come te, per esempio, o chi ha compromesso un server locale sulla tua LAN. Tuttavia, SSL non farà nulla per proteggerti da un server SMTP compromesso. La crittografia a livello di messaggio è necessaria se si desidera evitare qualsiasi trasmissione del messaggio in testo semplice e, in particolare, significa che il messaggio non verrà archiviato in chiaro su nessuno dei due server. Per gli avversari non statali questo è il più grande vettore di attacco: basta compromettere il server SMTP su entrambe le estremità e puoi leggere tutta la posta in chiaro anche se ogni trasmissione lungo il percorso utilizza SSL.

S / MIME e PGP (GnuPG) sono i due standard per farlo. Anche allora, la busta del messaggio sarà visibile. Non puoi impedire ad un avversario che può intercettare il traffico tra i server SMTP dalla lettura della busta, in modo che sappiano cose come la, da, e la linea dell'oggetto.

Per rispondere direttamente alla tua domanda, entrambe le parti che usano SSL per inviare e recuperare la posta elettronica migliorano la tua sicurezza - e migliora la tua sicurezza contro avversari non statali molto - ma per proteggere il contenuto del messaggio il più possibile devi usare crittografia a livello di messaggio per crittografare completamente il corpo del messaggio e accettare che le intestazioni delle e-mail vengano comunque trasmesse in chiaro. Un avversario in grado di vedere il traffico tra i server SMTP sarebbe ancora in grado di dire chi eri e-mail e quale fosse la riga dell'oggetto - non c'è modo di aggirare questo oltre a "non usare email" - ma non sarebbero in grado di leggere il corpo del messaggio.

    
risposta data 21.10.2011 - 08:44
fonte
2

Inoltre, tieni presente che siccome la posta elettronica è store-and-forward anche se il collegamento di rete è crittografato in qualche modo, ogni server nella catena di consegna potrebbe potenzialmente avere memorizzato una copia del messaggio che sarebbe potenzialmente leggibile ad un amministratore. Se questo è probabile o meno dipende interamente da chi gestisce quei server ... potrebbe essere un piccolo rischio in alcuni casi e uno enorme in altri

    
risposta data 21.10.2011 - 11:30
fonte
2

La connessione sicura su entrambe le estremità conferma semplicemente le transizioni sicure sul canale di rete tra la fine dell'Utente e il Mail Server collegato.

La sicurezza end-to-end coinvolge anche le pratiche di sicurezza adottate dall'organizzazione per il loro canale interno.

Quello che suggerirei è di confermare che la sicurezza a livello di posta inizi usando GnuPG o un'utilità simile, dove puoi inviare una mail crittografata agli utenti usando i loro Chiave pubblica .

Link di guida per l'utilizzo simile: link

~~~~~

Se la tua preoccupazione è solo il integrità dei tuoi contenuti di e-mail e non la riservatezza, puoi semplicemente limitare l'attività a firmare digitalmente le e-mail

Link di guida per l'utilizzo simile: link

    
risposta data 21.10.2011 - 12:00
fonte

Leggi altre domande sui tag