La crittografia e le firme sono due attività distinte e la differenza conta molto a tale riguardo.
Encryption riguarda il mantenimento della riservatezza dei dati, ad eccezione di "utenti autorizzati". Quando questi utenti dispongono di chiavi private, la crittografia viene definita "end-to-end" in quanto la decrittografia si verifica sul dispositivo del destinatario e può essere eseguita solo con l'aiuto di una chiave privata resa accessibile a tale dispositivo dal proprietario . Le corporazioni, in generale, non mi piacciono affatto. La crittografia impedisce loro di eseguire alcune elaborazioni automatiche, in particolare la scansione antivirus (per le e-mail in arrivo) e il rilevamento di perdite di informazioni (per le e-mail in uscita). Inoltre, la crittografia solleva il problema della perdita di dati: se la chiave privata diventa non disponibile, le e-mail crittografate non sono più leggibili, dato che vengono generalmente archiviate crittografate. In particolare, quando utente diventa non disponibile (è stato licenziato, si è ritirato, è stato ucciso in un incidente, ...) quindi il nuovo inquilino della sua funzione nell'organizzazione deve essere in grado di leggere l'azienda email ricevute da quell'utente precedente.
Pertanto, in un contesto aziendale, è spesso preferibile quando la crittografia è centralizzata, se esiste la crittografia. Le e-mail venivano spesso archiviate "così come sono" sui server per i quali la sicurezza viene eseguita su una base di "prevenzione delle intrusioni", piuttosto che matematicamente (con crittografia). La crittografia viene utilizzata per i dati in transito (in genere SSL). Gli utenti autenticano con il server centrale durante la lettura o l'invio di e-mail, ma ciò non implica necessariamente una chiave privata RSA in una smart card. Quando un messaggio di posta elettronica viene inviato a un destinatario esterno (al di fuori dell'organizzazione), anche se la crittografia deve essere applicata, verrà eseguita su un sistema gateway dedicato, dopo tutti i sistemi di analisi dovuti hanno ispezionato il contenuti e-mail in uscita e hanno dato il via a ulteriori propagazioni via email.
Le firme sono evitate. A rigor di termini, una firma è un'arma legale che costruisci e poi punta a te stesso. Il punto della firma è che è una prova, convincente per le terze parti, che i contenuti dell'email sono effettivamente ciò che il firmatario ha inviato. Questo può servire solo come un modo per costringere il firmatario ad accettare ulteriori responsabilità.
Se pensi correttamente, allora non vuoi firmare. Vuoi altre persone per firmare ciò che ti mandano a te . Quindi le aziende cercano di evitare le firme e implementeranno un sistema per la firma delle e-mail solo se sostituirà un altro sistema preesistente dove già ci sono firme fatte in un altro modo che è ancora più sconveniente.
Questo riassume come segue: se vuoi supportare la crittografia end-to-end per e-mail e / o firme e-mail, allora ... ripensaci. È probabile che non sia una buona idea.
Le chiavi private su smart card, tuttavia, vengono implementate per l'autenticazione . Gli utenti ricevono smart card (possibilmente con formato token USB) contenenti chiavi private, e lo usano per le connessioni SSL client con un server Web; il client è quindi il loro browser Web. Ciò consentirà l'accesso a dati sensibili, quindi, in generale, la società vieterà tale accesso da "dispositivi domestici": il dipendente non dovrebbe connettersi dal proprio iPad. Dovrà utilizzare solo il computer portatile approvato, fornito dalla società, che è pieno di software antivirus approvato dall'azienda e opportunamente "bloccato".
Se l'attività quotidiana richiede alcune firme (ad esempio prescrizione medica, in un mondo di cartelle cliniche informatizzate: i medici devono essere responsabili per ciò che prescrivono), allora questa non sarà un'e-mail di base, ma un "messaggio" rigorosamente formattato, firmato tramite un'applicazione locale specifica o alcuni trucchi simili (controllo ActiveX o applet Java firmato in un sito Web). Anche in questo caso, i dispositivi domestici non saranno considerati accettabili.
Tutto ciò che è stato detto, alcune aziende hanno provato, nel corso degli anni, a vendere "smart card virtuali" che di solito si riducono ad un valore segreto (ad esempio una chiave privata RSA) memorizzato con crittografia basata su password su un server. In larga misura, un portachiavi GnuPG è un'istanza di tale sistema: contiene una chiave privata, protetta tramite crittografia con una password; metti una copia di quel portachiavi su un server di backup e sei pronto. Le soluzioni commerciali "smart card virtuale" mirano principalmente a rendere questo processo più semplice e più integrato con le applicazioni esistenti (in particolare Outlook e Internet Explorer).
Per quanto ne so, nessuno di questi sistemi è stato un vero successo commerciale, per le ragioni spiegate sopra: il valore aggiunto di queste "smart card virtuali" è per le situazioni che vorresti, per quanto riguarda la società, evitare del tutto.