Ci sono molte domande incorporate nella tua "domanda". Cercherò di spiegarne alcuni se posso. C'è anche molta confusione qui tra diversi aspetti della sicurezza. Certamente sembra esserci un errore, perché un'organizzazione ha un certificato che ti aiuta a garantire che il loro sito Web è in realtà il loro, il che significa che puoi in qualche modo fornire sicurezza della posta elettronica con esso. Questo semplicemente non è vero. I siti Web e i servizi di posta elettronica sono cose completamente diverse, in esecuzione su server diversi e possibilmente su piattaforme diverse. Molto probabilmente gestito da terze parti completamente diverse.

Ci sono due parti separate nella crittografia e-mail. La posta stessa e il trasporto tra i sistemi di posta. Il primo utilizza S / MIME o GPG e quest'ultimo utilizza TLS (simile a un sito Web).

Se si guardano le definizioni per servizi di posta elettronica sicuri come quelli governativi. Vedrai che la crittografia TLS tra i servizi di posta è un requisito. Questo è abbastanza facile da ottenere utilizzando, ad esempio, le regole di trasporto in Exchange. Poiché in genere si protegge un numero limitato di endpoint, è ragionevolmente facile da gestire. Idealmente, i server di posta si parlerebbero tra loro su TLS e si autenticano a vicenda: per farlo, i certificati pubblici per i server di posta di ciascuna organizzazione devono essere condivisi tra loro. Così puoi vedere che anche questo può sfuggire di mano molto rapidamente senza una complessa infrastruttura a chiave pubblica.

D'altro canto, crittografare le singole e-mail è un compito ancora più difficile. La tecnologia è abbastanza facile. Ancora. sta gestendo i certificati e le chiavi che è difficile. Questo è il motivo per cui raramente viene fatto ovunque come requisito generale. Anche i governi raramente crittografano i messaggi di posta elettronica ad eccezione delle informazioni più sensibili e anche in questo caso è più probabile trovare un allegato crittografato rispetto a un'e-mail crittografata poiché gli allegati possono essere crittografati con una semplice password che può quindi essere distribuita tramite un altro canale.

Pochissima innovazione effettiva è accaduta per anni sui client di posta elettronica. L'altro giorno stavo colpendo i miei contatti Microsoft a proposito di questo e la crittografia è un'area che manca di innovazione. Tutti sembrano concentrati su altre forme di comunicazione - forse pensano che l'e-mail sia "fatta"? Probabilmente pensano (forse giustamente) che non ci siano soldi in esso. Quindi questa è una delle ragioni per cui non ottieni quello che vuoi.

Altre ragioni derivano dal modo in cui si calcola il "livello" di sicurezza? Questa non è una domanda facile e sarà diversa per ogni persona, organizzazione, sistema di posta, classificazione dei contenuti e altro. A meno che alcune parti non presentino uno standard concordato, è improbabile che ciò possa mai accadere.

C'è anche una terza area che ha un impatto sulle tue domande e che è direttamente correlata al controllo almeno di alcune forme di phishing, in particolare le e-mail che sembrano provenire da un servizio legittimo ma in realtà non lo fanno. Per questo, ci sono una serie di standard che funzionano insieme: SPF, DKIM e DMARC. Tutti i servizi di posta dovrebbero avere definizioni per questi (sono memorizzati nel tuo DNS). Consentono ai servizi di posta di verificare se un'e-mail in arrivo provenga effettivamente da un server di posta autorizzato. Questo sta guadagnando la trazione tra i servizi di posta, ma non è sempre applicato ancora.

Quindi la linea di fondo è che le firme crittografiche sulle e-mail sono difficili a causa della necessità di gestire l'accesso a milioni di certificati che consentono la verifica delle firme. Tuttavia, a livello di server viene fornita una misura di sicurezza richiedendo la convalida dei server di invio, che garantisce almeno che l'e-mail provenga dal servizio corretto, che suppongo sia ciò che sta effettivamente facendo GMail. Questo non è generalmente esposto nei client di posta, poiché in quell'area c'è un così piccolo sviluppo e innovazione (Google è un'eccezione). D'altro canto, se un servizio di posta applica SPF / DKIM / DMARC, non è necessario visualizzare un indicatore poiché solo la posta proveniente dai server verificati potrebbe passare attraverso, anche se questo potrebbe comunque consentire lo spam, non solo da origini simulate.