Ho letto che Google, Microsoft e Yahoo si sono uniti per introdurre un nuovo protocollo per la crittografia della posta elettronica: SMTP Strict Transport Security. Da quanto ho capito, sembra che sia solo un modo per rendere TLS obbligatorio piuttosto che opportunistico. Mi sto perdendo qualcosa? Che cosa fa esattamente il nuovo protocollo.
In secondo luogo, il nuovo protocollo soppianta la necessità di un servizio come Zix che fornisce la crittografia end-to-end?
SMTP è un protocollo hop-by-hop in cui la posta viene trasferita dal client al destinatario utilizzando almeno un server intermedio. Anche quando SMTP viene utilizzato con TLS, la posta è disponibile in tutto il luppolo sotto forma di testo semplice, ossia senza crittografia end-to-end. SMTP Strict Transport Security non cambia questo: tutto ciò che cerca è assicurarsi che il trasporto della posta tra gli hop sia correttamente protetto. Ma la posta è ancora disponibile in chiaro su ogni hop e può essere letta e persino modificata da chiunque abbia accesso a questo hop (ad esempio amministratori di sistema e forse anche hacker e governo).
Soluzioni come PGP o S / MIME offrono invece una sicurezza end-to-end. In questo caso la posta viene crittografata dal mittente con la chiave pubblica del destinatario, in modo che nessuno tranne il proprietario della chiave privata segreta (cioè il destinatario) possa decodificarlo. La posta viene quindi trasferita dal solito protocollo SMTP, ma nessuno in mezzo può decodificare il corpo della posta (l'intestazione non è crittografata).
Non riesco a estrarre dettagli tecnici sufficienti su Zix dalla loro home page, ma sembra che stiano utilizzando fondamentalmente le stesse idee di PGP e S / MIME, vale a dire crittografia end-to-end utilizzando una directory delle chiavi pubbliche dei destinatari. Oltre a mantenere questa directory, offrono ai client che utilizzano questa directory, i gateway per la crittografia e la decrittografia trasparenti per connettere i soliti client di posta e le cassette postali speciali per connettersi con i destinatari che non si trovano nella directory.
L'ultima bozza attuale è questa: link
È un modo per un server di posta ricevente di comunicare a un server di posta mittente che la connessione deve essere crittografata.
Non offre crittografia end-to-end.
Supponiamo che tu abbia un account su Google e io abbia un account su Microsoft (hotmail, msn, live). Questo è un modo per il server Microsoft di comunicare al server di Google che il server di Microsoft accetterà solo la posta su TLS. Ma sia Google che Microsoft vedranno il testo in chiaro della mail che mi hai inviato. Devono vedere il testo in chiaro per fare il filtraggio dello spam e creare profili utente per pubblicità mirate.
Leggi altre domande sui tag encryption smtp tls