Защита конфиденциальности электронной почты в регулируемых отраслях

Проверка возможности приложения Outlook Express принимать сообщения электронной почты, настроенные на обеспечение конфиденциальности

Чтобы проверить, можно ли принимать электронные сообщения, для которых настроены цифровые подписи и шифрование, можно воспользоваться приложением Outlook Express.

Просмотр сообщения, содержащего цифровую подпись, при помощи приложения Outlook Express

Таким образом можно проверить цифровую подпись сообщения.

Просмотр зашифрованного сообщения в приложении Outlook Express

Таким образом можно проверить шифрование сообщения.

Выполнив все эти действия, можно проверить все элементы использования стандарта S/MIME в приложении Outlook Express. Эти сведения дают представление о том, как система S/MIME в приложении Outlook Express будет работать для пользователей.

Разрешение проблем, возникающих при обеспечении конфиденциальности сообщений электронной почты

В этом разделе описываются распространенные проблемы, возникающие в процессе работы с системой S/MIME на базе сервера Exchange Server 2003. Хотя данный список и не является исчерпывающим, он содержит сведения о проблемах, которые могут возникнуть в процессе развертывания, а также рекомендации по их устранению.

Проблема. Не удается распознать цифровую подпись отправителя

Данная проблема может быть связана с тем, что цифровой сертификат корневого или промежуточного центра сертификации не представлен в находящемся на сервере Exchange Server хранилище сертификатов для локального компьютера получателя.

Решение

Для решения данной проблемы импортируйте цифровой сертификат корневого или промежуточного центра сертификации отправителя в папку доверенных корневых центров сертификации, которая размещена в находящемся на сервере Exchange Server хранилище сертификатов локального компьютера получателя. Импортирование цифрового сертификата для корневого центра сертификации обеспечит соответствующее доверие всем цифровым сертификатам, выданным корневыми центрами сертификации в иерархической модели. Организациям, в которых предоставление подобного рода доверия запрещено политиками безопасности, в качестве альтернативы рекомендуется рассмотреть стратегии перекрестной сертификации. Подробную информацию об использовании перекрестной сертификации при работе с центром сертификации сервера Windows Server 2003 см. в статье «Планирование и внедрение перекрестной сертификации и квалифицированного подчинения при работе с ОС Windows Server 2003» (эта ссылка может указывать на содержимое полностью или частично на английском языке).

Импорт цифрового сертификата для корневого центра сертификации отправителя в папку доверенных корневых центров сертификации

После импорта цифрового сертификата для корневого центра сертификации отправителя сервер Exchange Server сможет от имени получателя проверять цифровую подпись отправителя.

Импорт цифрового сертификата для промежуточного центра сертификации отправителя в папку промежуточных центров сертификации

После импорта цифрового сертификата для промежуточного центра сертификации отправителя сервер Exchange Server сможет от имени получателя проверять цифровую подпись отправителя.

Проблема. Не удается получить доступ к списку отзыва сертификатов (CRL)

Данная проблема может возникнуть, если доступ к точке распространения списков отзыва сертификатов, указанной в цифровых сертификатах, возможен только через брандмауэр, либо если сервер пользователя Exchange Server не обладает достаточными правами для получения доступа к точке распространения списков отзывов сертификатов.

Решение

Для решения данной проблемы, выполните одну из следующих операций:

Импорт списков отзыва сертификатов вручную

Проблема. Несовпадение сертификатов при работе с разными клиентами сообщений электронной почты

Данная проблема может возникнуть в связи с тем, что в службе Active Directory, в которой могут храниться цифровые сертификаты системы S/MIME, есть два атрибута: userCertificate и userSMIMECertificate. По умолчанию клиент Outlook в первую очередь обрабатывает атрибут userSMIMECertificate и использует любой подходящий сертификат системы S/MIME, найденный в этом атрибуте. Другие клиенты сообщений электронной почты, включая веб-клиент Outlook (OWA), могут в первую очередь обрабатывать сертификат userCertificate и использовать любой подходящий сертификат системы S/MIME, найденный в этом атрибуте.

Если в атрибутах userCertificate и userSMIMECertificate хранятся разные сертификаты, то возможно, что клиенты Outlook и OWA будут использовать разные цифровые сертификаты, поскольку каждый из них обращается к разным типам атрибутов службы Active Directory.

Решение

Для решения данной проблемы убедитесь в том, что в атрибутах userCertificate и userSMIMECertificate хранятся одинаковые сертификаты. Для получения дополнительной информации см. статью После перехода с сервера управления ключами на инфраструктуру открытых ключей клиент Outlook 2003 продолжает использовать старые сертификаты» (эта ссылка может указывать на содержимое полностью или частично на английском языке).

Проблема. Приложение Outlook Express автоматически пытается подписать сообщения электронной почты

Когда пользователь отвечает на сообщение или отправляет подписанное сообщение, с помощью приложения Outlook Express, это приложение по умолчанию разрешает цифровую подпись для этого сообщения. В том случае, если пользователь пытается отправить сообщение, не имея действующего сертификата подписи, приложение Outlook Express выводит на экран сообщение об ошибке Вы не имеете цифрового сертификата и не отправляет сообщение.

Решение

Для решения данной проблемы запретите цифровую подпись для этого сообщения. Дополнительные сведения см. в статье «При попытке отправить сообщение электронной почты или ответить на сообщение электронной почты, содержащее цифровую подпись, появляется сообщение об ошибке» (эта ссылка может указывать на содержимое полностью или частично на английском языке).

Аннотация

С развитием Интернета в последние годы служба электронной почты серьезно изменилась. Она больше не является лишь средством обеспечения связи внутри организаций. Сегодня электронная почта объединяет людей из разных компаний, стран и регионов. Она даже позволяет общаться людям, находящимся на земле и в космосе, так, словно они находятся в одном здании. На сегодняшний день электронная почта стала, возможно, наиболее важной функцией Интернета. По мере того, как день за днем роль электронной почты в жизни отдельных людей и целых компаний становится все более активной, растет и ее значимость.

Беспрецедентный рост числа пользователей электронной почты стал возможен благодаря всемирному распространению основополагающего протокола, или «языка», сообщений электронной почты — протокола SMTP. Стандарт SMTP позволяет различным системам электронной почты, подключенным к Интернету, обмениваться информацией.

Однако, несмотря на все преимущества протокола SMTP для Интернета, он имеет конструктивный недостаток. Стандарт SMTP первоначально разрабатывался для передачи коротких, относительно неважных сообщений в закрытых сетях, а не для передачи важной и конфиденциальной информации по мировым сетям. Ни один из разработчиков стандарта SMTP даже не представлял, что этот стандарт будет когда-нибудь играть такую важную роль, как сейчас. В связи с этим стандарт SMTP не приспособлен для защиты подобной информации в процессе ее передачи по современным сетям. Он предназначен для передачи более простой информации по более простым сетям, что отражено даже в его названии: Simple Mail Transfer Protocol (Простой протокол передачи сообщений). К примеру, стандарт SMTP передает информацию через Интернет таким образом, что любой желающий может прочитать сообщение.

К счастью, появился новый стандарт S/MIME, который призван обеспечить защиту при передаче сообщений электронной почты SMTP. При использовании стандарта S/MIME, шифрование помогает защитить содержание сообщения электронной почты, а цифровая подпись позволяет подтвердить личность указанного отправителя сообщения.

Применение стандарта S/MIME в электронной почте требует решения, которое охватывало бы широкий спектр продуктов и технологий.