Вид сообщения до кодирования — и вот что ваш друг увидит перед расшифровкой

PGP была разработана в 1991 году Филом Циммерманом для пересылки электронной почты таким образом, чтобы никто, кроме получателя, не смог бы ее прочесть. Этим он нажил себе массу проблем с властями, пока в 1996 году они под давлением компьютерной промышленности не закрыли судебное дело.

После того, как Network Associates в 1997 году купила PGP, разработки замедлились, и к 2001 году работа над PGP практически остановилась. К счастью, воссозданная PGP Corp. откупила программный продукт и подготовила новые версии для Windows XP и Mac OS X.

Программа позволяет кодировать и декодировать электронную почту и компьютерные файлы. PGP выполняет это путем шифрования с использованием открытого ключа.

Такое шифрование делает почту (и файлы) недоступными ни для кого, кроме тех, кому они предназначены. Объяснить сам способ шифрования достаточно сложно, но суть метода вполне доступна.

Главное — не путать коды и шифры. В кодах слова и фразы заменяются некими условными — например, «ребенок в кроватке» означает «груз доставлен». Шифры — это математические формулы, по которым сообщения преобразуются в абракадабру. Примером простейшего шифра является кодировка А=1, Б=2, В=3 и т. д. Тогда слово «метро» будет зашифровано, как 136191715. Шифр можно усложнить, располагая цифры в обратном порядке (А=33, Б=32 и т. д.) или, действуя в соответствии с исходной последовательностью, умножая числа на некоторое произвольное число — скажем, на 7. Тогда «метро» будет 814213311985.

Однако такие выражения легко расшифровываются. Простой ПК сможет раскодировать этот шифр за несколько часов, анализируя частоту появления отдельных чисел и сравнивая ее с частотой использования букв в языке.

Далее, и отправитель, и получатель должны иметь ключ — метод расшифровки сообщения (в примере с «метро» это была бы таблица букв и соответствующих им цифр). Если же ключ попадет не в те руки, все сообщения будут прочитаны. Даже если два человека, Алиса и Боб, изменяют ключ в зависимости от даты и времени, нельзя надеяться на то, что при пересылке нового ключа от Алисы Бобу его не перехватит вражеский агент Ева.

Шифрование при помощи открытого ключа, разработанное математиками Стэнфордского университета Уитфилдом Диффи и Мартином Хеллманом в 1976 году, делает управление ключом невероятно простым. Но здесь есть маленькая хитрость. До открытия Диффи и Хеллмана все методы шифрования были симметричными, когда получатель для расшифровки просто применял метод, обратный кодированию. Шифрование с открытым ключом несимметрично, в нем используются два ключа — один для кодирования, другой для расшифровки. Используя такой способ, Алиса может послать зашифрованное сообщение, не посылая вслед своего секретного ключа.

Как это работает

За счет чего обеспечивается большая секретность? Шифрование с открытым ключом вообще расценивалось специалистами как не вскрываемое, по скольку подбор ключей здесь не срабатывает, даже если компьютер может перебрать тысячи ключей в секунду. После того, как Диффи и Хелман сделали свое теоретическое открытие, три математика из Массачусетского технологического института — Рональд Л. Райвест, Ади Шамир и Леонард М. Эйдельман нашли ему практическое применение. Они использовали разложение на множители в качестве основы своего метода шифрования, названного по их инициалам RSA.

Если вы помните алгебру, разложить на множители означает взять число и разложить его на простые сомножители, которые делятся только на самих себя или на единицу. Так число 210 может быть разложено на 1 х 2 х 3 х 5 х 7, на первые пять простых чисел. Любое наперед заданное число состоит из единственного набора простых сомножителей.

Но какой бы простой ни казалась эта задача, ее весьма трудно решить, если иметь дело с большими числами. На сегодня самое большое число, когда-либо разложенное на множители, имеет 155 знаков, а само разложение потребовало совместной работы 292 компьютеров в течение семи месяцев.

В этом и заключается секрет шифрования с открытым ключом: перемножить два простых сомножителя легко, но преобразовать результат обратно к составляющим простым числам очень сложно. Открытый ключ Алисы является произведением двух простых чисел, p и q. Чтобы расшифровать сообщение, посланное Алисой, Еве придется узнать и p, и q, которые содержатся в секретном ключе Алисы. Теперь вы понимаете всю сложность, особенно если вспомнить, что Алиса может выбрать два простых числа, каждое из которых будет длиной более 100 знаков.

Открытый ключ, как следует из его названия, распространяется свободно и зачастую выкладывается на персональной вэб-странице. Секретный ключ никогда никому не передается. Положим, что Боб хочет послать сообщение Алисе. Он берет ее открытый ключ, использует его для кодирования и отсылает сообщение ей. Так как открытый PGP ключ Алисы (p x q) связан с ее секретным ключом, который содержит p и q, она может расшифровать послание, даже если никогда раньше не общалась с Бобом. Если Ева и перехватит сообщение, она не сможет расшифровать текст, поскольку, не зная секретного ключа, разложение p и q из открытого ключа сделать невозможно.

Программа PGP делает все это прозрачно. Вам совершенно не придется задумываться над простыми числами и разложением. Программа поможет сформировать открытый и секретный ключи и сделать доступным ваш открытый ключ. PGP работает с распространенными почтовыми программами, такими как Outlook XP для Windows, Mail. app и Entourage на Mac. Чтобы зашифровать электронное письмо, надо просто написать сообщение, а затем нажать кнопки «Зашифровать» («Encrypt») и «Отправить» («Send»). Программа может автоматически находить и подгружать с одного из многочисленных серверов ключей открытый ключ корреспондента, приславшего вам закодированное сообщение. А если же кто-то и перехватит вашу почту, то не получит от этого никакого прока.

Зачем беспокоиться?

Ну и к чему все эти беспокойства и шпионская возня? Стоит ли тревожиться, если посторонний прочтет вашу электронную почту? Но разве вы все письма пишете на почтовых открытках?

Вы хотите, чтобы кто-нибудь, немного разбирающийся в компьютерах, мог спокойно читать вашу почту? Не думаю.

Эта статья описывает, как настроить Thunderbird на цифровую подпись, шифрование и расшифрование сообщений, чтобы повысить защиту переписки.

Введение

При разработке инфраструктуры электронной почты, которая используется каждым из нас, в ней не был предусмотрен механизм обеспечения защиты. В то время, как большинство людей подключается к серверам электронной почты с использованием защищённого соединения ("SSL"), некоторые серверы разрешают незащищённый доступ. Более того, когда сообщение перемещается по цепочке от отправителя к получателю, соединение между каждым из серверов не обязательно является защищённым. Это дает возможность третьей стороне осуществлять перехват, чтение и подмену сообщений электронной почты при их передаче.

Когда вы подписываете сообщение цифровой подписью , вы внедряете в сообщение информацию, удостоверяющую вашу личность. Когда вы зашифровываете сообщение, это значит что оно будет выглядеть "закодированным", и может быть прочтено только тем человеком, кто имеет ключ для расшифровки сообщения. Цифровая подпись сообщения гарантирует, что сообщение пришло от заявленного отправителя. Шифрование гарантирует, что сообщение не будет прочитано или изменено во время передачи.

Чтобы зашифровать сообщение, вы можете использовать криптосистему с открытым ключом . В такой системе, каждый участник имеет два отдельных ключа: открытый ключ и закрытый ключ . Когда кто нибудь хочет послать вам зашифрованное сообщение, он или она использует ваш открытый ключ, чтобы сгенерировать алгоритм шифрования. Когда вы получаете сообщение, вы должны использовать ваш закрытый ключ, чтобы его расшифровать.

Важно: Никогда никому не давайте ваш закрытый ключ.

Протокол, используемый для шифрования электронной почты, называется PGP (Pretty Good Privacy). Чтобы использовать PGP в Thunderbird, нужно сначала установить:

• GnuPG : (GNU Privacy Guard): свободную реализацию PGP
• Enigmail : дополнение для Thunderbird

Оба из этих приложений также предоставляют возможность цифровой подписи сообщения.

Установка GPG и Enigmail

Чтобы установить GnuPG, загрузите соответствующий вашей платформе пакет со страницы загрузки GnuPG . Выполните пункты инструкции установщика. Для получения более подробной информации по установке PGP на конкретную операционную систему прочтите:

Чтобы установить Enigmail:

1. В Thunderbird выберите Инструменты > Дополнения .
2. Используйте панель поиска в верхнем правом углу, чтобы найти Enigmail.
3. Выберите Enigmail из списка результатов поиска и выполните инструкции по установке дополнения.

Создание ключей PGP

Создайте пару открытый/закрытый ключ следующим образом:

Отправка и получение открытых ключей

Отправка вашего открытого ключа по электронной почте

Для получения зашифрованных сообщений от других людей, вы должны сначала отправить им свой открытый ключ:

Получение открытого ключа по электронной почте

Чтобы отправлять зашифрованные сообщения другим людям, вы должны получить и сохранить их открытые ключи:

Отправка подписанной и/или зашифрованной электронной почты

Примечание: Строка «Тема» сообщения зашифрована не будет.

Чтение подписанной и/ или зашифрованной электронной почты

Когда вы получите зашифрованное сообщение, Thunderbird попросит вас ввести ваш секретный пароль, чтобы расшифровать сообщение. Чтобы определить, было или нет входящее сообщение подписано или зашифровано, вам необходимо посмотреть на панель информации над телом сообщения.

Если Thunderbird распознает подпись, над сообщением появится зеленая панель (как показано ниже).

Если сообщение было зашифровано и подписано, то в зеленой панели также появится текст "Расшифрованное сообщение".

Если сообщение было зашифровано, но не подписано, то появится панель, показанная на рисунке ниже.

Электронная почта для большинства компаний является основным средством коммуникации. Переписка необходима как для общения внутри самой компании, так и для обмена данными с партнерами, клиентами, поставщиками, государственными органами и т.д. Ни для кого не секрет, что по корпоративной электронной почте пересылается масса конфиденциальной информации: договора, счета, информация о продуктах и ценах компании, финансовые показатели и т.д.

Если такая информация попадает в руки конкурентов, она может существенно навредить компании вплоть до прекращения ее существования. Конкуренты, имея в распоряжении базу клиентов, зная условия работы и цены, смогут предложить им лучшие условия и, таким образом, нанесут финансовые убытки. Также конкуренты могут найти в полученной информации факты нарушения законодательства и передать их в соответственные государственные органы. Это может спровоцировать проведение проверок, а они ничего доброго не предвещают.

Одним словом, если в компании встал вопрос о защите коммуникаций - первым делом необходимо защищать почту, так как основная масса документов пересылается через нее. Но, не смотря на важность, немногие компании задумываются о безопасности почты.

Основные ошибки, которые приводят к перехвату электронной почты:

• Корпоративная почта используется для регистрации в социальных сетях и ряда других ресурсов. Чем больше адрес почты светится в различных сервисах – тем больше вероятность попадания его в различные списки рассылки спама, а также это часто провоцирует попытки взломать адрес.
• Пароль, указанный в корпоративной почте, используется для регистрации на различных сайтах. Очень часто сотрудники, регистрируясь на каком-то сайте знакомств или торрент трекере, не утруждаются придумывать какой-то пароль, а вводят тот, что и для корпоративной почты.
• Указываться простой пароль. В качестве пароля к почте указывается дата рождения, свое имя и т.д., а эта информация доступна в открытом виде во многих источниках.
• Используются внешние сервисы электронной почты. Многие компании используют площадки Google, Yandex и т.д. для размещения корпоративных доменов. Это считается безопасным, но известны факты, когда почта, размещенная на этих сервисах, попадала в интернет. Также в СМИ постоянно говорят о прямом доступе спецслужб к информации пользователей на этих ресурсах.
• Почта не шифруется. Известный факт, что пароль к любой почте возможно взломать, причем цены на взлом почтового ящика стартуют от 10-20 USD. Если почта не зашифрованная, то получив доступ к ящику, злоумышленник автоматически получает доступ ко всей коммерческой информации.

Рассмотрим простой пример шифрования почты на базе бесплатного почтового клиента Mozilla Thunderbird, используя механизм шифрования OpenPGP. Для организации шифрования необходимо установить дополнение Enigmail в Thunderbird, а также приложение GnuPG. После чего в ThunderBird появиться вкладка OpenPGP. Далее необходимо сгенерировать личную пару ключей. Делается это так:

Сам процесс шифрованной переписки можем разложить на 4 элементарных этапа.

Как видим, шифровать почту совсем не сложно, да еще и бесплатно!

Внедрение шифрования почты избавляет от большинства рисков утечки информации и при этом не требует никаких затрат, лишь затраты на внедрение и обучения пользователей. Если речь идет о небольшой компании, состоящей из 10 человек, то достаточно всех собрать, объяснить необходимость шифрования – показать как это делается и пригрозить санкциями в случае несоблюдения этого правила. Другое дело, если компания большая и аналогично вышеописанным действиям сделать не получиться.

До всех сотрудников тяжело донести необходимость защиты почты. Также после внедрения процессы шифрования сложно контролировать – со временем сотрудники могут расслабиться и перестать шифровать письма. Обязательно необходимо проводить обучение новых сотрудников. В таком случае с помощью доменных политик возможно настроить принудительное шифрование писем, которые отправляются на адреса домашнего домена и организовать хранение и обмен открытыми ключами с помощью ActiveDirectory. Это избавит от необходимости обмена открытыми ключами при появлении каждого нового сотрудника.

Следующим этапом повышения безопасности почты является организация собственного сервера. Это потребует немного больших затрат на оборудование и лицензии, чем использовать почтовые сервисы. Но все-таки желательно использовать именно собственный почтовый сервер, размещенный на высокодоступной и надежной технической площадке .

Площадка должна быть постоянно доступна, это означает, что электропитание, интернет, кондиционирование должно быть зарезервировано. Программного обеспечения для сервера почты существует очень много, как на базе свободного ПО, так и на базе коммерческого. Здесь однозначный выбор сделать невозможно, так как сервер необходимо подобрать под необходимый компании функционал. Нужно взять во внимание бюджет, выделенный на внедрение сервера. Мы используем MDaemon по ряду причин:

• Он прост в настройке и администрировании. MDaemon сможет настроить и обслуживать администратор даже с базовым уровнем знаний. Настройка Exchange сервера или Open Source продуктов требует гораздо большую квалификацию и время на внедрение и обслуживание.
• Функционал отвечает всем требованиям нашего бизнеса. Поддерживает все почтовые протоколы, имеет «аутлукоподобный» Web –интерфейс почты, группы рассылок, перенаправление почты, фильтры спама и т.д.
• Стоимость гораздо ниже чем Exchange и Kerio. Примерная стоимость лицензий на 50 пользователей MDaemon -20 000 рублей, 50 000 руб – Kerio, 100 000 руб -MS Exchange.
• Нет каких-то специфических требований. Например, не требуется наличие ActiveDirectory. Продукт может быть установлен на десктопную ОС – например WindowsXP или Windows 7. Продукт не требует СУБД.

Схема функционирования почты будет следующей:

Рисунок 1 - Схема функционирования почты

Собственный сервер дает ряд преимуществ по сравнению с использованием публичных почтовых серверов:

• Безопасность. Доверять можно только себе. Какими бы не казались безопасными сервисы Google, Yandex и т.д.– они принадлежат другим компаниям и эти компании также имеют туда доступ.
• Обслуживание. Администратор компании имеет возможность гибкой настройки сервера, а также имеет возможность осуществлять подробный мониторинг. Мониторинг, например, позволит увидеть попытки взлома почтового сервера или его ящиков.
• Гибкость. Если компания имеет свой почтовый сервер, она не упирается в ограничения сервис-провайдера. Компания может по своему желанию выбирать ПО для почтового сервера, масштабировать систему и т.д.

Таким образом для надежной защиты почты рекомендуется внедрить в компании две глобальные меры: внедрить шифрование почты и организовать свой почтовый сервер. К ним очень хорошо применяется принцип Парето. Первая мера дает 80% эффективности при 20% затрат, а вторая дает остальные 20% эффективности, но требует 80% затрат.

Краткий перечень советов при использовании корпоративной электронной почты:

1. Используйте собственный почтовый сервер, расположенный за пределами офиса.
2. Не создавайте простые имена ящиков, например [email protected] – они обязательно попадут в списки рассылок спама, лучше использовать инициал сотрудника и фамилию.
3. Используйте генерированные пароли к почте.
4. Не указывайте адрес своей корпоративной почты при регистрации на сайтах не имеющих отношения к работе.
5. Шифруйте текст всех сообщений, информацией в которых вы не хотели бы делится с конкурентами или другими субъектами.
6. Файлы прикрепленные к письму также необходимо шифровать, а если есть защищенный корпоративный портал – файл лучше разместить на нем и переслать в письме ссылку.

Системная интеграция. Консалтинг

Чтобы использовать шифрование и/или цифровую подпись по стандарту OpenPGP необходимо либо создать пару PGP ключей и разослать корреспондентам свой открытый ключ (для того, чтобы у них имелась возможность шифровать письма, адресованные вам), либо импортировать открытые PGP ключи от других людей (чтобы иметь возможность отправки им зашифрованных писем). Обе операции могут быть осуществлены при помощи Мастера настройки PGP в меню Сервис . Мастер проведет вас через процесс создания/импорта пары PGP ключей или импорта открытых ключей.

Первый шаг мастера описывает общие принципы работы PGP.

На втором шаге предлагается выбрать между созданием новой пары открытого и закрытого PGP ключей и импортом существующего ключа.

Создание нового набора PGP ключей

Если вы выбрали создание новой пары ключей, в первую очередь мастер предлагает указать для какой Персоналии создается ключ.

Также следует указать пароль, которым будет защищен ключ.

Кнопка Настройки позволяет установить дополнительные параметры ключа (можно оставить значения по умолчанию).

Тип ключа - позволяет выбрать алгоритм шифрования и цифровой подписи. Предлагается два варианта: RSA и Elgmal /DSS . При выборе RSA алгоритма, он используется как для шифрования, так и для цифровой подписи. В случае Elgmal/DSS, Elgmal используется для шифрования, а DSS - для подписи.

Размер ключа - позволяет выбрать длину ключа. Большая длина ключ обеспечивает более надежную защиту. Однако, следует иметь в виду, что длинный ключ может вызвать значительные задержки при зашифровывании/расшифровывании.

Истекает - здесь устанавливается срок действия ключа. По истечении срока действия потребуется новая пара ключей, личный ключ больше не сможет расшифровывать письма, а общий - зашифровывать.

Следующий шаг мастера предлагает экспортировать открытый ключ в *.pgp файл для его последующего распространения.

Импорт PGP ключей

Если выбрано не создание, а импорт ключа, то следующим шагом будет предложено импортировать ключ. Для этого надо нажать кнопку Обзор и выбрать файл содержащий пару ключей (открытый и закртытый), либо файлы открытых ключей от людей с которыми вы планируете переписываться.

Как только импортированы открытые ключи, появляется возможность отправлять зашифрованные сообщения владельцам ключей. Чтобы зашифровать создаваемое сообщение, нужно зайти в меню PGP и включить параметр Зашифровать письмо . Письмо будет автоматически зашифровано при нажатии кнопки Отправить . Все вложения при этом также будут зашифрованы.

Наличие личного PGP ключа позволяет добавить к письму цифровую подпись. Для получателя подпись будет гарантом того, что письмо пришло именно о вас. Чтобы добавить цифровую подпись в электронное сообщение нужно в меню PGP активировать параметр Подписать письмо .

Когда приходит зашифрованное сообщение, EssentialPIM пытается расшифровать его автоматически при попытке прочтения. Зашифрованные письма можно легко заметить по иконке в виде замка.

Если ваш PGP ключ защищен паролем, то программа запросит ввести пароль при попытке прочитать зашифрованное письмо.

Помнить пароль на Х минут - этот параметр позволяет определенное время расшифровывать письма без дополнительного запроса пароля. Функция полезна когда предстоит прочитать несколько зашифрованных писем.

Когда письмо успешно расшифровано, EssentiaalPIM добавляет соответствующую надпись в заголовочную часть письма - Расшифрованное письмо .

Если письмо было подписано цифровой подписью и подпись была подтверждена, то в заголовочную часть добавляется следующая запись:

Если расшифровка не удалась по какой-либо причине, будь то неправильный пароль или отсутствие соответствующего ключа, то в заголовок добавляется следующее сообщение:

Наше решение позволит вам не только бесплатно шифровать ваши электронные письма, но и делать это с помощью клиентов для ПК, Интернета и смартфона.

Для шифрования почты по методу PGP с помощью клиента для ПК вам необходимы будут программы Gpg4win, Kleo­patra (входит в состав пакета Gpg4win) и Thunderbird. Прежде чем можно будет запустить шифрование, вам понадобится пара ключей. Для этого откройте программу Kleopatra, установленную вместе с Gpg4win. Затем запустите создание ключей с помощью сочетания клавиш «Ctrl+N», выберите «Create a personal OpenPGP key pair» и следуйте инструкциям на экране.

После того, как ключи будут созданы, откройте Thunderbird (и при необходимости измените свой электронный адрес). Потом через менеджер дополнений добавьте к Thunderbird дополнение Enigmail. После перезагрузки Thunderbird вас поприветствует мастер настройки Enigmail. В нем вам необходимо будет выбрать стандартные конфигурации, а затем отметить имеющийся ключ.

Прежде чем отправить зашифрованное письмо, вам нужно импортировать файл с публичным ключом получателя (который отправляется, например, по электронной почте) в программу Kleo­patra с помощью сочетания «Ctrl+I». В дальнейшем адресованные этому получателю электронные письма Thunderbird шифрует автоматически.

Использование PGP в браузере

Чтобы иметь доступ к зашифрованным электронным сообщениям через интерфейс почтового ящика, например, на рабочем месте, вам потребуется дополнение для браузера Mailvelope (доступно для Firefox и Chrome). Его можно установить с официального сайта . Дополнение Mail­velope уже по умолчанию настроено для всех наиболее часто используемых почтовых сервисов.
Чтобы работало шифрование с помощью Mailvelope, вам нужно экспортировать из программы Kleopatra свой личный ключ и публичные ключи своих контактов и импортировать их в Mail­velope. В Kleopatra вы найдете личный ключ во вкладке «My Certificates». Кликните по нему правой кнопкой мыши и выберите «Export Secret Keys». Активируйте опцию «ASCII armor» и сохраните файл с ключом.

Mailvelope работает со всеми популярными почтовыми сервисами, в число которых входит и Gmail: там сообщения шифруются в отдельном редакторе

Чтобы импортировать ключ в Mail­velope, нажмите в браузере в верхнем правом углу на значок Mailvelope, а потом на «Настройки». В разделе «Key Management | Импортировать ключи» выберите файл с ключом. В зависимости от почтового сервиса Mailvelope немного по-разному встраивается в интерфейс почтового сервиса: либо в виде кнопки в окне «Новое сообщение» (у Gmail), либо в виде отдельной опции «Написать и зашифровать» у некоторых других почтовых сервисов. Если в Mailvelope нет настроек по умолчанию для вашего почтового сервиса, вам нужно войти в него, затем нажать на значок Mailvelope и выбрать «Add new site».

Шифрование писем на устройствах с Android

С помощью бесплатных приложений OpenKeycain и K-9 Mail, которые вы можете скачать в Google Play Market, шифрование PGP можно использовать и на смартфонах с Android (для iPhone и iPad есть платное приложение iPGMail). Установите оба приложения, запустите сначала K-9 Mail и настройте там подключение к своему почтовому ящику.
Потом скопируйте свои файлы с ключами на смартфон (например, через USB-соединение) и запустите OpenKey­cain. На главном экране выберите «Импорт ключа из файла», найдите скопированный на смартфон файл и отметьте нужные ключи.

Чтобы обеспечить доступ программы K-9 Mail к ключам, сохраненным в OpenKeycain, во входящих письмах удержите палец на созданном аккаунте, чтобы открыть всплывающее меню, и перейдите к разделу «Настройки ящика | Криптография». Нажмите на запись «Провайдер OpenPGP» и выберите OpenKey­cain. При написании писем с помощью приложения К-9 Mail теперь можно подписывать и шифровать исходящие сообщения.