Шифрование писем S/MIME для Microsoft Exchange

S/MIME (Secure/Multipurpose Internet Mail Extensions) — стандарт для шифрования и подписи в электронной почте с помощью открытого ключа. Предназначена для обеспечения криптографической безопасности электронной почты. Обеспечиваются аутентификация, целостность сообщения и гарантия сохранения авторства, безопасность данных (посредством шифрования).

Данная статья это пошаговая инструкция по использованию S/MIME клиентами Microsoft Exchange.

Как это работает?

У нас есть два пользователя, которые хотят обмениваться зашифрованными сообщениями:

ivanov@exchange.lin.by

petrov@exchange.lin.by

Для начала, нужно выписать каждому из них сертификат с закрытым ключом. Это может быть как доменный центр сертификации, так и публичный. В данной статье мы будем использовать бесплатный сертификат COMODO. Получить его надо для обоих пользователей.

Далее пользователи должны обменяться открытыми ключами. Проще всего это сделать отправив друг-другу подписанное сообщение. После этого они пользователи получат возможность обмениваться зашифрованными письмами. Сам процесс шифрования и дешифрования выглядит стандартно:

Получение сертификатов COMODO.

1. Переходим по ссылке и нажимаем на кнопку:

https://www.comodo.com/home/email-security/free-email-certificate.php

2. Заполняем поля, ставим галочку внизу около поля "Accept".

3. Получаем уведомление, что ссылка на сертификат ушла на почтовый адрес.

4. На адрес ivanov@exchange.lin.by пришло письмо с большой красной кнопкой. Жмем на нее:

5. После того, как ссылка откроется в браузере, надо посмотреть сертификат:

6. Импортируем сертификат с закрытым ключом и прячем его в надежном месте. Его надо будет установить на все устройства, с которых необходимо читать зашифрованные сообщения.

7. Повторяем пункты 1-6 для пользователя petrov@exchange.lin.by

Настройка Outlook 2013

1. Импорт сертификата с приватным ключом. Для этого надо пройти по пути:

Файл - Настройки - Центр управления безопасностью - Защита электронной почты. 

В появившемся окне нажать кнопку "Импорт/Экспорт", указать путь к файлу сертификата и пароль:

В появившемся окне нажимаем "ОК":

Импорт завершен. Теперь необходимо настроить сертификат для подписи сообщений. Для этого в окне "Защита электронной почты" нажимаем кнопку "Параметры". Выполняем настройки как на скриншоте:

Если вы планируете обмениваться зашифрованными письмами с внутренними пользователями, то можете опубликовать открытый ключ в глобальном списке адресов. Для этого надо нажать одноименную кнопку в окне "Защита электронной почты". После этого для пользователя на сервере Exchange будут заполнены параметры "UserSMimeCertificate" и "UserCertificate". После обновления адресной книги все локальные пользователи, для которых выполнена настройка S/MIME, смогут отправлять для ivanov@exchange.lin.by зашифрованные сообщения. 

Вместо публикации сертификата в GAL можно отправить для petrov@exchange.lin.by подписанное сообщение. Оно будет содержать открытый ключ и пользователю останется только его установить. Делается это прямо из Outlook.

Такую же операцию необходимо проделать для пользователя petrov@exchange.lin.by. На этом подготовительный этап завершен.

2. Теперь выполним отправку зашифрованного сообщения из Outlook. Для этого, в первую очередь, надо добавить в контакты пользователя, которому хотим отправить сообщение. Выполнить это надо даже в том случае, если он находится в адресной книге на сервере. Иначе мы получим ошибку о невозможности отправки зашифрованного письма.

Далее создаем письмо. Получателя выбираем именно из контактов! Затем нажимаем кнопку с замочком и письмо улетает.

Отправка зашифрованных писем через браузер

Из браузера выполнить отправку зашифрованного письма немного сложнее, но только в первый раз. К сожалению, работать с S/MIME можно только с помощью Internet Explorer. Для этого надо в OWA перейти в настройки и выбрать соответствующий пункт меню:

Если этого пункта меню нет, необходимо выполнить на сервере Microsoft Exchange:

Set-OWAVirtualDirectory -identity "owa (Default Web Site)" -SMimeEnabled $true 

При первом запуске будет предложено установить расширение для работы с S/MIME. Соглашаемся и перезапускаем браузер. Снова переходим в настройки - "параметры S/MIME" и включаем автоматический выбор сертификата, который мы уже установили ранее:

После этого создаем новое письмо, переходим в дополнительные настройки сообщения и активируем шифрование:

На этом все, отправляем зашифрованное письмо адресату.

Отправка зашифрованных писем с помощью мобильных устройств

На мобильных устройствах отправка зашифрованных сообщений выполняется аналогично. Алгоритм для всех будет один, скриншоты на примере Windows Phone 8.1:

1. Получаем письмо с цифровой подписью и устанавливаем сертификат (почтовый клиент должен предложить это выполнить)

2. После установки сертификата появится возможность отправлять зашифрованные сообщения:

Как видим, вопрос достаточно объемный, но в итоге ничего сложного. Пробуйте настроить, если не получится - задавайте вопросы в комментариях. Удачи и всего хорошего! :)