¿La forma más fácil de enviar correos electrónicos encriptados?


17

Para cumplir con la nueva ley de protección de información personal de Massachusetts, mi empresa debe (entre otras cosas) asegurarse de que cada vez que se envíe información personal por correo electrónico, esté encriptada. ¿Cuál es la forma más fácil de hacer esto? Básicamente, estoy buscando algo que requiera la menor cantidad de esfuerzo por parte del destinatario. Si es posible, realmente quiero evitar que tengan que descargar un programa o seguir cualquier paso para generar un par de claves, etc. Así que la línea de comandos tipo GPG no es una opción. Utilizamos Exchange Server y Outlook 2007 como nuestro sistema de correo electrónico.

¿Existe algún programa que podamos usar para cifrar fácilmente un correo electrónico y luego enviar un fax o llamar al destinatario con una clave? (¿O tal vez nuestro correo electrónico puede incluir un enlace a nuestro sitio web que contiene nuestra clave pública, que el destinatario puede descargar para descifrar el correo?) No tendremos que enviar muchos de estos correos electrónicos cifrados, pero las personas que los enviarán no sea particularmente técnico, por lo que quiero que sea lo más fácil posible. Cualquier grabación para buenos programas sería genial. Gracias.


1
Cerdo latino. No necesito instalar nada para eso ;-)
Bart Silverstrim

Una clave pública pertenece al destinatario y el remitente la usa para cifrar un mensaje. El destinatario usa su clave privada para descifrarlo. Si funcionó de la otra manera como usted describe, cualquiera podría descargar la clave y descifrar cualquier mensaje. Si va a llamar o enviar un fax, ¿por qué no simplemente "transmitir" los datos de esa manera?
Pausado hasta nuevo aviso.

Sí, tengo mi público / privado cambiado; escribiendo demasiado rápido Estoy tratando de encontrar una solución que funcione con los flujos de trabajo existentes en la compañía, en la cual RR.HH. envía correos electrónicos de manera rutinaria a los nuevos empleados, compañías de seguros, etc. camino.
johnnyb10

Respuestas:


12

Hemos tenido que pasar por algo similar con nuestros clientes para PCI. La mejor manera sería usar alguna versión de PGP / GPG.

Dicho esto, realmente no es tan doloroso como piensas. Lo hemos hecho con cientos de usuarios no técnicos. Lo que hicimos fue elegir dos productos: el GPG gratuito (que Kronick afirma que tiene interfaces de usuario de interfaz gráfica de usuario), así como el pago por el software PGP. Redactamos una documentación realmente buena que podría enviarse a nuestros clientes para instruirlos sobre cómo usar el software que eligieron, así como capacitar a nuestros Gerentes de cuenta en la solución de problemas básicos y cómo usar el software.

Eso ha mantenido el 95% de los problemas que enfrentan los clientes fuera de la cola de TI. Para el otro 5%, pusimos a disposición recursos de TI para responder preguntas, y en el peor de los casos, llamamos para ayudar al cliente.


Como alternativa, también compramos algunas licencias de winzip para poder usar el cifrado AES integrado con una frase de paso. El software comercial PGP tiene la capacidad de crear un archivo cifrado que también se abre mediante frase de contraseña. Aunque honestamente usar PGP ha funcionado tan bien, creo que solo creo este tipo de archivos 2 o 3 veces al año.


Gracias, esta es una gran información: productos para ver, así como información sobre su experiencia. Estoy descargando GPG4win y voy a comprobar eso primero.
johnnyb10

El uso de cualquier tipo de opción de usuario final lo abre a responsabilidad, a diferencia de PCI, la ley requiere que esté pendiente de cualquier problema razonable (como que el usuario Joe no use la tecnología)
Jim B

@ Jim B: usando pgp si el usuario no te da una clave, no se la envías. Básicamente, se ven obligados a usarlo, en este caso de uso, de lo contrario A) No obtienen los datos o B) no pueden leer los datos.
Zypher

@ zypher: ¿cómo puede asegurarse de que cada usuario que envíe los datos cifre cada correo electrónico? Al igual que una solución SMIME, debe elegir cifrar su correo electrónico, no se puede forzar, ¿o me estoy perdiendo algo?
Jim B

@ Jim B: Es bastante simple, si envía un correo electrónico con información que necesita ser encriptada sin encriptarla, su causa es despedida (a voluntad indica que esto significa que no hay desempleo). No todo tiene que ser una solución técnica. A partir de la pregunta, esto no se hará con demasiada frecuencia, por lo que una solución más complicada probablemente no valga la pena el costo / beneficio. Si necesitaran hacer esto todo el día todos los días, recomendaría no usar el correo electrónico y pasar a los formularios en línea a través de SSL.
Zypher

5

¿No sería más fácil hacer que revisen un sitio web con los datos encriptados a través de SSL, con un botón para imprimir los datos en su extremo? De esa manera, no está transmitiendo nada y tiene el control de la difusión de los datos.

Cualquier cosa con correo electrónico probablemente será demasiado difícil para sus usuarios; implicarán la generación de claves o la descarga de un llavero u otras cosas que los usuarios encontrarán como una molestia o confusión. Sus costos de soporte se dispararán, a menos que los usuarios simplemente se den por vencidos por la frustración.


Gracias, eso suena como una buena solución a largo plazo; nuestra compañía está experimentando lentamente e implementando gradualmente SharePoint como una herramienta de comunicación con nuestros clientes y proveedores; que la gente descargue cosas a través de un sitio seguro de SharePoint probablemente será una gran parte de eso, eventualmente. Por ahora, necesito encontrar una solución más inmediata para las personas de recursos humanos, que envían por correo electrónico formularios que contienen información personal como SSN.
johnnyb10

No sé cuáles son sus requisitos reales bajo esa ley, pero si solo se trata de formularios, ¿usaría ZIP convertirlo en un archivo EXE autoextraíble (con la contraseña establecida en el EXE)? Sé que algunos filtros los bloquean, pero los autoextractores son muy simples de usar y no requieren instaladores. Incluso entonces, podría alojarlos en un sitio interno y enlaces de correo electrónico por correo electrónico para que los usuarios los descarguen (y darles la contraseña / frase de contraseña a través de canales confiables).
Bart Silverstrim

Algo de esto depende de los canales que esté utilizando para transferir / alojar los datos. Si esto es interno, el uso de cremalleras protegidas por contraseña probablemente estaría bien, pero si está haciendo esto para el acceso público, eso complica las cosas ya que hay interruptores de contraseña zip por ahí.
Bart Silverstrim

Ahora estoy pensando que las cremalleras encriptadas podrían ser el camino a seguir. Acabo de descargar PGP4win y revisé el tutorial de PGP4win para principiantes, y requiere demasiado trabajo para el destinatario (en mi opinión). Quiero que el destinatario pueda escribir una contraseña y terminar con ella.
johnnyb10

3

¿Solo necesita ser encriptado en tránsito (SMTP / TLS), o también en almacenamiento / en los puntos finales (PGP, etc.)?

Trabajando con legislaciones similares, generalmente configuré PKI / SMTP / TLS entre dos o más organizaciones que frecuentemente envían / ​​reciben información privada / protegida; Acabo de configurar un servidor inteligente en cada organización que coincida con los dominios en cuestión para enrutar el correo a través de un túnel VPN de sitio a sitio cuando corresponda o utilicé SMTP / TLS para cifrar el correo en tránsito con Exchange.


De acuerdo con la ley de MA, solo la transmisión necesita ser encriptada. Especifica "el cifrado de todos los registros y archivos transmitidos que contienen información personal que viajará a través de las redes públicas, y el cifrado de todos los datos que contienen información personal para ser transmitidos de forma inalámbrica".
johnnyb10

Luego, como sugerí, dependiendo de las relaciones entre organizaciones, configuré túneles VPN de sitio a sitio (con las reglas de túnel tan restrictivas como sea necesario; también colaboraron para que el túnel fuera la mejor opción) o configurar TLS en Exchange con certificados para cifrar el correo en tránsito. Hay un buen artículo sobre cómo hacer esto en Exchange 2000/2003 del Blog del equipo de MS Exchange ( msexchangeteam.com/archive/2006/10/04/429090.aspx )
gravyface

+1 ya que habilitar el cifrado a nivel del servidor será mucho más confiable que confiar en que los usuarios finales recuerden cifrar cosas cuando sea necesario. Podría ser su política despedir a los usuarios finales que no cifran los datos necesarios, pero si exponen información que no deberían tener, despedirlos no aplacará a los dioses de la regulación: su empresa todavía está en peligro.
icky3000

2

Debe echar un vistazo a la mensajería segura con S / MIME y OWA en Exchange Server 2007 SP1 Si quieres encriptar el mensaje. Esta solución también requiere un paso adicional ya que los usuarios deben seleccionar el botón de cifrado (probablemente tampoco sea legal, ya que de alguna manera deben suponer que todos los usuarios nunca cometerán un error y no cifrarán un correo electrónico que deberían tener). De lo contrario, todos lo que debe hacer es asegurarse de que los destinos a los que desea enviar PII de Massachusetts estén utilizando TLS (debe tener esa información, ya que debe examinar a todas las personas a las que pueda enviar Mass.PII según CMR 17.04). Probablemente también deba escribir una regla de transporte que use una expresión regular para buscar PII masiva. Massachusetts PII se define como una combinación del nombre y apellido de un residente conectado a uno de los siguientes: un número de licencia de conducir, un número de tarjeta de crédito o un número de Seguro Social.

Fuera de tema pero germaine ...

Nota para aquellos que leen esto y piensan que tienes suerte de no vivir en MA, ¡Sorpresa! Si almacena la información personal de un residente de Massachusetts, independientemente de si tiene o no una presencia comercial en Massachusetts, está sujeto a las sanciones establecidas en 201 CMR 17.00. lo que podría costar $ 100 perdidos, con un máximo de $ 50K por "incidente". La Ley General 93H de MA establece que habrá una multa de $ 5,000 por "violación". ¿Qué significa eso exactamente? No creo que nadie lo sepa y no lo sepa hasta que alguien lo golpee.

Es importante tener en cuenta que este no es un tema fácil: aquí está el contenido de una discusión entre Zypher y yo sobre su respuesta:

yo: el uso de cualquier tipo de opción para el usuario final lo abre a responsabilidad, a diferencia de PCI, la ley requiere que esté pendiente de cualquier problema razonable (como el usuario Joe que no usa la tecnología)

Zypher: usando pgp si el usuario no te da una clave, no se la envías. Básicamente, se ven obligados a usarlo, en este caso de uso, de lo contrario A) No obtienen los datos o B) no pueden leer los datos.

yo: ¿cómo puede asegurarse de que cada usuario que envíe los datos cifre cada correo electrónico? Al igual que una solución SMIME, debe elegir cifrar su correo electrónico, no se puede forzar, ¿o me estoy perdiendo algo?

Zypher: Es bastante simple, si envía un correo electrónico que contiene información que necesita ser encriptada sin encriptarla, es despedido por causa (a voluntad indica que esto significa que no hay desempleo). No todo tiene que ser una solución técnica. A partir de la pregunta, esto no se hará con demasiada frecuencia, por lo que una solución más complicada probablemente no valga la pena el costo / beneficio. Si necesitaran hacer esto todo el día todos los días, recomendaría no usar el correo electrónico y pasar a los formularios en línea a través de SSL.

yo: IANAL, pero estoy atascado escuchándolos, la ley afirma efectivamente que tiene que ser una solución técnica- "pero tenía una política" es evidencia de facto de que uno de esos problemas "razonablemente previsibles" se supone que debes mitigar No fue mitigado. Disciplinar a los infractores también es parte de la ley. Eche un vistazo a esta discusión informationweek.com/blog/main/archives/2009/02/…

Zypher: En realidad, si lees 17.03.2.b (aquí: mass.gov/Eoca/docs/idtheft/201CMR1700reg.pdf ) Tengo una política y capacité a mi gente en eso, además de tener medidas disciplinarias es realmente perfectamente defendible. De hecho, la única mención de una solución técnica es para evitar que los empleados despedidos accedan a los registros. IAANAL (Yo tampoco soy abogado).

yo: - 1,2,3 son simplemente cosas que se espera que se incluyan, no soluciones definitivas, 2b es la redacción específica que se aplica (hice trampa y pregunté a un abogado). Si tiene que decir "Puedo defender eso", los tribunales probablemente lo aplastarán. Con problemas de cumplimiento, tiene que demostrar que está siguiendo las normas. Las reglas dicen específicamente "previsible". Si se pone de pie en la corte y dice "bueno, si alguien viola la política, será despedido", la acusación simplemente dirá "Así que admite que previó una forma de violar esta política y no tomó medidas razonables para eliminar ¿la cuestión?"

Zypher: Maldita seas por hacer trampa. Bueno, ahora tenemos que definir lo razonable, lo razonable para mi empresa (grandes multinacionales con más de 100 mil empleados) no es lo mismo que para una mamá y una tienda pop. Pero en ese mismo token, creo que nos estamos alejando demasiado del mandato de preguntas y respuestas del sitio ... lo cual es lamentable porque esta discusión ha proporcionado una buena idea.

yo: es "razonablemente previsible", no "razonablemente seguro" o incluso razonable implementarlo. Recuerde que legalmente, usando rot13 en los nombres de las personas y nada más sigue el estándar porque es una forma de encriptación. Esta discusión es útil, así que editaré mi respuesta para incluirla para que no se pierda.



1

Puede probar la puerta de enlace de cifrado de correo electrónico de Djigzo (descargo de responsabilidad: soy el autor de Djigzo). Djigzo Email Encryption Gateway es un servidor de correo electrónico de administración central (MTA) de código abierto basado en estándares de código abierto que cifra y descifra su correo electrónico entrante y saliente a nivel de puerta de enlace. Djigzo Email Encryption Gateway actualmente admite dos estándares de cifrado: S / MIME y correo electrónico cifrado en PDF. S / MIME proporciona autenticación, integridad de mensajes y no repudio (utilizando certificados X.509) y protección contra la intercepción de mensajes. S / MIME utiliza el cifrado de clave pública (PKI) para el cifrado y la firma. El cifrado de PDF se puede utilizar como una alternativa ligera al cifrado S / MIME. PDF le permite descifrar y leer documentos PDF encriptados. Los documentos PDF pueden incluso contener archivos adjuntos incrustados en el PDF cifrado.

Djigzo Email Encryption Gateway tiene una CA incorporada que puede usar para emitir certificados X.509 para usuarios internos y externos. El usuario externo puede usar el certificado con cualquier cliente de correo electrónico compatible con S / MIME como Outlook, Outlook express, Lotus Notes, Thunderbird, Gmail, etc.

Debido a que Djigzo Email Encryption Gateway funciona como un servidor de correo electrónico SMTP general, es compatible con las infraestructuras de correo electrónico existentes como Microsoft Exchange y Lotus Notes. Djigzo se puede instalar usando uno de los paquetes provistos para Ubuntu Linux, Debian, Red Hat y CentOS. Está disponible un "dispositivo virtual" listo para ejecutar para VMware ESX y Workstation.

Debido a que es de código abierto, se puede usar libremente. Las fuentes y los paquetes binarios se pueden descargar desde nuestro sitio web (www.djigzo.com).


Acabo de configurar Djigzo ayer. Con Ubuntu 12.04, fue realmente fácil (tenía problemas con 12.10). Está diseñado para usarse como una puerta de enlace de cifrado, y funciona muy bien. Pero fue bastante simple integrarlo con un servidor Postfix existente, por lo que no es necesario un servidor separado para alojar la puerta de enlace de cifrado si ya está utilizando Postfix.
David

1

En realidad, la ley dice que encripte los datos sensibles, no necesariamente el mensaje. Si los datos son un archivo (y usualmente lo es), el método más fácil con diferencia es cifrar el archivo.

Asumir que su objetivo es una solución extremadamente fácil de usar e implementar que funcionará en su diversa base de clientes ...

El Asistente de cifrado del Laboratorio de investigación de la Fuerza Aérea de los EE. UU. ( Http://spi.dod.mil/ewizard.htm ) es un cifrador de archivos gratuito, acreditado por el Departamento de Defensa. Maneja contraseñas, tarjetas inteligentes y certificados. Su eliminación segura puede borrar el archivo sensible de una computadora pública.

Además de tener Java, no hay nada que instalar o configurar en ninguna de las computadoras, solo ejecute el archivo .jar. El Asistente de cifrado se ejecuta en Mac, Windows, Linux, Sun y otros sistemas operativos que ejecutan Oracle Java.

Con EW, desde cero puede cifrar y enviar un archivo en un minuto y el solicitante puede descifrar en la misma cantidad de tiempo (suponiendo que use un certificado o llame a la persona con la contraseña).

Hay mejores soluciones grandes e intraempresariales, pero no encontramos nada mejor que pueda funcionar para casi todos en cualquier lugar y en cualquier momento.

Al usar nuestro sitio, usted reconoce que ha leído y comprende nuestra Política de Cookies y Política de Privacidad.
Licensed under cc by-sa 3.0 with attribution required.