Como a criptografia é tratada quando clientes de e-mail diferentes enviam e-mails com segurança?

Question

Cuja chave pública é usada para criptografar e-mails de [email protected] para [email protected]? Meu cliente de e-mail não pode ter a chave pública de cada pessoa no mundo que eu poderia escrever um e-mail a qualquer momento, mas se cada serviço de e-mail tivesse uma chave pública para mais de um dono de conta, parece haver possibilidade de um titular de conta poder interceptar e-mails destinados a outro titular da conta e descriptografá-los se estiverem criptografados com a mesma chave pública usada por ambos os titulares de contas.

    

Answer 1

O GPG, o único sistema com o qual estou familiarizado, faz com que você encontre a chave pública de um usuário, importe-a e marque-a como confiável (assinando-a). Você não precisa compartilhar a assinatura se não quiser.

A criptografia com um par de chaves públicas / privadas é sempre decriptografada com a tecla OTHER.

Portanto, no seu exemplo, se o servidor de e-mail tiver as chaves públicas de todos, qualquer pessoa poderá enviar uma mensagem para qualquer pessoa criptografada com minha chave pública. Apenas eu (o usuário com a chave privada AND a senha) pode descriptografar essa mensagem.

Agora, se eu criptografar algo com minha chave privada e senha, qualquer um pode descriptografar essa mensagem com minha chave pública. A ideia é que só eu poderia criptografar uma mensagem com essa chave, então ela é chamada de "assinatura". (Normalmente você envia uma cópia da mensagem em texto simples, mas não precisa).

EXEMPLO:

Portanto, se eu quiser enviar uma mensagem informando que apenas você pode ler e desejar ter certeza de que só eu poderia enviá-la, criptografaria minha mensagem com minha chave privada / senha e criptografaria-a com o seu endereço público. chave.

Você pode descriptografá-lo com sua chave privada & senha, de modo que somente você pudesse lê-lo, e então você o descriptografaria com a minha chave pública, de modo que você estivesse razoavelmente certo de que veio de mim.

Também teríamos que arranjar um último passo - que você e eu conversamos antes, para que você tivesse certeza de que minha chave era minha e que sua chave era sua. Normalmente, um telefonema funciona para isso também, dependendo dos seus padrões.

(Eu digo "razoavelmente" claro porque alguém poderia roubar minha chave e me ameaçar com prisão / me bater com uma mangueira de borracha por não compartilhar minha senha, mas isso é outro problema para outra pergunta.)

Minha chave pública é facilmente localizada pelo meu endereço de e-mail (e você verá "Benanov" no campo de comentário / nome de usuário, esqueci quais). Sinta-se à vontade para me enviar uma mensagem se você quiser testar isso.

    

Answer 2

A maneira mais fácil e segura é enviar um e-mail assinado ao destinatário para o qual deseja criptografar uma mensagem, solicitando que ele responda com um e-mail assinado. A resposta deles incluirá sua chave pública, que é o que você precisa para criptografar o email para . Você vai querer verificar se foram eles que responderam e não um intermediário, fazendo com que eles verificassem sua impressão digital de chave ou cert através de um canal alternativo (digamos SMS, telefonema, fax). Nesse momento você está feito.

Como alternativa, se a chave do destinatário estiver registrada em uma CA, você poderá consultá-la por e-mail no servidor LDAP da CA (a VeriSign permite que os clientes optem por publicar seus certificados de email emitidos pela VeriSign em seu servidor público LDAP)