Como o TLS é aplicado no cliente de recebimento de um email

Question

Estou escrevendo um aplicativo que deve enviar email criptografado para os destinatários. A agência estatal para a qual trabalho recentemente instalou um recurso para envio de emails. Se # secure # aparecer em qualquer lugar no assunto, o email será enviado via TLS.

Passei a manhã lendo sobre isso. O que eu encontrei diz que o TLS se aplica entre os servidores, mas não entre o cliente e o servidor. Por exemplo, se eu enviar um email e ele for sinalizado como TLS, meu servidor SMTP não enviará o email para o servidor de destino, a menos que esse servidor aceite uma conexão TLS. Isso é bom. Mas e o cliente que se conecta ao servidor de destino para baixar e-mails ou ler on-line?

Eu não li nenhuma aplicação para isso. A menos que eu possa encontrar tal existe não posso aproveitar o recurso de e-mail que a minha agência estatal instalou e eu preciso criptografar usando anexos de arquivos zip. Existe tal aplicação?

    

Answer 1

Não há nenhum que eu saiba. Não há realmente nenhuma garantia de que o servidor de correio do destinatário suporte até mesmo SSL ou TLS. Tanto quanto eu sei, a maioria dos serviços que enviam e-mails criptografados usam um serviço de e-mail criptografado de terceiros. Empresas de cartão de crédito e bancos, por exemplo, geralmente lhe dizem para entrar na sua conta e usar o serviço de correio interno. Se eles quiserem se comunicar com você, eles enviarão um e-mail em texto simples informando que você faça login na sua conta e verifique sua mensagem segura. Outra maneira de fazer isso é criptografar a mensagem usando um programa como o OpenPGP antes de enviá-lo. Os destinatários teriam que descriptografar a mensagem usando o mesmo. Claro, isso é muito complicado e pesado. link

    

Answer 2

"E-mail criptografado" geralmente se refere à criptografia de ponta a ponta da própria mensagem, usando algo como S / MIME ou PGP . Isso garante que a mensagem só possa ser lida pelo destinatário - não por nenhum dos servidores SMTP envolvidos na entrega. (No entanto, isso significa que o destinatário é responsável por descriptografá-lo e para criptografar a mensagem, é necessário ter algo como um certificado PKI ou uma chave ou senha PGP que corresponda ao destinatário pretendido.)

O TLS, em contraste, protege apenas uma conexão TCP contra espionagem de terceiros; Ele não oculta os dados dos computadores em cada extremidade da conexão. Uma vez que o servidor SMTP do seu empregador envia uma mensagem para um servidor SMTP remoto - mesmo usando TLS - esse servidor remoto pode fazer o que quiser com a mensagem: ele pode encaminhá-lo para outro local sem TLS ou enviar uma cópia para uma agência governamental ou publicá-lo na Internet ou até mesmo alterar o conteúdo da mensagem antes de entregá-la ao destinatário. Todo servidor SMTP precisa confiar em outros servidores SMTP para fazer a coisa certa.

O TLS protege uma conexão individual entre dois computadores. A criptografia de ponta a ponta (ou seja, S / MIME ou PGP, ou o envio de arquivos ZIP protegidos por senha) protege todo o caminho de comunicação entre o remetente da mensagem e o destinatário da mensagem. Parece que o primeiro é o que o servidor SMTP do seu empregador está fornecendo (porque isso é o melhor que o can faz, sendo apenas um intermediário em vez de um endpoint), mas o último é o que você realmente deseja.

    

Answer 3

Você não pode impor o modo como uma mensagem SMTP é manipulada além de seus próprios servidores. Qualquer coisa além do seu escopo não é sua responsabilidade e eu suponho que sua agência estatal entenda isso. Eu suspeito que isso seja um requisito do CYA e eles não podem se importar menos com o que acontece com a mensagem depois que ela sai dos seus servidores.