Le moyen le plus simple d'envoyer des e-mails cryptés?

17

Pour se conformer à la nouvelle loi du Massachusetts sur la protection des informations personnelles, mon entreprise doit (entre autres choses) s'assurer que chaque fois que les informations personnelles sont envoyées par e-mail, elles sont cryptées. Quelle est la manière la plus simple de faire ça? Fondamentalement, je recherche quelque chose qui nécessitera le moins d'effort de la part du destinataire. Si possible, je veux vraiment leur éviter d'avoir à télécharger un programme ou à passer par toutes les étapes pour générer une paire de clés, etc. Donc, les trucs de type GPG en ligne de commande ne sont pas une option. Nous utilisons Exchange Server et Outlook 2007 comme système de messagerie.

Existe-t-il un programme que nous pouvons utiliser pour crypter facilement un e-mail, puis télécopier ou appeler le destinataire avec une clé? (Ou peut-être que notre e-mail peut inclure un lien vers notre site Web contenant notre clé publique, que le destinataire peut télécharger pour décrypter le courrier?) Nous n'aurons pas à envoyer un grand nombre de ces e-mails cryptés, mais les personnes qui les enverront le feront ne pas être particulièrement technique, donc je veux que ce soit aussi simple que possible. Toute recommandation pour de bons programmes serait formidable. Merci.

johnnyb10
la source
1
Cochon latin. Pas besoin d'installer quoi que ce soit pour cela ;-)
Bart Silverstrim
Une clé publique appartient au destinataire et l'expéditeur l'utilise pour crypter un message. Le destinataire utilise sa clé privée pour la décrypter. Si cela fonctionnait dans l'autre sens comme vous le décrivez, n'importe qui pourrait télécharger la clé et décrypter n'importe quel message. Si vous allez appeler ou faxer, pourquoi ne pas simplement "transmettre" les données de cette façon?
pause jusqu'à nouvel ordre.
Ouais, j'ai changé mon public / privé; taper trop vite. J'essaie de trouver une solution qui fonctionnera avec les flux de travail existants dans l'entreprise, dans lesquels les ressources humaines envoient régulièrement des messages dans les deux sens aux nouveaux employés, aux compagnies d'assurance, etc. L'idée de télécopie / appel n'est probablement pas une bonne option non plus façon.
johnnyb10

Réponses:

12

Nous avons dû passer par quelque chose de similaire avec nos clients pour PCI. La meilleure façon serait d'utiliser une version de PGP / GPG.

Cela étant dit, ce n'est vraiment pas aussi douloureux que vous le pensez. Nous l'avons fait avec des centaines d'utilisateurs non techniques. Nous avons choisi deux produits: le GPG gratuit (qui, selon Kronick, possède des interfaces graphiques) ainsi que le prix du logiciel PGP. Nous avons rédigé une très bonne documentation qui pourrait être envoyée à nos clients pour leur expliquer comment utiliser le logiciel qu'ils ont choisi ainsi que formé nos gestionnaires de compte sur le dépannage de base et comment utiliser le logiciel.

Cela a gardé 95% des problèmes rencontrés par les clients dans la file d'attente informatique. Pour les 5% restants, nous avons mis à disposition des ressources informatiques pour répondre aux questions et, dans le pire des cas, appeler pour aider le client.


Comme alternative, nous avons également acheté des licences de winzip afin de pouvoir utiliser le cryptage AES intégré avec une phrase de passe. Le logiciel commercial PGP a la possibilité de créer un fichier crypté qui est ouvert uniquement par mot de passe. Bien que l'utilisation honnête de PGP ait si bien fonctionné, je pense que je ne crée ces types de fichiers que 2 ou 3 fois par an.

Zypher
la source
Merci, ce sont d'excellentes informations - des produits à vérifier ainsi que des informations sur votre expérience. Je télécharge GPG4win et je vais d'abord vérifier cela.
johnnyb10
L'utilisation de toute sorte d'option d'utilisateur final vous expose à la responsabilité, contrairement à PCI, la loi exige que vous soyez accroché à tout problème raisonnable (comme l'utilisateur joe n'utilisant pas la technologie)
Jim B
@Jim B: en utilisant pgp si l'utilisateur ne vous donne pas de clé, vous ne lui envoyez pas. Fondamentalement, ils sont obligés de l'utiliser - dans ce cas d'utilisation - sinon ils A) ne reçoivent pas les données ou B) ne peuvent pas lire les données.
Zypher
@ zypher- comment pouvez-vous vous assurer que chaque utilisateur qui envoie les données crypte chaque e-mail? Tout comme une solution SMIME, vous devez choisir de crypter votre e-mail, elle ne peut pas être forcée - ou est-ce que je manque quelque chose?
Jim B
@Jim B: C'est assez simple, si vous envoyez un e-mail contenant des informations qui doivent être chiffrées sans les chiffrer, vous êtes licencié pour cause (à volonté, cela signifie pas de chômage). Tout ne doit pas nécessairement être une solution technique. D'après la question, cela ne sera pas fait trop souvent, donc une solution plus impliquée ne vaut probablement pas le coût / avantage. S'ils avaient besoin de le faire toute la journée, je recommanderais de ne pas utiliser du tout de courrier électronique et de passer aux formulaires en ligne via SSL.
Zypher
5

Ne serait-il pas plus facile de leur faire vérifier un site Web avec les données cryptées via SSL, avec un bouton pour imprimer les données de leur côté? De cette façon, vous ne transmettez rien et vous contrôlez la diffusion des données.

Tout ce qui contient un e-mail sera probablement trop difficile pour vos utilisateurs; ils impliqueront la génération de clés ou le téléchargement d'un trousseau de clés ou d'autres choses que les utilisateurs trouveront compliquées ou déroutantes. Vos coûts de support augmenteront à moins que les utilisateurs abandonnent simplement de frustration.

Bart Silverstrim
la source
Merci, cela ressemble à une bonne solution à long terme; notre entreprise expérimente lentement et déploie progressivement SharePoint comme outil de communication avec nos clients et fournisseurs; faire en sorte que les gens téléchargent des trucs via un site SharePoint sécurisé sera probablement une grande partie de cela, à terme. Pour l'instant, j'ai besoin de trouver une solution plus immédiate pour les RH, qui envoient des formulaires par e-mail contenant des informations personnelles comme les SSN.
johnnyb10
Je ne sais pas quelles sont vos exigences réelles en vertu de cette loi, mais si ce ne sont que des formulaires, l'utilisation de ZIP en un fichier EXE auto-extractible fonctionnerait-elle (avec le mot de passe défini sur EXE)? Je sais que certains filtres les bloquent, mais les auto-extracteurs sont très simples à utiliser et ne nécessitent pas d'installation. Même dans ce cas, vous pouvez les héberger sur un site interne et des liens de courrier électronique par courrier électronique pour que les utilisateurs puissent les télécharger (et leur donner le mot de passe / la phrase secrète via des canaux de confiance).
Bart Silverstrim
Cela dépend en partie des canaux que vous utilisez pour transférer / héberger les données. Si cela est interne, l'utilisation de zips protégés par mot de passe serait probablement acceptable, mais si vous le faites pour l'accès public, cela complique les choses car il existe des briseurs de mot de passe zip.
Bart Silverstrim
Maintenant, je pense que les zips cryptés pourraient être la voie à suivre. Je viens de télécharger PGP4win et j'ai suivi le didacticiel PGP4win for Novices, et cela nécessite beaucoup trop de travail pour le destinataire (à mon avis). Je veux que le destinataire puisse taper un mot de passe et en avoir fini.
johnnyb10
3

Doit-il simplement être chiffré en transit (SMTP / TLS), ou en stockage / aux points de terminaison aussi (PGP, etc.)?

En travaillant avec des législations similaires, j'ai généralement configuré PKI / SMTP / TLS entre deux ou plusieurs organisations qui envoient / reçoivent fréquemment des informations privées / protégées; Je viens de configurer un hôte intelligent dans chaque organisation correspondant aux domaines en question pour acheminer le courrier via un tunnel VPN de site à site, le cas échéant, ou utilisé SMTP / TLS pour crypter le courrier en transit avec Exchange.

gravyface
la source
Selon la loi MA, seule la transmission doit être cryptée. Il spécifie "le cryptage de tous les enregistrements et fichiers transmis contenant des informations personnelles qui circuleront sur les réseaux publics, et le cryptage de toutes les données contenant des informations personnelles à transmettre sans fil".
johnnyb10
Ensuite, comme je l'ai suggéré, selon la ou les relations entre les organisations, j'ai configuré des tunnels VPN de site à site (avec des règles de tunneling aussi restrictives que nécessaire; ils ont également collaboré, le tunnel était donc la meilleure option) ou configurez TLS dans Exchange avec des certificats pour crypter le courrier en transit. Il y a un bon article à ce sujet dans Exchange 2000/2003 sur le blog de l'équipe MS Exchange ( msexchangeteam.com/archive/2006/10/04/429090.aspx )
gravyface
+1, car l'activation du chiffrement au niveau du serveur va être beaucoup plus fiable que de compter sur les utilisateurs finaux pour se rappeler de chiffrer les éléments lorsque cela est nécessaire. Il se peut que votre politique soit de licencier les utilisateurs finaux qui ne parviennent pas à chiffrer les données nécessaires, mais s'ils exposent des informations qu'ils ne devraient pas avoir, les licencier n'apaisera pas les dieux réglementaires - votre entreprise est toujours accrochée.
icky3000
2

Vous devriez jeter un œil à la messagerie sécurisée avec S / MIME et OWA sur Exchange Server 2007 SP1 Si vous souhaitez crypter le message. Cette solution nécessite également une étape supplémentaire car les utilisateurs doivent sélectionner le bouton de cryptage (ce n'est probablement pas légal non plus, car vous devez supposer d'une manière ou d'une autre que vous ne feriez jamais d'erreur et ne crypteriez pas un e-mail qu'ils devraient avoir.) Sinon, tous vous devez faire est de vous assurer que les destinations que vous souhaitez envoyer Massachusetts PII utilisent TLS (vous devez disposer de ces informations car vous devez vérifier tous ceux à qui vous pourriez envoyer Mass.PII selon CMR 17.04). Vous devriez également probablement écrire une règle de transport qui utilise une expression régulière pour rechercher des informations personnelles de masse. Le Massachusetts PII est défini comme une combinaison du nom et du prénom d'un résident connecté à l'un des éléments suivants: un numéro de permis de conduire, un numéro de carte de crédit ou un numéro de sécurité sociale.

Hors sujet mais germaine ...

Remarque pour ceux qui lisent ceci et pensent que vous avez de la chance de ne pas vivre à MA, surprise! Si vous stockez les informations personnelles d'un résident du Massachusetts, que vous ayez ou non une présence commerciale dans le Massachusetts, vous êtes passible des sanctions prévues à 201 CMR 17.00. qui pourrait coûter 100 $ de records perdus, avec un maximum de 50 000 $ par "incident". La loi générale 93H de la MA stipule qu'il y aura une amende de 5 000 $ par "violation". Que veut dire ceci exactement? Je ne pense pas que quiconque le sache et ne le sache pas jusqu'à ce que quelqu'un en soit atteint.

Il est important de noter que ce n'est pas un sujet facile - voici le contenu d'une discussion entre moi et Zypher sur sa réponse:

moi: L'utilisation de toute sorte d'option d'utilisateur final vous expose à la responsabilité, contrairement à PCI, la loi exige que vous soyez sur le crochet pour tout problème raisonnable (comme l'utilisateur joe n'utilisant pas la technologie)

Zypher: utiliser pgp si l'utilisateur ne vous donne pas de clé, vous ne lui envoyez pas. Fondamentalement, ils sont obligés de l'utiliser - dans ce cas d'utilisation - sinon ils A) ne reçoivent pas les données ou B) ne peuvent pas lire les données.

moi: comment pouvez-vous vous assurer que chaque utilisateur qui envoie les données crypte chaque e-mail? Tout comme une solution SMIME, vous devez choisir de crypter votre courrier électronique, elle ne peut pas être forcée - ou ai-je raté quelque chose?

Zypher: C'est assez simple, si vous envoyez un e-mail contenant des informations qui doivent être chiffrées sans les chiffrer, vous êtes licencié pour cause (dans les états à volonté, cela signifie qu'il n'y a pas de chômage). Tout ne doit pas nécessairement être une solution technique. D'après la question, cela ne sera pas fait trop souvent, donc une solution plus impliquée ne vaut probablement pas le coût / avantage. S'ils avaient besoin de le faire toute la journée, je recommanderais de ne pas utiliser du tout de courrier électronique et de passer aux formulaires en ligne via SSL.

moi: IANAL - mais je suis coincé à les écouter, la loi stipule effectivement que cela doit être une solution technique - "mais j'avais une politique" est une preuve de facto qu'un de ces problèmes "raisonnablement prévisibles" que vous êtes censé atténuer n'a pas été atténué. La discipline des contrevenants fait déjà partie de la loi. Jetez un œil à cette discussion informationweek.com/blog/main/archives/2009/02/…

Zypher: En fait, si vous lisez 17.03.2.b (ici: mass.gov/Eoca/docs/idtheft/201CMR1700reg.pdf ), j'ai une politique et j'ai formé mon personnel à cela, tout comme avoir des mesures disciplinaires est en fait parfaitement défendable. En fait, la seule mention d'une solution technique est d'empêcher les employés licenciés d'accéder aux enregistrements. IAANAL (je ne suis pas non plus avocat).

moi: - 1,2,3 sont simplement des choses qui devraient être incluses et non des solutions définitives, 2b est la formulation spécifique qui s'applique (j'ai triché et demandé à un avocat). Si vous devez dire "je peux défendre cela", les tribunaux vous écraseront probablement. En cas de problèmes de conformité, vous devez prouver que vous suivez les règles. Les règlements disent spécifiquement «prévisible». Si vous vous tenez devant le tribunal et dites «eh bien, si quelqu'un enfreint la politique, il serait licencié», les poursuites judiciaires diront simplement: «Donc, vous admettez que vous avez prévu un moyen de violer cette politique et n'avez pris aucune mesure raisonnable pour la supprimer. le problème?"

Zypher: Damn you for tricher. Eh bien maintenant, nous devons définir raisonnable aussi bien, raisonnable pour mon entreprise (grands employés multinationaux w / 100k +) n'est pas le même que pour un magasin maman et pop. Mais dans le même ordre d'idées, je pense que nous nous éloignons trop du mandat de Q&R du site ... ce qui est regrettable car cette discussion a fourni une bonne idée.

moi: c'est "raisonnablement prévisible" pas "raisonnablement sûr" ou même raisonnable à mettre en œuvre. N'oubliez pas que légalement, l'utilisation de rot13 sur les noms des personnes et rien d'autre ne suit le standard car c'est une forme de cryptage. Cette discussion est utile donc je vais modifier ma réponse pour l'inclure afin qu'elle ne soit pas perdue.

Jim B
la source
1

Vous pouvez essayer la passerelle de chiffrement de messagerie Djigzo (avertissement: je suis l'auteur de Djigzo). Djigzo Email Encryption Gateway est un serveur de messagerie (MTA) open source à gestion centralisée basé sur des normes open source qui crypte et décrypte vos e-mails entrants et sortants au niveau de la passerelle. Djigzo Email Encryption Gateway prend actuellement en charge deux normes de cryptage: S / MIME et le courrier électronique crypté PDF. S / MIME fournit l'authentification, l'intégrité et la non-répudiation des messages (à l'aide de certificats X.509) et une protection contre l'interception des messages. S / MIME utilise le cryptage à clé publique (PKI) pour le cryptage et la signature. Le cryptage PDF peut être utilisé comme une alternative légère au cryptage S / MIME. PDF vous permet de décrypter et de lire des documents PDF cryptés. Les documents PDF peuvent même contenir des pièces jointes intégrées dans le PDF crypté.

Djigzo Email Encryption Gateway possède une autorité de certification intégrée que vous pouvez utiliser pour émettre des certificats X.509 pour les utilisateurs internes et externes. L'utilisateur externe peut utiliser le certificat avec n'importe quel client de messagerie compatible S / MIME comme Outlook, Outlook express, Lotus Notes, Thunderbird, Gmail etc.

Étant donné que Djigzo Email Encryption Gateway fonctionne comme un serveur de messagerie SMTP général, il est compatible avec les infrastructures de messagerie existantes telles que Microsoft Exchange et Lotus Notes. Djigzo peut être installé à l'aide de l'un des packages fournis pour Ubuntu Linux, Debian, Red Hat et CentOS. Un "Virtual Appliance" prêt à fonctionner pour VMware ESX et Workstation est disponible.

Parce qu'il est open source, il peut être utilisé librement. Les sources et les packages binaires peuvent être téléchargés à partir de notre site Web (www.djigzo.com).

user43368
la source
J'ai installé Djigzo hier. Avec Ubuntu 12.04, c'était vraiment facile (eu des problèmes avec 12.10). Il est destiné à être utilisé comme passerelle de chiffrement et fonctionne très bien. Mais il était assez simple de l'intégrer à un serveur Postfix existant, il n'y a donc pas besoin d'un serveur séparé pour héberger la passerelle de cryptage si vous utilisez déjà Postfix.
David
1

En fait, la loi dit de crypter les données sensibles, pas nécessairement le message. Si les données sont un fichier (et elles le sont effectivement), la méthode la plus simple est de loin de simplement crypter le fichier.

En supposant que votre objectif est une solution extrêmement facile à utiliser et à déployer qui fonctionnera sur votre clientèle diversifiée ....

L'assistant de chiffrement de l'US Air Force Research Lab ( http://spi.dod.mil/ewizard.htm ) est un chiffreur de fichiers simple et gratuit, accrédité par le DoD. Il gère les mots de passe, les cartes à puce et les certificats. Sa suppression sécurisée peut effacer le fichier senstive d'un ordinateur public.

À part Java, il n'y a rien à installer ou à configurer sur les deux ordinateurs - il suffit d'exécuter le fichier .jar. L'assistant de chiffrement s'exécute sur Mac, Windows, Linux, Sun et d'autres systèmes d'exploitation qui exécutent Oracle Java.

Avec EW, à partir de zéro, vous pouvez crypter et envoyer un fichier avec en une minute et le destinataire peut décrypter dans le même laps de temps (en supposant que vous utilisez un certificat ou appelez la personne avec le mot de passe).

Il existe de meilleures grandes solutions intra-entreprise, mais nous n'avons rien trouvé de mieux qui peut fonctionner à peu près tout le monde partout à tout moment.

Kevin
la source