Korunan iletişimin kalitesi çok önemlidir. Gönderilen materyal çok hassassa ve mevzuat ve/veya politika yüksek güvenlik gerektiriyorsa fırsatçı şifreleme yeterli olmayabilir. Kuruluşlar için hangi e-posta şifreleme çözümünün kullanılacağına karar vermek genellikle o kadar basit değildir ve genel olarak konuşursak, tek bir doğru cevap yoktur.
Burada farklı seçenekleri ve şifreleme yöntemlerinin bir kombinasyonunun cevap olup olmadığını tartışacağız.
Kuruluşlar neden şifrelemeye ihtiyaç duyar?
Bir e-posta mesajını şifrelemek, yetkisiz kişilerin onu okuyamamasını sağlar. Uygun yetkiye sahip olmayan herhangi bir taraf için mesaj çözülemez görünecektir.
Kuruluşlar için, potansiyel olarak hassas bilgilerin meraklı gözlere ulaşmasını engellemek için mesaj gizliliği çok önemlidir. Ayrıca, mesajın bütünlüğünü ve gönderenin kimliğini doğrulayabilmelidirler – bu olmadan sahte mesajlar gönderilebilir.
E-posta üzerinden gizli iletişimin temeli, hem gönderenin hem de alıcının, ana işletim sistemini sağlamlaştırarak, istemci güvenliği, EDR, XDR vb. kullanarak kendi yerel sistemlerini güvence altına almış olmasıdır.
Farklı seçeneklerin farklı faydaları ve zorlukları vardır
En iyi çabayla fırsatçı şifreleme Outlook İleti Şifreleme (OME) gibi yöntemler ve çeşitli üçüncü taraf çözümler (e-posta şifreleme ağ geçitleri, eklentiler ve benzerleri) kolay kullanım avantajına sahiptir. Ayrıca e-posta programlarına (Outlook İleti Şifreleme gibi) şeffaf bir şekilde entegre edilebilirler ve ileti aynı sistemi çalıştırmayan bir kullanıcıya gönderilirse önceden anahtar değişimine gerek kalmadan yeni insanlarla iletişim kurmayı kolaylaştırırlar. , mesajı açmak için bir portal genellikle görünüme yerleştirilir.
Ek olarak, örneğin belirli ekler için otomatik şifreleme gibi belirlenmiş kurallara bağlı olarak, şifrelemeyi otomatik olarak zorunlu kılan kurallarla genellikle giden e-posta sunucusuna entegre edilebilirler.
Bununla birlikte, yetkisiz bir tarafın mesaja önce erişim sağlaması durumunda mesajın şifresini çözme olasılığı vardır. E-posta teslim sürecinin STARTTLS ve benzeri fırsatçı şifreleme şemalarına bağlı olması nedeniyle e-posta iletişiminin kendisinin şifrelenmesi garanti edilmediğinden, bu gerçek bir tehdit oluşturur. Bu, güvenliği artırmaya yardımcı olabilecek SMS PIN kodu gibi 2FA eklenerek hafifletilebilir (tabii ki, gönderirken alıcının cep telefonu numarası bilinmelidir). Ve birçok durumda, gönderenin kimliğini güvenilir bir şekilde tespit etmek de önemlidir: Sonuçta, herhangi biri mesaj gönderebiliyorsa, gerçek bir göndereni sahtekardan nasıl ayırt edebilirsiniz?
Tam şifreleme S/MIME ve PGP/GPG gibi yöntemler, gönderenin kimliğini doğrulama olasılığı nedeniyle yalnızca alıcının e-posta mesajının şifresini çözebileceği tam bir gizlilik sağlar. Ancak, bu yöntemi kullanırken birkaç sorun ortaya çıkıyor. Anahtarların dağıtılması, değiştirilmesi ve güncel tutulması gereken durumlarda anahtar yönetimine ihtiyaç vardır. Alıcının genellikle gönderenle aynı çözümü kullanması gerektiğinden sınırlı destek de vardır.
Yalnızca belirli bir ilgili kişi alt kümesi genellikle bu çözümü kullanır, bu da alıcıya/alıcılara bağlı olarak birden fazla çözüm kullanma ihtiyacına yol açar. Bu aynı zamanda belirli bir alıcı için hangi çözümün kullanılabileceğini ve çözümün gönderilen malzeme için yeterince güvenli olup olmadığını belirlemek için ekstra çaba gerektirir. Bu, “yalnızca imzala” veya “imzala ve şifrele” gibi farklı, kafa karıştırıcı seçeneklere sahip karmaşık bir kullanıcı arayüzüne yol açabilir. Yanlış seçeneği seçmek veya daha da kötüsü, şifrelemeyi kullanmayı tamamen unutmak oldukça kolay hale gelir (çünkü genellikle özel olarak seçilmesi gerekir).
Son zamanlarda Google, S/MIME’yi Gmail ile “E2EE” veya “istemci tarafı şifreleme” olarak kullanma seçeneği sunmaya başladı. Bu seçenek şu anda beta testindedir ve yalnızca sınırlı kitleler için kullanılabilir. Ancak bu, özellikle ücretsiz Gmail katmanları için kullanıma sunulduğunda, S/MIME şifrelemesinin daha geniş çapta benimsenmesine neden olabileceğinden önemli bir gelişmedir.
Tehdit modeli karar verir
En iyi çözüm nedir? S/MIME veya PGP/GPG çekici çözümler gibi görünebilir, ancak anahtar yönetimindeki zorluklar ve bunları kullanmak üzere insanları eğitmedeki zorluk, yetersiz benimsemeye yol açabilir. Çoğu iletişim için daha az güvenli bazı çözümler kullanılabilirken, diğer alıcılar için S/MIME veya GPG/PGP gibi daha güvenli çözümler kullanılabilir.
Daha güvenli çözümleri kullanması gereken kullanıcılara, daha güvenli yöntemin ne zaman gerekli olduğunu belirleme ve çözümü doğru bir şekilde nasıl kullanacakları (anahtar yönetimi ve şifreli e-posta gönderme ve alma alıştırması gibi) konusunda talimat verilmelidir. Nihayetinde belirli kuruluşun talepleri ve kullanım örnekleri, ihtiyaç duyulabilecek çözümleri belirler.