A maneira mais fácil de enviar email criptografado?

Para cumprir a nova lei de proteção de informações pessoais de Massachusetts, minha empresa precisa (entre outras coisas) garantir que, sempre que as informações pessoais forem enviadas por e-mail, sejam criptografadas. Qual é a maneira mais fácil de fazer isso? Basicamente, estou procurando algo que exija o mínimo de esforço por parte do destinatário. Se possível, eu realmente quero evitar que eles tenham que baixar um programa ou seguir todas as etapas para gerar um par de chaves, etc. Portanto, coisas do tipo GPG da linha de comando não são uma opção. Usamos o Exchange Server e o Outlook 2007 como nosso sistema de email.

Existe um programa que podemos usar para criptografar facilmente um email e depois enviar por fax ou ligar para o destinatário com uma chave? (Ou talvez nosso e-mail possa incluir um link para nosso site contendo nossa chave pública, que o destinatário pode fazer o download para descriptografar o e-mail?) Não teremos que enviar muitos desses e-mails criptografados, mas as pessoas que os enviarão o farão. não seja particularmente técnico, por isso quero que seja o mais fácil possível. Qualquer receita para bons programas seria ótimo. Obrigado.

Tivemos que passar por algo semelhante com nossos clientes para PCI. A melhor maneira seria usar alguma versão do PGP / GPG.

Agora, dito isso, realmente não é tão doloroso quanto você pensa. Fizemos isso com centenas de usuários não técnicos. O que fizemos foi escolher dois produtos - o GPG gratuito (que a Kronick afirma ter interfaces gráficas), bem como o pagamento pelo software PGP. Escrevemos uma documentação muito boa que poderia ser enviada aos nossos clientes, instruindo-os a usar o software que eles escolheram, bem como treinamos nossos gerentes de conta sobre solução básica de problemas e como usar o software.

Isso manteve 95% dos problemas que os clientes enfrentam fora da fila de TI. Para os outros 5%, disponibilizamos recursos de TI para responder perguntas e, no pior dos casos, fazer uma ligação para ajudar o cliente.

Como alternativa, também compramos algumas licenças do winzip para que pudéssemos usar a criptografia AES incorporada com uma frase secreta. O software PGP comercial tem a capacidade de criar um arquivo criptografado que é aberto apenas por senha. Embora honestamente o uso do PGP tenha funcionado tão bem, acho que só crio esses tipos de arquivos 2 ou 3 vezes por ano.

Não seria mais fácil que eles verificassem um site com os dados criptografados via SSL, com um botão para imprimir os dados? Dessa forma, você não está transmitindo nada e está no controle da disseminação dos dados.

Qualquer coisa com e-mail provavelmente será muito difícil para seus usuários; eles envolverão a geração de chaves ou o download de um chaveiro ou outras coisas que os usuários acharão um aborrecimento ou confusão. Seus custos de suporte aumentarão, a menos que os usuários desistam de frustração.

Ele só precisa ser criptografado em trânsito (SMTP / TLS) ou também em armazenamento / nos pontos de extremidade (PGP, etc.)?

Trabalhando com legislações semelhantes, geralmente configurei o PKI / SMTP / TLS entre duas ou mais organizações que frequentemente enviam / recebem informações privadas / protegidas; Acabei de configurar um smarthost em cada organização que corresponda aos domínios em questão para rotear emails por meio de um túnel VPN site a site, quando aplicável, ou usei SMTP / TLS para criptografar os emails em trânsito com o Exchange.

Você deve dar uma olhada no Secure Messaging with S / MIME e OWA no Exchange Server 2007 SP1 Se você deseja criptografar a mensagem. Essa solução também requer uma etapa extra, pois os usuários devem selecionar o botão de criptografia (provavelmente também não é legal, pois é necessário supor que todos os usuários nunca cometerão um erro e não criptografarão um email que eles deveriam ter.) Caso contrário, todos o que você precisa fazer é garantir que os destinos que você deseja enviar as PII de Massachusetts estejam usando TLS (você é obrigado a ter essas informações, pois deve examinar todos os que pode enviar o Mass.PII conforme CMR 17.04). Provavelmente, você também deve escrever uma regra de transporte que use um regex para procurar PII em massa. As PII de Massachusetts são definidas como uma combinação do nome e sobrenome de um residente conectado a um dos seguintes: Número da carteira de motorista, número do cartão de crédito ou número do Seguro Social.

Fora de tópico, mas germaine ...

Nota para quem está lendo isso e pensando que tem sorte de não morar em MA, surpresa! Se você armazenar as informações pessoais de um residente em Massachusetts, independentemente de ter ou não uma presença comercial em Massachusetts, você estará sujeito às penalidades estabelecidas em 201 CMR 17.00. que pode custar US $ 100,00 perdidos, com um máximo de US $ 50 mil por "incidente". A Lei Geral do MA 93H declara que haverá uma multa de US $ 5.000 por "violação". O que exatamente isso significa? Acho que ninguém sabe e não sabe até que alguém seja atingido.

É importante notar que este não é um tópico fácil - aqui está o conteúdo de uma discussão entre mim e Zypher sobre sua resposta:

eu: o uso de qualquer tipo de opção de usuário final abre a responsabilidade, ao contrário da PCI, a lei exige que você esteja atento a quaisquer problemas razoáveis ​​(como o usuário joe que não usa a tecnologia)

Zypher: usando pgp se o usuário não fornecer uma chave, você não enviará a eles. Basicamente, eles são forçados a usá-lo - nesse caso de uso - caso contrário, A) não obtém os dados ou B) não consegue ler os dados.

eu: como você pode garantir que todos os usuários que enviam os dados criptografem todos os emails? Assim como uma solução SMIME, você deve optar por criptografar seu email, ele não pode ser forçado - ou estou faltando alguma coisa?

Zypher: É bem simples: se você enviar um e-mail contendo informações que precisam ser criptografadas sem criptografá-las, você será demitido por uma causa (nos estados à vontade isso significa que não há desemprego). Nem tudo precisa ser uma solução técnica. Com a pergunta, isso não será feito com muita frequência; portanto, uma solução mais envolvida provavelmente não vale o custo / benefício. Se eles precisassem fazer isso o dia todo, todos os dias, eu recomendaria não usar e-mail e mudar para formulários on-line sobre SSL.

eu: IANAL - mas estou preso a ouvi-los, a lei está efetivamente afirmando que deve ser uma solução técnica - "mas eu tinha uma política" é uma evidência de fato de que um desses problemas "razoavelmente previsíveis" que você deve mitigar não foi mitigado. Disciplinar os infratores também já faz parte da lei. Dê uma olhada nesta discussão informationweek.com/blog/main/archives/2009/02/…

Zypher: Na verdade, se você ler 17.03.2.b (aqui: mass.gov/Eoca/docs/idtheft/201CMR1700reg.pdf ) Eu tenho uma política e treinei meu pessoal nela, assim como ter medidas disciplinares é perfeitamente defensável. De fato, a única menção a uma solução técnica é para impedir que funcionários demitidos acessem registros. IAANAL (Também não sou advogado).

eu: - 1,2,3 são simplesmente coisas que se espera que sejam incluídas, não soluções definitivas, 2b é a formulação específica que se aplica (trapacei e perguntei a um advogado). Se você tiver que dizer "eu posso defender isso", os tribunais provavelmente o esmagarão. Com problemas de conformidade, você precisa provar que está seguindo os regulamentos. Os regs dizem especificamente "previsível". Se você se posicionar no tribunal e disser "bem, se alguém quebrasse a política, seria demitido" a acusação simplesmente diria "Então você admite que previu uma maneira de violar essa política e não tomou medidas razoáveis ​​para remover o problema?"

Zypher: Maldito seja por traição. Bem, agora temos que definir razoável também, razoável para minha empresa (grandes multinacionais com mais de 100 mil funcionários) não é o mesmo que para uma mãe e uma loja pop. Mas, nesse mesmo sentido, acho que estamos nos afastando demais do mandato de perguntas e respostas do site ... o que é lamentável, porque essa discussão forneceu algumas boas idéias.

eu: é "razoavelmente previsível", não "razoavelmente seguro" ou mesmo razoável de implementar. Lembre-se de que, legalmente, usar rot13 nos nomes das pessoas e nada mais segue o padrão, pois é uma forma de criptografia. Esta discussão é útil, por isso editarei minha resposta para incluí-la para que não se perca.

O GPG possui utilitários para janelas e plug-ins para o cliente de email (principalmente outlook e eudora): http://openpgp.vie-privee.org/gnupg-win.htm Ele atenderá às suas necessidades, espero, já que você só precisa clicar com o botão direito do mouse e "encrypt", nenhuma CLI é necessária :)

Você pode tentar o gateway de criptografia de email do Djigzo (aviso: sou o autor do Djigzo). O Djigzo Email Encryption Gateway é um servidor de email gerenciado centralmente (MTA) de código aberto baseado em padrões de código aberto que criptografa e descriptografa seu email de entrada e saída no nível do gateway. O Djigzo Email Encryption Gateway atualmente suporta dois padrões de criptografia: email criptografado S / MIME e PDF. O S / MIME fornece autenticação, integridade de mensagens e não repúdio (usando certificados X.509) e proteção contra interceptação de mensagens. O S / MIME usa criptografia de chave pública (PKI) para criptografia e assinatura. A criptografia PDF pode ser usada como uma alternativa leve à criptografia S / MIME. O PDF permite descriptografar e ler documentos PDF criptografados. Os documentos PDF podem até conter anexos incorporados no PDF criptografado.

O Djigzo Email Encryption Gateway possui uma CA interna que você pode usar para emitir certificados X.509 para usuários internos e externos. O usuário externo pode usar o certificado com qualquer cliente de e-mail compatível com S / MIME, como Outlook, Outlook Express, Lotus Notes, Thunderbird, Gmail etc.

Como o Djigzo Email Encryption Gateway funciona como um servidor de email SMTP geral, ele é compatível com as infraestruturas de email existentes, como o Microsoft Exchange e o Lotus Notes. O Djigzo pode ser instalado usando um dos pacotes fornecidos para Ubuntu Linux, Debian, Red Hat e CentOS. Um "Virtual Appliance" pronto para executar para VMware ESX e Workstation está disponível.

Por ser de código aberto, pode ser usado livremente. Fontes e pacotes binários podem ser baixados do nosso site (www.djigzo.com).

Na verdade, a lei diz para criptografar os dados sensíveis, não necessariamente a mensagem. Se os dados são um arquivo (e geralmente são), o método mais fácil é apenas criptografar o arquivo.

Assumindo que seu objetivo é uma solução extremamente fácil de usar e implantar, que funcionará em sua base de clientes diversificada ....

O Assistente de Criptografia do Laboratório de Pesquisa da Força Aérea dos EUA ( http://spi.dod.mil/ewizard.htm ) é um criptografador simples e gratuito, credenciado pelo DoD. Ele lida com senhas, cartões inteligentes e certificados. Sua Exclusão segura pode limpar o arquivo sensível de um computador público.

Além de ter Java, não há nada para instalar ou configurar em qualquer computador - basta executar o arquivo .jar. O Assistente de Criptografia é executado no Mac, Windows, Linux, Sun e outros SO que executam o Oracle Java.

Com o EW, do zero, você pode criptografar e enviar um arquivo em um minuto e o destinatário pode descriptografar na mesma quantidade de tempo (supondo que você use um certificado ou ligue para a pessoa com a senha).

Existem melhores soluções intra-empresariais grandes, mas não encontramos nada melhor que funcione para praticamente todo mundo em qualquer lugar a qualquer momento.