¿La forma más fácil de enviar correos electrónicos encriptados?

Para cumplir con la nueva ley de protección de información personal de Massachusetts, mi empresa debe (entre otras cosas) asegurarse de que cada vez que se envíe información personal por correo electrónico, esté encriptada. ¿Cuál es la forma más fácil de hacer esto? Básicamente, estoy buscando algo que requiera la menor cantidad de esfuerzo por parte del destinatario. Si es posible, realmente quiero evitar que tengan que descargar un programa o seguir cualquier paso para generar un par de claves, etc. Así que la línea de comandos tipo GPG no es una opción. Utilizamos Exchange Server y Outlook 2007 como nuestro sistema de correo electrónico.

¿Existe algún programa que podamos usar para cifrar fácilmente un correo electrónico y luego enviar un fax o llamar al destinatario con una clave? (¿O tal vez nuestro correo electrónico puede incluir un enlace a nuestro sitio web que contiene nuestra clave pública, que el destinatario puede descargar para descifrar el correo?) No tendremos que enviar muchos de estos correos electrónicos cifrados, pero las personas que los enviarán no sea particularmente técnico, por lo que quiero que sea lo más fácil posible. Cualquier grabación para buenos programas sería genial. Gracias.

Hemos tenido que pasar por algo similar con nuestros clientes para PCI. La mejor manera sería usar alguna versión de PGP / GPG.

Dicho esto, realmente no es tan doloroso como piensas. Lo hemos hecho con cientos de usuarios no técnicos. Lo que hicimos fue elegir dos productos: el GPG gratuito (que Kronick afirma que tiene interfaces de usuario de interfaz gráfica de usuario), así como el pago por el software PGP. Redactamos una documentación realmente buena que podría enviarse a nuestros clientes para instruirlos sobre cómo usar el software que eligieron, así como capacitar a nuestros Gerentes de cuenta en la solución de problemas básicos y cómo usar el software.

Eso ha mantenido el 95% de los problemas que enfrentan los clientes fuera de la cola de TI. Para el otro 5%, pusimos a disposición recursos de TI para responder preguntas, y en el peor de los casos, llamamos para ayudar al cliente.

Como alternativa, también compramos algunas licencias de winzip para poder usar el cifrado AES integrado con una frase de paso. El software comercial PGP tiene la capacidad de crear un archivo cifrado que también se abre mediante frase de contraseña. Aunque honestamente usar PGP ha funcionado tan bien, creo que solo creo este tipo de archivos 2 o 3 veces al año.

¿No sería más fácil hacer que revisen un sitio web con los datos encriptados a través de SSL, con un botón para imprimir los datos en su extremo? De esa manera, no está transmitiendo nada y tiene el control de la difusión de los datos.

Cualquier cosa con correo electrónico probablemente será demasiado difícil para sus usuarios; implicarán la generación de claves o la descarga de un llavero u otras cosas que los usuarios encontrarán como una molestia o confusión. Sus costos de soporte se dispararán, a menos que los usuarios simplemente se den por vencidos por la frustración.

¿Solo necesita ser encriptado en tránsito (SMTP / TLS), o también en almacenamiento / en los puntos finales (PGP, etc.)?

Trabajando con legislaciones similares, generalmente configuré PKI / SMTP / TLS entre dos o más organizaciones que frecuentemente envían / ​​reciben información privada / protegida; Acabo de configurar un servidor inteligente en cada organización que coincida con los dominios en cuestión para enrutar el correo a través de un túnel VPN de sitio a sitio cuando corresponda o utilicé SMTP / TLS para cifrar el correo en tránsito con Exchange.

Debe echar un vistazo a la mensajería segura con S / MIME y OWA en Exchange Server 2007 SP1 Si quieres encriptar el mensaje. Esta solución también requiere un paso adicional ya que los usuarios deben seleccionar el botón de cifrado (probablemente tampoco sea legal, ya que de alguna manera deben suponer que todos los usuarios nunca cometerán un error y no cifrarán un correo electrónico que deberían tener). De lo contrario, todos lo que debe hacer es asegurarse de que los destinos a los que desea enviar PII de Massachusetts estén utilizando TLS (debe tener esa información, ya que debe examinar a todas las personas a las que pueda enviar Mass.PII según CMR 17.04). Probablemente también deba escribir una regla de transporte que use una expresión regular para buscar PII masiva. Massachusetts PII se define como una combinación del nombre y apellido de un residente conectado a uno de los siguientes: un número de licencia de conducir, un número de tarjeta de crédito o un número de Seguro Social.

Fuera de tema pero germaine ...

Nota para aquellos que leen esto y piensan que tienes suerte de no vivir en MA, ¡Sorpresa! Si almacena la información personal de un residente de Massachusetts, independientemente de si tiene o no una presencia comercial en Massachusetts, está sujeto a las sanciones establecidas en 201 CMR 17.00. lo que podría costar $ 100 perdidos, con un máximo de $ 50K por "incidente". La Ley General 93H de MA establece que habrá una multa de $ 5,000 por "violación". ¿Qué significa eso exactamente? No creo que nadie lo sepa y no lo sepa hasta que alguien lo golpee.

Es importante tener en cuenta que este no es un tema fácil: aquí está el contenido de una discusión entre Zypher y yo sobre su respuesta:

yo: el uso de cualquier tipo de opción para el usuario final lo abre a responsabilidad, a diferencia de PCI, la ley requiere que esté pendiente de cualquier problema razonable (como el usuario Joe que no usa la tecnología)

Zypher: usando pgp si el usuario no te da una clave, no se la envías. Básicamente, se ven obligados a usarlo, en este caso de uso, de lo contrario A) No obtienen los datos o B) no pueden leer los datos.

yo: ¿cómo puede asegurarse de que cada usuario que envíe los datos cifre cada correo electrónico? Al igual que una solución SMIME, debe elegir cifrar su correo electrónico, no se puede forzar, ¿o me estoy perdiendo algo?

Zypher: Es bastante simple, si envía un correo electrónico que contiene información que necesita ser encriptada sin encriptarla, es despedido por causa (a voluntad indica que esto significa que no hay desempleo). No todo tiene que ser una solución técnica. A partir de la pregunta, esto no se hará con demasiada frecuencia, por lo que una solución más complicada probablemente no valga la pena el costo / beneficio. Si necesitaran hacer esto todo el día todos los días, recomendaría no usar el correo electrónico y pasar a los formularios en línea a través de SSL.

yo: IANAL, pero estoy atascado escuchándolos, la ley afirma efectivamente que tiene que ser una solución técnica- "pero tenía una política" es evidencia de facto de que uno de esos problemas "razonablemente previsibles" se supone que debes mitigar No fue mitigado. Disciplinar a los infractores también es parte de la ley. Eche un vistazo a esta discusión informationweek.com/blog/main/archives/2009/02/…

Zypher: En realidad, si lees 17.03.2.b (aquí: mass.gov/Eoca/docs/idtheft/201CMR1700reg.pdf ) Tengo una política y capacité a mi gente en eso, además de tener medidas disciplinarias es realmente perfectamente defendible. De hecho, la única mención de una solución técnica es para evitar que los empleados despedidos accedan a los registros. IAANAL (Yo tampoco soy abogado).

yo: - 1,2,3 son simplemente cosas que se espera que se incluyan, no soluciones definitivas, 2b es la redacción específica que se aplica (hice trampa y pregunté a un abogado). Si tiene que decir "Puedo defender eso", los tribunales probablemente lo aplastarán. Con problemas de cumplimiento, tiene que demostrar que está siguiendo las normas. Las reglas dicen específicamente "previsible". Si se pone de pie en la corte y dice "bueno, si alguien viola la política, será despedido", la acusación simplemente dirá "Así que admite que previó una forma de violar esta política y no tomó medidas razonables para eliminar ¿la cuestión?"

Zypher: Maldita seas por hacer trampa. Bueno, ahora tenemos que definir lo razonable, lo razonable para mi empresa (grandes multinacionales con más de 100 mil empleados) no es lo mismo que para una mamá y una tienda pop. Pero en ese mismo token, creo que nos estamos alejando demasiado del mandato de preguntas y respuestas del sitio ... lo cual es lamentable porque esta discusión ha proporcionado una buena idea.

yo: es "razonablemente previsible", no "razonablemente seguro" o incluso razonable implementarlo. Recuerde que legalmente, usando rot13 en los nombres de las personas y nada más sigue el estándar porque es una forma de encriptación. Esta discusión es útil, así que editaré mi respuesta para incluirla para que no se pierda.

GPG tiene utilidades para Windows y complementos para el cliente de correo electrónico (principalmente Outlook y Eudora): http://openpgp.vie-privee.org/gnupg-win.htm Esperamos satisfacer sus necesidades, ya que solo tiene que hacer clic derecho y "cifrar", no requiere CLI :)

Puede probar la puerta de enlace de cifrado de correo electrónico de Djigzo (descargo de responsabilidad: soy el autor de Djigzo). Djigzo Email Encryption Gateway es un servidor de correo electrónico de administración central (MTA) de código abierto basado en estándares de código abierto que cifra y descifra su correo electrónico entrante y saliente a nivel de puerta de enlace. Djigzo Email Encryption Gateway actualmente admite dos estándares de cifrado: S / MIME y correo electrónico cifrado en PDF. S / MIME proporciona autenticación, integridad de mensajes y no repudio (utilizando certificados X.509) y protección contra la intercepción de mensajes. S / MIME utiliza el cifrado de clave pública (PKI) para el cifrado y la firma. El cifrado de PDF se puede utilizar como una alternativa ligera al cifrado S / MIME. PDF le permite descifrar y leer documentos PDF encriptados. Los documentos PDF pueden incluso contener archivos adjuntos incrustados en el PDF cifrado.

Djigzo Email Encryption Gateway tiene una CA incorporada que puede usar para emitir certificados X.509 para usuarios internos y externos. El usuario externo puede usar el certificado con cualquier cliente de correo electrónico compatible con S / MIME como Outlook, Outlook express, Lotus Notes, Thunderbird, Gmail, etc.

Debido a que Djigzo Email Encryption Gateway funciona como un servidor de correo electrónico SMTP general, es compatible con las infraestructuras de correo electrónico existentes como Microsoft Exchange y Lotus Notes. Djigzo se puede instalar usando uno de los paquetes provistos para Ubuntu Linux, Debian, Red Hat y CentOS. Está disponible un "dispositivo virtual" listo para ejecutar para VMware ESX y Workstation.

Debido a que es de código abierto, se puede usar libremente. Las fuentes y los paquetes binarios se pueden descargar desde nuestro sitio web (www.djigzo.com).

En realidad, la ley dice que encripte los datos sensibles, no necesariamente el mensaje. Si los datos son un archivo (y usualmente lo es), el método más fácil con diferencia es cifrar el archivo.

Asumir que su objetivo es una solución extremadamente fácil de usar e implementar que funcionará en su diversa base de clientes ...

El Asistente de cifrado del Laboratorio de investigación de la Fuerza Aérea de los EE. UU. ( Http://spi.dod.mil/ewizard.htm ) es un cifrador de archivos gratuito, acreditado por el Departamento de Defensa. Maneja contraseñas, tarjetas inteligentes y certificados. Su eliminación segura puede borrar el archivo sensible de una computadora pública.

Además de tener Java, no hay nada que instalar o configurar en ninguna de las computadoras, solo ejecute el archivo .jar. El Asistente de cifrado se ejecuta en Mac, Windows, Linux, Sun y otros sistemas operativos que ejecutan Oracle Java.

Con EW, desde cero puede cifrar y enviar un archivo en un minuto y el solicitante puede descifrar en la misma cantidad de tiempo (suponiendo que use un certificado o llame a la persona con la contraseña).

Hay mejores soluciones grandes e intraempresariales, pero no encontramos nada mejor que pueda funcionar para casi todos en cualquier lugar y en cualquier momento.