BatPost – почтовый сервер

Управление сертификатами

Получение сертификата

Сертификат S/MIME можно получить в специальном центре сертификации либо создать самоподписанный сертификат. Создать сертификат можно во внутренней реализации The Bat! Для этого необходимо перейти в меню Ящик -> Свойства почтового ящика -> Общие сведения и нажать кнопку Сертификаты.

В появившемся диалоговом окне необходимо нажать кнопку Создать и отредактировать элементы сертификата. По завершении процесса создания сертификата введите и подтвердите пароль для защиты сертификата.

Получатель подписанного вами письма должен будет добавить ваш самоподписанный сертификат в хранилище сертификатов лишь однажды. Вы можете также заверить созданный вами сертификат в центре сертификации.

Вы можете не создавать сертификат в The Bat!, а получить его в специальном центре сертификации. Когда вы получите сертификат из центра сертификации, импортируйте его. The Bat! автоматически свяжет его с вашим секретным ключом. Теперь вы можете удалить исходный авто-подписанный сертификат и использовать сертификат, выданный центром сертификации, для расшифровки и подписи писем.

Просмотр сертификатов

Чтобы просмотреть сертификаты ваших контактов, откройте Адресную книгу (горячая клавиша F8), выделите контакт и перейдите в меню Правка -> Свойства. Перейдите на вкладку Сертификаты и просмотрите нужный сертификат.

Собственные сертификаты можно просмотреть в меню Ящик -> Свойства почтового ящика -> Общие сведения -> Сертификаты. Выделите сертификат и нажмите кнопку Просмотреть.

На вкладке Состав можно увидеть версию и серийный номер сертификата, алгоритм подписи – метод расчёта, используемый при создании подписи с помощью этого сертификата, данные о сроке действия сертификата, поставщике, который выпустил данный сертификат, и о субъекте – имени и электронном адресе, связанных с сертификатом.

На вкладке Путь сертификации можно просмотреть иерархию доверия к сертификату вплоть до центра сертификации.

Экспорт сертификата

В The Bat! при использовании внутренней реализации S/MIME можно экспортировать сертификаты в файл (например, для импорта в другую программу или другую установку The Bat!).

Чтобы экспортировать сертификат перейдите в меню Инструменты -> Адресная книга (горячая клавиша F8), выделите контакт и перейдите в его Свойства (Правка -> Свойства). На вкладке Сертификаты выберите нужный сертификат и нажмите кнопку Экспортировать. Сертификаты можно экспортировать в широко распространенные открытые форматы:

• Personal Information Exchange – PKCS #12 (.PFX). Этот формат позволяет экспортировать группу сертификатов, а также их личные ключи, которые шифруются теми же паролями, что и в The Bat!; сами сертификаты не шифруются. Соответствует PKCS 12 v1.0: Personal Information Exchange Syntax (разработан RSA Laboratories)
• Cryptographic Message Syntax – PKCS #7 (.P7B). Формат позволяет экспортировать группу сертификатов в файл, основанный на формате подписанного письма (которое не содержит текста самого письма или подписи, а только прикрепленные сертификаты). Он содержит только сертификаты, но не личные ключи. Это наиболее распространенный формат. Соответствует стандарту RFC- 2630 (Cryptographic Message Syntax).
• DER-кодированный двоичный файл X.509 (.CER). Этот формат допускает экспорт только одного сертификата, экспорт личных ключей невозможен. Выходной файл содержит один X.509-сертификат, кодированный в соответствии с алгоритмом DER, сертификат не шифруется. Если сертификат содержит личный ключ, то ключ может быть экспортирован в отдельный двоичный файл, в незашифрованном виде, в соответствии с PKCS#1 DER-encoded RSA. Внимание: Не все программы поддерживают такой формат.
• Base64-кодированный текстовый файл X.509 (.CER). Формат основывается на DER-кодированном двоичном файле X.509, но дополнительно закодирован по схеме Base64. Файл содержит только видимые символы и может быть легко присоединен к письму или размещен на веб-сайте. Этот формат широко распространен. Личные ключи могут быть экспортированы в отдельные текстовые файлы.

При экспорте можно активировать также следующие параметры:

• Включить по возможности все сертификаты в путь сертификата

Активировать данную опцию необходимо для того, чтобы сертификат впоследствии можно было проверить – это будет возможно при наличии полной иерархии сертификатов вплоть до центра сертификации.

Внимание: Этот параметр совместим только с форматами экспорта, поддерживающими несколько сертификатов в одном файле.

• Экспортировать также и личные ключи

Данная опция не поддерживается в стандарте Cryptographic Message Syntax – PKCS #7 (.P7B). Если вы экспортируйте собственный сертификат, чтобы отправить его корреспондентам и получать зашифрованные этим сертификатом письма, то личный ключ экспортировать не нужно – он должен храниться только у вас.

Импорт сертификата

Импортировать сертификат в The Bat! можно несколькими способами:

Способ 1
Откройте письмо с сертификатом и просмотрите сертификат, щёлкнув на значке , расположенном в правой части панели заголовков. Выберите из списка сертификат и нажмите кнопку Просмотр. На вкладке Общие необходимо нажать кнопку Добавить в адрес. книгу, чтобы импортировать соответствующий сертификат. Когда вы в следующий раз получите письмо, подписанное этим сертификатом, на панели заголовков появится значок , расположенном в правой части панели заголовков. Выберите из списка сертификат и нажмите кнопку Просмотр. На вкладке Общие необходимо нажать кнопку Добавить в адрес. книгу, чтобы импортировать соответствующий сертификат. Когда вы в следующий раз получите письмо, подписанное этим сертификатом, на панели заголовков появится значок , означающий, что подпись действительна.

Способ 2

Импортировать сертификат можно также непосредственно в Адресной книге. Перейдите в Адресную книгу (горячая клавиша F8), выделите контакт, чей сертификат будет импортирован, и откройте его Свойства двойным нажатием левой кнопки мышки. Перейти в Свойства контакта можно также в меню Правка -> Свойства. На вкладке Сертификаты нажмите кнопку Импортировать и выберите файл, содержащий сертификат.

Внутренняя реализация S/MIME

Чтобы использовать внутреннюю реализацию S/MIME выберите в меню Свойства -> S/MIME и TLS опцию Внутренняя в разделе Реализация S/MIME и сертификаты TLS.

Различие между внутренней реализацией и Microsoft CryptoAPI состоит в том, что в первом случае The Bat! не использует внешнего программного кода. Это означает, что встроенная реализация будет одинаково работать на различных версиях Windows. Однако этот вариант будет недостаточно гибким, если вам необходимо использовать различные алгоритмы шифрования сторонних производителей или специальные аппаратные криптографические устройства.

В зависимости от выбранного варианта доступны различные наборы настроек.

Всегда шифровать отправителю
При включении этой опции The Bat! будет шифровать все письма собственным ключом – в этом случае вы сможете прочесть отправленные письма.

Сжимать данные перед шифрованием
Сжатие уменьшает размер письма и повышает устойчивость к попыткам взлома.

Внимание: Режим сжатия может не поддерживаться другими реализациями S/MIME в других почтовых программах. В частности, Microsoft CryptoAPI не поддерживает сжатие.

Кэшировать пароли и ключи сертификата на время
При выбранной опции пароль сертификата сохраняется в памяти на определённое время – чтобы не нужно было повторно вводить его.

Вы можете выбрать один из доступных Алгоритмов шифрования из выпадающего меню.

Хэш-алгоритм подписи определяет, какой алгоритм хэширования используется. Используемый по умолчанию SHA-1 широко распространен и обеспечивает высокую безопасность. Если у ваших получателей он не поддерживается, можно выбрать MD-5.

В поле Файл случайной выборки указан путь к файлу, в котором хранятся случайные данные для генерации ключей.

Вы можете включить опцию Использовать сервер времени для подписи, чтобы добавить к подписи штамп времени – получатель увидит в этом случае точное время подписи.

Microsoft CryptoAPI

Этот API входит в состав Microsoft Windows. За подробной информаций по CryptoAPI обратитесь к документации Microsoft.

Всегда шифровать отправителю
При включении этой опции The Bat! будет шифровать все письма собственным ключом – в этом случае вы сможете прочесть отправленные письма.

В выпадающем меню Криптопровайдер отображаются все доступные криптопровайдеры.

Примечание: Если вы выберите провайдер из списка, The Bat! будет использовать только его; если выбран <Системный криптопровайдер по умолчанию>, то будет автоматически использоваться провайдер, подходящий для конкретного алгоритма, типа ключа или сертификата.

В зависимости от выбранного криптопровайдера вы можете выбрать также определённый Алгоритм шифрования и Хэш-алгоритм подписи.

Примечание: При использовании Microsoft CryptoAPI The Bat! добавляет только одну подпись к письму.

При активной опции Помнить связи e-mail адресов с сертификатами для подписи The Bat! помнит, какой сертификат был использован для подписи письма.

Выберите опцию Помнить связи e-mail адресов с сертификатами для шифрования, чтобы программа запоминала какой сертификат был использован для шифрования письма.

Электронная подпись и проверка подписи

Использование электронной подписи S/MIME гарантирует, что любая попытка изменить письмо на пути от вас к получателю может быть легко выявлена. The Bat! автоматически помечает такое модифицированное письмо.

Подпись писем вручную
В редакторе писем перейдите в меню Криптография и безопасность и включите опцию Авто-S/MIME. Далее выберите опцию Подписать перед отправкой в меню Криптография и безопасность или нажмите значок на панели Безопасность.

Автоматическая подпись писем
Вы можете также включить автоматическую подпись писем. Для этого необходимо в меню Ящик -> Свойства почтового ящика -> Параметры включить опции Авто-S/MIME и Подписать перед отправкой.

Совет: Можно установить макрос %SIGNCOMPLETE в шаблонах – при этом письма будут также автоматически шифроваться перед отправкой.

Проверка подписи
На флаге писем, подписанных цифровой подписью, появляется жёлтая галочка . Чтобы проверить подпись, выделите письмо и в меню Инструменты -> Криптография и безопасность выберите опцию Проверить подпись (комбинация клавиш Shift Ctrl C).

The Bat! также проверяет S/MIME подпись автоматически: если подпись действительна, то на панели заголовков появится значок .

Шифрование писем

Конфиденциальность почты можно обеспечить с помощью шифрования. Только те люди, открытыми сертификатами которых было зашифровано письмо, смогут прочитать его. Чтобы иметь возможность шифровать письма, вы должны предварительно импортировать сертификат получателя.

Внимание: Могут существовать законодательные ограничения на использование шифрования.

Шифрование писем вручную
В редакторе писем перейдите в меню Криптография и безопасность и включите опцию Авто-S/MIME. Далее выберите опцию Зашифровать перед отправкой в меню Криптография и безопасность или нажмите значок на панели Безопасность. После включения опции вы можете продолжать редактирование письма – оно будет зашифровано непосредственно перед отправкой.

Автоматическое шифрование писем
Вы можете также включить автоматическое шифрование писем. Для этого необходимо в меню Ящик -> Свойства почтового ящика -> Параметры включить опции Авто- S/MIME и Зашифровать перед отправкой.

Совет: Вы можете также установить макрос %ENCRYPTCOMPLETE в шаблонах – при этом письма будут также автоматически шифроваться перед отправкой.


Примечание: Не забудьте также зашифровать письмо и вашим собственных сертификатом по умолчанию, в противном случае вы позднее не сможете его прочитать.

Расшифровка писем

Чтобы расшифровать письмо, выделите его и в меню Инструменты -> Криптография и безопасность выберите опцию Расшифровать (комбинация клавиш Shift Ctrl D).

Расшифрованное письмо не сохраняется автоматически в почтовой базе The Bat! в целях защиты конфиденциальности. Каждый раз когда нужно прочитать зашифрованное письмо, необходимо снова его расшифровать. При необходимости можно расшифровать и сохранить письмо (комбинация клавиш Shift Ctrl G), выбрав соответствующую опцию в меню Инструменты -> Криптография и безопасность.

Примечание: The Bat! автоматически проверит подпись, если она присутствует.

Стандарт S/MIME

Стандарт S/MIME обеспечивает безопасную переписку в соответствии со стандартами RFC:

1. RFC2632 S/MIME Version 3 Certificate Handling
2. RFC2633 S/MIME Version 3 Message Specification
3. RFC2634 Enhanced Security Services for S/MIME

Сертификат можно получить у представителей “CA” (Certifying Authority) – сертификационного агентства. Сертификат содержит ваше имя, открытый ключ, серийный номер, дату окончания срока действия сертификата, название и цифровую подпись агентства, в котором вы его получили. Наиболее распространенный формат сертификатов определяется международным стандартом ITU-T X.509.

Для подтверждения подлинности сертификата необходимо, чтобы был утвержден открытый ключ соответствующего сертификационного агентства. Чтобы получить свой собственный сертификат, необходимо создать пару ключей и отправить один из них (открытый) представителю сертификационного агентства. Если ваша кандидатура будет заверена, на ваше имя выпишут соответствующий сертификат (файл с расширением PFX).