bảo mật e-mail

Các mối đe dọa trong việc sử dụng e-mail:

-          Không có tính bảo mật:

o   E-mail được gửi đi dưới dạng clear-text trên môi trường mạng

o   E-mail có thể được lưu giữ ở mail server và client không được bảo mật tốt

-          Không có tính toàn vẹn:

o   Không có cơ chế bảo vệ tính toàn vẹn cho e-mail. Nội dung e-mail có thể được thay đổi trong quá trình truyền và trên mail server

-          Thiếu xác thực nguồn gốc dữ liệu:

o   Giả mạo địa chỉ người gửi

-          Thiếu thông báo nhận được.

Có 2 cơ chế bảo mật e-mail

            PGP (Pretty Good Privacy)

            S/MINE (Secure/Multipurpose Internet Mail Extension)

PGP:

-          Là phần mềm ứng dụng dùng cho việc bảo mật. Nó được viết bởi Phil Zinnerman.

-          Nó cung cấp 5 tính năng:

o   Authentication (chứng thực)

o   Confidentiality (bảo mật)

o   Compression (nén)

o   E-mail compatibility

o   Segmentation and Reaseembly.

Trong đó 3 tính năng cuối hoàn toàn vô hình với người sử dụng

Authentication:

            Các bước tiến hành:

            Người Gửi

-          Tạo 1 bức mail

-          Sử dụng hàm băm với bức mail này (các thuật toán băm: SHA1,MD5). Sau đó lấy đoạn mã băm đó mã hóa với private key của người gửi để tạo ra chữ kí số.

-          Đính kèm chữ kí đó với nội dung bức mail và gửi đi. (public key: RSA)

Người Nhận:

-          Khôi phục lại mã băm bằng cách giải mã chữ kí nhận được với public key của người gửi.

-          Thực hiện hàm băm với nôi dung bức mail nhận được. so sánh nó với mã băm được khôi phục ở bước trên. Nếu 2 mã này khớp nhau thì có thể nhận mail.

(hình)

Confidentiality:

            Các bước tiến hành:

            Người Gửi:

-          Tạo ra bức mail và session key cho bức mail đó.

-          Mã hóa bức mail và session key với nhau bằng thuật toán mã hóa (AES, 3DES, IDEA, hoặc CAST-128).

-          Mã hóa session key với public key của người nhận. Sau đó đính kèm nó với nội dung mail đã được mã hóa ở trên và gửi đi. (public key: RSA)

Người Nhận:

-          Khôi phục session key bằng cách giải mã sử dụng private key của mình.

-          Giải mã nội dung bức thư bằng session key vừa khôi phục lại ở trên.

 (hình)

Kết hợp Authentication và Confidentiality:

-          e-mail có thể vừa được chứng thực (authentication) vừa được bảo mật (confidentiality)

-          quá trình mã hóa sẽ được lồng vào trong quá trình chứng thực.

Người gửi:

-           quá trình chứng thực (authentication) mail được thực hiên trước. sau đó mới thực hiên quá trình bảo mật bằng cách mã hóa bức thư đã được chứng thực với session key.

Người nhận:

-          Quá trình bảo mật (confidentiality) được thực hiện trước. Sau đó mới thực hiện quá trình chứng thực (authentication ) xác nhận người gửi.

(vẽ hình)