Sähköpostin salausohjelmisto

[DaMan]

Pitäisi hankkia firmalle salatun sähköpostin systeemi. Käytössä on outlook + IMAP/exchange. Eli sellainen jossa liikenne salataan client-to-client. Tarkoittaa siis sitä että voin lähettää halutessani valita että lähetän sähköpostin salattuna outlookista jolloin vastaanottaja saa ilmoituksen että olet saanut salatun sähköpostin ja kirjaudu portaaliin x ja y.

Eli jokin kikkare outlookiin ja sitten purkki/serviisi välissä ja vastaanottajalle kirjautuminen portaalin kautta lukemiseen.

F-secure on tarjonnut iät ja ajat tuota Secure Messaging Gateway viritystään mutta onko sellaista saatavana muualta vaikka ilmaiseksi?

Tai onko parempaa ratkaisua kun tuo FSMG? Onko kokemuksia? Miten itse olette hoitaneet ongelman?

Pitää olla käyttäjille äärimmäisen helppo eli ei mitään purkkavirityksiä. Ja vielä käyttäjälle näkyvin osin suomeksi.

 

[Obi-Lan]

Pari F-Securen tyylistä:
Information security, Email encryption, Electronic communication, E-services | Deltagon
www.secmail.com

Office 365 löytyy Azure Rights Management millä homman voi hoitaa samalla tavalla tai sitten salaamalla koko viestin Outlookissa.

 

[luuponen]

End-To-End Email Encryption Software | EEZY KEYZ®

Pitäisi

 

[Cumbo]

Itsellä vähän vastaava tilanne, joten lainataan ketjua. Saako jostain maksutta digitaalisen varmenteen? Itselle ihan uusi asia.

 

[muttoant]

Pitäisi hankkia firmalle salatun sähköpostin systeemi. Käytössä on outlook + IMAP/exchange. Eli sellainen jossa liikenne salataan client-to-client. Tarkoittaa siis sitä että voin lähettää halutessani valita että lähetän sähköpostin salattuna outlookista jolloin vastaanottaja saa ilmoituksen että olet saanut salatun sähköpostin ja kirjaudu portaaliin x ja y.

Eli jokin kikkare outlookiin ja sitten purkki/serviisi välissä ja vastaanottajalle kirjautuminen portaalin kautta lukemiseen.

F-secure on tarjonnut iät ja ajat tuota Secure Messaging Gateway viritystään mutta onko sellaista saatavana muualta vaikka ilmaiseksi?

Tai onko parempaa ratkaisua kun tuo FSMG? Onko kokemuksia? Miten itse olette hoitaneet ongelman?

Pitää olla käyttäjille äärimmäisen helppo eli ei mitään purkkavirityksiä. Ja vielä käyttäjälle näkyvin osin suomeksi.

Lainataan tätä ketjua. Itsellä olisi vastaavanlainen tilanne, että tarvitsisin firmalleni salatun sähköpostin. Samanlaiset vaatimukset kuin yllä olevalla. Onko tähän mitä ratkaisua? Hinnaltaan pitäisi olla mahdollisimman edullinen ja yksinkertainen käyttää.

 

[Cumbo]

Turvaposti maksaa 700 € alv 0 % vuodeksi viidelle sähköpostiosoitteelle. Vaihtoehtoja?

 

[muttoant]

Itsellä vähän vastaava tilanne, joten lainataan ketjua. Saako jostain maksutta digitaalisen varmenteen? Itselle ihan uusi asia.

Onhan tuo aika suolainen hinta ainakin itselle. Miten lie tuo F-Secure Secure Messaging Gateway? Onkohan se miten arvokas 1 käyttäjälle? Onko kokemuksia kellään?

 

[DaMan]

Onhan tuo aika suolainen hinta ainakin itselle. Miten lie tuo F-Secure Secure Messaging Gateway? Onkohan se miten arvokas 1 käyttäjälle? Onko kokemuksia kellään?

Meillä on sähköpostipalvelut on ulkoistettuna ja päädyttiin heidän tarjoamaan palveluun joka perustuu Deltagonin alustaan. Maksaa muistaakseni luokkaa 3e/kk/spostiosoite (alv.0%) tai jotain siinä suuruusluokassa kun ei ole nyt laskua tässä vieressä eikä ollut mitään perustamiskuluja.

F-securen olisi ollut vaihtoehto 2 mutta palvelu olisi ollut erittäin kallis perustaa ja käyttää sekä sen toiminta ei täyttänyt meidän vaatimuksia. Muutama muu vaihtoehto jota tiheällä kammalla kampasin läpi oli joko kallis tai ei täyttänyt kriteerejä. Eli varmaan 5-6 vaihtoehtoa tuli testattua pikaisesti ja päädyttiin em. ratkaisuun.

 

[Cumbo]

Meillä on sähköpostipalvelut on ulkoistettuna ja päädyttiin heidän tarjoamaan palveluun joka perustuu Deltagonin alustaan. Maksaa muistaakseni luokkaa 3e/kk/spostiosoite (alv.0%) tai jotain siinä suuruusluokassa kun ei ole nyt laskua tässä vieressä eikä ollut mitään perustamiskuluja.

F-securen olisi ollut vaihtoehto 2 mutta palvelu olisi ollut erittäin kallis perustaa ja käyttää sekä sen toiminta ei täyttänyt meidän vaatimuksia. Muutama muu vaihtoehto jota tiheällä kammalla kampasin läpi oli joko kallis tai ei täyttänyt kriteerejä. Eli varmaan 5-6 vaihtoehtoa tuli testattua pikaisesti ja päädyttiin em. ratkaisuun.

MPY?

 

[muttoant]

Meillä on sähköpostipalvelut on ulkoistettuna ja päädyttiin heidän tarjoamaan palveluun joka perustuu Deltagonin alustaan. Maksaa muistaakseni luokkaa 3e/kk/spostiosoite (alv.0%) tai jotain siinä suuruusluokassa kun ei ole nyt laskua tässä vieressä eikä ollut mitään perustamiskuluja.

F-securen olisi ollut vaihtoehto 2 mutta palvelu olisi ollut erittäin kallis perustaa ja käyttää sekä sen toiminta ei täyttänyt meidän vaatimuksia. Muutama muu vaihtoehto jota tiheällä kammalla kampasin läpi oli joko kallis tai ei täyttänyt kriteerejä. Eli varmaan 5-6 vaihtoehtoa tuli testattua pikaisesti ja päädyttiin em. ratkaisuun.

Tuo alkaa olemaan järkevän hintainen. Otitteko mistä kautta tuon deltagoniin perustuvan sähköpostipalvelun?

 

[DaMan]

Tuo alkaa olemaan järkevän hintainen. Otitteko mistä kautta tuon deltagoniin perustuvan sähköpostipalvelun?

Elisa

 

[Jorsetti]

Tyhmä kysymys, mutta miten tuo Deltagon toteuttama esimerkiksi Eduskunnan turvaposti on tarkoitus toimia? Eli riittääkö tuossa siis se, että tiedät vaikka Antti Rinteen sähköpostiosoitteen, niin voit lähettää kryptattua sähköpostispämmiä tuota kautta?

Onko Tutanota mielestänne hyvä palvelu salattujen postien lähettämiseen? Ainakaan hinnalla ei ole pilattu?

Onko kenties "normaalit" palveluntarjoajat tulevaisuudessa tuomassa tätä ominaisuutta vakiona asiakkailleen? Gmailissa toimii jo, vai olenko ymmärtänyt väärin?

 

[mikajh]

Millä tahansa sähköpostipalvelulla voi lähettää esim. OpenPGP:llä salatun tai allekirjoitetun viestin tai tiedoston, jonka vastaanottaja (vain) pystyy avaamaan. Lisäkilkkeet ja apuohjelmat kuten Kleopatra tai flowcrypt.com tekevät salaamisesta, avaamisesta, avaimien jaosta ja hakemisesta jne. helppoa.

On toki olemassa sähköpostipalveluja, jotka ottavat vastaan selväkielisiä sähköposteja ja salaavat ne, jolloin ne eivät majaile sähköpostilaatikossa selväkielisenä. Mutta jos salakirjoitusavain on kenenkään muun kuin käyttäjän hallussa, niin nousee heti kysymys kuinka suuria salaisuuksia moisella palvelulla kannattaa lähettää.

 

[Obi-Lan]

Tyhmä kysymys, mutta miten tuo Deltagon toteuttama esimerkiksi Eduskunnan turvaposti on tarkoitus toimia? Eli riittääkö tuossa siis se, että tiedät vaikka Antti Rinteen sähköpostiosoitteen, niin voit lähettää kryptattua sähköpostispämmiä tuota kautta?

Eduskunnan sähköpostipalvelin määritellään lähettämään tietyllä perusteella viestit Deltagonin palvelimeen, joka sitten lähettää vastaanottajalle meilin jossa linkki, linkki avaa viestin Deltagonin palvelimesta https yli.

 

[ztec]

Tämä keskustelu herätti ahdistusta ja hilpeyttä. Salattusähköposti on ehkä yksi suurimmista BS termeistä koskaan.

Ensin pitäisi olla määritelty terminologia, sen jälkeen tehty vatimusmäärittely, ja sitten vielä tekniset speksit siitä miten palvelu toimii. Esimerkiksi nuo palvelut joissa lähetetään linkki, eivät ole perinteisessä mielessä sähköpostia lainkaan. Toinen kysymys on se, hyväksytäänkö symmetriseen salaukseen perustuvat ratkaisut. Sekä kolmas se, miten käyttäjät autentikoidaan. Sekä se, onko vahva autentikointi liitettävissä todelliseen identiteettiin vai ei. Onko palvelun tarkoituksena tuottaa samalla juridisesti pätevä audit trail, vai onko tarkoituksena että viestit ovat mahdollisimman anonyymejä ja tuhoutuvat mahdollisimman nopeasti, niin että niitä ei voida palauttaa edes viranomaisten toimesta.

Johtuen näistä epämääräisistä vaatimuksista koko termi saa aikaan enimmäkseen hykertelyä kun se nousee esille.

Alla aika perinteinen ja suhteellisen pätevä vastaus.

-----BEGIN PGP MESSAGE-----
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=F1hM
-----END PGP MESSAGE-----

 

[mikajh]

Tekniset kysymykset ovat sentään ratkaistavissa, mutta yleistä luottamuksellisen tiedon välitystä ei. Jos Alice lähettää viestin Bobille ja Chuckille, ja se vuotaa keltaiselle lehdistölle, kumpi sen vuoti? Vain toimittaja tietää

 

[ztec]

Tekniset kysymykset ovat sentään ratkaistavissa, mutta yleistä luottamuksellisen tiedon välitystä ei. Jos Alice lähettää viestin Bobille ja Chuckille, ja se vuotaa keltaiselle lehdistölle, kumpi sen vuoti? Vain toimittaja tietää

Tämä on kyllä niin totta. Sen takia kannattaa lähteä siitä, että mitään salattavaa ei ole. Silloin tiedot on parhaassa turvassa. Toisaalta juuri tuohon samaan ongelmaan on kyllä olemassa varsin perinteiset mentelmät (Canary Trap). Eli jos annat dokumentin useammalle kuin yhdelle, niin jokainen edelleen luovutettu versio on erilainen.

Juuri em. syystä katson aina kauhulla, kun joku on niin idootti että julkaisee jotain salaista tietoa alkuperäisenä dokumenttina. Tuohan on aivan sairas karhunpalvelus vuotoketjulle. - Eräässä luottamuksellista tietoa käsittelevässä projektissa totesivat, että kolme ihmistä voivat pitää salaisuuden, kunhan niistä kaksi on kuolleita.

Käytännössä kuitenkin suurempi ongelma ei niin salaisten tietojen suhteen lienee tietojen huolimaton käsittely ja yleinen tietoturvan puute. Nämä virheet toistuvat myös lähetystöjen tasolla. Joten normaalit käyttäjät ryssii tuon 100% varmuudella.

Lisäksi toinen kysymys on se, että haluatko käsitellä niitä salaisia tietoja lainkaan järjestelmissä, joita käytetään normaaliin päivittäiseen operatiiviseen toimintaan, ellei nämä järjestelmät ole jo erittäin vahvasti suojattuja. Henkkoht ainakin olen sitä mieltä, että salassapidettävät tiedot käsitellään aina järjestelmillä jotka ovat vahvasti eristettyjä. Tieto tuon järjestelmän ja normaalin järjestelmän välillä siirretään vain vahvasti salattuna ja sellaista kanavaa pitkin (en erittele tarkoituksella), ettei sen ohessa ole mahdollista siirtää käytännössä muuta tietoa huomaamattomasti. - Näin tieto ja siihen liittyvät salausavaimet pysyvät järjestlemässä, joka on asianmukaisesti suojattu. Käyttäjä joka käyttää normaalia sähköpostia, selailee nettiä ja sitten käsittelee salaisia dokumentteja samalla työasemalla jonkun linkin kautta. - Aamen. - Juuri tästä syystä järjestelmät pitää jakaa useampaan tietoturva-kerrokseen, joista jokainen sisäkkäinen rengas on vahvemmin suojattu ja siihen ja siitä ulos siirtyvä data on tiukasti rajattua.

 

[DaMan]

Tämä keskustelu herätti ahdistusta ja hilpeyttä. Salattusähköposti on ehkä yksi suurimmista BS termeistä koskaan.

Ensin pitäisi olla määritelty terminologia, sen jälkeen tehty vatimusmäärittely, ja sitten vielä tekniset speksit siitä miten palvelu toimii. Esimerkiksi nuo palvelut joissa lähetetään linkki, eivät ole perinteisessä mielessä sähköpostia lainkaan. Toinen kysymys on se, hyväksytäänkö symmetriseen salaukseen perustuvat ratkaisut. Sekä kolmas se, miten käyttäjät autentikoidaan. Sekä se, onko vahva autentikointi liitettävissä todelliseen identiteettiin vai ei. Onko palvelun tarkoituksena tuottaa samalla juridisesti pätevä audit trail, vai onko tarkoituksena että viestit ovat mahdollisimman anonyymejä ja tuhoutuvat mahdollisimman nopeasti, niin että niitä ei voida palauttaa edes viranomaisten toimesta.

Johtuen näistä epämääräisistä vaatimuksista koko termi saa aikaan enimmäkseen hykertelyä kun se nousee esille.

Alla aika perinteinen ja suhteellisen pätevä vastaus.

-----BEGIN PGP MESSAGE-----
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=F1hM
-----END PGP MESSAGE-----

Salattu ja salattu. Melkein kaikki "salattua" sähköpostia hakevat ottavat sellaisen käyttöön GDPR-sanktioiden pelosta. Kun liikutetaan henkilötietoja sisältäviä aineistoja niin vaikea on muuten perustella sensorille että tälle on tehty jotain muuta kuin ottaa salattu sähköposti -nimikkeellä kulkeva palvelu. Ja juridisesti on asia hoidettu kun on ostettu salattu sähköposti palveluna.

Etsin itse aikanaan juuri point-to-point salausta mutta ei sellaista oikeaa löytynyt. Siis sellaista joka käy normaaleille ihmisille. Deltagonin ja F-securen ratkaisu on lähinnä vain linkinjakelujärjestelmä ja nettisivusto. Huonoja puolia näillä edellä mainituilla on että et voi itse arkistoida saatuja sähköposteja omaan arkistoosi jolloin ne tuhoutuu 1-2 vuoden kuluessa. Vastaanottaja joutuu kirjautumaan ulkopuoliseen systeemiin erikseen joka hidastaa ja hankaloittaa prosessia. Et voi myöskään tarkistaa mikä tarina se taas olikaan koska linkki ei toimi sen jälkeen kun on sen katsonut, joka on monessa yhteydessä oikeasti oikeusturvaongelma. Saaja ei voi todistaa mitään koska sähköpostia ei ole omassa hallussa eikä enää oikeasti missään muualla kun lähettäjällä. Lisäksi, et voi avata saamaasi sähköpostia enää toisella koneella esim. illalla tarkistaaksesi jotain aineistosta. Nämä kummatkin on huonoja ratkaisuja sekä koko malli on jotenkin vain lainkirjaimen takia tehty.

Mutta, asialla on kääntöpuoli. Nuo PGP-järjestelmät ja vastaavat toimintaperiaatteiltaan, niiden asentaminen käyttäjille, opettaminen ja ennenkaikkea niiden käyttäminen vaatii niin paljon käyttäjiltä että on täysin mahdotonta tavallisille puupäille lähteä asiaa edes esittämään saatika implementoimaan. Se on jotenkin vielä ymmärryksen rajoissa että lisää spostiin sen s:n sinne perään mutta että pitäisi jotain ylimääräisiä kikkareita hallita ja niiden filosofia ymmärtää niin ei onnistu vaikka kuinka kouluttaisi. Ja ei voida lähteä siitä että normaaleissa toimisto-olosuhteissa jokaisen seläntakana seisoo täyspäiväisesti tekninen asiantuntija / viestimies kertomassa mitä pitää tehdä ja mitä joku ylläkin oleva PGP tarkoittaa. Kun yrittää selittää jollekin juristitohtorille julkisen/henkilökohtaisen avaimen filosofiaa niin et kerkiä edes ensimmäistä lausetta loppuun kun keskustelu on päättynyt.

Se on totta että jos oikeasti haluttaisiin jotenkin lähettää oikeasti salattu sposti niin siinä pitäisi olla ensin henkilö salakirjoittamassa sähköposti sen jälkeen joku viestinhenkilö lähettämässä se ja sitten molemmat pitäisi ampua. Mutta ei sellaista oikeasti missään YVI 1/2/x-järjestelmässä noin hoideta. Ja jos joku brute forcella jonkun salauksen sitten muutamassa vuodessa avaa niin taitaa olla sota jo käyty tai patentti vanhentunut jo siihen mennessä.

Ja ei näillä em. virityksillä ole kai tarkoitus lähteä Audit-Trailia edes kokeilemaan. Oikeasti ei taida onnistua kun kvanttisalauksella nykytiedon mukaan että viesti on koskematon koko matkalla jos käytetään yleistä internetiä. Täysin suljetut verkot omissa kuiduissaan ei sekään ole aivan täysin varma ratkaisu jos tiukasti tulkitaan. Kvanttisalaukset taitaisi olla hieman ylitse ampuvaa kun normaali konttorirotta lähettää jonkun henkilötietoja sisältävän dokkarin asiakkaalleen. Kuten sanottu, se riittää että asia on tiedostettu ja sille on tehty riittävästi eli sen verran kun tavallinen organisaatio voi asialle tehdä. Voi toki sertifioida toimittajan järjestelmän, mutta vaikka mahdollisuutta minullekin tarjottiin niin en kuitenkaan jaksanut lähteä penkomaan palvelutarjoajien konehuoneita ja sertifiointeja. Se olisi ollut myös tuolla tasolla maksullista.

Ei kannata ampua tykillä kärpästä.

 

[user9999]

Joo eli tuttua toimintaa. Oletetaan, että yrityksellä on esim. Exchange käytössä omassa verkossa ja tuo palvelin Deltacon omassa verkossa käytössä. En tiedä tuon Deltaconin toimintaa, mutta Exchangeen tehdään konnektori(t), joilla määritetään, että posti menee tuonne Deltagon palvelimelle. Konnektorissa voi olla sääntönä *.s, joka tarkoitaa sitä, että kaikki viestit etunimi.sukunimi@yritys.fi.s välitetään tuolle palvelimelle.

Samaan tapaan toimii, jos yrityksellä on sähköpostipalvelu pilvessä (Office 365). Silloin pitää käyttää liikenteeseen parhaimpia, mitä tarjolla eli TLS 1.2 jne.

 

[Freeze]

Ei kannata ampua tykillä kärpästä.

Eikö voisi tehdä ihan perusratkaisua, jossa laittaisi yhden savolaisen kirjoittamaan yrityksen mailit ja vastaanottopäähän toisen kääntämään ne takaisin selkosuomelle?

 

[mikajh]

Eikö voisi tehdä ihan perusratkaisua, jossa laittaisi yhden savolaisen kirjoittamaan yrityksen mailit ja vastaanottopäähän toisen kääntämään ne takaisin selkosuomelle?

Suomi-savo -käännös on yksisuuntainen funktio, joten savoa ei voi käyttää kuten esim. navajo-kieltä. Mm. tosi ja epätosi kääntyvät yhdeksi ja samaksi sanaksi savoksi.

 

[DaMan]

Suomi-savo -käännös on yksisuuntainen funktio, joten savoa ei voi käyttää kuten esim. navajo-kieltä. Mm. tosi ja epätosi kääntyvät yhdeksi ja samaksi sanaksi savoksi.

En tiennytkään että savolaiset on aina olleet noin paljon edellä teknologiassa meitä kaikkia muita telluksella seilaavia! Tuohan on suoraan kvanttifysiikkaa. Kvarkki voi olla superpositiossa eli ainakin kahdessa tilassa yhtäaikaa eli tosi ja epätosi on sama asia.

 

[Jorsetti]

Jos tavoite on siis saavuttaa tietoturva tasolta "postikortti" tasolle tavallinen kirje kirjekuorella "peitettynä", niin onko nämä hypetetyt helpot ratkaisut näitä juuri? Eli kierrätetään vaikka postit tällaisen turvapostipalvelimen kautta lisäämällä osoitekenttään kikka kolmonen? Vaatimustaso vastaavasti nousee huomattavasti lähettäjällä ja vastaanottajalla, kun aletaan puuhaamaan oikeasti salattuja ratkaisuja?

 

[ztec]

Jos tavoite on siis saavuttaa tietoturva tasolta "postikortti" tasolle tavallinen kirje kirjekuorella "peitettynä", niin onko nämä hypetetyt helpot ratkaisut näitä juuri? Eli kierrätetään vaikka postit tällaisen turvapostipalvelimen kautta lisäämällä osoitekenttään kikka kolmonen? Vaatimustaso vastaavasti nousee huomattavasti lähettäjällä ja vastaanottajalla, kun aletaan puuhaamaan oikeasti salattuja ratkaisuja?

Salauksesta ja sen haasteista

Useimmat ratkaisut on tuota kirje tasoa. Yksi aspekti mikä tässä keskustelussa on unohtunut kokonaan, on avainhallinta ja siihen liittyvä vastaanottajan (eli kenen salausavainta käytetään / kuka ja miten voi viestin avata) identiteetin tarkistaminen.

Nykyaikaiset salausmenetelmät kun käytännössä poisti kaikki ongelmat tiedon salaamisesta. Salaaminen on helppoa ja triviaalia käyttäen valmiita (riittävän turvallisia) menetelmiä, mutta tilalle tuli paljon isompi ongelma avaintenhallinnasta. Kun tuossa puhuttiin noita web-pohjaisista ratkaisuista, niin en muistaakseni ole vielä yhtäkään sellaista tavannut, jossa avainten ja pääsynhallinta olisi oikeasti hyvällä tasolla. Useimmat on vaan juuri tuota mitä tuossa mainittiinkin, että ulkoisetaan toiminto, ikään kuin turvalliseen palveluun. Joka tuo aivan omat ongelmansa.

Suomi.fi

Kovasti toivoisin esim, että ne organisaatioit joilla on mahdollisuus käyttää suomi.fi postia, käyttäisivät sitä. Ei sinänsä että tuo ratkaisu olisi mitenkänä loistava, mutta se on silti paljon parempi kuin useimmat muut tarjolla olevat.

Perus sähköposti

Ihan tavallinenkin sähköposti on salattua, riippuen vielä palvelimen asetuksista: clientti - smtps - esmtps - imaps - clientti. Eli hyvin menee sekin. Vaikka käytössä ei ole e2ee salaus niin siitä huolimatta, viesti on aina salttuna siirrossa. Sekä haluttaessa salattuna myös levossa, esim. clientit / palvelimet.

Tämäkin on aihe josta on käyty monta keskustelua, mutta noin se vaan on. Mikään ei myskään estä määrittelemästä että esmtps esim käyttää juuri tiettyjä avaimia, joten viesti ei voi kahden organisaation välillä välittyä vahingossa salaamattomana / väärälle palvelimelle tms. - Tämä on käytössä kaikkien tärkeimpien järjestelmien kanssa. Ajaa saman asian käytännössä, kuin että viestit siirrettäisiin VPN putken kautta.

Helppo perus ratkaisu

Esim. WinZip tai 7-zip on ihan hyvä perusratkaisu. Data välitetään kanavaa A pitkin ja salausavain riippumatonta kanavaa B pitkin. -> Jos hyökkääjällä ei ole pääsyä molempiin tietoihin, jää tiedot talteen.

Hyvin yksinkertainen ja helppo tapa siirtää tietoa riittävän turvallisesti, useimpia käyttötarkoituksia ajatellen.