Email

Come si archiviano le email criptate?

12 Novembre 2018

Sai esattamente come funziona la criptazione dei messaggi email? E quando archivi un messaggio cifrato, che succede?

In questo articolo ti parlerò delle basi della cifratura delle email e ti illustrerò quale tipo di crittografia è bene utilizzare quando devi archiviare i messaggi di posta elettronica.

Ma andiamo con ordine.
 

Perché bisogna criptare le email?

Ogni volta che viene spedita un’email, il messaggio viaggia da un server all’altro: durante questo tragitto possono accadere una serie di cose che è bene tenere a mente.

Se non cripti l’email prima che venga inviata, allora sarà vulnerabile agli attacchi di terze parti sia mentre è viaggio, sia quando si trova su un server.

Un malintenzionato potrebbe intercettare o addirittura manomettere i tuoi messaggi, cosa che potrebbe tradursi in gravi perdite economiche o di reputazione e, in base al contento della email, metterti nei guai con il GDPR.

Quindi occorre “nascondere” o crittografare in qualche modo le informazioni contenute nei messaggi di posta elettronica.

Ma quando parliamo di crittografia, quali parti di un’email vengono effettivamente criptate?

Solitamente solo il corpo dell’email viene oscurato: non è possibile cifrare informazioni come il mittente, il destinatario, la data di invio, l’indirizzo IP o l’oggetto.
 

Come vengono archiviate in MailStore le email cifrate?

Come principio generale, le email sono archiviate esattamente come entrano nell’archivio di MailStore. Per cui le email cifrate rimangono tali anche durante l’archiviazione e non possono essere lette dagli utenti quando si fa una ricerca nell’archivio di posta elettronica.
 

Crittografia lato client o lato server?

Una volta che hai deciso di cifrare le tue email, devi capire come e dove farlo.

Gli standard per la crittografia email più diffusi, S/MIME e PGP, utilizzano la crittografia asimmetrica.
 

La crittografia asimmetrica è stata sviluppata nei primi anni 80 e prevede l’utilizzo di coppie di chiavi, una pubblica e una privata. La chiave pubblica è utilizzata per cifrare i messaggi e può essere distribuita in giro, mentre la chiave privata è usata per decifrare i messaggi e solo chi riceve le email a lui indirizzate (e quindi criptate con la sua chiave pubblica) ne è in possesso.

Per approfondire il funzionamento di questo tipo di crittografia, ti rimando a questo articolo.

Criptazione e decriptazione possono avvenire:

  • sui client: definita crittografia client-based o end-to-end;
  • sul mail server o sul gateway email (tipicamente un firewall): in questo caso parliamo di crittografia server-based.

Con la crittografia client-based, solo il mittente e il destinatario sono in grado di leggere i messaggi email. I dati sono cifrati sul sistema di chi invia l’email, in questo modo solo il destinatario indicato può decifrare il messaggio di posta e leggerne il contenuto, che in questo modo non può essere manomesso da terzi.

Secondo uno studio di Virtru, meno del 50% delle email sono criptate lato client, perché la gente reputa questa pratica troppo complessa.

Con la crittografia server-based, invece, le email sono cifrate sul mail server o sul gateway email nel momento in cui partono o arrivano in azienda. L’utente non è più coinvolto in prima persona nel processo e non è consapevole di quando viene spedito o ricevuto un messaggio.
 

Gli svantaggi dei due metodi di criptazione

Per risolvere il dilemma di quale tipo di crittografia adottare per l’archiviazione email, dobbiamo guardare quali sono gli svantaggi dei due metodi che ti ho esposto poco sopra.

La crittografia client-based ha i seguenti svantaggi:
 

  • introdurre questo tipo di crittografia può essere estremamente complesso e richiedere alti costi amministrativi (ad esempio per il training degli utenti).
  • Può essere oneroso risolvere questioni come errori nelle firme dei messaggi, gestione delle chiavi, scadenza dei certificati, ecc.
  • Non è inclusa nessuna protezione da virus e spam: i messaggi criptati non possono essere controllati e quindi costituiscono un rischio di sicurezza se entrano nei sistemi aziendali senza che vengano analizzati.
  • C’è bisogno di conservare centralmente le chiavi degli utenti o, in alternativa, ogni email deve essere criptata una seconda volta con una chiave principale.
  • Non c’è un sistema di sicurezza gestibile centralmente, in quanto ogni utente può modificare e gestire in autonomia le impostazioni di criptazione.
  • Un altro fattore di rischio per le aziende riguarda la perdita di una chiave di criptazione, che non può essere recuperata o ripristinata. Questo può generare anche problemi di natura legale, in quanto la perdita di una chiave di criptazione impedisce di accedere ai messaggi criptati presenti nell’archivio email.
  • L’inoltro di email può risultare problematico a causa del testo criptato.
  • Il fatto che le email siano sottoposte a backup e archiviazione in “forma cifrata” ne riduce la leggibilità, in quanto ben poche informazioni sono visibili. In questo modo non è neanche possibile eseguire una ricerca nell’archivio basata sul contenuto del messaggio, perché risulta criptato.
  • Se un utente è in vacanza o è malato, se ha lasciato l’azienda o è stata creata una nuova chiave privata per qualunque motivo, non è più possibile accedere al contenuto delle email archiviate in precedenza.

Se utilizzi la crittografia server-based, invece, avrai i seguenti svantaggi:
 

  • Potrebbe esserci il rischio di un attacco MITM (man-in-the-middle). Tuttavia, si possono minimizzare i rischi di un attacco di questo tipo utilizzando la tradizionale criptazione a livello del transport layer tra client e server (è sufficiente che configuri server e cliente per parlare su porte SSL, detto in parole povere)
  • Richiede un’infrastruttura appropriata o bisogna affidarsi a un service provider.

 
Nonostante non sia una soluzione priva di difetti (come hai potuto vedere qui sopra), la criptazione delle email è assolutamente necessaria per la maggior parte delle aziende.

La crittografia client-based può portare ad alcune difficoltà quando si tratta di archiviazione, quindi se vuoi archiviare le tue email in modo semplice e sicuro ti raccomando di associare una crittografia server-based ad un sistema di archiviazione email come MailStore.

In questo modo potrai:
 

  • effettuare un check antivirus e antispam prima che le email entrino nei sistemi IT aziendali;
  • archiviare e indicizzare le email in un archivio;
  • consentire a tutti gli utenti di accedere alle email in formato “non cifrato”;
  • tenere gli utenti fuori dai processi di criptazione e decriptazione, aumentando la sicurezza.
Autore
Claudio Panerai
Gli ultimi prodotti che vi ho portato, nel 2020: Vade Secure Il primo sistema antispam/antihishing/antimalware basato sull'intelligenza artificiale e appositamente progettato per Office 365. Naturalmente a misura di MSP. ID Agent Piaffaforma che consente agli MSP di monitorare le credenziali (proprie e dei clienti) che sono in vendita nel dark web.
Nato a Ivrea nel 1969, è sposato e padre di due figlie. Laureato in Scienze dell’Informazione nel 1993, ha dapprima svolto numerose consulenze e corsi di formazione per varie società per poi diventare responsabile IT per la filiale italiana del più grande editore mondiale di informatica, IDG Communications. Dal 2004 lavora in Achab dapprima come Responsabile del Supporto Tecnico per poi assumere dal 2008 la carica di Direttore Tecnico. Giornalista iscritto all’albo dei pubblicisti, dal 1992 pubblica regolarmente articoli su riviste di informatica e siti web di primo piano. E' stimato da colleghi e clienti per la schiettezza e onestà intellettuale. Passioni: viaggi, lettura, cinema, Formula 1, sviluppo personale, investimenti immobiliari, forex trading. Claudio è anche su LinkedIn e Facebook.
Commenti (0)

Lascia un commento

Il tuo indirizzo e-mail non verrà pubblicato, lo utilizzeremo solamente per inviarti la notifica della pubblicazione del tuo commento. Ti informiamo che tutti i commenti sono soggetti a moderazione da parte del nostro staff.