S/MIME: come crittografare e firmare le e-mail

Quando inviate una e-mail, è di fondamentale importanza che il messaggio venga recapitato inalterato e in modo sicuro al suo destinatario, che deve essere la sola persona in grado di leggerlo. La questione non cambia quando siete voi a ricevere un messaggio di posta elettronica, il cui contenuto non deve poter essere letto o manipolato da terzi. Altrettanto importante è che il mittente non possa spacciarsi per qualcun altro. Requisiti di questo tipo possono essere garantiti soltanto attraverso l’utilizzo della crittografia e della firma elettronica, senza le quali i cyber criminali avrebbero gioco facile, nonostante la protezione di software anti-spam e anti-virus. Uno standard per l’utilizzo di entrambe le funzioni è S/MIME, definito nel 1999.

S/MIME: che cos’è?

Nella RFC 1847 del 1995 sono state descritte due estensioni di sicurezza per lo standard MIME (Multipurpose Internet Mail Extension): il formato multipart/signed per la firma dei messaggi e il formato multipart/encrypted per la crittografia. Quattro anni dopo la IETF (Internet Engineering Task Force) ha pubblicato una nuova estensione di MIME, chiamata S/MIME (RFC 2633). Si tratta di uno standard che supporta il formato di firma già citato, mentre per la crittografia utilizza la propria soluzione application/pkcs-mime. Nel caso di un messaggio S/MIME è vostra discrezione se firmarlo, crittografarlo o compiere entrambe le operazioni.

La crittografia e la firma digitale S/MIME sono possibili con tutti i più popolari client di posta elettronica, come ad esempio Microsoft Outlook, Thunderbird o Apple Mail. Una nota alternativa che supporta sia multipart/signed che multipart/encrypted è lo standard del 2007 OpenPGP.

Crittografia e firma digitale S/MIME: come funzionano

S/MIME si basa su un metodo di crittografia asimmetrica e dunque utilizza due chiavi, una pubblica (public key) e una privata (private key). Mentre la prima è condivisa con tutti i contatti di posta elettronica, la seconda è nota solo all’utente. È quindi necessario sia inviare messaggi cifrati in combinazione con la chiave pubblica del destinatario sia decodificare i messaggi ricevuti. Attraverso un certificato S/MIME, disponibile presso diversi provider, il client di posta elettronica è in grado di generare e scambiare chiavi.

Perché la crittografia di una e-mail funzioni, ogni messaggio S/MIME è preceduto da un’intestazione (header) che fornisce al client destinatario le informazioni necessarie per la comprensione e l’elaborazione del contenuto. Sono qui specificati il tipo di contenuto (es. enveloped data per dati cifrati), il nome del file corrispondente (es. smime.p7m per dati cifrati o firmati) e il modulo di modifica. L’intestazione di una e-mail cifrata può avere ad esempio questo aspetto:

Content-Type: application/pkcs7-mime; smime-type=enveloped-data; name=smime.p7m
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename=smime.p7m

La firma S/MIME, che si può inserire automaticamente in una e-mail al momento della composizione, è utile per diverse ragioni. In primo luogo trasmette la chiave pubblica al destinatario per una comunicazione sicura, in modo che possa a sua volta inviarvi messaggi dal contenuto cifrato. Inoltre dimostra al destinatario l’identità del mittente, vale a dire che l’e-mail proviene proprio da voi. A differenza di PGP, la sola aggiunta di una firma non crea caratteri cifrati. Se il client destinatario rileva incongruenze nella verifica della firma, l’autenticità del messaggio non viene confermata: questo consente all’utente di capire che i dati sono stati manomessi.

N.B.

Se decidete di non utilizzare la firma digitale, potete trasmettere la chiave pubblica anche in altri modi: pubblicandola su un key server o sul vostro sito web, o salvandola come file in una scheda di memoria esterna.

Come ottenere un certificato S/MIME per la propria corrispondenza e-mail

Come già menzionato, per utilizzare S/MIME è richiesto un certificato digitale (x.509). In linea di principio è possibile crearne uno autonomamente, a condizione di essere già in possesso di un certificato radice (root certificate). Inoltre, prima che avvenga la condivisione della chiave, è necessario che tutti i contatti importino il certificato radice. La soluzione più semplice è quella di acquisire un certificato da un’autorità certificativa ufficiale, presso cui sono in genere disponibili soluzioni a pagamento o gratuite. È tipica la classificazione dei certificati esistenti in tre categorie:

  1. Classe 1: il certificato garantisce l’autenticità dell’indirizzo di posta elettronica.

  2. Classe 2: il certificato garantisce l’autenticità dell’indirizzo di posta elettronica, dell’identità dell’utente e dell’esistenza dell’azienda, dove necessario. Le informazioni sono verificate tramite database terzi o documenti di identità.

  3. Classe 3: a differenza della classe 2, l’identità dell’utente è verificata di persona.

Se volete cifrare le vostre e-mail con S/MIME e siete alla ricerca di un certificato, non dimenticatevi mai della sua funzione principale: proteggere la corrispondenza e-mail impedendo l’intercettazione e la manipolazione dei messaggi. Per questo motivo l’affidabilità e la serietà del fornitore sono elementi di estrema importanza.

Un servizio che vale la pena di raccomandare è Comodo, i cui certificati sono considerati affidabili dal 99 per cento dei client di posta elettronica, secondo quanto riportato sul proprio sito dall’azienda stessa. L‘autorità certificativa, conosciuta soprattutto per i certificati SSL di alta qualità, offre due soluzioni: una gratuita e adatta alle esigenze dei privati, chiamata Free Secure E-Mail Certificate, e una per le aziende e dal prezzo conveniente (a partire da 12 euro/anno), chiamata Secure Email Certificates. Entrambe garantiscono una crittografia end-to-end sicura con S/MIME.

Come installare S/MIME nel proprio programma di posta elettronica

Per integrare questo dispositivo di sicurezza nel vostro client di posta, avete ovviamente bisogno di un certificato S/MIME. La ricerca di un fornitore è pertanto il primo passo verso una casella di posta sicura, cui seguono la creazione e l’installazione del certificato personalizzato. Sotto questo aspetto le procedure dei vari provider sono tutte abbastanza simili. Dopo l’installazione potete procedere con la configurazione del vostro software di posta elettronica in modo che utilizzi S/MIME e acceda al certificato integrato. Generalmente il setup è completo dopo il riavvio del client, al termine del quale vengono attivate funzioni specifiche per la crittografia automatica o manuale e per la firma digitale dei messaggi.

Di seguito troverete istruzioni dettagliate per installare S/MIME con i sistemi desktop di Windows e macOS e con quelli mobili di iOS e Android. Il già citato Comodo sarà utilizzato come esempio di autorità certificativa.

Come installare S/MIME con Windows

Se desiderate utilizzare S/MIME con un pc Windows, ma non intendete investire dei soldi nel pacchetto Office, potete ricorrere a Thunderbird, una soluzione gratuita offerta da Mozilla, a cui si deve anche il browser Firefox. Se non avete ancora installato il client e creato un account, è questo il momento di farlo. Proseguite quindi in questo modo per attivare la crittografia S/MIME e la firma digitale:

  1. Aprite il sito web di Comodo e cliccate su “Sign Up Now”.

  2. Compilate il formulario inserendo i dati personali da associare al certificato (nome, indirizzo e-mail e paese di residenza), impostate il livello di crittografia della chiave privata (high o medium grade) e inserite una “Revocation Password” (necessaria per invalidare un certificato in caso di emergenza). Confermate di aver letto e accettato i termini e le condizioni d’uso e procedete infine con la creazione del certificato cliccando su “Next”.
  1. A questo punto Comodo invia al vostro indirizzo di posta elettronica una e-mail contenente il link per scaricare il certificato (“Click & Install Comodo Email Certificate”). Cliccando sul link si apre in automatico la finestra di download. Se utilizzate Chrome o Firefox, il certificato viene direttamente scaricato e installato localmente sul vostro browser.

  2. Prima di poterlo utilizzare con Thunderbird, dovete esportare il certificato memorizzato nel browser. Aprite le impostazioni avanzate e aprite la scheda “Gestisci certificati” nella sezione “Privacy and security” (Privacy e sicurezza).

  3. Il certificato di Comodo si trova all’interno della finestra pop-up nel tab “Personal” (Personale) o in “Other People” (Altre persone). Selezionate la voce corrispondente e cliccate su “Export” (Esporta): la procedura guidata vi accompagnerà nel processo. È importante che specifichiate di voler esportare anche la chiave privata.
  1. A questo punto avviate Thunderbird e aprite le impostazioni dell’account. Potete gestire i certificati nel menu “Sicurezza”.
  1. Selezionate la scheda “Gestisci Certificati” e importate il certificato salvato in precedenza, cliccando su “Importa” e selezionandolo. Inserite la password per completare il processo.

  2. Nel menu “Sicurezza” potete selezionare il certificato S/MIME per la crittografia e la firma. È possibile impostare la firma digitale come predefinita e rendere obbligatoria la crittografia selezionando l’opzione “Richiesto” sotto “Impostazioni cifratura predefinite per l’invio dei messaggi”. Si tratta comunque di opzioni selezionabili anche nel corso della composizione di una e-mail cliccando sul tab “Sicurezza” nella barra degli strumenti:

Come funziona S/MIME con macOS e iOS

I dispositivi Apple hanno un proprio client di posta elettronica integrato, chiamato “Mail”. A differenza dei software standard di Microsoft, esso consente di per sé la crittografia e la firma digitale delle e-mail con S/MIME. Se siete in possesso di un account di posta elettronica, potete creare un certificato con Comodo senza installare alcun programma ulteriore. La procedura è la stessa di Windows: andate sul sito web di Comodo, cliccate su “Sign up now” e create un certificato con i vostri dati personali. Procedete quindi con l’installazione del certificato e le impostazioni della crittografia S/MIME:

  1. Aprite l’e-mail che avete ricevuto da Comodo e scaricate il certificato cliccando sul comando “Click & Install Comodo Email Certificate”. Dopo aver aperto il file, potete aggiungerlo direttamente al portachiavi. Se volete utilizzare S/MIME anche sul vostro iPhone o iPad, dovete prima convertire il certificato nel formato p12. A questo punto siete pronti per inviarlo tramite e-mail al vostro dispositivo mobile.
  1. Una volta installato il certificato, è sufficiente lanciare o riavviare Apple Mail per integrare la crittografia e la firma digitale.

  2. Per testare S/MIME, inviate una e-mail crittografata e firmata. Le due funzioni sono rappresentate nell’interfaccia di Mail rispettivamente da un lucchetto e da un segno di spunta. Entrambe le icone sono presenti anche al di sotto dell’oggetto del messaggio.

Come configurare S/MIME con un dispositivo Android

Come Windows, anche Android non ha un proprio client con S/MIME integrato. Esistono tuttavia alcune applicazioni che lo supportano e che possono essere scaricate da Google Play Store. Tra le soluzioni gratuite è presente MailDroid, sviluppata da Flipdog Solutions. In maniera analoga all’impostazione della crittografia e della firma con Windows e macOS, è necessario prima di tutto un certificato valido che potete generare nel modo già descritto. I passi successivi sono i seguenti:

  1. Maildroid è dotato di funzioni integrate per crittografare e firmare le e-mail. Tuttavia per utilizzarle è necessario il plug-in Crypto di Flipdog Solutions, scaricabile gratuitamente.
  1. Utilizzate il plug-in per importare il certificato generato: nel menu, ciccate sulla voce “Importa certificato” e selezionate il file corrispondente.

  1. Tornate a MailDroid e aprite il menu “Impostazioni”. Alla voce “Encryption Plug-in” potete ora specificare il certificato insieme alla configurazione S/MIME desiderata. Tra le opzioni disponibili sono presenti l’esecuzione predefinita della firma e della crittografia, ad esempio, e la possibilità di utilizzare la crittografia solo se un utente dispone della chiave necessaria.

  1. In base all’opzione selezionata, la crittografia e la firma vengono aggiunte o meno in modo automatico. I meccanismi di protezione sono comunque attivabili utilizzando i comandi presenti nella parte inferiore della finestra messaggio. Se la codifica e la firma non funzionano, perché ad esempio il certificato o la chiave non sono validi o sono scaduti, MailDroid mostra la schermata seguente: