浅谈使用数字证书保护电子邮件安全.docx

浅谈使用数字证书保护电子邮件安全董清潭（中共天津市委党校 天津 300191）摘要：电子邮件是人们用于日常联络最普遍的方式，但是有些别有用心的人一直都在打着电子邮件的主意，使用种种方法，截取用户的邮件，因此，我们需要对邮件进行加密。而说到邮件加密，方法很多，但目前公认的、安全性最高的还是通过数字证书对邮件进行数字签名，也是目前比较流行的做法。 关键词：数字证书 安全电子邮件 PKI技术1 传统电子邮件的安全隐患2 使用数字证书保证电子邮件内容的安全随着计算机技术和通信技术的飞速发展，信息化的浪潮席卷全球。电子邮件起到越来越重要的作用。然而，电 子邮件作为当前和未来网络使用者的重要沟通方式，不可 避免地涉及到众多的敏感数据，如财务报表、法律文件、 电子订单或设计方案等等。通过传统电子邮件传递，由于 互联网的开放性、广泛性和匿名性，会给电子邮件带来很 多安全隐患。1.1用户名和口令的弱点 传统的邮件系统是以用户名和口令的方式进行身份认证的，由于用户名和口令方式本身的不安全因素，例如， 口令弱、明文传输容易被窃听等造成整个邮件系统的安全 性下降。1.2信息的机密性邮件内容包括很多商业或政府机密，必须保证邮件 内容的机密性。然而，传统的邮件系统是以明文的方式 在网络上进行流通，很容易被非法窃听，造成损失；而 且邮件是以明文的方式存放在邮件服务器中的，邮件管 理员可以查看所有的邮件，根本没有任何对邮件机密性 的保护。1.3信息的完整性 由于传统的邮件发送模式，使得邮件中的敏感信息和重要数据在传输过程中有可能被恶意篡改，使得邮件接收 者不能收到完整的邮件信息而造成损失。1.4信息的不可抵赖性 由于传统的邮件工作模式（用户名口令、明文传输等），对邮件没有任何的保护措施，使得邮件发送和接收 的双方都不能肯定邮件的真实性和机密完整性，同时双方 都可以否认对邮件的发送和接收，很难在出现事故的时候 追查某一方的责任。目前，人们已经不满足于电子邮件系统仅仅是增加空间容量、增加查毒杀毒功能等，用户需要能确保电子邮件 端到端（全程）的邮件内容安全保密功能。电子邮件安全问题最重要包括两个方面：一是电子邮 件服务器的安全，包括网络安全以及如何从服务器端防范 和杜绝垃圾邮件、病毒邮件和钓鱼邮件等，这些是电子邮 件服务的基本要求；而另一个更重要的问题但还没有引起 人们高度重视是如何确保电子邮件用户的电子邮件内容不 会被非法窃取、非法篡改和如何防止非法用户登录合法用 户的电子邮件账号。后者比前者更为重要。电子邮件的安全也要求机密、完整、认证和不可否 认，而这些都可以利用PKI技术来实现。目前发展很快的 端到端的安全电子邮件协议S/MIME（Secure/Multipurpose Internet Mail Extensions，安全/多用途Internet邮件扩充协 议），是一个允许发送加密和有签名邮件的协议。该协议 的实现需要依赖于PKI技术。2.1PKI（Public Key Infrastructure，公钥基础设施） 简介PKI技术的核心是非对称加密技术。之所以被称为非 对称，是因为进行加密和解密所使用的并不是同一个密 钥，而是使用两个不同的密钥：一个用于加密，另一个用 于解密。加密密钥是公开信息，所以也叫公钥；而解密密 钥是需要保密的，称为私钥。加密算法和解密算法也是公 开的，但是仅仅知道密码算法和加密密钥而要确定解密密 钥，在计算机上是不可能的。而非对称加密技术之所以被 称为公钥密码，是因为有一个密钥需要公开。当一个非对称密钥生成过程完成后，会同时得到两个 密钥：一个公钥，一个私钥。一方面，你希望所有人都知 道你的公钥；然而另一方面，你必须保密好你的私钥。非36实践与应用中国信息界2011年第5期总第177期对称密钥具有下面这种令人惊讶的性质，那就是：用一个密钥加密的东西只能用另一个对应的密钥解密。下面以Tom和Mike通信为例，讲解如何使用PKI技术 进行加密和签名。所谓的加密就是使用接收者Mike的公钥 对信息加密，Mike收到加密后的密文后只有使用自己的私 钥才能解密保证了信息的机密性；数字签名就是使用发送 者（Tom）自己的私钥对信息加密，因为Tom的公钥是公 开的，只要用Tom的公钥能解开密文，Tom就不能抵赖， 起到了签名的作用。在传输信息时使用接收者的公钥和发 送者的私钥依次加密，就实现了加密并且签名。用型个人数字证书申请”链接，随即又弹出一个窗口，提示只有安装了CA证书链的计算机，才能申请和使用数字证 书。因此需要单击“安装证书链”按钮，此时可能会弹出 一个“潜在的脚本冲突”信息框，单击“是”信任此网站 继续，随后又弹出一个“安全警告”窗口，告知即将从指 定的证书颁发机构安装证书，单击“是”按钮确认安装。稍候片刻即会提示证书链安装成功，同时进入个人 信息填写窗口，详细的个人资料，尤其是电子邮件地址 一定要正确填写。在个人信息下方要求用户选择加密服 务提供程序，在这里我们建议大家选择“Microsoft Base Cryptagraphic Provider V1.0”，在最下方则提示用户输入一 些补充信息，可以根据需要选择填写。提交个人信息之后，稍候片刻即会提示已经受理并签 发了证书，并显示证书业务受理号和密码，单击该页面中 的“安装证书”按钮。此时为了安全起见还会弹出一个验 证窗口，要求输入证书业务受理号和密码，正确输入之后 在打开的网页中继续单击“安装证书”按钮，这样即开始 进行证书的下载安装。待出现提示“证书成功下载 证书已 成功装入应用程序中”的提示时，说明我们已经成功申请 了数字证书。2.4查看安装的数字证书 从上面的申请过程中，虽然提示已经安装证书，可是我们并没有看到证书到底放在哪里。其实，这时我们只要 打开IE浏览器，单击“工具”菜单下的“Internet选项”命 令，将打开的窗口切换到“内容”选项卡，单击“证书” 按钮，在打开的窗口中即可看到我们申请并安装成功的证 书信息了。2.5绑定数字证书 现在我们就可以给邮件绑定证书了。如果是OutlookExpress，那么只需要按照常规方法添加好邮件账户后，打 开“工具”菜单下的“账户”命令，在打开的“Internet 账户”窗口的“邮件”标签中选中相应的邮件账户，然后 单击“属性”按钮，切换到“安全”标签，可以看到这里 有签署证书和加密首选项两个选项，依次单击“选择”按 钮，在打开的窗口中即可显示已经安装的证书，将其选中 完成添加即可。如果是Foxmail 6，同样可以在左侧窗口选中相应的账 户并打开其属性窗口。然后在属性窗口左侧选择“安全” 标签，再单击“选择”按钮，将证书添加进来即可。需要注意的是，证书只能绑定于申请证书时填写的邮 箱地址，对于其它邮箱地址是无法使用的。2.6应用 现在我们就可以发送包含数字证名或加密的邮件了。在OE中单击工具栏上的“创建邮件”按钮，在打开的新 邮件中按照普通邮件的格式设置好收件人、主题和正文等 信息。如果需要发送数字签名邮件，只需要单击一下格式 工具栏上的“签名”按钮，如果要同时发送加密邮件，只 需要单击“加密”按钮。在单击这两个按钮的同时，会在 “收件人”地址后多出相应的图标。2.2数字证书数字证书是一个经证书授权中心数字签名的、包含公 开密钥及相关的用户身份信息的文件。最简单的数字证书 包含一个公开密钥、名称及证书授权中心的数字签名。一 般情况下数字证书中还包括密钥的有效时间、发证机关（证书授权中心）的名称和该证书的序列号等信息，证书 的格式遵循ITU-T X.509国际标准。可以说证书就是一份关于用户公钥的文件，如何保 证该文件的真实性，采用的就是数字签名技术，即认证 中心用自己的私钥对该文件加密实现数字签名，那么接 收到该文件的用户就可以用已知的认证中心的公钥解密 验证该签名。2.3申请数字证书 用数字证书加密邮件的首要步骤就是获得数字证书。目前在网络上有很多机构提供数字证书申请服务，而且很 多都是收费的。作为普通用户，申请使用免费的数字证书 即可满足要求。现在以比较有名的网证通NETCA电子认证系统为例 介绍其使用过程。打开浏览器，输地址并回 车，在打开的页面中单击“证书申请”链接，在随后打开 的页面中会显示三类不同用途的数字证书类型，单击“试37实践与应用中国信息界2011年第5期总第177期对于Foxmail，在创建一封新邮件后，同样在工具栏上会有签名和加密按钮，操作方法是一样的。 而接收者收到邮件后，同提示该邮件由发件人数字签名，单击“继续”按钮即可查看邮件内容，同时我们亦可 以在“主题”栏下方的“安全”栏中看到“邮件被签名， 没有安全问题”的信息。借助数字签名，即可轻松保证邮件的安全。由于加 密、解密的过程是自动完成的，因此丝毫不会影响用户的 使用。而数字证书的应用还有很多，例如网络银行等，有 兴趣的朋友不防加以试用。SMTP，即Simle Mail Transfer Protocol，简单邮件传输协议，是发信的协议标准；POP，即Post Office Protocol， 邮箱协议，是收信的协议。SSL SMTP和SSL POP即在SSL 所建立的安全传输通道上运行SMTP和POP协议，同时又 对这两种协议作了一定的扩展，以更好地支持加密的认证 和传输。这种模式要求客户端的EMAIL软件和服务器端的 EMAIL服务器都支持，而且都必须安装SSL证书。基于VPN和其他IP通道技术，封装所有的TCP/IP服 务，也是实现安全电子邮件传输的一种方法。这种模式往 往是整体网络安全机制的一部分。3 使用数字证书实现电子邮件信头信体全面安全参考文献：1陈卓.网络安全技术M.北京:机械工业出版 社,20042百度百科.数字证书./view/16501.htm电子邮件包括信头和信体。现存的端到端安全电子邮件技术一般只对信体进行加密和签名，而信头则由于邮件 传输中寻址和路由的需要，