Email Security

Email SecurityEmail Security

LalehLaleh TashakoriTashakori

در گسترده بطور بودن ارزان و راحت ، سريع بعلت الكترونيك پست امروزه يك ايميل سرويس.گيرد مي قرار استفاده مورد شبكه در روزمره ارتباطات

Web سرويس Base گوگل و ياهو مانند هايي دهنده خدمات كه باشد مي ايميل دريافت و ارسال به دارد وجود وب مرورگر كه هرجا دهند مي اجازه ارتباطات در امنيتي مسايل به نياز است ممكن حين اين در. شود اقدام

: مانند مواردي باشيم داشته ايميل : مانند مواردي باشيم داشته ايميل

ماندن محرمانه�

ايميل محتواي يكپارچگي و تماميت حفظ�

الزم گيرد برمي در را ما زندگي از مهمي بخش الكترونيك پست كه آنجا از . شويم آشنا آن به مربوط امنيتي بالقوه خطرات و مشكالت و مسايل با است

An overview of

Internet E-mail

. شود مي مشاهده اينترنت بستر در الكترونيك پست ارتباط يك از اي نمونه زير شكل در

. فرستد مي )MIT دانشجوي( فلورا به ايميلي )CU دانشجوي(آرون شكل اين در

. شود مي منتقل CUHK سرور به ايميل :1 مسير•

. ميكند هدايت اينترنت در ديگر سرورهاي سوي به را ايميل CUHK :2 مسير•

آن خود الكترونيك پست برنامه با فلور و رسد مي MIT دانشگاه سرور به نهايت در ايميل :3 مسير•. گشايد مي را

در اينترنت از پروتكلهاي مختلفي براي ارسال و دريافت پست الكترونيك استفاده مي :شود كه عبارتند از

براي ارسال يا انتقال ايميل SMTPپروتكل •

براي دريافت ايميل POPپروتكل • براي دريافت ايميل پروتكل

جهت دسترسي به پيام IMAPپروتكل •

SecrecySecrecy

ساده متن يك قالب در ايميل محتواي شود مي داده نشان زير شكل در كه همانطور مي ذخيره پستي صندوق در ساده متن يك قالب در و شود مي منتقل اينترنت در

: اگر شود داده نمايش آساني به تواند مي ايميل اينرو از. شوند

.باشد داشته را پستي صندوق به دسترسي امكان شخصي▫

.دارد اطالع شبكه در اطالعات جريان و ارتباطات و اتصاالت نحوه از كه شخصي▫

IntegrityIntegrity

دسترسي امكان شخصي اگر.شود مي ذخيره ساده متن يك قالب در الكترونيك پست

پست محتواي تواند مي باشد داشته آن ارسال حين در را الكترونيك پست به

در .شوند تغيير اين متوجه گيرنده يا فرستنده آنكه بدون دهد تغيير را الكترونيك

اين. ندارد وجود الكترونيك پست تماميت حفظ براي مكانيسم هيچ حال اين

پيام فرستنده هويت هم و شود مي الكترونيك پست محتواي به مربوط هم تماميت پيام فرستنده هويت هم و شود مي الكترونيك پست محتواي به مربوط هم تماميت

نمي قرار بررسي مورد پيام فرستادن هنگام در پيام فرستنده هويت آنجاييكه از.

ايميلي اگر ديگر عبارت به. باشد داشته را آن ارسال ادعاي تواند مي هرشخصي گيرد

توسط حقيقتا ايميل كه باشيم مطمئن توانيم نمي باشيم كرده دريافت شخصي از

. است شده فرستاده مزبور شخص

Solutions for Security Solutions for Security

Problems in Internet EProblems in Internet E--

mail Provided by ITSCmail Provided by ITSC

Outlook مانند ايميل محبوب هاي برنامه از بسياري : ماندن محرمانه

Express و Netscap تر امن پروتكلهاي از استفاده از IMAP و POP پروتكلها اين . كنند مي حمايت ايميل كردن چك و دريافت جهت امن

انتقال هنگام در رمزنگاري با ايميل محتواي ماندن محرمانه افزايش باعث

Mail از Server هاي داده انتقال فرايند زير شكل. شود مي كاربر به . دهد مي نشان را گيرنده و فرستنده بين شده رمزنگاري . دهد مي نشان را گيرنده و فرستنده بين شده رمزنگاري

الكترونيك پست هاي برنامه از برخي پشتيباني از اي خالصه زير جدول

. دهد مي نشان را امن IMAP/POP از

Support Secure

POP?

Support Secure

IMAP?

NoYesNetscape 6 or above NoYesNetscape 6 or above

YesYesOutlook Express 5.0 or above

NoNoNetscape 4.7

NoNoEudora 5.1

Outlook تنظيم• Express 5.x از استفاده براي IMAP/POP امن

Outlook افزار نرم▫ Express منوي وارد كرده اجرا را Tools گزينه شده Accounts كنيم مي انتخاب را .

انتخاب را موجود آدرس ايميل شده Mail سربرگ وارد شده گشوده پنجره در▫. كنيم مي انتخاب را Properties دكمه و كرده

.كنيم مي دنبال را زير مراحل POP يا IMAP كردن فعال براي▫

شده رمزگذاري صورت به POP و IMAP پروتكل فعاليتهاي كليه تنظيمات اين انجام با ايميل كردن چك براي ديجيتال نامه گواهي به نيازي افزار نرم اين در.شد خواهد انجام. باشد نمي بار اولين براي

ارتباطات در كاربر هويت شناسايي و محتوا يكپارچگي جهت : تماميت• امضاي جهت ديجيتال هاي نامه گواهي از توان مي الكترونيك پست

امضاي كه دارد وجود بسياري ايميا هاي برنامه.نمود استفاده ديجيتال اشاره زير موارد به ميتوان جمله آن از كند مي پشتيباني را ديجيتال

: كرد

▫Netscape Messenger باالتر يا 4.5 ▫Netscape Messenger باالتر يا 4.5

▫Microsoft Outlook Express باالتر يا 4.0

Digital Certificates and Digital Certificates and

keyskeys

دهند مي كاربرشان به را امكان اين الكترونيك پست افزارهاي نرم از بسياري بسيار كه است اي شيوه اين.كند ارسال جعلي آدرس يك با را خود ايميل كه

در مشكل اين از جلوگيري براي.گيرد مي قرار ها Spammer استفاده مورد: دارد وجود روش دو امنيتي سيستم

SMIME ديجيتال هاي نامه گواهي�

�PGP

راحتر و بهتر امنيت و باشد مي كارآمدتر و راحتر بسيار SMIME اندازي راه امكان Hotmail مانند ايميل هاي دهنده خدمان برخي ولي. كند مي ايجاد

. دهند نمي وب تحت ايميلهاي براي را ديجيتال هاي نامه گواهي از استفاده

باشند مي مهم بخش دو داراي و كنند مي ايفا را گذرنامه نقش ها نامه گواهي

عمومي كليد�

خصوصي كليد�

تا كنند مي كار هم با كليدها اين

.دهيم پاسخ دريافتي ايميل به بتوانيم و شويم مطمئن ايميل فرستنده هويت صحت از �

.است نكرده تغيير ارسال حين در پيام كه شويم مطمئن� .است نكرده تغيير ارسال حين در پيام كه شويم مطمئن

كار هم با كه خصوصي كليد و الكترونيك پست افزار نرم بوسيله ديجيتال امضاي•

آنچنان را پيام توان مي ديجيتالي كليدهاي از استفاده با. شود مي ايجاد كنند مي

واقع در .باشد خواندن قابل نظر مورد كننده دريافت توسط تنها كه كرد رمزگذاري

كليد با توانند مي بدانند را رمزنگاري در استفاده مورد عمومي كليد كه كساني

كليد . كند رمزگشايي را پيام باشد عمومي كليد آن با مرتبط كه خود خصوصي

. شود مي منتشر عمومي بشكل معموال عمومي

پيامي واقع در . است كليد و قفل مانند خصوصي كليد و عمومي كليد ارتباط شده رمزنگاري كننده دريافت خصوصي كليد با مرتبط عمومي كليد با كه

. بود خواهد رمزگشايي قابل شخص آن خصوصي كليد با تنها باشد

سه پيام فرستنده الكترونيك پست افزار نرم شده رمزنگاري پيام ارسال هنگام : كند مي ارسال گيرنده به را چيز

پيام١. پيام١.

گيرنده عمومي كليد٢.

)بزرگ بسيار عدد يك( ديجيتال امضاي٣.

را ديجيتال امضاي و باشد قديمي گيرنده الكترونيك پست افزار نرم اگر غريب و عجيب اعداد و كاراكترها با پيوست يك عنوان به 3و2 مورد نشناسد

خاصي رياضي الگوريتمهاي از رمزنگاري شيوه اين در. شد خواهد ارسال. شود مي استفاده

صندوق در كند مي ريافت د را شده رمزنگاري پيام كننده دريافت كه هنگامي به پيام باشد معتبر ديجيتال امضا اگر كرده مشاهده را جديد پيام خود پستي پستي صندوق در غيراينصورت در شود مي نمايان معمولي ايميل يك شكل الگوريتمهاي . شد خواهد نمايان “ باشد نمي معتبر ديجيتال امضاي “ پيام

كامال بشكل كه اعداد از مجموعه با رمزنگاري در استفاده مورد رياضي احتمال بنابراين كنند مي كار باشند مي بفرد منحصر و شده ايجاد تصادفي احتمال بنابراين كنند مي كار باشند مي بفرد منحصر و شده ايجاد تصادفي

ديجيتال هاي گواهي به دسترسي . است صفر به نزديك چيزي آنها جعل آنها ايميل آدرس به كه باشد مي كننده درخواست افراد يا فرد به محدود

Certificate نام به سازمانهايي توسط ها گواهي اين.شود مي ارسال

Authorities شود مي صادر .

Netscape افزارهاي نرم توسط SMIME استاندارد Messenger ، Mozilla ،

Thunderbird و Outlook Express شود مي پشتيباني .Eudora از SMIME و PGP كند مي پشتيباني .

Weaknesses of digital keysWeaknesses of digital keys

. گيرد قرار استفاده سوء مورد شده سرقت تواند مي خصوصي كليد•

ثالثي شخص به را گواهي مورد در اطالعات گواهي كننده صادر ممكن•

.نمايد ارسال برايش را خصوصي كليد از كپي يك مثال كرند منتقل

حاضر امنيتي سطوح به توجه با كه ، آن كردن كرك يا نامه گواهي جعل حاضر امنيتي سطوح به توجه با كه ، آن كردن كرك يا نامه گواهي جعل•

. است غيرممكن عمال امر اين

است برگشت آدرس از معتبرتر و تر حمل قابل بسيار ديجيتال امضاهاي•

گواهي سرقت صورت در دليل همين به است دشوار بسيار آن جعل زيرا

اقدام و شده سرقت گواهي اعتبار توقف جهت اقدام كار بهترين ديجيتال

.است جديد گواهي اخذ جهت

.است ديگر مشكل عمومي كليد انتشار نحوه•

نمي را ديجيتال امضاء الكترونيك پست قديمي افزارهاي نرم از برخي•

.كند مي شناسايي نامفهوم پيوست فايل يك بصورت را آن و شناسد

اگر مثال.نيست حل قابل هنوز روش اين در ناشناس ايميلهاي ارسال مشكل اگر مثال.نيست حل قابل هنوز روش اين در ناشناس ايميلهاي ارسال مشكل•

مي باشد داشته را شخصي عمومي كليد يا بيابد را ايميلي آدرس شخصي

ها Spam مانند شود شناسايي آنكه بدون كند ارسال پيام آن به تواند

PGPPGP

و است بااليي امنيت داراي كه باشد مي SMIME براي خوب جايگزين يك

مورد نيز اينترنت محيط از خارج در مختلف اسناد كردن رمز جهت تواند مي

استفاده مورد ايميل رمزنگاري جهت گسترده بطور PGP.گيرد قرار استفاده

Internet با تواند مي راحتي به كه گيرد مي قرار Explorer ، Eudora با تواند مي راحتي به كه گيرد مي قرار و Internet Explorer ، Eudora و

Netscape از توانند مي براحتي كاربران ويندوز محيط در. كند مي كار PGP

كافي اينكار براي .كنند استفاده Outlook و Netscape ، Eudora محيط

كنيد دريافت را رايگان PGP نسخه آخرين و رفته PGPI سايت به است

.PGP روي بر Mozilla وThunderbird باشد مي استفاده قابل نيز.

Mobile email securityMobile email security

درآمده همگير بشكل روزمره امور انجام جهت همراه تلفن از استفاده امروزه پيش از بيش موبايل شكل به امور انجام در امنيت دليل همين به. است

پيشروترين از يكي كه آيفون هاي گوشي مكانيزم اينجا در . شود مي احساس.كنيم مي بيان داراست را ها تكنولوژي

ساخت Mail.app نام به كوچكي الكترونيك پست افزار نرم داراي آيفونها

بشكل كاربران تمامي به را ايميل سرويس تواند مي كه باشد مي اپل شركت

Account تمامي به توان مي برنامه اين از استفاده با. دهد ارائه ايمن كامال

دسترسي و ، امن پروتكلهاي پشتيباني با ايميل هاي دسترسي SMTP و IMAP ، POP امن پروتكلهاي پشتيباني با ايميل هاي

براي آيفون پيكربندي امكان كه است اين افزار نرم اين خوب ويژگي. داشت

از استفاده توان مي فرض پيش بطور واقع در . دارد وجود امن ارتباطات

مفيد زماني قابليت اين . نمود غيرفعال يا فعال را SSL/TLS هاي گزينه

را ايميلمان ناامن وايرلس شبكه يك طريق از باشيم مجبور كه بود خواهد

. كنيم چك

رمزنگاري الگوريتم از آن Safari مرورگر و آيفون شده تست ايميل برنامه

AES 128-bit به اتصال براي Mail Server و Web Server كند مي استفاده

مورد كليد طول براساس بلكه نيست مطلق الگوريتم اين از استفاده البته .

AES از است ممكن نياز 256-bit مانند شود استفاده نيز Internet Explorer AES از است ممكن نياز 256-bit مانند شود استفاده نيز Internet Explorer

Win يا XP .در سرعت افزايش و ها هزينه كاهش براي اپل شركت البته

. كند مي استفاده بيتي 128 الگوريتم از آيفون هاي گوشي

به اتصال از پس تنها را الكترونيك پست به دسترسي امكان آيفون كه آنجا از

مي الكترونيك پست به پوشه آن از اتصال سپس و سرور روي بر مربوطه پوشه

ايميل از استفاده هنگام در سرور سمت خدمات و سرويسها از توان مي دهد

: از عبارتند سرويسها اين از اي نمونه . نمود استفاده

ها Spam و ويروسها براي پايه فيلترينگ از استفاده امكان�

سرور سمت شده سفارشي فيلترينگ از استفاده امكان�

دريافتي پيامهاي از آرشيو ساخت�

پيامها SMIME رمزنگاري يا PGP خودكار رمزگشايي امكان�

پيامها به نامحدود و خودكار پاسخ�

سرور روي بر شده ذخيره ايميلهاي و دريافتي ايميلهاي از پشتيبان نسخه ساخت�

EncryptionEncryption

Digital Signature

Public Key Private Key

Public Key can be distributed

Private Key should be secret

PKIPublic Key Infrustracture

Encryption

رمزگذاري

با استفاده ازكليد عمومي (Encrypted) رمزگذاري شدهرمز گشايي

بااستفاده از كليد خصوصي

Certification

فرستنده پيام را امضاء مي كند

معتبر بودن امضاء مورد

بررسي قرار مي گيرد

None Secure Model

Bob

ارسال ايميل

John

Receiving

Bob John

Hacker

:نفوذ گر مي تواند . نامه ارسالي را بخواند -

. محتواي آن را تغيير دهد -

Secure Model

Bob

ارسال ايميل

John

ايميل توسط کليد خصوصی

.باب امضاء شده است

ايميل توسط كليد عمومي .جان امضاء شده است

Hacker

نفوذگرنامه ارسالي را ناخوانا مي بيند چون -را) دريافت كننده(”جان“او كليد خصوصي

. در اختيار ندارد

نفوذ گر نميتواند نامه امضاء شده ارسال كند چون -

. را ندارد )فرستنده(” باب“او كليد خصوصي

. ايميل ارسالي را بدون تغيير دريافت ميكند ” جان“ - . كليد عمومي باب را دريافت ميكند - .ايميل را توسط كليد خصوصي خود باز مي كند - ” باب“مي تواند نامه امضاء و رمزگذاري شده براي -

. ارسال كند

A

Signed by His

Private Key

Encrypted by

B,C,D,F

Public Key

B C D E F

كليد نمي تواند نامه را بخواند زيرا نامه با

. عمومي او رمزگذاري نشده است

Server

Client DNS server

Router

ISP

Client DNS server

Yahoo mail

server

Yahoo login page

Client DNS server

Router

ISP

Client DNS server

Yahoo mail

server

Yahoo fake

serverYahoo fake login page

Client Server

Data Exchanging

None Secure Model

Sniffer

User name : --

Password : ---

Catch user

Confidential

Information

User name : administrator

Password : =44gtfDs43

Can affect

information -Changing Password

-Using the account Resources

http session pocket

Client

Data Exchanging

Secure Model

https session pocket Server

Sniffer

Can not read data because

he doesn’t have the server’s

private key .

https session pocket Server

.مواردي كه در زمان ورود كاربر به يك شبكه امن مورد بررسي قرار مي گيرد

معتبر بودن صادر كننده گواهينامه درصورتيكه صادر گواهينامه درصورتيكه صادر

كننده گواهينامه معتبرنباشد پيام خطا نمايش

داده ميشود

تاريخ اعتبار در صورت گذشتن

از زمان تاريخ اعتبار

گواهينامه عدم اعتبار

آن به كاربر اعالم

ميشود

استفاده كننده نام سايت استفاده

كننده بايستي با نام مندرج در گواهينامه

يكسان باشد در غير اينصورت پيغام

خطا داده مي شود

نمونه اي از گواهينامه غير معتبر

نمونه اي از گواهينامه معتبر