Сравнительный анализ средств защиты электронной почты с помощью матрицы угроз
Конференция: LXX Студенческая международная научно-практическая конференция «Молодежный научный форум»
Секция: Экономика
лауреатов
участников
лауреатов
участников
LXX Студенческая международная научно-практическая конференция «Молодежный научный форум»
Сравнительный анализ средств защиты электронной почты с помощью матрицы угроз
Электронная почта — один из наиболее широко используемых видов сервиса, как в корпоративных сетях, так и в Интернет. Она является не просто способом доставки сообщений, а важнейшим средством коммуникации, распределения информации и управления различными процессами в бизнесе.
Электронная почта обладает многочисленными достоинствами, но именно из-за этих достоинств возникают основные риски, связанные с ее использованием. В конечном итоге любой из этих рисков может привести к серьезным последствиям для компании. Это и потеря эффективности работы, и снижение качества услуг информационных систем, и разглашение конфиденциальной информации. Недостаточное внимание к данной проблеме грозит значительными потерями в бизнесе, а в некоторых случаях даже привлечением к юридической ответственности в связи с нарушением законодательства [1].
Для удобства составим общую таблицу 1 преимуществ и недостатков каждого средства защиты электронной почты [3].
Таблица 1.
Сравнительная таблица средств защиты почты
№ |
Средство |
Преимущества |
Недостатки |
1 |
PGP Desktop |
Наличие сервера ключей. Простота настройки почтовых клиентов. |
Расшифрованные письма ничем не защищены на клиенте. Если программа не запущена, а зашифрованное сообщение получено, непонятно, как его расшифровать. |
2 |
S/MIME |
S/MIME поддерживает большинство почтовых клиентов, в том числе и мобильные. Сообщения на клиенте хранятся в зашифрованном виде. Расшифровка осуществляется средствами почтового клиента, а не стороннего ПО. |
Необходим сервер ключей для комфортной работы. Сложность настройки. Необходимо каждый почтовый клиент настраивать отдельно. |
3 |
Hushmail |
Простота использования. |
Возможность расшифровки сообщений нечестной администрацией сервиса или по решению суда. Шифрование производится на стороне сервера, а не клиента. |
4 |
PGP Mail |
Шифрование/расшифровка на стороне клиента. |
Поддерживаются не все браузеры. Для большей безопасности нужно использовать TOR, что может вызвать затруднения у неопытных пользователей |
5 |
SecureGmail |
Простота использования. |
Только для Chrome. Ключ известен, как отправителю, так и получателю сообщения. |
6 |
Encrypted Communication |
Простота использования. |
Только для Firefox. Ключ известен, как отправителю, так и получателю сообщения. |
7 |
Плагин Enigmail |
Удобен в использовании. |
Требует GnuPG. Поддерживает только Thunderbird Postbox. |
При построении таблицы 2 за основу взята матрица угроз проекта «HushMail». Номер средства в этой таблице соответствует номеру средства в таблице 1. Значение «Да» означает, что вы защищены от угрозы. Значение «Да/Нет» означает, что есть какие-либо ограничения, о которых мы расскажем.
Таблица 2.
Сравнение средств защиты электронной почты в разрезе матрицы угроз
Угроза |
PGP Desktop |
S/MIME |
Hushmail |
PGP Mail |
Secure Gmail |
Encrypted Communication |
Enigmail |
Злоумышленник прослушивает ваше Интернет-соединение |
Да |
Да |
Да |
Да |
Да |
Да |
Да |
Злоумышленник получает доступ к e-mail, хранящемся на сервере |
Да |
Да |
Да |
Да |
Да |
Да |
Да |
Злоумышленник компрометирует веб-сервер после того, как вы получили доступ к e-mail |
Да |
Да |
Нет |
Да |
Да |
Да |
Да |
Злоумышленник контролирует веб-сервер, пока вы смотрите e-mail |
Да |
Да |
Нет |
Да |
Да |
Да |
Да |
Злоумышленник получает доступ к вашему компьютеру после того, как вы просмотрели ваше e-mail |
Нет |
Да |
Да |
Да |
Да |
Да |
Да |
Злоумышленник получает доступ к компьютеру до того, как вы посмотрели e-mail, и может установить программы по типу keylogger |
Нет |
Да/ Нет |
Нет |
Нет |
Нет |
Нет |
Нет |
Злоумышленник получил доступ к вашему жёсткому диску |
Да/Нет |
Да |
Да |
Да |
Да |
Да |
Да |
Проанализируем результаты, полученные для средств защиты «PGP Desktop» и «Huhsmail» (колонки 1 и 3). Поскольку шифрование осуществляется на стороне клиента, то программа «PGP Desktop» защищает переписку от прослушивания Интернет-соединения, в «HushMail» приходится полагаться только на SSL. Поскольку на сервере письма хранятся в зашифрованном виде, то если злоумышленник узнает ваш пароль от почтового ящика, ничего страшного не произойдет — максимум, что он сможет прочитать — это спам [2].
Оба средства защиты уязвимы при использовании keylogger. Если злоумышленник перехватит ваши пароли (в частности, от сертификатов), то вам уже ничто не поможет. Разве что переход на токены вместо ввода паролей.
Все остальные средства защиты используют шифрование на стороне клиента, поэтому им не страшен ни перехват, ни доступ к почтовому ящику — сообщения будут зашифрованы. Предоставляет угрозу для этих средств защиты — перехват ввода с клавиатуры. Злоумышленник может получить доступ не только к паролям, но и к обычному тексту, который вводится в теле сообщения перед тем, как оно будет зашифровано.
Таким образом, самый простой способ защиты электронной почты — это использование симметричного шифрования. Для его реализации можно использовать плагины браузера «SecureGmail» и «Encrypted Communication» или использовать программы, позволяющие создавать архивы, защищенные паролем (например, WinRAR, 7-Zip). Создавать архив для каждого нового сообщения — довольно рутинно. Плагины «SecureGmail» и «Encrypted Communication» делают симметричное шифрование более удобным.