हालांकि, मेरे ज्ञान के सर्वश्रेष्ठ के लिए, जब मेल-सर्वर-से-मेल-सर्वर संचार की बात आती है, तो अधिकांश ईमेल अभी भी सादे पाठ में स्थानांतरित किए जाते हैं और एन्क्रिप्ट नहीं किए जाते हैं, जिससे नेटवर्क पर किसी को भी उनकी सामग्री को पढ़ना संभव हो जाता है।
सही बात। HTTP की तरह SMTP, डिफ़ॉल्ट रूप से सादा-पाठ है।
इन दिनों कई मेल सर्वर एसएमटीपी के लिए टीएलएस (पहले एसएसएल के रूप में जाना जाता है) का समर्थन करते हैं । (इसमें जीमेल शामिल है।) हालाँकि, इसमें HTTP [S] के समान ही मुद्दे हैं: जाने-माने CAs द्वारा जारी किए गए प्रमाण-पत्र , और स्वयं-हस्ताक्षरित मूल्य MitM हमलों से बचाने के लिए 1 बेकार हैं । यदि आपका मेल सर्वर रिसीवर के प्रमाणपत्र (जैसे वेब ब्राउज़र करते हैं) का कड़ाई से सत्यापन करता है, तो यह उन सर्वरों को संदेश देने में विफल हो सकता है जो स्व-हस्ताक्षरित प्रमाण पत्र या इन-हाउस सीए का उपयोग कर रहे हैं। यदि ऐसा नहीं होता है , तो यह सुनिश्चित नहीं किया जा सकता है कि यह सही सर्वर से बात कर रहा है और न कि नपुंसक है ।
इसके अलावा, टीएलएस एसएमटीपी के लिए एक अपेक्षाकृत हालिया जोड़ है, इसलिए जब प्राप्तकर्ता का मेल सर्वर टीएलएस का समर्थन करता है, तो भी प्रेषक नहीं हो सकता है, या यह डिफ़ॉल्ट रूप से अक्षम हो सकता है।
1 (जब तक भेजने वाला सर्वर DANE (TLSA) का समर्थन नहीं करता है और प्राप्त करने वाला सर्वर का व्यवस्थापक DNS में TL रिकॉर्ड रिकॉर्ड प्रकाशित करने की परवाह करता है। यह शायद ही कभी किया जाता है और कुछ हद तक थकाऊ होता है।)
क्या कोई ऐसी तकनीकें हैं जो उपयोगकर्ता को कुछ गारंटी देती हैं कि उसके ईमेल को अंत से सुरक्षित रूप से भेजे जाते हैं?
दो सबसे आम ईमेल सुरक्षा मानक:
OpenPGP , भरोसे के वेब और उपयोग करने के लिए स्वतंत्र पर आधारित है। ओपन-सोर्स कार्यान्वयन GnuPG ( विंडोज के लिए , थंडरबर्ड के लिए ) है, और मूल PGP वाणिज्यिक PGP डेस्कटॉप में विकसित हुआ है ।
वेब-आधारित ईमेल क्लाइंट के लिए, FireGPG एक संभावना है - लानत है
S / MIME , X.509 इन्फ्रास्ट्रक्चर पर आधारित है। अधिकांश डेस्कटॉप क्लाइंट (आउटलुक, थंडरबर्ड, Mail.app सहित) द्वारा कार्यान्वित किया जाता है। हालांकि, TLS / SSL के समान अधिकार-आधारित संरचना के कारण अपेक्षाकृत अलोकप्रिय है: हस्ताक्षरित प्रमाणपत्रों में पैसे खर्च होते हैं, और स्व-हस्ताक्षरित लोगों को मज़बूती से मान्य नहीं किया जा सकता है।
दोनों मामलों में, एन्क्रिप्शन की आवश्यकता है कि प्राप्तकर्ता को पहले से ही सिस्टम का उपयोग करना चाहिए और एक कीपर उत्पन्न / प्राप्त करना चाहिए। ( हस्ताक्षर करने के लिए , प्रेषक की कुंजी का उपयोग किया जाता है। सामान्य प्रथा हस्ताक्षर और एन्क्रिप्ट संदेश दोनों के लिए है।)
जब एन्क्रिप्शन समर्थित नहीं है तो उपयोगकर्ता को यह बताने की अनुमति क्यों दें और यदि वह चाहता है कि उसका ईमेल अभी भी वितरित किया जाए?
आमतौर पर सबमिट किए गए संदेशों को कतारबद्ध किया जाता है , और न तो उपयोगकर्ता और न ही एमटीए को पता चल सकता है कि अगला हॉप टीएलएस का समर्थन करता है या नहीं - जब तक कि संदेश भेजा नहीं जा रहा है , जिस बिंदु पर उपयोगकर्ता से पुष्टि के लिए पूछने का कोई विश्वसनीय तरीका नहीं है। (वे AFK, ऑफ़लाइन, सो सकते हैं, या एक स्क्रिप्ट / प्रोग्राम हो सकते हैं। यदि मैंने संदेश भेजा है, तो मैं चाहता हूं कि इसे जल्द से जल्द वितरित किया जाए।)
इसके अलावा, SMTP के साथ आप कभी नहीं जानते कि अगला हॉप अंतिम है या यदि यह सिर्फ मेल को कहीं और रिले करेगा। एक बैकअप एमएक्स के लिए पूरी तरह से अलग नेटवर्क पर होना असामान्य नहीं है।
इसलिए। एंड-टू-एंड सुरक्षा केवल तभी संभव है जब दोनों पक्ष OpenPGP या S / MIME का उपयोग कर रहे हों।