電子郵件安全S-MIME

電子郵件平安(2)

S/MIME本節(jié)內(nèi)容1.傳統(tǒng)電子郵件格式——RFC53221.1RFC5322簡(jiǎn)介1.2舉例：一條RFC5322消息1.3SMTP/5322方案的缺陷2.多用途網(wǎng)際郵件擴(kuò)展——MIME2.1MIME概覽2.2MIME增加的5種消息頭域2.3舉例：一條Multipart類型的MIME消息3.增強(qiáng)平安性的MIME——S/MIME3.1S/MIME的功能3.2S/MIME使用的密碼算法3.3S/MIME消息3.4S/MIME認(rèn)證本節(jié)內(nèi)容1.傳統(tǒng)電子郵件格式——RFC53221.1RFC5322簡(jiǎn)介1.2舉例：一條RFC5322消息1.3SMTP/5322方案的缺陷2.多用途網(wǎng)際郵件擴(kuò)展——MIME2.1MIME概覽2.2MIME增加的5種消息頭域2.3舉例：一條Multipart類型的MIME消息3.增強(qiáng)平安性的MIME——S/MIME3.1S/MIME的功能3.2S/MIME使用的密碼算法3.3S/MIME消息3.4S/MIME認(rèn)證1.傳統(tǒng)電子郵件格式——RFC53221.1RFC5322簡(jiǎn)介RFC5322，InternetMessageFormat，定義了一種用于電子郵件的文本消息格式基于RFC822RFC5322與RFC821〔SimpleMailTransferProtocol，SMTP〕共同完成電子郵件應(yīng)用，稱為SMTP/5322方案message=envelop+content注：為統(tǒng)一，后面提到的“消息〞均指由RFC5322定義的content局部RFC5322負(fù)責(zé)定義content局部的格式，它由消息頭〔theheader〕和消息體〔thebody〕組成消息頭：假設(shè)干關(guān)鍵字行〔keywordline〕，說(shuō)明消息的屬性常用關(guān)鍵字有Date、From、Subject、To、Cc以及Message-ID消息體：郵件文本內(nèi)容1.傳統(tǒng)電子郵件格式——RFC53221.2舉例：一條RFC5322消息1.傳統(tǒng)電子郵件格式——RFC53221.3SMTP/5322方案的缺陷SMTP無(wú)法傳輸可執(zhí)行文件或其他類型的二進(jìn)制文件SMTP只能傳輸7-bitASCII數(shù)據(jù)，無(wú)法傳輸其它編碼方式的數(shù)據(jù)SMTP無(wú)法傳輸超過(guò)一定長(zhǎng)度的消息SMTP在進(jìn)行ASCII和EBCDIC的轉(zhuǎn)換時(shí)存在不一致問(wèn)題SMTP無(wú)法處理包含在X.400消息中的非文本數(shù)據(jù)某些SMTP實(shí)現(xiàn)方式未嚴(yán)格遵循RFC821，如：刪除、增加及重排序回車符和換行符分段及組合大于76字符的行移除消息尾部的無(wú)用空格符和制表符填充消息中某些行，使各行到達(dá)相同長(zhǎng)度將制表符轉(zhuǎn)換為多個(gè)空格符本節(jié)內(nèi)容1.傳統(tǒng)電子郵件格式——RFC53221.1RFC5322簡(jiǎn)介1.2舉例：一條RFC5322消息1.3SMTP/5322方案的缺陷2.多用途網(wǎng)際郵件擴(kuò)展——MIME2.1MIME概覽2.2MIME增加的5種消息頭域2.3舉例：一條Multipart類型的MIME消息3.增強(qiáng)平安性的MIME——S/MIME3.1S/MIME的功能3.2S/MIME使用的密碼算法3.3S/MIME消息3.4S/MIME認(rèn)證本節(jié)內(nèi)容1.傳統(tǒng)電子郵件格式——RFC53221.1RFC5322簡(jiǎn)介1.2舉例：一條RFC5322消息1.3SMTP/5322方案的缺陷2.多用途網(wǎng)際郵件擴(kuò)展——MIME2.1MIME概覽2.2MIME增加的5種消息頭域2.3舉例：一條Multipart類型的MIME消息3.增強(qiáng)平安性的MIME——S/MIME3.1S/MIME的功能3.2S/MIME使用的密碼算法3.3S/MIME消息3.4S/MIME認(rèn)證本節(jié)內(nèi)容1.傳統(tǒng)電子郵件格式——RFC53221.1RFC5322簡(jiǎn)介1.2舉例：一條RFC5322消息1.3SMTP/5322方案的缺陷2.多用途網(wǎng)際郵件擴(kuò)展——MIME2.1MIME概覽2.2MIME增加的5種消息頭域2.3舉例：一條Multipart類型的MIME消息3.增強(qiáng)平安性的MIME——S/MIME3.1S/MIME的功能3.2S/MIME使用的密碼算法3.3S/MIME消息3.4S/MIME認(rèn)證2.多用途網(wǎng)際郵件擴(kuò)展——MIME2.1MIME概覽MultipleInternetMailExtension，多用途網(wǎng)際郵件擴(kuò)展MIME是對(duì)RFC5322框架的擴(kuò)展，在RFC1426〔SMTP8-bitMIME傳輸效勞擴(kuò)展〕的支持下，解決了SMTP/5322方案的缺陷MIME的新特性增加了5個(gè)新的消息頭域〔headerfield〕MIME-Version ——MIME版本Content-Type ——郵件容納物的類型Content-Transfer-Encoding ——郵件容納物的傳輸編碼方式Content-ID ——郵件容納物的編號(hào)Content-Description ——郵件容納物的描述定義了多種郵件容納物數(shù)據(jù)類型，對(duì)多媒體電子郵件進(jìn)行支持7種類型，15種子類型，在Content-Type小節(jié)展開(kāi)定義了多種傳輸編碼方式6種傳輸編碼，在Content-Transfer-Encoding小節(jié)展開(kāi)2.多用途網(wǎng)際郵件擴(kuò)展——MIME2.2MIME增加的5種消息頭域2.2.1MIME版本〔MIME-Version〕參數(shù)一般為1.0，表示消息符合RFC2045和RFC2046的規(guī)定2.2.2郵件容納物標(biāo)識(shí)〔Content-ID〕用來(lái)標(biāo)識(shí)不同的郵件容納物可選2.2.3郵件容納物描述〔Content-Description〕對(duì)消息體中被傳輸?shù)臄?shù)據(jù)對(duì)象進(jìn)行描述的自由文本可選2.多用途網(wǎng)際郵件擴(kuò)展——MIME2.2MIME增加的5種消息頭域2.2.4郵件容納物類型〔Content-Type〕向接收方指明消息體的中數(shù)據(jù)的類型7種類型，15種子類型〔課本〕Text、Multipart、Message、Image、Video、Audio、Application需要說(shuō)明的是，隨著互聯(lián)網(wǎng)的開(kāi)展，會(huì)出現(xiàn)很多新的子類型。IANA〔TheInternetAssignedNumbersAuthority，互聯(lián)網(wǎng)數(shù)字分配機(jī)構(gòu)〕負(fù)責(zé)確認(rèn)新的郵件容納物子類型，已出現(xiàn)但未確認(rèn)的子類型前加x，如application/x-gzip等。Multipart類型最復(fù)雜，包含多個(gè)不同類型的獨(dú)立子局部每個(gè)子局部也有其自身的類型各個(gè)子局部由邊界標(biāo)志分隔開(kāi)初始及中間分隔符 --boundary最終分隔符 --boundary--類型（Type）子類型（Subtype）說(shuō)明（Description）TextPlain普通文本，ASCII或ISO8859編碼Enriched提供了更多的可選格式MultipartMixed各部分相互獨(dú)立，共同發(fā)送，有順序Parallel各部分相互獨(dú)立，共同發(fā)送，無(wú)順序Alternative同一段信息的不同版本，目的是提高接收方的用戶體驗(yàn)Digest與Mixed子類型相同，但每個(gè)部分的缺省類型是message/rfc822Messagerfc822遵循rfc822標(biāo)準(zhǔn)的封裝好的消息Partial用于將大的message分解為碎片。每個(gè)碎片有id及順序碼；有碎片總數(shù)。External-body包含一個(gè)指向別處對(duì)象的指針I(yè)magejpegjpeg格式圖像gifgif格式圖像Videompegmpeg格式視頻AudioBasic單軌8比特ISDNmu-law編碼，采樣率8kHzApplicationPostScriptAdobePostScript格式octet-stream由8位字節(jié)構(gòu)成的二進(jìn)制數(shù)據(jù)塊2.多用途網(wǎng)際郵件擴(kuò)展——MIME2.2MIME增加的5種消息頭域2.2.5郵件容納物傳輸編碼方式〔Content-Transfer-Encoding〕說(shuō)明了對(duì)數(shù)據(jù)所執(zhí)行的編碼方式，接收方根據(jù)該方式對(duì)數(shù)據(jù)進(jìn)行解碼編碼方式說(shuō)明7bit7位ASCII編碼方式，數(shù)據(jù)大小不超過(guò)SMTP的傳輸上限8bit8位ASCII編碼方式，數(shù)據(jù)大小不超過(guò)SMTP的傳輸上限，一般不用binary含非ASCII字符，數(shù)據(jù)大小可能會(huì)超出SMTP的傳輸上限，一般不用quoted-printable在此方式下，數(shù)據(jù)中的ASCII字符是人類可讀的base64將每6位二進(jìn)制輸入數(shù)據(jù)換為一個(gè)8位ASCII字符，使用最廣泛會(huì)增加1/3報(bào)文，人類不可讀x-token與設(shè)備制造商相關(guān)的編碼方式2.多用途網(wǎng)際郵件擴(kuò)展——MIME2.3舉例：一條Multipart類型的MIME消息郵件容納物類型定義邊界Multipart的前序〔可省略〕分隔符1Part1.text/plain類型Part2.text/plain類型分隔符2Part3.multipart/parallel類型分隔符3次級(jí)分隔符1Part3.1.audio/basic類型次級(jí)分隔符2Part3.2.image/jpeg類型次級(jí)終了分隔符分隔符4Part4.text/enriched類型分隔符5Part5.message/rfc822類型終了分隔符本節(jié)內(nèi)容1.傳統(tǒng)電子郵件格式——RFC53221.1RFC5322簡(jiǎn)介1.2舉例：一條RFC5322消息1.3SMTP/5322方案的缺陷2.多用途網(wǎng)際郵件擴(kuò)展——MIME2.1MIME概覽2.2MIME增加的5種消息頭域2.3舉例：一條Multipart類型的MIME消息3.增強(qiáng)平安性的MIME——S/MIME3.1S/MIME的功能3.2S/MIME使用的密碼算法3.3S/MIME消息3.4S/MIME認(rèn)證本節(jié)內(nèi)容1.傳統(tǒng)電子郵件格式——RFC53221.1RFC5322簡(jiǎn)介1.2舉例：一條RFC5322消息1.3SMTP/5322方案的缺陷2.多用途網(wǎng)際郵件擴(kuò)展——MIME2.1MIME概覽2.2MIME增加的5種消息頭域2.3舉例：一條Multipart類型的MIME消息3.增強(qiáng)平安性的MIME——S/MIME3.1S/MIME的功能3.2S/MIME使用的密碼算法3.3S/MIME消息3.4S/MIME認(rèn)證3.增強(qiáng)平安性的MIME——S/MIME目的：基于RSA密碼體制，在MIME框架下對(duì)電子郵件平安性進(jìn)行提升功能：對(duì)MIME消息主體進(jìn)行加密、簽名應(yīng)用：S/MIME適合于企業(yè)級(jí)用戶〔PGP適合于個(gè)人用戶〕標(biāo)準(zhǔn)：RFC3370、RFC3850、RFC3851、RFC3852本小節(jié)內(nèi)容：3.1S/MIME的功能3.2S/MIME的密碼算法3.3S/MIME消息3.4S/MIME認(rèn)證流程3.增強(qiáng)平安性的MIME——S/MIME3.1S/MIME的功能Envelopeddata對(duì)MIME消息進(jìn)行加密Encrypt〔數(shù)據(jù)內(nèi)容〕Signeddata對(duì)MIME消息簽名，并使用base64對(duì)全部信息編碼Base64〔數(shù)據(jù)內(nèi)容+經(jīng)過(guò)簽名的摘要〕Clear-signeddata對(duì)MIME消息簽名，但只對(duì)簽名進(jìn)行base64編碼數(shù)據(jù)內(nèi)容+Base64〔經(jīng)過(guò)簽名的摘要〕Signedandenvelopeddata嵌套使用前兩種功能3.增強(qiáng)平安性的MIME——S/MIME3.2S/MIME種使用的密碼算法第一類：散列算法SHA-1〔SecureHashAlgorithm〕MD5〔MessageDigestAlgorithm5〕第二類：非對(duì)稱密碼算法DSS〔DigitalSignatureStandard〕Diffie-Hellman〔WhitfieldDiffie、MartinHellman〕RSA〔RonRivest、AdiShamirh、LenAdleman〕第三類：對(duì)稱密碼算法3DES〔TripleDataEncryptionStandard〕RC2/403.增強(qiáng)平安性的MIME——S/MIME3.2S/MIME種使用的密碼算法各密碼步驟對(duì)發(fā)送方和接收方Agent的要求功能需求（MUSTsandSHOULDs）生成消息摘要雙方都必須支持SHA-1；接收方應(yīng)該支持MD5；簽名消息摘要雙方都必須支持DSS；發(fā)送方應(yīng)該支持RSA；接收方應(yīng)該支持密鑰大小為512-1024位的RSA；加密會(huì)話密鑰雙方都應(yīng)該支持Diffie-Hellman；雙方都必須支持密鑰長(zhǎng)度為521-1024位的RSA；加密消息雙方都必須支持3DES；發(fā)送方應(yīng)該支持AES和RC2/40；3.增強(qiáng)平安性的MIME——S/MIME3.2S/MIME中使用的密碼算法會(huì)話加密算法的選擇通過(guò)郵件成功交互的保證——接收方能夠解密經(jīng)過(guò)發(fā)送方加密的數(shù)據(jù)S/MIME提供了多種可選密碼算法，故需要決策使用何種算法問(wèn)題1： 發(fā)送方需要判斷，對(duì)于給定的密碼算法，接收方是否有解密能力問(wèn)題2： 如果接收方不能使用給定的算法進(jìn)行解密，發(fā)送方能否接受使用一個(gè) 較弱的密碼算法決策過(guò)程步驟1： 假設(shè)發(fā)送方保存了一份來(lái)自接收方的解密方式優(yōu)先選擇列表，那么應(yīng)該選 擇具有最高優(yōu)先級(jí)的那種算法；步驟2： 假設(shè)沒(méi)有上述列表，但是保存了假設(shè)干來(lái)自接收方的郵件，那么應(yīng)該選擇接 收方最近使用的那種密碼算法；步驟3： 發(fā)送方未掌握上述信息，且能夠承受接收方可能無(wú)法解密所帶來(lái)的 風(fēng)險(xiǎn)，用3DES；步驟4： 發(fā)送方未掌握上述信息，且不能承受接收方無(wú)法解密帶來(lái)的風(fēng)險(xiǎn)， 用RC2/40；3.增強(qiáng)平安性的MIME——S/MIME3.3S/MIME消息對(duì)MIME消息進(jìn)行平安性加強(qiáng)，得到S/MIME消息。MIME實(shí)體MIME消息中除RFC5322header之外的其它局部當(dāng)類型為multipart時(shí)，可以是一個(gè)或多個(gè)子局部S/MIME以MIME實(shí)體為對(duì)象進(jìn)行具體的簽名、加密、壓縮操作MIME實(shí)體加密、簽名作為新的、增強(qiáng)了平安性的郵件容納物進(jìn)行傳輸3.增強(qiáng)平安性的MIME——S/MIME3.3S/MIME消息S/MIME中增加的郵件容納物類型類型子類型smime參數(shù)說(shuō)明MultipartSigned一個(gè)clear-signed消息，包含兩部分：消息、消息簽名Applicationpkcs7-mimesignedData對(duì)MIME實(shí)體簽名后產(chǎn)生的S/MIME實(shí)體pkcs7-mimeenvelopedData對(duì)MIME實(shí)體加密后產(chǎn)生的S/MIME實(shí)體pkcs7-mimeDegeneratesignedData僅包含公鑰證書(shū)的S/MIME實(shí)體pkcs7-mimeCompressedData對(duì)MIME實(shí)體壓縮后產(chǎn)生的S/MIME實(shí)體pkcs7-signaturesignedDataMultipart/Signed類型中消息簽名部分的類型3.增強(qiáng)平安性的MIME——S/MIME3.3S/MIME消息EnvelopedData的產(chǎn)生〔類型：Application/pkcs-7mime〕步驟1.用偽隨機(jī)數(shù)算法為對(duì)稱密碼算法〔3DES、RC2/40〕生成一個(gè)會(huì)話密鑰步驟2.用接收方的公鑰加密會(huì)話密鑰步驟3.準(zhǔn)備RecipientInfo〔接收方信息〕，包含：接收方共要證書(shū)標(biāo)識(shí)密碼算法標(biāo)識(shí)加密后的會(huì)話密鑰步驟4.用會(huì)話密鑰加密MIME實(shí)體EnvelopedData實(shí)體：加密后的MIME實(shí)體接收方信息base643.增強(qiáng)平安性的MIME——S/MIME3.3S/MIME消息SignedData的產(chǎn)生〔類型：Application/pkcs-7mime〕步驟1.選擇散列算法〔SHA或MD5〕步驟2.計(jì)算MIME實(shí)體的摘要步驟3.用自己的私鑰簽名摘要步驟4.準(zhǔn)備SignerInfo〔簽名者信息〕，包含：簽名者公鑰證書(shū)散列算法標(biāo)識(shí)簽名算法標(biāo)識(shí)加密后的摘要SignedData實(shí)體MIME實(shí)體簽名者信息base643.增強(qiáng)平安性的MIME——S/MIME3.3S/MIME消息Clear-signedData的產(chǎn)生〔類型：multipart/signed〕子局部1〔類型：普通MIME類型，如text/plain〕MIME用戶可得子局部2〔類型：Application/pkcs7-signature〕產(chǎn)生方式同signedData，但其中的MIME實(shí)體局部空置MIME用戶不可見(jiàn)，S/MIME用戶可用于驗(yàn)證發(fā)送方空置簽名者信息base64MIME實(shí)體base643.增強(qiáng)平安性的MIME——S/MIME3.4S/MIME認(rèn)證S/MIME使用符合X.509v3的公鑰證書(shū)。S/MIME用戶端須具