S/MIME: come crittografare e firmare le e-mail

Quando inviate una e-mail, è di fondamentale importanza che il messaggio venga recapitato inalterato e in modo sicuro al suo destinatario, che deve essere la sola persona in grado di leggerlo. La questione non cambia quando siete voi a ricevere un messaggio di posta elettronica, il cui contenuto non deve poter essere letto o manipolato da terzi. Altrettanto importante è che il mittente non possa spacciarsi per qualcun altro. Requisiti di questo tipo possono essere garantiti soltanto attraverso l’utilizzo della crittografia e della firma elettronica, senza le quali i cyber criminali avrebbero gioco facile, nonostante la protezione di software antispam e antivirus. Uno standard per l’utilizzo di entrambe le funzioni è S/MIME, definito nel 1999.

Nella RFC 1847 del 1995 sono state descritte due estensioni di sicurezza per lo standard MIME (Multipurpose Internet Mail Extension): il formato multipart/signed per la firma dei messaggi e il formato multipart/encrypted per la crittografia. Quattro anni dopo la IETF (Internet Engineering Task Force) ha pubblicato una nuova estensione di MIME, chiamata S/MIME e descritta in (RFC 2633). Si tratta di uno standard che supporta il formato di firma già citato, mentre per la crittografia utilizza la propria soluzione application/pkcs-mime. Nel caso di un messaggio S/MIME è vostra discrezione se firmarlo, crittografarlo o compiere entrambe le operazioni.

La crittografia e la firma digitale S/MIME sono possibili con tutti i più popolari client di posta elettronica, come ad esempio Microsoft Outlook, Thunderbird o Apple Mail. Una nota alternativa che supporta sia multipart/signed che multipart/encrypted è lo standard del 2007 OpenPGP.

S/MIME si basa su un metodo di crittografia asimmetrica e dunque utilizza due chiavi, una pubblica (public key) e una privata (private key). Mentre la prima è condivisa con tutti i contatti di posta elettronica, la seconda è nota solo all’utente. È quindi necessario sia inviare messaggi cifrati in combinazione con la chiave pubblica del destinatario sia decodificare i messaggi ricevuti. Attraverso un certificato S/MIME, disponibile presso diversi provider, il client di posta elettronica è in grado di generare e scambiare chiavi.

Affinché la crittografia di una e-mail funzioni, ogni messaggio S/MIME è preceduto da un’intestazione (header) che fornisce al client destinatario le informazioni necessarie per la comprensione e l’elaborazione del contenuto. Sono qui specificati il tipo di contenuto (es. enveloped data per dati cifrati), il nome del file corrispondente (es. smime.p7m per dati cifrati o firmati) e il modulo di modifica. L’intestazione di una e-mail cifrata può avere ad esempio questo aspetto:

La firma S/MIME, che si può inserire automaticamente in un’e-mail al momento della composizione, è utile per diverse ragioni. In primo luogo trasmette la chiave pubblica al destinatario per una comunicazione sicura, in modo che possa a sua volta inviarvi messaggi dal contenuto cifrato. Inoltre dimostra al destinatario l’identità del mittente, vale a dire che l’e-mail proviene proprio da voi. A differenza di PGP, la sola aggiunta di una firma non crea caratteri cifrati. Se il client destinatario rileva incongruenze nella verifica della firma, l’autenticità del messaggio non viene confermata: questo consente all’utente di capire che i dati sono stati manomessi.

Come già menzionato, per utilizzare S/MIME è richiesto un certificato digitale (x.509). In linea di principio è possibile crearne uno autonomamente, a condizione di essere già in possesso di un certificato radice (root certificate). Inoltre, prima che avvenga la condivisione della chiave, è necessario che tutti i contatti importino il certificato radice. La soluzione più semplice è quella di acquisire un certificato da un’autorità certificativa ufficiale, presso cui sono in genere disponibili soluzioni a pagamento o gratuite. È tipica la classificazione dei certificati esistenti in tre categorie:

1. Classe 1: il certificato garantisce l’autenticità dell’indirizzo di posta elettronica.
    
2. Classe 2: il certificato garantisce l’autenticità dell’indirizzo di posta elettronica, dell’identità dell’utente e dell’esistenza dell’azienda, dove necessario. Le informazioni sono verificate tramite database terzi o documenti di identità.
    
3. Classe 3: a differenza della classe 2, l’identità dell’utente è verificata di persona.

Se volete cifrare le vostre e-mail con S/MIME e siete alla ricerca di un certificato, non dimenticatevi mai della sua funzione principale: proteggere la corrispondenza e-mail impedendo l’intercettazione e la manipolazione dei messaggi. Per questo motivo l’affidabilità e la serietà del fornitore sono elementi di estrema importanza.

Un servizio che vale la pena di raccomandare è Sectigo (ex Comodo), i cui certificati sono considerati affidabili dal 99 per cento dei client di posta elettronica, secondo quanto riportato sul sito della stessa azienda. L’autorità certificativa, conosciuta soprattutto per i certificati SSL di alta qualità, offre certificati per uso privato (a partire da 16,99 dollari all'anno) o per l'uso nelle aziende (a partire da 39,99 dollari all'anno), con i quali è possibile implementare una cifratura sicura delle e-mail end-to-end con S/MIME. Un partner affidabile per la generazione di certificati gratuiti è il provider italiano di web hosting Actalis.

Per integrare questo dispositivo di sicurezza nel vostro client di posta, avete ovviamente bisogno di un certificato S/MIME. La ricerca di un fornitore è pertanto il primo passo verso una casella di posta sicura, cui seguono la creazione e l’installazione del certificato personalizzato. Sotto questo aspetto le procedure dei vari provider sono tutte abbastanza simili. Dopo l’installazione potete procedere con la configurazione del vostro software di posta elettronica in modo che utilizzi S/MIME e acceda al certificato integrato. Generalmente il setup è completo dopo il riavvio del client, al termine del quale vengono attivate funzioni specifiche per la crittografia automatica o manuale e per la firma digitale dei messaggi.

Di seguito troverete istruzioni dettagliate per installare S/MIME con i sistemi desktop di Windows, macOS e con quelli mobili di iOS e Android. Come esempio di autorità certificativa sarà utilizzato il servizio di certificazione gratuito del provider Actalis.

I dispositivi Apple hanno un proprio client di posta elettronica integrato, chiamato “Mail”. A differenza dei software standard di Microsoft, esso consente di per sé la crittografia e la firma digitale delle e-mail con S/MIME. Se siete in possesso di un account di posta elettronica, potete creare un certificato con Actalis senza installare alcun programma ulteriore. La procedura è la stessa di Windows: andate sul sito web di Actalis e create un certificato con i vostri dati personali. Procedete quindi con l’installazione del certificato e la configurazione della crittografia S/MIME:

1. Aprite l’e-mail che avete ricevuto da Actalis e scaricate il certificato in una cartella a vostro piacimento. Su macOS il file ottenuto si può aprire direttamente con un doppio clic e aggiungere all’Accesso Portachiavi. Se volete utilizzare S/MIME anche sul vostro iPhone o iPad, dovete prima convertire il certificato nel formato .p12. A questo punto potete inviarlo tramite e-mail al vostro dispositivo mobile.

2. Una volta installato il certificato, è sufficiente lanciare o riavviare Apple Mail per integrare la crittografia e la firma digitale.
    
3. Per testare S/MIME, inviate una e-mail crittografata e firmata. Le due funzioni sono rappresentate nell’interfaccia di Mail rispettivamente da un lucchetto e da un segno di spunta. Se tutto funziona correttamente, entrambe le icone sono presenti anche al di sotto dell’oggetto del messaggio.