Certificati S/MIME

Un certificato S/MIME ha due scopi:

• Cifra il corpo dell’email e gli eventuali allegati utilizzando la chiave pubblica del destinatario, in modo che solo la chiave privata del destinatario possa decifrarli.
• Applica una firma digitale tramite la chiave privata del mittente, dimostrando chi ha inviato l’email e che nulla è stato alterato dopo l’invio.

I destinatari verificano quella firma con la chiave pubblica del mittente.

Questa protezione difende da attacchi di phishing e man-in-the-middle a livello di messaggio.

S/MIME funziona in modo diverso rispetto a TLS sul tuo server di posta. TLS protegge la connessione tra i server mentre le email sono in transito, ma una volta che un messaggio arriva nella casella di posta, rimane non cifrato sul server. S/MIME cifra il messaggio stesso, mantenendolo protetto dal momento in cui lascia la tua posta in uscita fino a quando il destinatario lo apre.

I requisiti di base S/MIME del CA/Browser Forum, in vigore da settembre 2023, definiscono quattro tipi di validazione che determinano quali informazioni sull’identità contiene un certificato:

• Mailbox-Validated (MV) conferma che hai il controllo dell’indirizzo email. Nessuna verifica dell’identità oltre a questo. Ideale per email personali o una configurazione rapida. I certificati Sectigo Basic e Pro di SSL Dragon rientrano in questa categoria.
• Individual-Validated (IV) verifica l’identità reale del titolare del certificato tramite un documento d’identità rilasciato da un ente governativo. Adatto a liberi professionisti e professionisti che devono dimostrare la propria identità nella corrispondenza.
• Organization-Validated (OV) verifica l’esistenza legale dell’organizzazione e visualizza il nome dell’azienda nel certificato. Una scelta solida per le aziende che inviano da indirizzi condivisi o di reparto. Sectigo Enterprise utilizza questo livello di validazione.
• Sponsor-Validated (SV) viene emesso da un’organizzazione ai propri dipendenti, confermando sia l’azienda che il singolo rappresentante. DigiCert Secure Email for Business utilizza la validazione sponsor ed è lo standard per i deployment aziendali su larga scala.

• Le organizzazioni sanitarie che gestiscono informazioni sanitarie protette (PHI) necessitano della cifratura delle email per soddisfare i requisiti HIPAA. Un certificato email applicato agli account di medici e amministrativi soddisfa tale obbligo.
• Gli studi legali e le istituzioni finanziarie devono rispettare rigide regole di riservatezza dei clienti e sono sempre più esposti agli attacchi Business Email Compromise (BEC). Un’email con firma digitale consente ai clienti di verificare che il messaggio provenga dal loro effettivo avvocato o consulente.
• Le aziende che operano sotto il GDPR devono proteggere i dati personali in transito. La cifratura delle email con S/MIME fornisce una misura di protezione chiara e verificabile.
• Le aziende regolamentate dalla FDA che inviano dati tramite l’Electronic Submissions Gateway (ESG) possono utilizzare i certificati email sicuri di DigiCert, che soddisfano i requisiti di conformità FDA ESG. Tipi di certificati correlati come i certificati di code signing e di document signing coprono altri scenari di conformità.