S/MIME Sertifikaları

Bir S/MIME sertifikası iki amaca hizmet eder:

• Alıcının genel anahtarını kullanarak e-posta gövdesini ve tüm ekleri şifreler; böylece yalnızca alıcının özel anahtarı şifreyi çözebilir.
• Gönderenin özel anahtarını kullanarak dijital bir imza uygular; e-postayı kimin gönderdiğini ve gönderildikten sonra hiçbir şeyin değiştirilmediğini kanıtlar.

Alıcılar bu imzayı gönderenin genel anahtarıyla doğrular.

Bu koruma, mesaj düzeyinde kimlik avı ve ortadaki adam saldırılarına karşı güvence sağlar.

S/MIME, posta sunucunuzdaki TLS’den farklı çalışır. TLS, e-postalar iletim sırasındayken sunucular arasındaki bağlantıyı güvence altına alır; ancak bir mesaj gelen kutusuna düştüğünde sunucuda şifrelenmemiş olarak kalır. S/MIME mesajın kendisini şifreler ve giden kutunuzdan ayrıldığı andan alıcı açana kadar korumalı kalmasını sağlar.

Eylül 2023’ten itibaren yürürlükte olan CA/Browser Forum’un S/MIME Temel Gereksinimleri, bir sertifikanın hangi kimlik bilgilerini içerdiğini belirleyen dört doğrulama türü tanımlamaktadır:

• Posta Kutusu Doğrulamalı (Mailbox-Validated – MV), e-posta adresini kontrol ettiğinizi onaylar. Bunun ötesinde herhangi bir kimlik doğrulaması yapılmaz. Kişisel e-posta veya hızlı kurulum için idealdir. SSL Dragon’ın Sectigo Basic ve Pro sertifikaları bu kategoriye girer.
• Bireysel Doğrulamalı (Individual-Validated – IV), sertifika sahibinin gerçek kimliğini devlet tarafından verilen kimlik belgesi aracılığıyla doğrular. Yazışmalarında kim olduklarını kanıtlaması gereken serbest çalışanlar ve profesyoneller için uygundur.
• Organizasyon Doğrulamalı (Organization-Validated – OV), kuruluşun yasal varlığını doğrular ve sertifikada şirket adını gösterir. Paylaşılan veya departman adreslerinden gönderim yapan işletmeler için güçlü bir seçenektir. Sectigo Enterprise bu doğrulama düzeyini kullanır.
• Sponsor Doğrulamalı (Sponsor-Validated – SV), bir kuruluş tarafından çalışanlarına verilen ve hem şirketi hem de bireysel temsilciyi onaylayan sertifika türüdür. DigiCert Secure Email for Business, sponsor doğrulamasını kullanır ve kurumsal çaplı dağıtımlar için standart niteliğindedir.

• Korunan sağlık bilgilerini (PHI) işleyen sağlık kuruluşları, HIPAA gerekliliklerini karşılamak için e-posta şifrelemesine ihtiyaç duyar. Klinisyen ve yönetici hesaplarına uygulanan bir e-posta sertifikası bu yükümlülüğü yerine getirir.
• Hukuk firmaları ve finansal kuruluşlar, katı müvekkil gizliliği kurallarıyla ve giderek artan İş E-postası Ele Geçirme (BEC) saldırılarıyla karşı karşıyadır. Dijital olarak imzalanmış bir e-posta, müvekkillerin mesajın gerçekten avukatlarından veya danışmanlarından geldiğini doğrulamasına olanak tanır.
• GDPR kapsamında faaliyet gösteren şirketler, iletim sırasında kişisel verileri korumak zorundadır. E-postayı S/MIME ile şifrelemek, açık ve denetlenebilir bir güvence sağlar.
• FDA tarafından düzenlenen işletmeler, Electronic Submissions Gateway (ESG) aracılığıyla veri gönderenler, FDA ESG uyumluluk gereksinimlerini karşılayan DigiCert’in güvenli e-posta sertifikalarını kullanabilir. Kod imzalama ve belge imzalama sertifikaları gibi ilgili sertifika türleri diğer uyumluluk senaryolarını kapsar.