You are here: TUTWiki>Tietoturva/Tutkielmat>TyoLuettelo?>2008-28
-- TuireTalvitie? - 23 Sep 2009

Sähköpostin salaus yrityksissä

Johdanto

Sähköposti on yleistynyt yhteydenpitomenetelmänä suhteellisen nopeasti viimeisen kymmenen vuoden aikana. Siitä on tullut jokapäiväinen työkalu, joka kuljettaa viestit sekä tiedostoliitteet henkilöltä toiselle nopeasti, vaivattomasti ja usein ilmaiseksi. Erilaiset tiedostot lähetetään usein rutiininomaisesti eteenpäin ilman salauksia tai muita suojauksia. Sähköposti ei kuitenkaan takaa eheyttä, luottamuksellisuutta, eikä edes varmuutta viestin oikeasta lähettäjästä, joten se on erittäin tietoturvaton menetelmä yhteydenpitoon. Kun sähköposti kulkee verkon läpi sähköpostipalvelimelle, paljastuu se salaamattomana kaikille mistä se on läpi mennyt. Viestin seuraamista ei ole helppo estää, mutta seuraamisen voi kuitenkin tehdä hankalaksi salaamalla lähetetty viesti. Salaustekniikoita on useita, joten yritysten tulisikin selvittää sille paras salausmenetelmä ja käyttää sitä, mikäli sähköpostin salausta ei ole vielä toteutettu.

Tämä työ käsittelee sähköpostin salausta erilaisissa yrityksissä. Ensimmäisessä kappaleessa perehdytään ja arvioidaan yritysten nykyistä tilannetta sähköpostien salauksissa. Toisessa kappaleessa käsitellään aluksi nopeasti ja lyhyesti muutamien salausmenetelmien lyhenteitä, minkä jälkeen esitellään lyhyesti, minkälaisia erilaisia tapoja yrityksillä olisi salata sähköpostinsa. Toisessa kappaleessa ei ole tarkoitus perehtyä sähköpostin salausmenetelmiin vaan ainoastaan esitellä ne mahdollisuuksina. Kolmannessa kappaleessa tehdään lyhyt yhteenveto sekä joitakin päätelmiä yritysten nykyisestä sähköpostien salauksesta.

1.0 Sähköpostin salauksen käyttö yrityksissä

Luonnollisesti yritykset eivät ole kovin halukkaita kertomaan tietoturva-asioistaan, joten tutkin yritysten tietoturva-asioita lähinnä yleisten käytäntöjen ja palveluiden tarjoajien tietojen perusteella. Useimmissa yrityksissä tietoturvallisuuden ratkaisut on hyvin pitkälti ulkoistettu tai ne toteutetaan ostopalveluina jossain muodossa. Nämä salaukset voivat poiketa perinteisesti käytetyistä menetelmistä. Huolestuttavan suuressa osassa pk-yrityksiä ei kuitenkaan nähdä tarpeelliseksi salata sähköposteja ollenkaan varsinkaan yrityksen sisällä tapahtuvassa liikenteessä. Ulkopuolelle viestittäessä salaus koetaan usein hankalaksi. Tradeka -yrityksen turvallisuudesta vastaava johtajan mukaan tarve sähköpostiliikenteen turvaamiselle on Tradekassa tiedostettu jo pitkään, mutta ongelmia aiheuttaa käytettävyys. Hänen mukaansa vuosien varrella on nähty monenlaisia ratkaisuja, joista mikään ei ole ollut tarpeeksi helposti implementoitavissa sekä omaan että viestejä vastaanottavan organisaation rutiiniksi. Sähköpostin salaus tai salatun viestin vastaanottaminen vaatii usein käyttäjältä erityistä osaamista tai ajan käyttöä, joten ajan myötä turvallisesta käytännöstä lipsutaan. [1]

Mielestäni edellinen esimerkki kuvaa hyvin tietoturvatilannetta sähköpostin suhteen suurimmassa osassa yrityksiä. Sähköpostin aiheuttamat tietoturvariskit tiedostetaan, mutta niihin ei puututa. Käyttäjien tietoisuus tietoturvallisuudesta on nimittäin nykyään aivan toisella tasolla kuin vielä muutama vuosi sitten. Deltagonin vuonna 2007 ylimmälle johdolle teettämän tutkimuksen mukaan salaamatonta sähköpostia lähetellään Suomessa varsin yleisesti [1]. Salauksen tarvetta piti tarpeellisena 80% tutkimukseen vastanneista johtohenkilöistä, mutta vain 16% sanoi käytössään olevan luottamuksellisen sähköpostinratkaisun [1]. Small Business Technology Instituten ja Symantecin tekemän tutkimuksen mukaan joka viidennellä ei ole sähköpostia suojaavaa järjestelmää [2]. Yrityksillä on kuitenkin jonkin verran tietoturvaohjeistusta sähköpostin käytöstä. Paavilaisen tekemän tutkimuksen mukaan tietoturvaohjeistuksesta 77% on käytetty sähköpostin käyttöön [3]. Ei riitä, että yritys laatii käytännöt sähköpostin käyttämisessä sekä muissa tietoturva-asioissa, vaan jokaisen työntekijän on myös sitouduttava yrityksen käytäntöihin, muuten niistä ei ole mitään hyötyä [13].

Tein hieman empiiristä tutkimusta erikokoisten yritysten sähköpostin salauskäytännöistä. Etenkin pienien ja joidenkin keskisuurien yritysten työntekijöiden mukaan sähköpostia ei salata millään tavalla, eikä joissakin johtoportaissa yllätyksekseni välttämättä nähtykään tarpeelliseksi salata sähköpostia. Muutamassa melko pienessä yrityksessä sähköpostin salaamisen tarpeellisuudesta oltiin täysin tietämättömiä. Isoissa ja joissakin keskikokoisissa yrityksissä sen sijaan sähköpostin salausta tehtiin sitä tiukemmin mitä arkaluontoisemmasta tiedosta oli kyse. Joissakin yrityksissä salaus oli toteutettu palvelimella, jolloin salaus tapahtui automaattisesti eikä työntekijöiden tarvinnut huolehtia siitä. Joissakin yrityksissä salaukseen käytettiin salattua pakattua tiedostoa sekä esimerkiksi PGP:tä. Tutkimuksessa isot ja useimmat pk -yritykset olivat pääasiassa tekniikan alalla toimivia yrityksiä, mikä saattoi vaikuttaa tuloksiin.

2.0 Yrityksen sähköpostin suojaamistavat

2.1 Käsitteistöä salausmenetelmistä

PEM (Privacy-enhanced Electronic Mail) oli vuonna 1996 julkaistu ehdotelma sähköpostin salaukseen. Ehdotelmassa määriteltiin miten sähköpostit saataisiin eheiksi, autentikoiduiksi ja niiden luottamuksellisuus säilyisi. PEM ei koskaan yleistynyt, mutta sen ongelmista otettiin oppia PGP:tä kehitettäessä. [4][5][8]

PGP (Pretty Good Privacy) perustuu julkisen avaimen salaukseen ja on tällä hetkellä suosituin menetelmä sähköpostin salauksessa. PGP:tä pidetään yleisesti erittäin turvallisena menetelmänä, sillä siihen on saatavilla pitkiä salausavaimia, eikä kunnollista menetelmää PGP:n murtamiselle ole kehitetty. [5][6][7][8]

S/MIME (Secure Multi-Purpose Internet Mail Extensions) on standardi, joka määrittelee sähköpostin salauksen ja avauksen julkisen avaimen salausta käyttäen. Yleensä ei ole olemassa erillistä s/mime ohjelmaa vaan eri ohjelmissa on sisäänrakennettuina s/mime toteutukset. Tästä johtuen aikaisemmin s/mime versioiden välillä oli yhteensopivuusongelmia, jotka vasta s/mime v.3:ssa ovat kunnolla korjaantuneet. [5][7][8]

SSL (Secure Sockets Layer) on protokolla, jolla voidaan suojata koko liikenne IP-yhteyden yli. SSL toimii OSI-mallin mukaisesti määritellessä kuljetuskerroksessa eli sillä voidaan suojata kaikki TCP-yhteydet. Sitä siis käytetään salaamaan myös mm. internetissä surffauksen ja pikaviestiohjelmat. Tavallisin käyttötapa sille on web -sivujen siirto HTTPS -protokollalla. SSL yhteydessä voidaan autentikoida vain lähettäjä pää eli serveri tai molemmat päät. [5][7]

TLS (Transport layer security) on Security sockets layor (SSL) seuraaja. Näillä ei ole merkittäviä eroja sähköpostin salauksessa ja niitä käytetään muutenkin pitkälti samoihin asioihin. TLS voi jopa muuntautua tarpeen vaatiessa SSL3:n mukaiseksi. [7]

2.2 Sähköpostin mahdollisia salausmenetelmiä yrityksessä

Sähköposti voidaan salata joko omassa työasemassa tai sähköpostipalvelimessa. Palvelimessa suoritettu salaus turvaa viestin luottamuksellisuuden sen liikkuessa julkisessa internetissä, ja se on huomaamaton käyttäjälle. Pienessä yrityksessä työntekijän on usein itse huolehdittava salauksesta. Se voi olla järkevää isossakin yrityksessä, sillä työasemakohtainen salaus estää tietohallintoa tai mikrotukea näkemästä viestien sisältöä. [9]

Omien viestien suojaamiseen on useita tapoja. Usein riittää, että viestin sijaan salataan pelkkä tiedostoliite, tällöin itse sähköpostia tarvitse salata lainkaan. Viestiin kirjoitetaan vain lyhyt saate, jossa neuvotaan, miten liite avataan. Avaamisessa tarvittavaa salasanaa ei tietenkään kirjoiteta viestiin, vaan se välitetään vastaanottajalle esimerkiksi puhelinsoitolla tai tekstiviestillä. Tällainen salaustekniikan käyttö riittää moneen arkipäiväiseen tilanteeseen. Excel- tai Word- tiedostoissa salaus on helpointa tehdä itse sovelluksessa. Muut työtiedostot voi salata esimerkiksi Winzipillä, joka samalla pakkaa ne. [9]

Joissakin sähköpostiohjelmissa, esimerkiksi Microsoftin Outlook, Mozilla ja Thunderbird, on valmis toiminto sähköpostin salaamiseksi s/mime-standardin mukaisesti. salauksen käyttö edellyttää vastaanottajan varmenteen lisäämistä osoitekirjaan, minkä jälkeen viesti salataan. Varmenne eli sertifikaatti on tiedosto, joka sisältää henkilön julkisen avaimen. Varmenne kytketään sähköpostin osoitekirjassa halutun henkilön tietoihin, jonka jälkeen postiohjelma salaa viestit liitteineen. Periaatteessa sähköpostissa voi käyttää mitä tahansa X.509-standardin mukaista varmennetta, joten niitä voi sopivilla työkaluohjelmilla luoda vaikka itse. Eri asia on, kuka luottaa itse tehtyihin varmenteisiin ja miten ne jaellaan käyttäjille. Varmenteita voi myös ostaa netistä. Samat yritykset, jotka myyvät www-palvelimille tarkoitettuja ssl-varmenteita, myyvät yleensä myös henkilökohtaisia varmenteita. [9] Mikrosirulla varustettu henkilökortti eli hst-kortti (henkilön sähköinen tunnistaminen) sisältää kansalaisvarmenteen, jonka tiedot tulevat väestörekisterikeskukselta [10].

Tunnetuin salausohjelma on Pretty good privacy eli PGP. Se hallitsee erilaiset salausmenetelmät, ja on saatavissa myös avoimen lähdekoodin gnu -versiona, joten käyttö ei maksa mitään. Pgp:llä voi salata yksittäisiä tiedostoja tai sähköpostiviestejä. Sähköpostiohjelmaan integroitu salaustoiminto on helppo käyttää ja erittäin turvallinen. Vastaanottajien salausavaimia voi etsiä netin pgp-avainpalvelimista. Pgp ei kuitenkaan sovellu aloittelijalle, vaan edellyttää perustietoja salaustekniikoista. Toinen pgp:n heikkouksista on käyttäjän todentaminen. Koska pgp-avaimen voi luoda itse, mikään ei takaa sähköpostin lähettäjän henkilöllisyyttä. Tätä puutetta on osittain poistettu avainten allekirjoitusjärjestelmällä, mutta menettely ei yllä hst-kortin tasolle. [9]

Sähköpostia voi salata myös webmail-palveluiden avulla. Niitä pidetään usein turvattomina, mutta jos palvelu käyttää ssl-salattua tiedonsiirtoa selaimen ja palvelimen välillä, kukaan ulkopuolinen ei pääse näkemään viestejä. Ssl-salauksen merkkinä selaimessa näkyy lukon kuva ja osoiterivillä http-protokolla muuttuu https-protokollaksi. Ssl-salaus kuormittaa palvelinta ja siksi läheskään kaikki webmail-palvelut eivät käytä sitä. Liikkuvalle käyttäjälle webmail-palvelut ovat turvallisin ratkaisu, sillä viestit säilyvät suojattuna palvelimella eikä niitä kuljeteta mukana mikrossa. [9]

2.2 Uusia sähköpostin salausmenetelmiä yrityksen käyttöön

Uusi innovaatio sähköpostien salaustekniikassa on Washingtonin yliopiston tutkijoiden kehittämä salaussovellus, joka muuttaa lähetetyt sähköpostit, dokumentit ja muut viestit lukukelvottomiksi keskimäärin noin kahdeksan tunnin kuluessa [11] sekä Deltagonin kehittämä 3D ratkaisu, joka toimii ilman lähettäjän tai vastaanottajan työasemiin tehtäviä asennuksia [12]. Trend Micro on kehittänyt vuonna 2008 Email Encryption Gateway 5.0 salausratkaisun, joka suojaa keskisuurten ja suurten yritysten sähköpostiliikenteen.[14] Salausratkaisu perustuu identiteettipohjaiseen salaamiseen (IBE) ja toimii vaihtoehtoisesti työasemissa, yhdyskäytävissä ja SaaS?-ohjelmistopalveluna [14].

3.0 Yhteenveto

Sähköpostin tietoturva on puutteellinen, koska sitä ei alun perinkään ole suunniteltu tietoturvalliseksi tietojensiirtotavaksi [14]. Sähköpostin käytön yleistyminen on johtanut siihen, että sähköpostin turvallisuutta yrityksissä täytyy parantaa. Salausmenetelmiä on monia, kaupallisia ja ei-kaupallisia, mutta silti monessa yrityksessä ei ole käytössä minkäänlaista menetelmää sähköpostien salaamiseksi. Melkein kaikissa yrityksissä tiedostetaan sähköpostin salaamisen tarpeellisuus, mutta monissa niistä tarvittavia toimenpiteitä turvallisuuden parantamiseksi ei ole tehty tai toimenpiteisiin ei ole sitouduttu tarpeeksi hyvin.

Mielestäni ei ole riittävää, että salaus toteutetaan esimerkiksi ainoastaan palvelun kautta, vaan tulisi keskittyä myös ihmisten asenteisiin. Tietoturvariskeistä tiedetään, joten toimintaa tarvitaan. Johdon on toimittava esimerkkinä, ja koulutettava sekä valvottava, että sovittuja käytäntöjä noudatetaan. Tulevaisuudessa varmasti keksitään uusia vakoilukeinoja, joten olisi jo hyvä tässä vaiheessa kasvattaa työntekijöiden osaamista turvallisuuden saralla ja pitää heidät ajan tasalla tekniikan kehittyessä tietoturvavahinkojen ehkäisemiseksi. Vaikeankin toimenpiteen saa muutettua rutiiniksi, kun sitä toistetaan riittävän useasti.

Lähteet

  • [2] Reiss, M. 2005. IT-viikko. Viitattu 23.9.2009. Saatavissa: IT -viikko

  • [4] Kent Stephen, Privacy-enhanced Electronic Mail. 1993. Viitattu 29.9.2009. Saatavissa: PEM

  • [6] PGP -yrityksen kotisivut. Viitattu 29.9.2009. Saatavissa: PGP

  • [9] Tietokone -lehti, 2007. Viitattu 23.9.2009. Saatavissa: Tietokone

Print version |  PDF  | History: r4 < r3 < r2 < r1 | 
Topic revision: r4 - 15 Nov 2009 - 19:32:15 - TuireTalvitie?
 

TUTWiki

Copyright © by the contributing authors. All material on this collaboration platform is the property of the contributing authors.
Ideas, requests, problems regarding TUTWiki? Send feedback