電子郵件全自動加密和數位簽章解決方案自動配置郵件證書，一鍵實現端到端加密

一、現狀分析

從1971第一封用@符號標記的電子郵件誕生，到2021年已經有50年歷史的電子郵件是互聯網的第一個最廣泛的應用，據統計全球有37億個電子郵件帳戶，每天發送的電子郵件數量高達2690億封(當然有不少是垃圾郵件)。也就是說：電子郵件是工作和生活的必須。

蘋果公司一位元技術專家在一個電子郵件安全的郵件討論群組中寫道：“Email as a tool for the betterment of humankind has proven so effective as to be arguably invaluable; improving the security, privacy, and safety of using email is a very worthwhile goal.(電子郵件作為改善人類生活的工具已被證明是非常高效的，同時可以說是無價的。提高使用電子郵件的安全性、隱私性和安全感是一個非常有價值的目標。”這句話說得非常好，有兩個重點：一是高度肯定了電子郵件對改善人類生活所作的貢獻，並且肯定了這種通信方式是高效的；二是指出了電子郵件的安全性還需要改進和提高。那麼，如何改進和提高電子郵件的安全性，密信技術給出了完美的答卷。

我們先來看看電子郵件的發送機制，分析清楚為何電子郵件的安全性還需要改進。電子郵件每天都在交換大量的個人和商業機密資訊，但是絕大多數郵件都是通過明文傳輸到郵件伺服器，並以明文形式儲存在雲端伺服器中，收件人再明文收到郵件。如下圖所示，這是一個巨大的雲端大資料安全隱患！

這個巨大的資料安全隱患主要是因為電子郵件在設計時就是採用明文傳輸機制，雖然後來有些改進，如下圖所示，採用在郵件伺服器上部署SSL證書實現SSL/TLS SMTP加密傳輸，但是這也只能保證用戶郵件從郵件用戶端發出到郵件伺服器鏈路上是加密的，郵件到了郵件伺服器仍然是明文存儲。郵件伺服器在收到待發送郵件後會聯繫收件人郵件伺服器收件，如果收件伺服器沒有部署SSL證書，則郵件只能明文從寄件者郵件伺服器發送到收件人郵件伺服器上，明文郵件又在收件人郵件伺服器明文保存了一份，收件人也是明文從郵件伺服器下載到自己的郵件用戶端中。所以，如果郵件服務提供者告訴其用戶郵件已經採用了TLS/SSL傳輸加密，那只能是安慰用戶，實際上郵件離開寄件者郵件伺服器就不是自己所在的郵件服務商所能控制的了！

這些安全問題並不是沒有人去想辦法解決，1995年RSA等公司提出了S/MIME(安全/多用途互聯網郵件擴展)協議V1版本，對郵件安全方面的功能進行了改進，1998年和1999年相繼出臺V2/V3版本並提交IETF形成系列RFC國際標準。如下圖所示，S/MIME國際標準就是用數位憑證對郵件進行加密，即用收件人的公鑰把明文郵件加密成密文，以密文方式由寄件者郵件伺服器發送到收件人郵件伺服器，收件人收到密文後用自己的私密公鑰解密得到郵件明文。這個全程加密過程實現了即使郵件伺服器沒有採用了SSL/TLS傳輸加密，也能保證郵件的安全加密傳輸，因為郵件本身是密文。當然，強烈推薦郵件伺服器部署SSL證書來保證用戶郵箱的口令安全。

從發佈S/MIME郵件簽名和加密標準至今又過去了25年，大家常用的郵件用戶端軟體如：微軟Outlook、Mozilla雷鳥和蘋果iMail等也都已經全面支援S/MIME國際標準實現電子郵件簽名和加密，但是S/MIME郵件加密技術為何並沒有得到普及應用？這是因為業界始終沒有解決其易用性問題，而其中一個最重要的原因是公鑰管理太複雜。使用者不僅需要從CA申請到郵件證書，還需要使用者把郵件證書安裝到各種設備的各種郵件用戶端軟體中，並且能正確配置使用，好不容易把證書搞定了，還需要先同對方交換公鑰才能發加密郵件，這絕對是一項普通用戶根本無法完成的事情。

英國國家網路安全中心網站這樣寫道 “Although it is possible to encrypt individual emails using protocols like PGP or S/MIME, this requires the sender and recipient to have the necessary trust infrastructure in place. This is not likely to be possible for all the parties you communicate with.”“You should only use message-based encryption like PGP or S/MIME occasionally for transfer of sensitive information as it’s inefficient and provides a poor user experience.”簡單翻譯一下大意是：“用S/MIME加密需要發送者和接收者都具有可信的加密基礎設施，這是不可能要求所有郵件用戶都具備的。”“如果要用電子郵件發送敏感機密資訊就應該使用S/MIME加密，但是它效率太低而且用戶體驗很差。” 再通俗點講就是：雖然S/MIME郵件加密技術很好，但是要想讓人人都能用上，並且做到很好用，那是不可能的！

二、解決方案

密信技術早在2015年就組建研發團隊研究如何解決S/MIME的易用性難題。為了保證用戶能像發送明文郵件一樣發送加密郵件，同時還要方便使用者能隨時隨地使用任何設備能解密閱讀已加密郵件，而無需費時費力去交換公鑰來加密和導入證書來解密，必須解決公鑰管理太複雜的問題。密信研發團隊在研究了多家國際國內領先的雲服務提供者提供的雲公鑰管理服務(KMS)後，決定採用雲公鑰管理技術方案來解決公鑰管理難題和實現按需分發公鑰。

密信技術的解決方案是把傳統的一張郵件證書拆分為兩張證書(一張簽章憑證和一張加密證書)，加密證書公鑰在雲端生成並安全加密託管在雲端，用戶在完成郵箱控制權驗證後就可以自動從雲端取到加密證書公鑰來自動解密已加密郵件，使得用戶無需費時費力申請和導入郵件證書，完美實現全自動郵件加解密。而用戶發送加密郵件時密信App會自動到雲端公鑰庫去獲取收件人的加密證書公鑰實現全自動發送加密郵件，使得用戶無需事先交換公鑰，真正實現無感全自動郵件加密和解密。而簽章憑證由於有使用者的身份資訊，使用者的簽名行為具有法律效力，所以，密信把簽章憑證設計為使用者在本地設備上生成公鑰，並在本地設備上加密保存公鑰。這就是為何使用者看到密信App在不同設備上的簽章憑證的序號是不一樣的原因。

密信技術把傳統的一張郵件證書拆分成兩張證書並根據簽名和加密的兩個不同用途採用不同的公鑰管理方式，完美地解決了S/MIME郵件加密服務的易用性問題，同時繼承了S/MIME郵件簽名的不可假冒、不可偽造和不可抵賴的特點，使得S/MIME郵件加密技術真正能實現零門檻無縫使用，用戶無需關心證書在哪，只需像平常一樣寫好郵件點擊發送即可自動發送加密郵件和自動接收和解密已加密郵件。

密信技術歷時4年多終於全部解決了郵件加密的各種難題，建設了安全可靠的加密基礎設施，並把這些設施普惠共用給全球所有密信用戶使用，讓大家都可以不用投資建設這些設施一樣可以實現S/MIME郵件加密和數位簽章，滿足各種合規要求。

如下圖所示，密信密碼基礎設施包括證書簽發系統(MCA)、公鑰管理系統(MKM)、公鑰交換系統 (PKE)、證書吊銷查詢系統(MCR)、身份認證系統(MVS)、時間戳記服務系統(MTS)、數字簽名服務系統(DSS)等七大密碼服務基礎設施系統，這些雲端服務系統加上 密信App (郵件用戶端軟體) 構成了“雲端”和“用戶端”兩端一體的數位簽章和加密服務系統，安全可靠地為全球使用者提供全自動電子郵件加密和數位簽章服務。也就是說，密信App不是傳統意義上的獨立的郵件用戶端軟體，它是一個面向使用者端的服務代理，既能滿足使用者在本地運算元據的隱私保護需要，又能借助功能強大的雲端服務系統，雲地兩端一體協同服務使得密信App能全球率先實現全自動郵件加密和數位簽章。

也就是說，密信App之所以能做到全自動郵件加密，核心就是徹底解決了繁瑣的公鑰管理問題，使得使用者能隨時隨地使用任何設備獲取加密公鑰用於解密已加密郵件和自動獲取收件人的公鑰用於加密郵件。結合其他配套的幾大服務系統，徹底解決上面所說的“效率太低”“用戶體驗很差”的難題，並且“讓人人用得起”和“很好用”，把“不可能”變成”可能”！

密信技術建設的密碼基礎設施徹底解決了S/MIME郵件加密的易用性難題，讓用戶可以使用密信App輕鬆發送加密郵件和數位簽章郵件，現已經成功實現了商業化實施與應用，用戶已經覆蓋全球171個國家和地區。密信技術，讓每一封郵件都有數位簽章可信身份，徹底杜絕郵件欺詐！讓每一封郵件都用證書加密成密文，徹底杜絕郵件洩密！

為了滿足政府機關、金融機構和大企業等單位希望自己掌控加密證書公鑰的更高安全需求，密信技術提出了支援用戶在本地部署企業級公鑰管理系統的解決方案。使用者只需選購密信企業公鑰管理系統(企業KM)，並把企業KM系統連接到單位內網即可，所有員工電腦和移動設備都必須能連接到企業KM，以便獲取加密私密公鑰，成功拿到加密證書後就可以正常使用密信App的郵件加密功能了。企業KM系統不能訪問互聯網，僅限於員工電腦和移動設備在單位內網訪問，以確保公鑰管理系統的安全。而對於不能連接互聯網的用戶，則只需再選購密信企業CA系統，部署在企業內網為用戶提供郵件證書和提供加密公鑰獲取服務即可。

三、優勢分析

密信全自動電子郵件加密和數位簽章解決方案的核心產品是密信App(加密電子郵件用戶端軟體)和配套的加密基礎設施系統所提供的郵件數位簽章和加密服務，徹底實現了電子郵件加密和數位簽章的全自動、無門檻和無感。具有如下八大特別優勢：

1. 全自動配置證書：
   密信研發團隊具有CA基因，密信App實現了電子郵件數位簽章和加密證書的全自動配置，實現了讓使用者像發送明文一樣的輕鬆發送加密郵件，徹底解決了“用戶體驗差”的難題。
2. 高效率無感加密：
   密信建立了公鑰交換系統 、證書簽發系統、公鑰管理系統等多個後臺支撐基礎設施系統，實現了使用者無需事先交換加密證書公鑰就可以直接發送加密郵件，徹底解決了“效率太低”的難題。
3. 可信加密基礎設施：
   密信建設的“可信加密基礎設施”通過雲服務方式實現了對全球所有郵件用戶的免費共用使用，使得“不可能要求所有郵件用戶都具備的”加密基礎設施人人都可以免費使用，不僅密信App用戶可以免費使用，而且自動配置的簽章憑證和加密證書也完全免費！密信技術讓電子郵件S/MIME加密“人人都用得起”，讓“不可能”變成“能”！
4. 加密設施開放共贏：
   密信建設的“可信加密基礎設施”不僅免費開放給所有密信App用戶使用，也同時免費開放全球公鑰庫給其他郵件用戶端使用，希望和鼓勵其他郵件用戶端軟體也能像密信App一樣採用S/MIME國際標準和國家標準用數位憑證實現全自動無感加密，共同為普及全自動全加密電子郵件做貢獻。
5. 加密設施共用使用：
   密信建設的“加密基礎設施”免費開放給政府機構、公共服務機構、金融機構和各大企業用於免費獲取用戶的加密證書公鑰，方便各種政務系統和各種管理系統都能把現在的自動發送明文郵件給用戶改造成自動發送加密郵件給使用者，確保這些重要資訊系統發出的電子郵件機密資訊安全。
6. 獨創郵件蓋戳服務：
   密信技術全球獨家專利技術實現了為每一封發出的電子郵件蓋上密信時間戳記，確保電子郵件發送時間是可信時間，而不是用戶電腦或用戶郵件伺服器的不可信時間，這非常適用于類似于傳統信件蓋上郵戳來證明信件發出時間的應用場景。
7. 郵件附件雲端查殺：
   密信App還集成了360安全大腦提供的雲查殺功能，無需上傳郵件附件，只需提交附件摘要就能快速查驗郵件附件是否是惡意檔和郵件中外部連結是否是惡意網址。這不僅能有效地保護使用者免收惡意郵件附件和惡意網址的攻擊，而且能可靠地保護使用者郵件附件的隱私資訊安全。此服務是專為密信App使用者免費提供的增值服務。
8. 獨創國密郵件加密：
   密信技術全球獨家實現了符合國家標準GB/T 35275-2017用國密演算法(SM2/SM3/SM4)和國密證書加密和數位簽章每一封電子郵件。全球使用者都可以在設置中自由選擇加密演算法為RSA演算法或國密演算法，信創版使用者預設用國密演算法，其他版本使用者預設用RSA演算法，使用者選定加密演算法後則自動配置使用此演算法簽發的簽章憑證和加密證書。同樣，配套的時間戳記服務也將根據使用者的演算法自動配置相應演算法的時間戳記簽名。密信App對國密演算法的全面支援，解決了政務郵件加密的國密合規問題，讓國密演算法能真正用於保障政務郵件的全程安全。同時，這也是密信技術為全球互聯網使用者貢獻了電子郵件加密的中國智慧和中國解決方案。

四、增值服務

密信技術不僅為全球用戶提供了免費的基礎級的電子郵件加密和數位簽章服務-免費版，而且不斷創新地為用戶提供可選的收費的增值服務-入門版、專業版和信創版，滿足全球用戶的不同應用需求，歡迎廣大用戶選用。

1.入門版

免費版為使用者自動配置的是密信信任的加密證書和簽章憑證，而收費的入門版則是為使用者自動配置全球信任的Vp郵件證書，使得密信App發出的簽名郵件在其他郵件用戶端都會正常解析使用者的證書簽名資訊，並顯示“該數位簽章是可信的”。入門版服務實現全自動全球信任的郵件數位簽章和加密，仍然只是驗證郵箱控制權。使用者付費購買後密信App自動配置Vp郵件證書，使用者無需費心去申請證書、配置使用和導入匯出備份等等，全部由密信App自動完成，讓用戶無需關心郵件證書，只需像平時發送明文郵件那樣在密信App直接寫完郵件點擊發送即可自動發送加密郵件。

2.專業版

專業版也是收費服務，在入門版基礎上增加了實名認證。個人用戶完成個人實名認證後，密信App自動配置含有個人身份資訊的密信信任的個人身份證書和全球信任的Vp郵件證書，密信App默認使用個人身份證書和Vp郵件證書實現電子郵件雙簽名和加密，使得密信App在收到簽名郵件後顯示個人姓名和“身份真實可信，數位簽章全球信任”，而其他郵件用戶端顯示“該數位簽章是可信的”，從而實現數位簽章全球信任和用戶身份全球可信。

而單位使用者完成身份認證後，密信App為每個單位員工自動配置含有單位名稱的單位郵件證書(不限員工數量)，為已經完成單位員工身份認證的員工自動配置含有單位名稱和員工姓名的單位員工證書及全球信任的Vp郵件證書。密信App預設使用單位員工證書或單位郵件證書和Vp郵件證書實現電子郵件雙簽名和加密，實現數位簽章全球信任和用戶身份全球可信。

3.信創版

信信創版也是收費服務，在免費版基礎上增加了實名認證。單位使用者完成實名認證後，密信App為每個單位員工自動配置含有單位身份認證資訊的密信信任的國密演算法單位郵件證書(不限員工數量)，為已經完成單位員工身份認證的員工自動配置含有單位名稱和員工姓名的單位員工證書。密信App預設使用國密演算法SM2和SM2單位員工證書實現電子郵件數位簽章和加密，滿足政務郵件用戶的國密合規應用需求。

五、小結

總之，密信技術歷時多年技術攻關，徹底解決了電子郵件全自動加密的世紀難題，使得全球互聯網用戶都可以免費全自動加密每一封電子郵件，全自動為每一封電子郵件有身份，全自動讓每一封郵件的發送時間可信。同時率先讓國密演算法也能像RSA演算法一樣全自動實現電子郵件S/MIME數位簽章和加密，讓密碼演算法中國方案也能為全球互聯網使用者的電子郵件安全保駕護航。密信技術讓郵件加密和簽名成為預設選項，從而真正保護每一封電子郵件的隱私資訊安全。

密信技術讓“古老”的電子郵件獲得新生並煥發新的活力，明文電子郵件(“明信”)將全部變成了全加密的“密信”！在人們日益重視隱私保護的今天，那些預言電子郵件即將成為歷史的人們會驚訝地發現：全加密後電子郵件非但沒有成為歷史反而繼續再創新輝煌的歷史新篇章，加密電子郵件是最安全高效的工作通信方式，沒有之一！