邮件安全指南.docx

Exchange Server 2003 邮件安全指南有效期截止到：产品版本：审阅者：最新动态：作者：2004 年 11 月Exchange Server 2003Exchange 产品开发组Christopher Budd, CISSPExchange Server 2003邮件安全指南Christopher Budd, CISSP发布日期：2004 年 1 月更新日期：2004 年 7 月适用于：Exchange Server 2003版权所有本文档中的信息（包括引用的 URL 和其他 Internet 网站）如有变更，恕不另行通知。除非特别声明，本文档中提及的示例公司、组织、产品、域名、电子邮件地址、徽标、人物、地点和事件纯属虚构，无意与任何真实的公司、组织、产品、域名、电子邮件地址、徽标、人物、地点或事件有任何关联，也不应进行这方面的推断。遵守所有适用的版权法是用户的责任。 Microsoft 的专利、专利申请、商标、版权或其他知识产权可能涉及本文档中的版权问题。除非 Microsoft 的书面许可协议做出了明确规定，提供本文档并不意味着赋予您这些专利、专利申请、商标、版权或其他知识产权的任何许可。® 2004 Microsoft Corporation.保留所有权利。Microsoft、MS-DOS、Windows、Windows NT、Windows Server、Active Directory、ActiveSync、ActiveX、Microsoft Press、MSDN、Outlook 和 Visual Basic 是 Microsoft Corporation 在美国和/或其他国家（地区）的注册商标或商标。本文档中提到的真实公司和产品名称可能是其各自所有者的商标。感谢项目编辑：Cathy Anderson参与编写：John Speare、Thom Randolph 参与编辑：Tony Ross、Lee Ross、Alison Hirsch 技术审核：David Cross、Will Duff、David Horton、Janet Piele、John Speare、Jan Suralertrungsri、Jason Urban、Roy Williams、Peter Theeuwen、Karim Batthish；Jorge Pereira；Naveen Chand；Chris Graham；Stacia Snapp；Mike Danseglio、Malcolm Davis；Jean Wu图形设计：Kristie Smith、Paul Carew 制作：Joe Orzech、Sean Pohtilla目录简介1本指南中已更新的内容1已更新的章节1您可以从本书中学到哪些知识？1本书面向的读者2术语2本书的组织结构2第 1 章了解邮件安全性5概述5了解 S/MIME5S/MIME 的历史5了解 S/MIME 的功能6了解数字签名6了解邮件加密8了解数字签名和邮件加密如何一起工作10了解公钥加密12公钥加密的工作原理12使用公钥加密实现邮件的安全性13了解数字证书19了解数字证书与公钥加密19PKI 如何实现邮件安全性20使用数字证书实现邮件安全性21小结25第 2 章了解 Exchange 2003 如何支持邮件安全性27概述27Exchange 2003 邮件安全系统的组件27针对电子邮件客户端的 Exchange 2003 邮件安全支持28Exchange 2003 的 PKI 支持31基于 Exchange 2003 的邮件安全解决方案中的邮件安全服务和组件32小结38第 3 章实现并维护 Exchange 2003 以支持邮件安全性39概述39本章内容39在哪里查找其他信息39实现并维护 Exchange 2003 以支持邮件安全性40事件接收器和数字签名的邮件41防病毒软件和 S/MIME 邮件42在 Exchange 2003 中实现并维护对电子邮件客户端的邮件安全支持42Exchange 2003 中对 PKI 的邮件安全支持44小结45第 4 章在 Exchange 2003 中实现并维护电子邮件客户端以支持邮件安全性47概述47本章内容47在哪里查找其他信息47Outlook 客户端（基于 MAPI）48Internet 标准客户端（POP3 和 IMAP4）49Outlook Web Access49Outlook Mobile Access49Exchange ActiveSync50小结50第 5 章实现并维护 Outlook Web Access S/MIME控件51概述51本章内容51在哪里查找其他信息51带有 S/MIME 控件的 Outlook Web Access 的体系结构52实现带有 S/MIME 控件的 Outlook Web Access52配置用户的客户端系统53配置 Exchange 服务器54将带有 S/MIME 控件的 Outlook Web Access 与 PKI 集成55使用带有 S/MIME 控件的 Outlook Web Access56小结60第 6 章在Exchange 2003中实现并维护 PKI以支持邮件安全性61概述61本章内容61在哪里查找其他信息61在 PKI 中支持 Outlook62脱机通讯簿62“发布到全球通讯簿”按钮62“获取数字标识”按钮62其他 Outlook 考虑因素63在 PKI 中支持带有 S/MIME 控件的 Outlook Web Access63Outlook Web Access 与数字证书63支持来自其他组织的 S/MIME 邮件73在 PKI 中配置中间证书处理74一般 PKI 计划考虑因素74数字证书和 Active Directory 属性74从 Exchange 密钥管理服务器的早期版本迁移75Exchange Server 5.5 密钥管理服务器75Exchange 2000 密钥管理服务器77Windows Server 2003 CA78第三方 CA79小结79第 7 章在测试环境中实现基于 Exchange 2003 的邮件安全系统81概述81准备测试实验室82安装和配置 Windows Server 2003 企业证书颁发机构83安装和配置 Active Directory83安装和配置证书服务84配置 Exchange 200385配置电子邮件客户端86配置 Outlook 200386在 Outlook Web Access 中安装 S/MIME 控件86配置 Outlook Express 以使用 POP3 和 IMAP487测试数字签名和加密88申请用户的数字证书88在 Outlook 2003 中测试数字签名和加密91在 Outlook Web Access 中测试数字签名和加密96在 Outlook Express 中测试数字签名和加密99小结103第 8 章故障排除105常见问题105附录 AExchange 2003 电子邮件客户端中的 S/MIME 支持115附录 B与 Outlook Web Access S/MIME 控件相关的设置117注册表项117基于 Active Directory 的设置123附录 C数字证书清理脚本125要求125查找 ListSMIMECerts 脚本126运行 ListSMIMECerts 脚本126ListSMIMECerts 选项126输出示例127故障排除128ListSMIMECerts 脚本如何工作130自定义 ListSMIMECerts 脚本130附录 D资源131本书中涉及的资源131Windows Server 2003 证书颁发机构131Outlook 2003131Microsoft 知识库文章132其他网站132其他资源132网站132Exchange Server 2003 丛书133附录 E为残障人士提供的辅助功能135Microsoft Windows 中的辅助功能135可下载的辅助功能文件135针对需要辅助功能的人士调整 Microsoft 产品136免费的循序渐进教程136Windows 辅助技术产品136其他格式的 Microsoft 文档136为听力有障碍的用户提供的 Microsoft 服务137客户服务137技术帮助137Exchange 2003137Outlook Web Access137获得更多的辅助功能信息137简介随着近年来 Internet 的发展，电子邮件发生了根本的变化。它不再仅仅是公司和组织内部的工具。现在，它让不同公司、国家/地区的人能够相互联系，甚至让地球上的人能够像在同一栋大楼里一样迅速地相互共享信息。无疑，迄今为止电子邮件已成为 Internet 给人们带来的最重要的好处。在我们的日常生活中，随着电子邮件越来越多地成为不可或缺的一部分，它的重要性也与日俱增。电子邮件曾经只是给我们带来方便，而现在它已成为一种必需品。以前，人们仅仅使用电子邮件来相互发送不太重要的简短信息。而现在，人们则使用电子邮件来发送至关重要的信息。作为 Internet 电子邮件的基础协议或语言，简单邮件传输协议 (SMTP) 在全世界得到了广泛的应用，从而使电子邮件得到了前所未有的发展。SMTP 标准使得不同的电子邮件系统可以通过连接到 Internet 来相互交换信息。但是，尽管 SMTP 为 Internet 带来了如此之多的好处，但它仍然存在一些固有的问题。最初开发 SMTP 标准是为了在封闭的网络中传送相对而言不那么重要的简短邮件，而不是为了在互联世界中传送重要而敏感的信息。SMTP 的开发人员谁也没有想到它会扮演今天这样的角色。因此他们在设计 SMTP 时并没有想到要保护它今天在网络中所传送的这类信息。当初设计它只是为了在较简单的网络中传送较简单的信息，这也就是其名称“简单邮件传输协议”的由来。例如，任何人都可以读取 SMTP 在 Internet 上所发送的信息。幸运的是，安全/多用途 Internet 邮件扩展 (S/MIME) 正在成为增强 SMTP 电子邮件安全功能的标准。使用 S/MIME，就可以通过加密来保护电子邮件的内容，并通过数字签名来验证自称的电子邮件发件人的身份。让电子邮件实现 S/MIME 所需要的解决方案涉及到多项产品和技术。本书提供有关如何使用 Microsoft® Exchange Server 2003 来实现 S/MIME 的指南。此外，本书还在需要参考其他资源的地方提供了相关的指引以及指向这些资源的链接。本指南中已更新的内容自本书的上一版本发布以来，进行了下列增加、删除或修改。 已更新的章节下列章节已更新，以包括 Exchange 2003 SP1 新增功能和更新：· 第 3 章“实现并维护 Exchange 2003 以支持邮件安全性”，Exchange 病毒扫描。Exchange 2003 SP1 中的变更使得 VSAPI 2.5 将所有 S/MIME 签名邮件都作为本地邮件进行扫描。· 第 5 章“实现并维护 Outlook Web Access S/MIME 控件”，S/MIME 控件安装。S/MIME 控件安装程序现在使用 Microsoft 安装程序 (MSI) 以简化企业部署。您可以从本书中学到哪些知识？本书基本上是对下列问题的详细解答：· 什么是 S/MIME？· S/MIME 提供哪些安全服务？· 基于 Exchange 2003 的 S/MIME 系统有哪些组件？· 在 Exchange 2003 中实现 S/MIME 需要执行哪些操作，以及需要其他哪些技术？· 在 Exchange Server 5.5 或 Exchange 2000 Server 中使用密钥管理服务器的人如何升级到 Exchange 2003？· 什么是带 S/MIME 控件的 Microsoft Office Outlook® Web Access，以及它的工作原理？本书面向的读者虽然实际上任何具有技术背景的人都可以从本书受益，但是本书的目的主要是为了使下列专业人员获得最大的收益：Exchange 管理员X企业中负责 Exchange Server 2003 的安装、维护和管理的那些人。电子邮件客户端管理员企业中负责电子邮件客户端软件的安装、维护和管理的那些人。公钥基础结构 (PKI) 管理员企业中负责 PKI 的规划、部署、维护和管理的那些人。术语阅读本书前，先熟悉下列术语会对您有所帮助：PKCS #7这是在目录中存储 S/MIME 数字证书时使用的加密机制。在 Microsoft Active Directory® 目录服务中，使用 PKCS #7 将数字证书存储在 userSMIMECertificate 属性中。“可分辨编码规则 (DER)”编码 (Distinguished Encoding Rules (DER) Encoded)这是在目录中存储 X.509 v3 数字证书时使用的加密机制。Active Directory 使用 DER 编码来将数字证书存储在 userCertificate 属性中。纯文本 (Plaintext)在本书中，使用纯文本（或明文）来区分未加密的信息和已加密的信息。请不要将该纯文本与谈及电子邮件格式时所提到的纯文本混为一谈。在后一种上下文中，纯文本用于区别邮件的 HTML 格式或 RTF 格式。在讨论邮件安全性时，纯文本用于区别于加密文本，以表示文本未加密。有关详细信息，请参阅 Exchange Server 2003 Glossary (本书的组织结构本书分为八个章节和五个附录。要获得最佳阅读效果，请按顺序阅读这些章节，因为每一章都以前面章节所讲述的概念为基础：第 1 章“了解邮件安全性”本章介绍了 S/MIME 及其相关的概念。它假定读者对安全领域一无所知。这一章旨在帮助那些没有安全专业知识的人了解一般的概念，然后将这些概念专门应用于 Exchange。第 2 章“了解 Exchange 2003 如何支持邮件安全性”本章讨论组成基于 Exchange 2003 的邮件安全系统的组件，以及这些组件如何提供与 S/MIME 关联的特定服务。第 3 章“实现并维护 Exchange 2003 以支持邮件安全性”本章开始讨论与实现并维护组成 S/MIME 系统的组件有关的问题。第 4 章“在 Exchange 2003 中实现并维护电子邮件客户端以支持邮件安全性”本章提供的信息可以帮助电子邮件客户端管理员在使用 Exchange 2003、并基于 S/MIME 的邮件安全系统中实现电子邮件客户端。第 5 章“实现并维护 Outlook Web Access S/MIME 控件”本章提供的信息可以帮助电子邮件客户端管理员实现并维护使用 S/MIME 控件的 Microsoft Office Outlook® Web Access。第 6 章“在 Exchange 2003 中实现并维护 PKI 以支持邮件安全性”本章提供必要的信息，以帮助公钥基础结构 (PKI) 管理员在使用 Exchange 2003、并基于 S/MIME 的邮件安全系统中将 PKI 与电子邮件客户端集成。第 7 章“在测试环境中实现基于 Exchange 2003 的邮件安全系统”对于希望使用 Microsoft 提供的技术在实验室环境中部署功能完整的 S/MIME 系统的 Exchange 管理员而言，本章是一个起点。第 8 章“故障排除”本章讨论基于 Exchange 2003 的 S/MIME 系统中已知的常见问题。附录 A“Exchange 2003 电子邮件客户端中的 S/MIME 支持”此附录列出了可以与 Exchange 2003 一起使用的各种客户端，以及每种客户端是否支持 S/MIME。附录 B“与 Outlook Web Access S/MIME 控件相关的设置”有些注册表设置可以用来配置使用 S/MIME 控件的 Outlook Web Access 客户端的行为，此附录即包含与这些注册表设置有关的信息。附录 C“数字证书清理脚本”此附录提供示例 .vbs 脚本，您可以使用该脚本找到并删除已过时或不需要的数字证书。附录 D“资源”此附录包含指向其他资源的链接，这些资源有助于您更好地了解 Exchange 和 S/MIME。附录 E“为残障人士提供的辅助功能”Microsoft 为使残障人士更方便地使用 Microsoft Windows® 2000、Windows Server 2003 和 Microsoft Exchange Server 2003 而提供了一些必要的功能、产品和服务。此附录即介绍有关的信息。第 1 章了解邮件安全性概述虽然自第一版以来，Microsoft® Exchange 即提供邮件安全功能，但是通常只有具有特殊安全需求的客户和专业安全人员才使用这些功能。只有安全领域专家或具有密码学背景知识的人才需要了解电子邮件安全概念。关于这些概念的大部分讨论都是在安全专家和密码员内部展开的。而其他人（非安全领域专家）可以获得的资源很少，且几乎不需要这些资源。但是，随着邮件安全性越来越普及，越来越被认可，管理员就需要了解这些原则和概念。由于 Microsoft Exchange Server 2003 对安全/多用途 Internet 邮件扩展 (S/MIME) 的支持不断增加，因此这种了解也就尤为重要。本章介绍了 S/MIME 及其相关的概念。不要求读者具有安全领域的背景知识。本章解释了一般的 S/MIME 概念，以便您以后可以将这些概念有针对性地应用于 Exchange。这不是关于 S/MIME 和密码学的全面教程，但是，读完本章后便可以了解它们的基本原理，以便随后阅读更高级的内容。如果您已了解 S/MIME 及其相关的主题，则可以跳过这一章，也可以出于复习目的而阅读。本章首先介绍有关 S/MIME 邮件安全性的基本信息：数字签名和邮件加密。然后，本章提供有关数字签名和邮件加密的支持和功能的其他信息。在本章结束时，您应该了解：· 数字签名· 邮件加密· 公钥加密· 数字证书了解 S/MIME在 S/MIME 之前，管理员使用被广泛接受的电子邮件协议 简单邮件传输协议 (SMTP)，该协议由于其内在的原因而缺乏安全性；或者使用更安全但专用的解决方案。管理员选择解决方案时或者着眼于安全性，或者着眼于连接性。由于使用 S/MIME，管理员现在拥有了一个既安全又被广泛接受的电子邮件选项。S/MIME 是与 SMTP 同样重要的一个标准，因为它将 SMTP 带入了一个新的层次：既能实现广泛的电子邮件连接性，又不会破坏安全性。S/MIME 的历史要了解 S/MIME，了解它的发展历史会对您有所帮助。第一版 S/MIME 是由许多安全供应商于 1995 年开发出来的。它是实现邮件安全性的几个规范之一。例如，Pretty Good Privacy (PGP) 是实现邮件安全性的另一个规范。在 S/MIME 版本 1 推出时，安全邮件并没有公认的单一标准，但有几个相互竞争的标准。1998 年，随着 S/MIME 版本 2 的推出，情况开始发生变化。与版本 1 不同的是，S/MIME 版本 2 被提交到 Internet 工程任务组 (IETF)，以考虑成为 Internet 标准。由于这一步，S/MIME 从许多可能的标准中脱颖而出，从而成为邮件安全标准的领跑者。S/MIME 版本 2 由两份 IETF 征求意见文档 (RFC) 组成：建立邮件标准的 RFC 2311 (http:/www.ietf.org/rfc/rfc2311.txt) 和建立证书处理标准的 RFC 2312 (http:/www.ietf.org/rfc/rfc2312.txt)。这两份 RFC 共同提供了第一个基于 Internet 标准的框架，供应商可以按照该框架来提出可互操作的邮件安全解决方案。有了 S/MIME 版本 2，S/MIME 开始成为邮件安全的标准。1999 年，IETF提议使用 S/MIME 版本 3 来增强 S/MIME 功能。RFC 2632 (http:/www.ietf.org/rfc/rfc2632.txt) 在指定 S/MIME 邮件标准方面建立在 RFC 2311 的工作之上，而 RFC 2633 (http:/www.ietf.org/rfc/rfc2633.txt) 则增强了 RFC 2312 对证书处理的规范。RFC 2634 (http:/www.ietf.org/rfc/rfc2634.txt) 通过向 S/MIME 添加其他服务（如安全回执、三层包装和安全标签）来扩展整体功能。S/MIME 版本 3 已被广泛接受为邮件安全标准。下列 Microsoft 产品支持 S/MIME 版本 3：· Microsoft Outlook® 2000（应用了 SR-1）和更高版本· Microsoft Outlook Express 5.01 和更高版本· Microsoft Exchange 5.5 和更高版本了解 S/MIME 的功能S/MIME 提供两个安全服务：· 数字签名· 邮件加密这两个服务是基于 S/MIME 的邮件安全的核心。与邮件安全有关的其他所有概念都支持这两个服务。虽然整个邮件安全领域可能看上去很复杂，但这两个服务却是邮件安全的基础。在基本了解数字签名和邮件加密后，您就会认识到其他概念是如何支持这些服务的。本章将分别讲述这两个服务，然后介绍这两个服务如何一起工作。了解数字签名数字签名是更常用的 S/MIME 服务。顾名思义，数字签名是书面文档中具有法律意义的传统签名的数字形式。与具有法律意义的签名一样，数字签名也提供下列安全功能：· 身份验证：通过签名来验证身份。它能够将该实体与其他所有实体区分开来，并证明它的唯一性，从而确认“您是谁”这个问题的答案。由于 SMTP 电子邮件中不存在身份验证，因此无法知道实际上是谁发送了邮件。数字签名中的身份验证使收件人可以知道邮件是声称已发送该邮件的那个人或组织发送的，从而解决了这一问题。· 认可：签名的唯一性可防止签名的所有者否认签名。此功能称为“认可”。因此，签名所提供的身份验证提供了一种强制认可的手段。人们最熟悉的是书面合同上下文中认可的概念：已签名的合同是具有法律约束力的文档，要否认已通过身份验证的签名是不可能的。数字签名提供相同的功能，并且，在某些领域中，越来越被公认与书面签名一样具有法律约束力。由于 SMTP 电子邮件不提供身份验证手段，因此无法提供认可功能。发件人很容易否认自己是某个 SMTP 电子邮件的所有者。 · 数据完整性：数字签名提供的另一安全服务是数据完整性。数据完整性是使数字签名成为可能的特定操作的结果。有了数据完整性服务，当经过数字签名的电子邮件的收件人验证数字签名时，他们可以确信所收到的电子邮件确实是被签名并发送出来的那个邮件，并且在传送过程中未发生改变。如果邮件在签名后的传送过程中发生了任何改变，该签名将无效。这样，数字签名便能够提供书面签名所无法提供的保证功能，因为书面文档在经过签名后可能被改变。要点   虽然数字签名提供数据完整性，但不提供保密性。与 SMTP 邮件类似，仅有数字签名的邮件将以明文形式发送，并且可能被其他人阅读。当邮件经过不透明签名时，用户容易产生迷惑，因为邮件虽然经过 base64 编码，但仍然为明文。要保护电子邮件的内容，必须使用邮件加密。身份验证、认可和数据完整性是数字签名的核心功能。在它们的共同作用下，可以使收件人确信邮件来自发件人，并且所收到的邮件是所发送的邮件。 数字签名最简单的工作形式是在邮件发送时对电子邮件的文本执行签名操作，而在邮件被阅读时执行验证操作，如图 1.1 所示。 图 1.1   电子邮件的数字签名和验证操作发送邮件时，执行签名操作所需要的信息只能由发件人提供。（有关此签名操作的详细信息，请参阅本章后面的“公钥加密和数字签名”。）在签名操作中，通过捕获电子邮件并对邮件执行签名操作来使用此信息。此操作产生实际的数字签名。然后，此签名将附加到电子邮件中，并随同邮件一起发送。图 1.2 显示了邮件签名过程中的一系列活动。 图 1.2   电子邮件的数字签名过程1. 捕获邮件。2. 检索用来唯一标识发件人的信息。3. 使用发件人的唯一信息对邮件执行签名操作，以产生数字签名。4. 将数字签名附加到邮件中。5. 发送邮件。由于此操作需要来自发件人的唯一信息，因此数字签名提供了身份验证和认可功能。此唯一信息可以证明邮件只能来自该发件人。注意   任何安全机制都不是十全十美的。未经授权的用户可能获取用于数字签名的唯一信息，并冒充发件人。但是，S/MIME 标准可以处理这些情形，以显示未经授权的签名是无效的。有关详细信息，请参阅本章后面的“了解数字证书”以及“数字证书和公钥基础结构”。 当收件人打开经过数字签名的电子邮件时，系统会对数字签名执行验证过程，并会从邮件中检索邮件所包含的数字签名。还会检索原始邮件，然后执行签名操作，从而产生出另一个数字签名。将邮件所包含的数字签名与收件人所产生的数字签名进行比较。如果签名匹配，则证明邮件确实来自所声称的那个发件人。如果签名不匹配，则将邮件标记为无效。图 1.3 显示了邮件验证过程中的一系列活动。 图 1.3   验证电子邮件的数字签名1. 接收邮件。2. 从邮件中检索数字签名。3. 检索邮件。4. 检索用来标识发件人的信息。5. 对邮件执行签名操作。6. 将邮件所附带的数字签名与收到邮件后所产生的数字签名进行比较。7. 如果数字签名匹配，则说明邮件有效。要点   验证签名时所使用的发件人信息与对邮件进行签名时发件人所提供的信息不是同一个信息。通过这样一种方式叙述收件人使用的信息：使收件人在验证发件人的唯一信息时不会实际知道该信息，从而保护发件人的信息。有关发件人和收件人如何共享信息的详细信息，请参阅本章后面的“公钥加密和数字签名”。同时采用数字签名过程和数字签名验证过程可验证电子邮件发件人的身份，并确定已签名的邮件中数据的完整性。验证发件人身份的同时还提供了额外的认可功能，即防止已通过身份验证的发件人声称他们未发送过该邮件。数字签名是防止假冒身份和篡改数据的解决方案，而假冒和篡改这两种情况在基于标准 SMTP 的 Internet 电子邮件中均有可能出现。了解邮件加密邮件加密提供了针对信息泄露的解决方案。基于 SMTP 的 Internet 电子邮件并不确保邮件的安全性。SMTP Internet 电子邮件可能被在发送过程中看到它或在所存储的位置查看到它的任何人阅读。S/MIME 已通过采用加密措施解决了这些问题。加密是一种更改信息的方式，它使信息在重新变为可读或可理解的形式之前无法阅读或理解。虽然邮件加密不像数字签名那样普遍使用，但是它确实解决了被许多人认为是 Internet 电子邮件最重大缺陷的问题。邮件加密提供两种特定的安全服务：· 保密性：邮件加密用来保护电子邮件的内容。只有预期的收件人能够查看该内容，因而该内容是保密的，不会被可能收到或查看到该邮件的其他任何人知道。加密在邮件传送和存储过程中均提供保密性。· 数据完整性：与数字签名一样，由于采用了使加密成为可能的特定操作，因此邮件加密提供了数据完整性服务。要点   虽然邮件加密提供保密性，但它不会以任何方式验证邮件发件人的身份。已加密但未签名的邮件与未加密的邮件一样，很容易被他人假冒为发件人。由于认可是身份验证的直接结果，因此邮件加密也不提供认可。虽然加密提供了数据完整性，但是加密的邮件可能仅显示邮件自发送以来未发生过改变，而不提供有关邮件发件人的信息。要证明发件人的身份，邮件必须使用数字签名。保密性和数据完整性提供了邮件加密的核心功能。它们确保了只有预期的收件人才能查看邮件，并且所收到的邮件就是所发送的邮件。邮件加密通过在发送邮件时对邮件执行加密操作来使邮件的文本不可读。收到邮件时，通过在阅读邮件时执行解密操作来使文本再次成为可读文本，如图 1.4 所示。 图 1.4   对电子邮件执行邮件加密和解密操作加密操作在发送邮件时执行，它捕获电子邮件，并使用预期收件人所特有的信息来对邮件进行加密。加密的邮件替换了原始邮件，然后将邮件发送至收件人。图 1.5 显示了加密电子邮件的一系列活动。 图 1.5   电子邮件的加密过程1. 捕获邮件。2. 检索用来唯一标识收件人的信息。3. 使用收件人的信息对邮件执行加密操作，以产生加密的邮件。4. 加密的邮件替换邮件中的文本。5. 发送邮件。由于此操作需要有关收件人的唯一信息，因此邮件加密提供了保密性。只有预期的收件人具有执行解密操作所需的信息。这确保了只有预期的收件人能够查看邮件，因为必须首先提供收件人的唯一信息，然后才能查看未加密的邮件。要点   加密邮件时所使用的收件人信息与解密邮件时收件人所提供的信息不是同一个信息。通过这样一种方式叙述发件人使用的信息：使发件人在使用收件人的唯一信息时不会实际知道该信息，从而保护了收件人的信息。有关发件人和收件人如何共享信息的详细信息，请参阅本章后面的“公钥加密和邮件加密”。当收件人打开加密邮件时，会对加密邮件执行解密操作。此时，将同时检索加密的邮件和收件人的唯一信息。然后，使用收件人的唯一信息对加密邮件执行解密操作。此操作返回未加密的邮件，然后该邮件将显示给收件人。如果邮件在传送过程中发生过改变，解密操作将失败。图 1.6 显示了解密电子邮件的一系列活动。图 1.6   解密电子邮件1. 接收邮件。2. 检索加密邮件。3. 检索用来唯一标识收件人的信息。4. 使用收件人的唯一信息对加密邮件执行解密操作，以产生未加密的邮件。5. 将未加密的邮件返回给收件人。注意   任何安全机制都不是十全十美的。未经授权的用户可能获取收件人的唯一信息，并使用该信息读取加密的邮件。但是，S/MIME 标准可以处理这些情形。有关详细信息，请参阅本章后面的“了解数字证书”以及“数字证书和公钥基础结构”。邮件加密和解密过程提供了电子邮件的保密性。此过程解决了 Internet 电子邮件中的重大缺陷：任何人都可以阅读任何邮件。了解数字签名和邮件加密如何一起工作数字签名和邮件加密并不是相互排斥的服务。每个服务都解决特定的安全问题。数字签名解决身份验证和认可问题，而邮件加密则解决保密性问题。由于每个服务解决不同的问题，因此邮件安全策略通常同时需要这两个服务。这两个服务被设计为一起使用，因为它们分别针对发件人和收件人关系的某一方。数字签名解决了与发件人有关的安全问题，而加密则主要解决与收件人有关的安全问题。同时使用数字签名和邮件加密时，用户会同时从这两个服务中受益。在邮件中采用这两个服务不会改变其中任何一个服务的处理过程：每个服务都按照本文档前面部分所讨论的那样工作。为了显示如何一起处理数字签名和邮件加密，图 1.7 显示了签名和加密电子邮件的一系列活动。 图 1.7   电子邮件的数字签名和加密1. 捕获邮件。2. 检索用来唯一标识发件人的信息。3. 检索用来唯一标识收件人的信息。4. 使用发件人的唯一信息对邮件执行签名操作，以产生数字签名。5. 将数字签名附加到邮件中。6. 使用收件人的信息对邮件执行加密操作，以产生加密的邮件。7. 用加密后的邮件替换原始邮件。8. 发送邮件。图 1.8 显示了解密和验证数字签名的一系列活动。 图 1.8   解密电子邮件并验证数字签名1. 接收邮件。2. 检索加密邮件。3. 检索用来唯一标识收件人的信息。4. 使用收件人的唯一信息对加密邮件执行解密操作，以产生未加密的邮件。5. 返回未加密的邮件。6. 将未加密的邮件返回给收件人。7. 从未加密的邮件中检索数字签名。8. 检索用来标识发件人的信息。9. 使用发件人的信息对未加密的邮件执行签名操作，以产生数字签名。10. 将邮件所附带的数字签名与收到邮件后所产生的数字签名进行比较。11. 如果数字签名匹配，则说明邮件有效。三层包装的邮件S/MIME 版本 3 值得注意的增强功能之一是“三层包装”。三层包装的 S/MIME 邮件是经过签名、加密，然后又经过签名的邮件。此额外的加密层提供了额外的一层安全性。当用户使用带 S/MIME 控件的 Outlook Web Access 签名和加密邮件时，邮件自动经过三层包装。Outlook 和 Outlook Express 不对邮件进行三层包装，但是可以读取经过三层包装的邮件。数字签名和邮件加密相互补充，并提供综合性的解决方案，以解决影响基于 SMTP 的 Internet 电子邮件的安全问题。数字证书和邮件加密是 S/MIME 的核心功能。在邮件安全领域，最重要的支持性概念是公钥加密。公钥加密在 S/MIME 可见范围内产生数字签名，并对邮件进行加密。下一部分将讲述公钥加密及其与 S/MIME 的关系。了解公钥加密本部分从较高的层次讲述了与邮件安全明确相关的公钥加密元素。此外，还有其他一些资料，您可以参考这些资料，以便更深入地了解该主题。密码学是一门研究如何通过使用代码和密码来保护信息的学科。密码学形成了邮件安全的基础部分。最简单地说，编码是系统地更改信息以使其不可读（并无从了解该信息是如何改变的）的过程。最早也是最简单的代码之一（称为恺撒密码）是通过采用字母表并使所有字母移动固定的位数而产生的。发件人和收件人均应了解移动了多少个字母，并因此能够使用该代码来更改信息，