Podepisujeme poštu – S/MIME certifikáty prakticky

Definice S/MIME certifikatu

Termin S/MIME oznacuje standard pouzivany pro osobni certifikaty slouzici pro elektronicky podpis a sifrovani e-mailu; pouziva se v kancelarskych programech a je vydavan komercnimi certifikacnimi autoritami. Rozumime tim tedy certifikat pro podepisovani posty v klientech jako Outlook ci Thunderbird.

Co nam prinasi elektronicky podpis?

Termin elektronicky podpis ma mnoho vyznamu a definic; obecne jde o podpis vlastnimi kryptografickymi prostredky, ktere maji zarucit puvod, pravost a nemennost podepsane zpravy. Zakonne definice vsak tento termin znaji v mnoha variantach a tvori terminy, ktere nejen laikovi daji zabrat (problematice kvalifikovaneho podpisu, nebo zaruceneho na zaklade kvalifikovaneho certifikatu, se budeme venovat v jinem clanku).

Elektronicky podpis v pravem smyslu slova je soucast podepsane zpravy, kterou se prijemci zpravy prokaze (jiz jednou zmineny) puvod, autenticita a zejmena nemennost zpravy. Podpis nema sam o sobe nic spolecneho s sifrovanim zpravy nebo ochranou e-mailu proti precteni nekym nepovoanym (tato ochrana bude zminena dale). Podepisovani zprav a sifrovani zprav jsou dva zcela odlisne pojmy a ukony. Jak se v praxi podepisuje posta se doctete v nasledujicich odstavcich tohoto clanku.

Dost bylo podepisovani, chci zpravu utajit!

Pokud chcete utajit obsah zpravy, tak provedte zasifrovani zpravy S/MIME certifikatem. Ano, tim stejnym, ktery mate pro elektronicky podpis. Abyste mohli nekomu zasifrovanu zpravu poslat, tak potrebujete nejprve jeho verejny klic; jednoduse receno staci od nej obdrzet alespon jednu podepsanou zpravu a vas postovni klient se o zbytek postara sam. Verejny klic z podpisu druhe osoby si ulozi a pomoci nej pak muze zasifrovat zpravu teto osobe urcenou.

Pokud tedy napriklad chcete poslat "tajnou" zpravu kolegovi Pepovi, potrebujete mit alespon jeden jim podepsany e-mail. Vas postovni klient poslez vasi zpravu zasifruje jeho verejnym klicem a desifrovat ji muze pouze majitel privatniho klice, tedy Pepa.

Ziskani S/MIME certifikatu

Objednavka

Ziskani certifikatu pro podpis ci sifrovani e-mailu je jednoduche. Na webu SSLmarket.cz provedete objednavku S/MIME certifikatu a zaplatite ji. Pri prvni objednavce pro vas muze byt matouci co do objednavky vyplnit.

Doplnujici text objednavky vysvetluje, ze certifikat muzete ziskat pro jmeno a e-mail fyzicke osoby (uvedenim jmena v prvnim kroku), nebo pro firmu a potom bude v certifikatu uveden take jeden firemni kontakt spolu s jeho e-mailem (v takovem pripade zadate v prvnim kroku nazev firmy a nikoliv osoby).

Pri objedneni je dulezite si uvedomit, ktera e-mailova adresa se bude pro certifikat pouzivat. Tato adresa je v objednavce jako e-mail Osoby pro autorizaci. Pokud mate pri objedneni nejakou nejasnost, tak nam zavolejte a radi vam poradime.

Vystaveni certifikatu

Po uhrazeni objednavky vam dorazi e-mail od certifikacni autority a s jeho pomoci certifikat ziskate. Kliknete na zaslany odkaz a dostanete se na web certifikacni autority, kde uvidite potvrzeni.

Po odkliknuti approval mailu vam vystaveny certifikat zasleme e-mailem a rovnez si jej budete moci stahnout v detailu objednavky. S procesem objedneni a ziskani certifikatu vam pomuze clanek Jak ziskat S/MIME certifikat s CSR a zacit ho pouzivat.

Podepisovani e-mailu v klientovi

V nasledujicich odstavcich najdete postup pro podepisovani ve dvou nejznamejsich postovnich klientech. Doporucujeme pouzivat podepisovani automaticky vsude a sifrovani e-mailu rucne (pred ziskanim certifikatu prijemce to jinak ani nejde).

Microsoft Outlook

Certifkat je jiz ulozen v ulozisti systemu Windows a je k dispozici ostatnim programum.

Otevrete nastaveni programu Outlook (Levy horni roh -> Moznosti) a v Centru zabezpeceni otevrete Nastaveni. V Zabezpeceni e-mailu uz konecne najdete nastaveni el. podpisu.

Nastaveni Outlooku pro elektronicky podpis. Kliknete pro zvetseni.

Pokud neni vychozi certifikat pro podpis vybran (viz pole Vychozi nastaveni), muzete tak ucinit kliknutim na Nastaveni a manualnim vybranim certifikatu v polozce Podpisovy certifikat.

Nastaveni Outlooku pro elektronicky podpis. Kliknete pro zvetseni.

Tolik k nastaveni Outlooku. Pro podepsani rozepsane zpravy kliknete v hlavnim panelu na Moznosti a vyberte Podepsat nebo zasifrovat. Podepsani konkretnich zprav lze nastavit automaticky, nebo to muzete pro kazdou zpravu delat manualne v okne zpravy pred odeslanim.

Odeslani podepsane zpravy v Outlooku. Kliknete pro zvetseni.

Prijemce vasi zpravy uvidi viditelne priznak podpisu (stuha) nebo sifrovani (zamek).

Zasifrovana a podepsana zprava v Outlooku.

K detailu podpisu a osobniho S/MIME certifikatu odesilatele se pak adresat dostane po kliknuti na tyto ikony v pravem hornim rohu.

Thunderbird

U programu Thunderbird musi byt certifikat ulozen primo v jeho ulozisti. Certifikat S/MIME je tedy nutne exportovat do formatu PFX (ten vam poslouzi i jako zaloha certifikatu s privatnim klicem) a pak ho naimportujete do Thunderbirdu. Vice najdete v clanku Export a import certifikatu v ruznych ulozistich a nasledne Import S/MIME certifikatu do klientu a nastaveni.

Po uspesnem importu jdete v Thunderbirdu do nastaveni uctu a tam vyberte certifikat pro podepisovani. Lze predpokladat, ze v nabidce bude jediny certifikat - ten prave naimportovany.

Samotne podepisovani zprav je jednoduche - v rozepsane zprave kliknete na tlacitko S/MIME a vyberte Elektronicky podepsat zpravu. V pravem dolnim rohu okna pak uvidite novy symbol obalky znazornujici elektronicky podpis.

Nyni muzete odeslat zpravu s elektronickym podpisem. Zasifrovani zpravy obnasi pouze vyber druhe moznosti v tomto menu. U prijatych elektronicky podepsanych zprav vidite vyraznou obalku v prave casti panelu s informacemi o zprave.

Webovy klient (Gmail, Outlook)

Webovi (ci moderneji cloudovi) klienti v dobe psani clanku bezne neumi s S/MIME certifikaty aktivne pracovat. Moznost podepisovat postu ve webovych sluzbach je vysadou pouze placenych firemnich reseni. Zahranicni bezplatne e-mailove sluzby Gmail.com a Outlook.com vsak umi alespon podepsany e-mail prijmout a posoudit platnost podpisu; certifikat je vsak podporovan pouze pasivne a pro podepisovani posty je stale potreba namapovat si tyto schranky v postovnim klientovi (Outlook, Thunderbird). Plati, ze k jakekoliv takove schrance se dostanete pres protokol IMAP ci POP3.

Detail elektronickeho podpisu v Gmailu.

Zbytek sluzeb (napriklad Seznam.cz) podpisy nepodporuje; to se projevuje odstranenim podpisu do prilohy s koncovkou P7S, ktera je casto pro prijemce matouci a neumi s ni pracovat. Absenci podpory vsak muzete opet vyresit pouzitim e-mailoveho klienta.

Dalsi informace o elektronickem podpisu

Pokud elektronickemu podpisu propadnete (pozor, opravdu je to navykove), pak doporucuji porizeni vynikajici publikace Jiriho Peterky Bajecny svet elektronickeho podpisu. Muzete ji stahnout zdarma (nebo cist online) a najdete v ni kompletni prehled problematiky vcetne legislativnich aspektu. Jinou doporucenou literaturou je Velky pruvodce infrastrukturou PKI od kolektivu autoru.