S/MIME: como crip­to­gra­far e assinar seus e-mails

Com S/MIME, é possível crip­to­gra­far e-mails para que somente o des­ti­na­tá­rio previsto possa lê-los. Utiliza-se a chave pública do des­ti­na­tá­rio para crip­to­gra­far a mensagem. Ela pode ser de­co­di­fi­cada com a chave privada cor­res­pon­dente. Os cer­ti­fi­ca­dos S/MIME podem ser fa­cil­mente im­por­ta­dos em clientes de e-mail.

O que é S/MIME?

Em 1995, no RFC 1847, foram es­pe­ci­fi­ca­das duas extensões de segurança para o padrão de e-mail MIME (Mul­ti­pur­pose Internet Mail Extension): o formato multipart/signed para as­si­na­tura de mensagens e o formato multipart/encrypted para crip­to­gra­fia. Quatro anos depois, o IETF (Internet En­gi­ne­e­ring Task Force) publicou a extensão MIME S/MIME, descrita no RFC 2633, como um padrão que suporta o formato de as­si­na­tura men­ci­o­nado.

Para a crip­to­gra­fia, o pro­ce­di­mento utiliza sua própria solução ap­pli­ca­tion/pkcs7-mime. Você pode escolher li­vre­mente se um e-mail com S/MIME deve ser apenas crip­to­gra­fado, apenas assinado ou se ambas as operações devem ser aplicadas.

A crip­to­gra­fia e a as­si­na­tura S/MIME são possíveis em todos os clientes de e-mail comuns, como Microsoft Outlook, Thun­der­bird ou Apple Mail. Uma al­ter­na­tiva conhecida, que suporta tanto multipart/signed quanto multipart/encrypted, é o OpenPGP, definido em 2007.

Como funcionam a crip­to­gra­fia e a as­si­na­tura S/MIME?

S/MIME baseia-se em um método de crip­to­gra­fia as­si­mé­trica e, portanto, utiliza um par de chaves composto por uma chave privada (private key) e uma chave pública (public key). Enquanto a chave pública é com­par­ti­lhada com todos os contatos de e-mail, a chave privada está dis­po­ní­vel apenas para o usuário. Ela é ne­ces­sá­ria, por um lado, para enviar e-mails crip­to­gra­fa­dos em com­bi­na­ção com a public key do des­ti­na­tá­rio, e, por outro lado, para decifrar as mensagens recebidas. Por meio de um cer­ti­fi­cado S/MIME, o cliente de e-mail pode gerar e trocar chaves. Esse cer­ti­fi­cado pode ser obtido de vários for­ne­ce­do­res.

Para que a crip­to­gra­fia de e-mail funcione, cada mensagem S/MIME possui in­for­ma­ções de cabeçalho que fornecem ao cliente receptor os dados ne­ces­sá­rios para a captura e pro­ces­sa­mento do conteúdo. Entre essas in­for­ma­ções estão o tipo de conteúdo, em dados crip­to­gra­fa­dos, por exemplo, “enveloped-data”, o nome do arquivo cor­res­pon­dente (por exemplo, smime.p7m para dados assinados ou crip­to­gra­fa­dos) ou a forma de co­di­fi­ca­ção. Um possível cabeçalho de um e-mail crip­to­gra­fado pode ser o seguinte:

Content-Type: application/pkcs7-mime; smime-type=enveloped-data; name=smime.p7m
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename=smime.p7m

A as­si­na­tura S/MIME, que pode ser anexada au­to­ma­ti­ca­mente ao compor um e-mail, é prática por vários motivos: ela transmite ao des­ti­na­tá­rio a chave pública para a co­mu­ni­ca­ção segura, per­mi­tindo também que ele lhe envie mensagens com conteúdo crip­to­gra­fado. Além disso, a as­si­na­tura prova que o e-mail foi realmente enviado por você. Diferente do PGP, a adição de uma as­si­na­tura não gera ca­rac­te­res crip­to­grá­fi­cos. Caso o cliente de e-mail receptor detecte dis­cre­pân­cias ao verificar a as­si­na­tura recebida, a le­gi­ti­mi­dade da mensagem não será con­fir­mada, o que pode levar o usuário a suspeitar de ma­ni­pu­la­ção dos dados.

Como obter um cer­ti­fi­cado S/MIME para o seu tráfego de e-mail?

Como men­ci­o­nado an­te­ri­or­mente, o uso de S/MIME exige um cer­ti­fi­cado (X.509). Em princípio, é possível criar um por conta própria. No entanto, você precisará primeiro de um cer­ti­fi­cado raiz, que também deverá ser gerado neste caso. Além disso, todos os parceiros de co­mu­ni­ca­ção devem importar este cer­ti­fi­cado raiz antes que a troca real de chaves possa ser iniciada. A solução muito mais simples e des­com­pli­cada é o obtenção de um cer­ti­fi­cado em uma au­to­ri­dade de cer­ti­fi­ca­ção oficial. Os cer­ti­fi­ca­dos dis­po­ní­veis são ti­pi­ca­mente clas­si­fi­ca­dos nas seguintes três classes:

• Classe 1: o cer­ti­fi­cado criado pela au­to­ri­dade de cer­ti­fi­ca­ção garante a au­ten­ti­ci­dade do endereço de e-mail fornecido.
• Classe 2: o cer­ti­fi­cado garante a au­ten­ti­ci­dade do endereço de e-mail fornecido e do nome cor­res­pon­dente. Além disso, a empresa também é con­fir­mada, se for relevante. A ve­ri­fi­ca­ção das in­for­ma­ções é realizada por meio de bancos de dados de terceiros ou cópias de do­cu­men­tos de iden­ti­dade.
• Classe 3: os cer­ti­fi­ca­dos Classe 3 di­fe­ren­ciam-se dos cer­ti­fi­ca­dos Classe 2 pelo fato de que o so­li­ci­tante deve se iden­ti­fi­car pes­so­al­mente.

Se você deseja crip­to­gra­far seus e-mails com S/MIME e está pro­cu­rando um cer­ti­fi­cado, não deve perder de vista a sua função principal: proteger a co­mu­ni­ca­ção de e-mail, evitando a in­ter­cep­ta­ção e ma­ni­pu­la­ção do conteúdo das mensagens. Por esta razão, é de extrema im­por­tân­cia escolher um for­ne­ce­dor que seja sério e confiável.

Um serviço re­co­men­dado cujos cer­ti­fi­ca­dos, segundo a própria di­vul­ga­ção, são aceitos por 99 por cento de todos os clientes de e-mail, é, por exemplo, o Sectigo (antiga Comodo). A au­to­ri­dade de cer­ti­fi­ca­ção, conhecida prin­ci­pal­mente por cer­ti­fi­ca­dos SSL de alta qualidade, oferece cer­ti­fi­ca­dos para uso pessoal (a partir de R$ 121 por ano), com os quais é possível im­ple­men­tar uma crip­to­gra­fia de e-mail segura de ponta a ponta com S/MIME.

Como con­fi­gu­rar S/MIME no seu apli­ca­tivo de e-mail

Para integrar o pro­ce­di­mento de segurança de e-mail em seu cliente de e-mail, você precisa ini­ci­al­mente do cer­ti­fi­cado S/MIME. A busca por um for­ne­ce­dor é, portanto, o primeiro passo para obter uma caixa de entrada segura. Em seguida, é ne­ces­sá­rio criar um cer­ti­fi­cado per­so­na­li­zado e instalá-lo. O pro­ce­di­mento exato varia li­gei­ra­mente, mas é, em princípio, se­me­lhante entre os for­ne­ce­do­res. Após a ins­ta­la­ção, configure o programa de e-mail para utilizar o S/MIME, vin­cu­lando-o ao cer­ti­fi­cado in­cor­po­rado. Nor­mal­mente, o processo de con­fi­gu­ra­ção é concluído com a rei­ni­ci­a­li­za­ção do cliente, ativando funções es­pe­cí­fi­cas para a crip­to­gra­fia ou as­si­na­tura das mensagens de forma manual ou au­to­má­tica.

Nas seções seguintes, você en­con­trará ins­tru­ções de­ta­lha­das para a con­fi­gu­ra­ção do S/MIME nos sistemas de desktop Windows e macOS, bem como nos sistemas móveis iOS e Android.

Como con­fi­gu­rar S/MIME no Windows

Quem deseja utilizar a técnica S/MIME em um PC com Windows, mas não quer investir em Outlook ou Microsoft Office, pode recorrer à al­ter­na­tiva gratuita Thun­der­bird, que, assim como o navegador Firefox, é pro­ve­ni­ente da Mozilla. Se você ainda não instalou o cliente e não con­fi­gu­rou uma conta, deve fazer isso como primeiro passo. Em seguida, siga estes passos para ativar a crip­to­gra­fia e as­si­na­tura S/MIME para essa conta:

1. Depois de obter seu cer­ti­fi­cado de um provedor de sua escolha, inicie o Thun­der­bird e abra Settings. No menu “Privacy & Security”, você en­con­trará a entrada “Cer­ti­fi­ca­tes”. Clique no botão “Manage Cer­ti­fi­ca­tes…”.

Close

2. Você acessará o menu de ge­ren­ci­a­mento de cer­ti­fi­ca­dos. Aqui, selecione a aba “Your Cer­ti­fi­ca­tes” e importe o cer­ti­fi­cado recebido e ar­ma­ze­nado do seu provedor clicando em “Import…” e se­le­ci­o­nando-o. Em seguida, insira a senha fornecida pelo provedor para concluir o processo.

Close

3. Navegue agora até as con­fi­gu­ra­ções da conta de e-mail para a qual você deseja con­fi­gu­rar a crip­to­gra­fia. Clique no menu “End-To-End En­cryp­tion”. Aqui, você en­con­trará uma entrada para S/MIME e poderá se­le­ci­o­nar o cer­ti­fi­cado S/MIME recém-importado para assinar e crip­to­gra­far seus e-mails clicando no botão “Select…”.

Close

4. Ao redigir um e-mail, você pode habilitar ou de­sa­bi­li­tar os pro­ce­di­men­tos in­di­vi­du­al­mente por meio do botão S/MIME na barra de fer­ra­men­tas e também decidir se o S/MIME será usado para crip­to­gra­far, assinar ou ambos:

Close

In­de­pen­den­te­mente de a crip­to­gra­fia e as­si­na­tura em Thun­der­bird serem adi­ci­o­na­das manual ou au­to­ma­ti­ca­mente, você deve con­si­de­rar que o assunto con­ti­nu­ará legível.

Como funciona a con­fi­gu­ra­ção do S/MIME no macOS e iOS

Dis­po­si­ti­vos Apple já possuem, com o cliente nativo “Mail”, uma solução instalada que permite, desde o início, crip­to­gra­far e assinar e-mails com S/MIME. Assim, se você possui uma conta de e-mail, pode criar di­re­ta­mente um cer­ti­fi­cado com seu provedor, sem precisar instalar outro programa. O pro­ce­di­mento não se difere do Windows: você acessa o site do seu provedor e o cer­ti­fi­cado é criado com base em seus dados pessoais. Em seguida, proceda assim para instalar o cer­ti­fi­cado e con­fi­gu­rar a crip­to­gra­fia S/MIME:

1. Abra o e-mail enviado pelo seu provedor e baixe o cer­ti­fi­cado para qualquer pasta. O arquivo recebido pode ser aberto di­re­ta­mente no macOS com um duplo clique e adi­ci­o­nado à gestão de chaves. Se quiser usar S/MIME também no seu iPhone ou iPad, você pode enviá-lo por e-mail para seu dis­po­si­tivo móvel.

2. Após a ins­ta­la­ção, você precisa apenas iniciar ou reiniciar o Apple Mail para integrar o pro­ce­di­mento de crip­to­gra­fia e as­si­na­tura.

3. Você pode testar o S/MIME enviando a si mesmo uma mensagem crip­to­gra­fada e assinada. Abra o Apple Mail e crie um novo e-mail. No campo “De”, selecione a conta de e-mail para a qual um cer­ti­fi­cado S/MIME está ar­ma­ze­nado no chaveiro. No cabeçalho do e-mail, apa­re­ce­rão dois símbolos: um tique para a as­si­na­tura e um cadeado para a crip­to­gra­fia.

Como con­fi­gu­rar o S/MIME para seu Android

O Android, assim como o Windows, não possui um cliente próprio para integrar o S/MIME. No entanto, existem várias apli­ca­ções que suportam o pro­ce­di­mento e podem ser baixadas por meio da loja Google Play. Entre as soluções gratuitas está o apli­ca­tivo de código aberto FairEmail (na versão Pro, sem anúncios, é pago). Assim como na con­fi­gu­ra­ção da crip­to­gra­fia e as­si­na­tura S/MIME no Windows e macOS, você precisará primeiro de um cer­ti­fi­cado válido, que pode ser gerado conforme já explicado. Os próximos passos são os seguintes:

1. Para importar seu cer­ti­fi­cado gerado, abra primeiro o menu “En­cryp­tion” nas con­fi­gu­ra­ções do apli­ca­tivo. Role até o ponto “S/MIME” e pressione “Import private key”.

Close

2. No mesmo menu, indique qual algoritmo de as­si­na­tura e qual algoritmo de crip­to­gra­fia devem ser usados. Em seguida, você pode definir na parte superior do menu de crip­to­gra­fia (“General”) quando suas mensagens serão crip­to­gra­fa­das, por exemplo, por padrão ou ao responder a uma mensagem crip­to­gra­fada recebida.

Close

3. Ao redigir mensagens, a crip­to­gra­fia e a as­si­na­tura serão adi­ci­o­na­das au­to­ma­ti­ca­mente, caso você tenha optado por essa variante no passo anterior. Caso contrário, você pode usar os botões men­ci­o­na­dos no final da janela de mensagens para ativar os me­ca­nis­mos de proteção.