S/MIME Como criptografar e assinar e-mails

Quando você envia um e-mail, o ideal é que sua mensagem chegue à caixa de entrada do destinatário sem qualquer interferência de terceiros. Da mesma forma, quando recebe e-mails, você quer ter certeza de que o conteúdo recebido é autêntico, e não adulterado. Ainda, é importante que o remetente seja comprovadamente quem ele afirma ser. Somente a criptografia e a assinatura eletrônica conseguem dar essas garantias, já que dificultam o ataque de cibercriminosos. O procedimento padrão que permite a utilização desses dois recursos garantidores é o S/MIME, definido nos idos de 1999 e até hoje utilizado.

O que é o S/MIME?

Em RFC 1847, duas melhorias de segurança foram especificadas para o padrão de e-mail MIME (Multipurpose Internet Mail Extension), em 1995: o formato multipart/signedpara assinar mensagens, e o formatomultipart/encryptedpara criptografá-las. Quatro anos mais tarde, aInternet Engineering Task Force(IETF) lançou S/MIME, extensão para MIME descrita em RFC 2633, que suporta o formato de assinatura mencionado anteriormente. Para a criptografia, contudo, o processo utiliza umapplication/pkcs7-mime próprio. Com o S/MIME é o possível escolher se e-mails serão criptografados, assinados ou ambos.

Criptografia e a assinatura S/MIME podem ser executadas em todos os provedores de e-mail populares, como no Microsoft Outlook, no Thunderbird e no Apple Mail. Alternativamente, você pode utilizar o provedor de e-mail OpenPGP, muito bem avaliado. Criado em 2007, ele suporta multipart/signed e multipart/encrypted.

Como o S/MIME criptografa e assina e-mails?

O S/MIME utiliza o método de criptografia assimétrica, ou seja, ele usa um par de chaves, que consiste em uma chave privada e uma chave pública. A chave pública é compartilhada com todos os contatos de e-mail, enquanto a chave privada só é acessível pelo usuário. Para enviar e-mails criptografados, o S/MIME usa a chave pública do destinatário. Já para descriptografar as mensagens recebidas, o usuário utiliza a chave privada. Com um certificado S/MIME (que pode ser adquirido com provedores), o cliente de e-mail tem a possibilidade de gerar e trocar chaves.

Para que a criptografia funcione em e-mails, cada mensagem S/MIME é precedida por dados de cabeçalho, que fornecem ao cliente receptor informações necessárias para coletar e processar o conteúdo. Essas informações dizem respeito a: dados encriptados (por exemplo, “dados envelopados”), o nome de arquivo correspondente (por exemplo, smime.p7m para dados assinados ou criptografados), e a forma de codificação. Um cabeçalho típico para e-mail criptografado pode aparecer da seguinte forma:

Content-Type: application/pkcs7-mime; smime-type=enveloped-data; name=smime.p7m
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename=smime.p7

A assinatura S/MIME é uma ferramenta valiosa, já que pode ser automaticamente fixada a e-mails que estejam sendo escritos. Ela fornece ao destinatário uma chave pública para comunicação segura, permitindo que ele também envie mensagens criptografadas a você, de forma segura. Ainda, a assinatura prova ao destinatário que foi você mesmo que enviou o e-mail. Ao contrário do PGP, uma assinatura S/MIME não resulta na exibição de caracteres codificados. Caso inconsistências sejam encontradas durante a verificação da assinatura, o cliente de e-mail não confirma a legitimidade da mensagem, indicando que o conteúdo pode ter sido adulterado.

Como obter um certificado S/MIME para seus e-mails

Para usar o S/MIME, é necessário um certificado (X.509). Embora seja possível criar seu próprio certificado, você precisará gerar um certificado raiz primeiro. Além disso, todos os parceiros de comunicação devem importar o certificado raiz antes que a troca de chaves possa ser iniciada. Alternativamente, você pode adquirir um certificado com uma autoridade oficial de certificação. Versões gratuitas e pagas são disponibilizadas. Geralmente, elas se enquadram em uma dessas três classes:

• Classe 1: O certificado emitido pela autoridade de certificação garante a autenticidade do endereço de e-mail especificado.
• Classe 2: O certificado garante a autenticidade do endereço de e-mail especificado e o nome associado a ele. A empresa também é confirmada, se for relevante. A verificação das informações ocorre por meio de bancos de dados de terceiros ou de documentos de identidade.
• Classe 3: Estes certificados exigem que o requerente confirme sua identidade pessoalmente.

Se você quer criptografar seus e-mails com S/MIME e obter um certificado para tanto, seu foco principal é garantir que sua comunicação por e-mail seja protegida contra alterações e interceptações. Por isso, escolher um provedor confiável é crucial.

Um serviço recomendado, com certificados considerados confiáveis por 99% dos clientes de e-mail é o Sectigo (antes chamada Comodo). A autoridade em certificação, conhecida por certificados SSL de alta qualidade, oferece certificados para uso privado com o “Personal Email Security” (a partir de 15 USD/ano). O “Enterprise Email Security” (a partir de 49 USD/ano) oferece soluções para empresas que desejam implementar criptografia de e-mail de ponta a ponta usando S/MIME. Um parceiro de renome para a criação de certificados gratuitos é o provedor de hospedagem italiano Actalis.

Como configurar o S/MIME no seu cliente de e-mail

Para utilizar esse método de segurança junto ao seu cliente de e-mail, você precisa de um certificado S/MIME. Assim, encontrar um provedor é o primeiro passo para uma caixa de entrada segura. Então, você precisa gerar e instalar um certificado personalizado. O procedimento exato varia um pouco, mas é semelhante em todos os provedores. Após a instalação, você deve configurar o respectivo programa de e-mail para usar o S/MIME e o certificado integrado. Normalmente, a configuração é concluída reiniciando o cliente. O processo habilita funções específicas de criptografia manual e automática, e de assinatura de mensagens.

Aprenda a seguir o passo a passo para configurar o S/MIME nos sistemas de desktop Windows e macOS, bem como nos sistemas móveis iOS e Android. Usaremos o serviço gratuito de certificação Actalis nos exemplos.

Configurar o S/MIME no Windows

Se você deseja usar a tecnologia S/MIME em um computador com Windows sem ter que investir no Outlook ou no Microsoft Office, use a alternativa gratuita Thunderbird. Assim como o Firefox, ele é um produto Mozilla. Se você ainda não instalou um cliente de e-mail e criou sua conta, faça isso primeiro. Em seguida, siga esses passos para habilitar criptografia e assinatura S/MIME nessa conta:

1. Acesse o site da Actalis e encontre o link “Free S/MIME certificates” para solicitar um certificado S/MIME gratuitamente.
2. Preencha o formulário que pede o endereço de e-mail relativo ao certificado e clique em “Send Verification Email”. A Actalis enviará um código de registro individual para este endereço de e-mail. Copie o código na linha “Verification code” e preencha o campo captcha obrigatório:

Configurar o S/MIME no macOS e no iOS

Produtos Apple já possuem uma solução de e-mail instalada, um cliente de e-mail in-house que permite criptografar e assinar e-mails desde o início, usando S/MIME. Se você possui uma conta de e-mail, pode criar um certificado diretamente com Actalis, sem precisar instalar nenhum outro programa. O procedimento é o mesmo: acesse o site da Actalis, clique em “Sign Up Now” e crie o certificado em seguida, usando suas informações pessoais. Depois, siga as instruções abaixo para instalar o certificado e configurar a criptografia S/MIME:

1. Para acessar seu certificado, basta abrir o e-mail enviado pela Actalis e baixar o arquivo na pasta que preferir. No macOS, você pode adicionar o certificado ao keychain administratorclicando duas vezes nele. Se você quiser usar o S/MIME no seu iPhone ou iPad, precisará primeiro converter o certificado para o formato .p12. Uma vez convertido, você poderáenviá-lo ao seu dispositivo móvel por e-mail. https://www.youtube.com/watch?v=1X10zCzhukI
2. Depois da instalação, tudo que você precisa fazer é iniciar o Apple Mail para integrar criptografia e assinatura.
3. Para testar S/MIME, envie uma mensagem criptografada e assinada para você mesmo. Para fazer isso, encontre os dois botões correspondentes na janela de e-mail (cadeado para criptografia e engrenagem para assinatura). Se a criptografia e a assinatura tiverem sido bem-sucedidas, você verá os dois símbolos em uma linha adicional sob o assunto da mensagem.

Configurar o S/MIME no Android

Como o Windows, o Android não possui um cliente próprio para integração S/MIME. No entanto, existem vários aplicativos disponíveis na Google Play Store que o suportam. Uma das soluções gratuitas é o aplicativo MailDroid, desenvolvido pela Flipdog Solutions (a versão sem anúncios é paga). Assim como no Windows e no macOS, primeiro você precisa de um certificado válido. Acima, já explicamos como gerá-lo. Os próximos passos são os seguintes:

1. Por padrão, o MailDroid possui botões integrados para criptografar e assinar e-mails. No entanto, para habilitá-los, você precisa do plugin Flipdog Solutions Crypto, que pode ser baixado como o primeiro passo.