- 8.1. Використання електронної пошти Електронна пошта або e-mail - найпопулярніший вид використання...
- 8.2.1. SMTP
- 8.2.2. POP
- 8.2.3. IMAP
- 8.2.4. MIME
- 8.3. Потенційні проблеми з електронною поштою
- 8.3.2. персональне використання
- 8.3.3. маркетинг
- 8.4. Загрози, пов'язані з електронною поштою
- 8.4.1. Фальшиві адреси відправника
- 8.4.2. перехоплення листа
- 8.4.3. поштові бомби
- 8.4.4. загрозливі листи
- 8.5. Захист електронної пошти
- 8.5.2. Захист від перехоплення
- 8.6. Коректне використання електронної пошти
- 8.7. Захист Електрон листів и поштовий систем
- 8.8. Приклади політик безпеки для електронної пошти
- 8.9. Зберігання електронних листів
8.1. Використання електронної пошти
Електронна пошта або e-mail - найпопулярніший вид використання Інтернету. За допомогою електронної пошти в Інтернеті ви можете надіслати листа мільйонам людей по всій планеті. Існують шлюзи приватних поштових систем в інтернетівський e-mail, що занчительно розширює її можливості.
Крім взаємодії один-один, e-mail може підтримувати списки електронних адрес для розсилки, тому людина або організація може послати e-mail всього цього списку адрес людей або організацій. Іноді списки розсилки e-mail мають елементи, які є покажчиками на інші списки розсилки, тому один лист може бути в кінці кінців доставлено тисячам людей.
Різновидом списків розсилки є дискусійні групи на основі e-mail. Їх учасники надсилають лист центрального серверу списку розсилки, і повідомлення розсилаються всім іншим членам групи. Це дозволяє людям, які перебувають у різних часових зонах або на різних континентах, вести цікаві дискусії. За допомогою спеціальних програм люди можуть підписатися на список або відписатися від нього без допомоги людини. Сервера списків розсилки часто надають інші сервіси, такі як отримання архівів, дайджестів повідомлень, або пов'язаних з повідомленнями файлів. Групи новин USENET є удосконаленням дискусійних поштових груп.
Електронна пошта стає все більш важливою умовою ведення повсякденної діяльності. Організаціям потрібні політики для електронної пошти, щоб допомогти співробітникам правильно її використовувати, зменшити ризик навмисного або ненавмисного неправильного її використання, і щоб гарантувати, що офіційні документи, що передаються за допомогою електронної пошти, правильно обробляються. Аналогічно політиці використання телефону, організаціям потрібно розробити політику для правильного використання електронної пошти.
Політика повинна давати загальні рекомендації в таких областях:
- Використання електронної пошти для ведення ділової діяльності
- Використання електронної пошти для ведення особистих справ
- Управління доступом і збереження конфіденційності повідомлень
- Адміністрування та зберігання електронних листів
Основи e-mail
Основними поштовими протоколами в Інтернеті (не рахуючи приватних протоколів, шлюзуемих або туннеліруемих через Інтернет) є SMTP (Simple Mail Transport Protocol), POP (Post Office Protocol) і IMAP (Internet Mail Access Protocol).
8.2.1. SMTP
SMTP - це поштовий протокол хост-хост. SMTP-сервер приймає листи від інших систем і зберігає їх в поштових скриньках користувачів. Збережені листи можуть бути прочитані декількома способами. Користувачі з інтерактивним доступом на поштовому сервері можуть читати пошту за допомогою локальних поштових додатків. Користувачі на інших системах можуть завантажити свої листи за допомогою програм-клієнтів електронної пошти за протоколами POP3 та IMAP.
UNIX-хости зробили найпопулярнішим SMTP. Широко використовуються SMTP-серверами є Sendmail, Smail, MMDF і PP. Найпопулярнішим SMTP-сервером в Unixе є Sendmail, написаний Брайаном Еллманом. Він підтримує створення черг повідомлень, переписування заголовків листів, аліаси, списки розсилки і т.д. Зазвичай він конфігурується так, що повинен працювати як привілейований процес. Це означає, що якщо його захист можна буде обійти якимось способом, атакуючий зможе завдати шкоди, далеко перевищує видалення електронних листів.
8.2.2. POP
POP - це найпопулярніший протокол прийому електронної пошти. POP-сервер дозволяє POP-клієнтові завантажити листи, які були отримані ним від іншого поштового сервера. Клієнти можуть завантажити всі повідомлення або тільки ті, які вони ще не читали. Він не підтримує видалення повідомлень перед завантаженням на основі атрибутів повідомлення, таких як адреса відправника або одержувача. POP версії 2 підтримує аутентифікацію користувача за допомогою пароля, але пароль передається серверу у відкритому (незашифрованому) вигляді.
POP версії 3 надає додатковий метод аутентифікації, званий APOP, який ховає пароль. Деякі реалізації POP можуть використовувати Kerberos для аутентифікації.
8.2.3. IMAP
IMAP - це найновіший, і тому менш популярний протокол читання електронної пошти.
Як сказано в RFC:
IMAP4rev1 підтримує операції створення, видалення, перейменування поштових скриньок; перевірки надходження нових листів; оперативне видалення листів; установку і скидання прапорів операцій; розбір заголовків у форматі RFC-822 і MIME-IMB; пошук серед листів; вибіркове читання листів.
IMAP більш зручний для читання пошти в подорожі, ніж POP, так як повідомлення можуть бути залишені на сервері, що позбавляє від необхідності синхронізувати списки прочитаних листів на локальному хості і на сервері.
8.2.4. MIME
MIME - це скорочення для багатоцільових розширень интернетовской пошти (Multipurpose Internet Mail Extensions). Як сказано в RFC 2045, він перевизначає формат повідомлень електронної пошти, щоб дозволити:
- Передачу текстів в кодуванні, відмінною від US-ASCII,
- Передачу в листі нетекстової інформації в різних форматах,
- Повідомлення з декількох частин, і
- Передачу в заголовку листа інформації в кодуванні, відмінною від US-ASCII.
Він може використовуватися для підтримки таких засобів безпеки, як цифрові підписи і шифровані повідомлення. Він також дозволяє посилати поштою виконувані файли, заражені вірусами, або листи з РПС.
Як і веб-браузери, програми читання пошти можуть бути налаштовані автоматично запускати додатки-помічники для обробки певних типів MIME-повідомлень.
8.3. Потенційні проблеми з електронною поштою
8.3.1. випадкові помилки
Можна легко припуститися помилки при роботі з електронною поштою. Лист може бути випадково послано. Просте натиснення клавіші або клацання мишкою можуть надіслати листа за неправильною адресою. Поштові повідомлення можуть зберігатися роками, тому погане вираз може відгукнутися через багато часу. Архіви листів можуть зрости до такого ступеня, що система буде аварійно завершуватися. Неправильно настроєна програма читання груп новин може привести до посилці повідомлення не в ті групи. Помилки в списках розсилки можуть привести до довгого блукання листів між поштовими серверами, причому число листів може збільшитися до такої міри, що поштові сервера аварійно завершаться.
Коли поштова система організації приєднана до Інтернету, наслідки помилок можуть виявитися в тисячу разів гірше.
Ось деякі із способів запобігти помилкам:
- Вчити користувачів що робити, якщо вони зробили помилку, і як правильно працювати з електронною поштою
- Конфігурувати програми електронної пошти так, щоб стандартні дії користувача, що використовують установки за замовчуванням, були б найбезпечнішими
- Використовувати програми, які строго реалізують протоколи і угоди Інтернету. Кожен раз, коли онлайновий сервіс шлюз лист з приватної поштової системи в інтернетівську електронну пошту, чуються крики протесту через появу великої кількості повідомлень з помилками, що виникли в результаті неправильних налаштувань поштових серверів цього сервісу.
8.3.2. персональне використання
Так як лист зазвичай використовується для забезпечення діяльності організації, як телефон і факс, використання його в особистих цілях має бути обмежено або заборонено (це залежить від організації).
Хоча найпростіше визначити, що електронна пошта використовується тільки для вирішення завдань організації, всі розуміють, що цю політику важко втілити в життя. Якщо політика не може бути узгоджено впроваджена, неминуче її недотримання і тоді політика не зможе використовуватися в якості основи для покарання. Набагато більш мудрим буде створити політику, яка встановлює чіткі межі використання e-mail в особистих цілях, аналогічно тому, як встановлюються рамки використання службового телефону в особистих цілях.
Якщо ви використовуєте службовий телефон для того, щоб зателефонувати в хімчистку, то малоймовірно, що ваш дзвінок буде сприйматися як офіційний запит компанії. Але посилка електронного листа з електронним поштовим адресою, що містить адресу організації, буде схожа на посилку паперового листа на фірмовому бланку компанії. Якщо відправник використовує свій логін в компанії для посилки електронної пошти в групу новин, може здатися, що компанія схвалює думку, висловлена ним в листі.
8.3.3. маркетинг
У минулому, коли Інтернет був дослідницькою мережею, її комерційне використання було заборонено. Крім того, занадто мало компаній і людей мали доступ до интернетовской поштою, тому було недоцільно використовувати її для комерційних цілей. Зараз Інтернет розширився і дозволяється використовувати його в комерційних цілях, тому компанії стали підтримувати списки розсилки для обміну інформацією зі своїми клієнтами. Як правило, клієнти повинні надіслати запит для того, щоб потрапити в список розсилки. Коли великі онлайнові сервіси стали шлюзувати листи в Інтернет, несподівано виявилося, що таким чином можна передати інформацію набагато більшої аудиторії. Так народився маркетинг в Інтернеті за допомогою посилки окремих поштових повідомлень.
Люди написали програми для автоматизації підтримки списків розсилки, і утворили компанії для збору та продажу списків електронних поштових адрес організаціям, які займаються маркетингом. Конгрес США прийняв білль, згідно з яким прямий маркетинг за допомогою електронної пошти повинен здійснюватися відповідно до тих же правил, якими обмежується використання масової посилки листів, щоб особи, які займаються таким маркетингом, вели списки адрес, власники яких не бажають отримувати рекламу в електронних листах.
8.4. Загрози, пов'язані з електронною поштою
Основні протоколи передачі пошти (SMTP, POP3, IMAP4) зазвичай не здійснюють надійної аутентифікації, що дозволяє легко створити листи з фальшивими адресами. Жоден з цих протоколів не використовує криптографію, яка могла б гарантувати конфіденційність електронних листів. Хоча існують розширення цих протоколів, рішення використовувати їх має бути явно прийнято як складова частина політики адміністрації поштового сервера. Деякі такі розширення використовують уже наявні кошти аутентифікації, а інші дозволяють клієнту і серверу погодити тип аутентифікації, який буде використовуватися в даному з'єднанні.
8.4.1. Фальшиві адреси відправника
Адресою відправника в електронній пошті Інтернету не можна довіряти, тому що відправник може вказати фальшивий зворотну адресу, або заголовок може бути модифікований в ході передачі листа, або відправник може сам з'єднатися з SMTP-портом на машині, від імені якої він хоче відправити лист, і ввести текст листа.
8.4.2. перехоплення листа
Заголовки і вміст електронних листів передаються в чистому вигляді. В результаті вміст повідомлення може бути прочитано або змінено в процесі передачі його по Інтернету. Тема може бути модифікований, щоб приховати або змінити відправника, або для того щоб перенаправити повідомлення.
8.4.3. поштові бомби
Поштова бомба - це атака за допомогою електронної пошти. Атакують система переповнюється листами до тих пір, поки вона не вийде з ладу. Як це може статися, залежить від типу поштового сервера і того, як він налаштований.
Деякі провайдери Інтернету дають тимчасові логіни будь-якого для тестування підключення до Інтернету, і ці логіни можуть бути використані для початку подібних атак.
Типові варіанти виходу поштового сервера з ладу:
- Поштові повідомлення приймаються до тих пір, поки диск, де вони розміщуються. Чи не переповниться. Наступні листи не приймаються. Якщо цей диск також основний системний диск, то вся система може аварійно завершитися.
- Вхідна чергу переповнюється повідомленнями, які потрібно обробити і передати далі, до тих пір, поки не буде досягнутий граничний розмір черги. Наступні повідомлення не потраплять в чергу.
- У деяких поштових систем можна встановити максимальне число поштових повідомлень або максимальний загальний розмір повідомлень, які користувач може прийняти за один раз. Наступні повідомлення будуть відкинуті або знищені.
- Може бути перевищена квота диска для даного користувача. Це завадить прийняти наступні листи, і може перешкодити йому виконувати інші дії. Відновлення може виявитися важким для користувача, так як йому може знадобитися додатковий дисковий простір для видалення листів.
- Великий розмір поштової скриньки може зробити важким для системного адміністратора отримання системних попереджень і повідомлень про помилки
- Посилка поштових бомб в список розсилки може привести до того, що його члени можуть анулювати свою підписку.
8.4.4. загрозливі листи
Так як будь-яка людина в світі може послати вам лист, може виявитися важким змусити його припинити посилати їх вам. Люди можуть дізнатися вашу адресу зі списку адрес організації, списку осіб, які підписалися на список розсилки, або листів в Usenet. Якщо ви вказали вашу поштову адресу якомусь веб-сайту, від він може продати вашу адресу "поштовим сміттярів". Деякі веб-браузери самі вказують вашу поштову адресу, коли ви відвідуєте веб-сайт, тому ви можете навіть не зрозуміти, що ви його дали. Багато поштових систем мають можливості фільтрації пошти, тобто пошуку зазначених слів або словосполучень в заголовку листа або його тілі, і подальшого поміщення його в певний поштову скриньку або видалення. Але більшість користувачів не знає, як використовувати механізм фільтрації. Крім того, фільтрація у клієнта відбувається після того, як лист вже отримано або завантажено, тому таким чином важко видалити великі обсяги листів.
Для безпечної атаки може використовуватися анонімний ремейлером. Коли хтось хоче послати образливе або загрозливий лист і при цьому приховати свою особистість, він може скористатися анонімним ремейлером. Якщо людина хоче послати електронного листа, не розкриваючи свою домашню адресу тим, хто може загрожувати йому, він може теж використовувати анонімний ремейлером. Якщо він почне раптом отримувати небажані листи за своїм поточним адресою, він може відмовитися від нього і взяти новий.
Одним часто використовуваним засобом захисту, застосовуваним деякими користувачами Usenet, є конфігурація своїх клієнтів для читання новин таким чином, що в поле Reply-To (зворотну адресу) листи, що посилається ними в групу новин, поміщається фальшивий адресу, а реальну адресу поміщається в сигнатурі або в тексті листа. Таким чином програми збору поштових адрес, що збирають адреси з поля Reply-To, виявляться марними.
У конгресі США було подано кілька биллей про обмеження на роботу таких програм-сміттярів. В одному пропонувалося створити списки стоп-слів і поміщати слово "реклама" в рядок теми листа. В іншому пропонувалося вважати їх просто незаконними.
8.5. Захист електронної пошти
8.5.1. Захист від фальшивих адрес
Від цього можна захиститися за допомогою використання шифрування для приєднання до листів електронних підписів. Одним популярним методом є використання шифрування з відкритими ключами. Односпрямована хеш-функція листи шифрується, використовуючи секретний ключ відправника. Одержувач використовує відкритий ключ відправника для розшифровки хеш-функції і порівнює його з хеш-функцією, розрахованої за отриманим повідомленням. Це гарантує, що повідомлення насправді написано відправником, і не було змінено в дорозі. Уряд США вимагає використання алгоритму Secure Hash Algorithm (SHA) і Digital Signature Standard, там де це можливо. А найпопулярніші комерційні програми використовують алгоритми RC2, RC4, або RC5 фірми RSA.
8.5.2. Захист від перехоплення
Від нього можна захиститися за допомогою шифрування вмісту повідомлення або каналу, по якому він передається. Якщо канал зв'язку зашифрований, то системні адміністратори на обох його кінцях все-таки можуть читати або змінювати повідомлення. Було запропоновано багато різних схем шифрування електронної пошти, але жодна з них не стала масовою. Одним з найпопулярніших додатків є PGP. У минулому використання PGP було проблематичним, так як в ній використовувалося шифрування, підпадає під заборону на експорт з США. Комерційна версія PGP включає в себе плагіни для декількох популярних поштових програм, що робить її особливо зручною для включення в лист електронного підпису та шифрування листи клієнтом. Останні версії PGP використовують ліцензовану версію алгоритму шифрування з відкритими ключами RSA.
8.6. Коректне використання електронної пошти
Всі службовці повинні використовувати електронну пошту так само, як і будь-яке інше офіційне засіб організації. З цього випливає, що коли лист надсилається, як відправник, так і одержувач повинен гарантувати, що взаємодія між ними здійснюється відповідно до прийнятих правил взаємодії. Взаємодія з допомогою пошти не повинно бути неетичним, не повинно сприйматися як конфліктна ситуація, або містити конфіденційну інформацію.
8.7. Захист Електрон листів и поштовий систем
Захист листів, поштових серверів і програм повинна відповідати важливості інформації, переданої по мережах. Як правило, має здійснюватися централізоване управління сервісами електронної пошти. Повинна бути розроблена політика, в якій вказувався б потрібний рівень захисту.
8.8. Приклади політик безпеки для електронної пошти
низький ризик
користувач
Використання служб електронної пошти для цілей, явно суперечить інтересам організації або суперечать політикам безпеки організації -явно заборонено, також як і надмірне використання її в особистих цілях.
Використання адрес організації в листах-пірамідах заборонено.
Організація надає своїм співробітникам електронну пошту для виконання ними своїх обов'язків. Обмежене використання її в особистих цілях дозволяється, якщо воно не загрожує організації.
Використання електронної пошти таким чином, що це допомагає отримувати особисту комерційну вигоду, заборонено.
Менеджер
Всі співробітники повинні мати адреси електронної пошти.
Довідники електронних адрес повинні бути доступні для загального доступу.
Якщо організація забезпечує доступ до електронної пошти зовнішніх користувачів, таких як консультанти, контрактні службовці або партнери, вони повинні прочитати політику доступу до електронної пошти і розписатися за це.
Вміст поштових повідомлень вважається конфіденційним, за винятком випадку проведення розслідувань органами внутрішніх справ.
Співробітник відділу автоматизації
POP-сервер повинен бути налаштований так, щоб виключати використання незашифрованих паролів з локальних машин.
середній ризик
користувач
Електронна пошта надається співробітникам організації тільки для виконання ними своїх службових обов'язків. Використання її в особистих цілях заборонено.
Конфіденційна інформація або інформація, що є власністю організації, не може бути надіслана за допомогою електронної пошти.
Можуть використовуватися тільки затверджені поштові програми.
Не можна встановлювати анонімні ремейлери
Службовцям заборонено використовувати анонімні ремейлери
Менеджер
Конфіденційна інформація або інформація, що є власністю організації, не може бути надіслана за допомогою електронної пошти.
Якщо буде встановлено, що співробітник неправильно використовує електронну пошту з умислом, він буде покараний
Співробітник відділу автоматизації
Поштова система повинна забезпечувати тільки один зовнішній електронну адресу для кожного співробітника. Ця електронна адреса не повинен містити ім'я внутрішньої системи або посади
Повинен вестися локальний архів MIME-сумісних програм для перегляду спеціальних форматів і бути доступний для внутрішнього використання ..
високий ризик
користувач
Електронна пошта надається співробітникам організації тільки для виконання своїх службових обов'язків. Використання її в особистих цілях заборонено.
Всі електронні листи, що створюються і зберігаються на комп'ютерах організації, є власністю організації і не вважаються персональними.
Організація залишає за собою право отримати доступ до електронної пошти співробітників, якщо на те будуть вагомі причини. Вміст електронного листа не може бути розкрито, крім як з метою забезпечення безпеки або на вимогу правоохоронних органів.
Користувачі не повинні дозволяти кому-небудь надсилати листи, використовуючи їх ідентифікатори. Це стосується їх начальників, секретарів, асистентів або інших товаришів по службі.
Організація залишає за собою право здійснювати спостереження за поштовими відправленнями співробітників. Електронні листи можуть бути прочитані організацією навіть якщо вони були видалені і відправником, і одержувачем. Такі повідомлення можуть використовуватися для обгрунтування покарання.
Менеджер
Довідники електронних адрес співробітників не можуть бути зроблені доступними всім.
Якщо за допомогою електронного листа має бути надіслана конфіденційна інформація або інформація, що є власністю організації, вона повинна бути зашифрована так, щоб її міг прочитати тільки той, кому вона призначена, з використанням затверджених в організації програм і алгоритмів.
Ніхто з відвідувачів, контрактників або тимчасових службовців не має права використовувати електронну пошту організації.
Повинно використовуватися шифрування все інформації, класифікованої як критична або комерційна таємниця, при передачі її через відкриті мережі, такі як Інтернет.
Вихідні повідомлення можуть бути вибірково перевірені, щоб гарантувати дотримання політики.
Співробітник відділу автоматизації
Вхідні листи повинні перевірятися на віруси або інші РПС.
Поштові сервера повинні бути налаштовані так, щоб відкидати листи, адресовані нема на комп'ютери організації.
Журнали поштових серверів повинні перевірятися на предмет виявлення використання незатверджених поштових клієнтів співробітниками організації, і про такі випадки має доповідатиметься.
Поштові клієнти повинні бути налаштовані так, щоб кожне повідомлення підписувалася за допомогою цифрового підпису відправника.
8.9. Зберігання електронних листів
Офіційні документи організації, що передаються за допомогою електронної пошти, повинні бути ідентифіковані і повинні адмініструватися, захищатися і супроводжуватися настільки довго, наскільки це потрібно для діяльності організації, аудиту, юристів, або для інших цілей. Коли електронна пошта - це єдиний спосіб передачі офіційних документів компанії, то до них застосовуються ті ж самі процедури, як якщо б вони передавалися на папері.
Для запобігання випадкового видалення листів, співробітники повинні направляти копії таких повідомлень в офіційний файл або архів. Повинні зберігатися як вхідні, так і вихідні повідомлення з додатками. Будь-які повідомлення, що містить формальний дозвіл або виражають угоду організації з іншою організацією, має копіюватися в відповідний файл (або повинна робитися його друкована копія) для протоколюються і аудиту.
Період зберігання всіх листів визначається юристами. Якщо повідомлення зберігаються дуже довго, організація може змушена зробити таку інформацію публічною за рішенням суду.
Чи добре там, де,
як дозволяється парадокс Ольберса?
(Фотометрічній парадокс, парадокс Ольберса - це один з парадоксів космології, что Полягає в тому, что у Всесвіті, рівномірно заповнений зірками, яскравість неба (в тому числі нічного) винна буті примерно дорівнює яскравості Сонячна диска. Це винне мати місце тому, что з будь-которого напрямку неба промінь зору рано чи Пізно упреться в поверхню зірки.
Іншімі словами парадос Ольберса Полягає в тому, что если Всесвіт нескінченній, то чорного неба Ми не побачимо, тому что випромінювання далеких зірок буде підсумовуватіся з віпромінюванням бліжніх, и небо винне мати СЕРЕДНЯ температуру фотосфери зірок. При поглінанні світла міжзорянім Речовини, воно буде розігріватіся до температури зірковіх фотосфери и віпромінюваті такоже Яскрава, як зірки. Однак в дело вступає явище "Втома світла", Відкрите Едвіном Хабблом, Який показавши, что чим далі від нас розташована галактика, тим более становится червоним світло ее випромінювання, тобто фотони як би "втомлюються", віддають свою Енергію міжзоряному середовіщі. На дуже великих відстанях галактики видно только в радіодіапазоні, так як їх світло зовсім Втрата Енергію йдучи через безкраї простори Всесвіту. Детальніше читайте в FAQ по ефірної фізіці . 