Vai al contenuto
Avanet

Sophos Email: configurare e gestire la cifratura S/MIME

Sophos Email

S/MIME in Sophos Email unisce tre livelli interdipendenti: il servizio S/MIME globale, certificati correttamente associati e una policy Secure Message. Solo un test end-to-end di tutti e tre dimostra che un messaggio viene firmato, verificato, cifrato o decifrato. Questa procedura riguarda l’elaborazione S/MIME di Sophos Email in Sophos Central. SMTP TLS protegge invece la connessione di trasporto, Sophos Secure Message Portal è un metodo di cifratura diverso e la S/MIME Certificate API richiede una procedura di automazione separata.

Avviso: Reset non è una normale misura diagnostica. Elimina il record della CA locale e tutti i certificati locali ed esterni, rimuove le chiavi private e disattiva S/MIME. Le impostazioni S/MIME nelle policy rimangono. Un certificato root PEM scaricato non consente di ripristinare la CA o una chiave privata. Usare Reset solo con una modifica approvata e un piano completo di ricostruzione che indichi quali file PKCS#12 autorizzati possono essere realmente reimportati e quali chiavi generate da Sophos andranno perse definitivamente.

Confermare prerequisiti e responsabilità

Prima della configurazione servono:

  • licenza o diritto d’uso che includa S/MIME; in EMS mode l’impostazione globale non è configurabile;
  • un amministratore con accesso a Global Settings > Products and Services > Email > S/MIME e My Products > Email Security > Policies;
  • l’indirizzo esatto già presente in Sophos Central per ogni identità interna;
  • per certificati esistenti, un file PKCS#12 .p12 protetto da password contenente certificato e chiave privata;
  • certificati S/MIME dei destinatari esterni o un metodo controllato per acquisirli da messaggi firmati e verificati;
  • responsabili nominati per CA, certificati, password, rinnovo e ripristino di emergenza.

Prima della modifica registrare lo stato S/MIME, l’ambito e l’ordine delle policy, nonché indirizzo, emittente, impronta digitale e scadenza di ogni certificato, oltre a partner di test e criteri di accettazione. Chiavi private e password PKCS#12 vanno nell’archivio approvato, non nella richiesta di assistenza. Sophos non supporta la revoca dei certificati S/MIME. Se una chiave è compromessa, sostituire il certificato e scambiare il nuovo con i partner.

Comprendere ruoli e corrispondenza

La configurazione iniziale richiede sempre una CA locale in Sophos Email, anche se si usano già certificati di una CA interna o pubblica. Non è obbligatorio usarla poi per emettere certificati utente. Registrare i dati e l’impronta digitale. Il certificato root autofirmato può essere scaricato in formato PEM e distribuito ai partner come materiale pubblico di attendibilità. Il PEM non contiene la chiave privata e non è un backup ripristinabile della CA locale.

Gli User Certificates appartengono agli utenti interni di Sophos Central. Sophos li usa per firmare messaggi in uscita per l’utente e decifrare quelli cifrati in entrata. Ogni utente necessita di un certificato distinto corrispondente al proprio indirizzo. Durante l’upload l’indirizzo deve identificare un utente esistente; altrimenti Full name resta vuoto e l’upload non riesce. Un upload sostituisce il certificato corrente.

Le S/MIME CAs aggiungono emittenti attendibili per verificare firme in entrata. Prima verificare se Sophos riconosce già globalmente la CA. Gli External S/MIME Certificates appartengono ai partner esterni e consentono in particolare risposte cifrate a quei destinatari. Tenere separati i tre inventari.

Attivare S/MIME e creare la CA locale

  1. Aprire Global Settings > Products and Services > Email > S/MIME.
  2. In Secure MIME Settings, attivare S/MIME.
  3. Decidere separatamente su Enable automatic S/MIME certificate extraction. Salva un certificato solo da un messaggio firmato in entrata la cui verifica riesce.
  4. Creare la CA locale obbligatoria con i dati approvati.
  5. Registrare l’impronta digitale e l’ora, scaricare il certificato root PEM pubblico per distribuire l’attendibilità in modo controllato e confrontarlo con l’impronta registrata. Non considerare il PEM un backup della CA o della sua chiave privata.

L’estrazione automatica richiede anche Verify inbound message nella policy Secure Message applicabile. Se la verifica è disattivata, non si estrae alcun certificato anche con l’estrazione attiva. Questo evita certificati non verificati nell’archivio di fiducia. Se serve solo cifrare senza verificare firme, caricare manualmente i certificati esterni; quelli caricati manualmente sono considerati attendibili.

Fornire i certificati interni

Per generare un certificato con Sophos:

  1. Aprire User Certificates > Add user.
  2. Inserire in Email address l’indirizzo esistente in Sophos Central e controllare il valore compilato automaticamente in Full name.
  3. Fare clic su Add. Sophos crea automaticamente il certificato individuale.

Per più utenti, usare Import users con un file CSV o TXT contenente esattamente un indirizzo valido esistente in Sophos Central per riga; confrontare gli esiti e gli errori con l’elenco previsto.

Per caricare un certificato esistente:

  1. Controllare l’indirizzo nel soggetto o SAN, l’emittente, la validità, l’uso, la robustezza della chiave e la presenza della chiave privata.
  2. Se necessario, convertire PFX con uno strumento approvato in un contenitore PKCS#12 .p12 protetto.
  3. Selezionare User Certificates > Upload certificate, inserire indirizzo e password, scegliere il file e fare clic su Upload.
  4. Confermare indirizzo, emittente, impronta digitale e scadenza. Poiché il caricamento sostituisce l’esistente, definire prima il ripristino.

Un certificato utente scaricato contiene solo materiale pubblico di attendibilità, mai la chiave privata, ed è fornito come PKCS#12 cifrato. Non consente quindi di ripristinare la chiave di firma o decifratura dell’utente. Distribuirlo ai partner che non estraggono certificati dai messaggi firmati o non considerano attendibile la CA. Nei messaggi in uscita Sophos allega il certificato utente, non quello della CA firmataria.

Aggiungere CA attendibili e certificati destinatario

In S/MIME CAs, confrontare l’emittente e la catena con le CA che Sophos indica già come riconosciute globalmente. Usare Upload solo se manca la CA necessaria, dopo aver verificato file, impronta digitale e origine tramite un canale indipendente. Per un destinatario esterno, caricare il certificato in External S/MIME Certificates > Upload oppure acquisirlo da un messaggio firmato in entrata che supera la verifica. Controllare identità, indirizzo, emittente, impronta digitale e validità.

Non associare mai solo per nome file o nome visualizzato. Se indirizzo o catena non coincide, non forzare con una fiducia CA troppo ampia; far correggere certificato o associazione al responsabile.

Assegnare la policy Secure Message

Quando i certificati sono disponibili, aprire My Products > Email Security > Policies e creare o modificare una policy Secure Message. Registrare:

  • l’ambito interno di utenti, gruppi o domini e l’eventuale ambito dei partner esterni;
  • la direzione e il comportamento atteso per firma, verifica, cifratura e decifratura;
  • l’ordine della policy e il relativo stato di applicazione;
  • gli utenti pilota e un utente di controllo esterno all’ambito.

Iniziare con un pilota ridotto. L’attivazione globale di S/MIME da sola non applica il comportamento desiderato. Viceversa, una policy rimasta dopo Reset non opera finché S/MIME e la CA locale non vengono riconfigurati e i certificati necessari non vengono reimportati o generati nuovamente.

Collaudare invio e ricezione

Per ogni messaggio registrare ora, direzione, mittente e destinatario SMTP e Message-ID. Testare almeno:

  1. un normale controllo non firmato in entrata e uscita;
  2. un messaggio firmato in uscita da un pilota, verificato con successo dal partner;
  3. un messaggio firmato in entrata da un’identità esterna attendibile, verificato da Sophos;
  4. un messaggio cifrato in uscita a un destinatario con certificato esterno corrispondente, decifrabile solo da lui;
  5. un messaggio cifrato in entrata a un utente interno con certificato e chiave privata corrispondenti;
  6. con estrazione attiva, un messaggio firmato verificato da un partner di test seguito da risposta cifrata.

Far controllare al partner certificato mittente e catena e verificare il risultato osservato in Sophos Central. Un’icona S/MIME o la consegna non provano policy e identità corrette. Usare identità volutamente diverse, certificati di test scaduti o emittenti di test non attendibili solo in un rapporto pilota isolato; non danneggiare chiavi di produzione.

Considerare i limiti tecnici

  • I certificati devono rispettare S/MIME Version 3 Message Specification o successiva.
  • Sophos rifiuta RSA/DSA inferiori a 1024 bit e curve EC inferiori a P-224. Per nuovi certificati applicare requisiti PKI interni più severi.
  • I certificati Sophos usano SHA-256, RSA 2048 bit e AES-256 CBC per il contenuto. Quelli caricati conservano l’algoritmo RSA, DSA o EC supportato; il contenuto usa AES-256 CBC.
  • Un messaggio in uscita non conforme a MIME potrebbe non essere elaborato da S/MIME.
  • I messaggi firmati tra Sophos Email Security e Sophos UTM non sono verificabili se SMTP envelope From e RFC822 From differiscono.
  • Se un certificato mittente memorizzato viene rinnovato esternamente, il primo messaggio con quello nuovo può essere rifiutato. Sophos lo estrae e salva; i successivi sono accettati.

Rinnovare, rimuovere ed eseguire rollback

A 60, 30 e 14 giorni dalla scadenza, il responsabile verifica l’inventario e i partner. Controllare indirizzo, chiave privata e catena del nuovo certificato interno, sostituirlo in una finestra di manutenzione e ripetere i test in entrambe le direzioni. I contenuti storici possono essere decifrati solo con la vecchia chiave privata corrispondente. Conservarla esclusivamente in un archivio PKCS#12 autorizzato e protetto da password, secondo la politica di conservazione. I certificati generati da Sophos non consentono l’esportazione della chiave privata; non promettere quindi la decifratura storica dopo la loro sostituzione o dopo Reset.

Per un cambio esterno, pianificare il possibile rifiuto del primo messaggio o caricare in anticipo il nuovo certificato tramite un canale verificato. Dopo il collaudo, rimuovere singolarmente i certificati esterni obsoleti e le CA inutilizzate. La disattivazione dell’utente comprende l’ambito della policy, il relativo User Certificate, le relazioni di fiducia, la conservazione e il test finale; non giustifica Reset per tutto l’ambiente.

Se il pilota fallisce, ripristinare lo stato di applicazione e l’ordine precedenti e rimuovere solo certificati o CA aggiunti dalla modifica. Confermare il vecchio flusso con messaggi di controllo. Reset è solo l’ultima procedura approvata di ricostruzione.

Risolvere i problemi con metodo

  1. Menu o interruttore assente: controllare diritto d’uso, ruolo e EMS mode.
  2. Upload non riuscito: controllare .p12, password, chiave privata, versione S/MIME, algoritmo e lunghezza; confermare utente riconosciuto e Full name compilato.
  3. Firma non attendibile: controllare validità, impronta digitale, catena completa e S/MIME CA; prima verificare se l’emittente è già riconosciuto globalmente.
  4. Estrazione vuota: confermare messaggio firmato in entrata, verifica riuscita, Enable automatic S/MIME certificate extraction e Verify inbound message attivi.
  5. Cifratura in uscita assente: controllare ambito, ordine e External S/MIME Certificate valido corrispondente al destinatario.
  6. Entrata non decifrabile: controllare certificato interno, chiave privata, destinatario, scadenza ed eventuale caricamento sostitutivo.
  7. Fallisce solo il primo messaggio dopo il rinnovo: considerare il comportamento documentato, controllare l’impronta digitale memorizzata e inviare un secondo test.
  8. Risultato ancora inatteso: controllare conformità MIME e, con Sophos UTM, uguaglianza tra SMTP envelope From e RFC822 From.

Per l’escalation raccogliere Message-ID, ora UTC, direzione, indirizzi SMTP, ambito e ordine della policy, soggetto del certificato, emittente, impronta digitale, scadenza ed errore esatto. Non allegare mai chiavi private, file PKCS#12 o password a una normale richiesta di assistenza.