SPX-e-mailversleuteling op Sophos Firewall configureren

Met Secure PDF Exchange, kortweg SPX, zet Sophos Firewall een uitgaande e-mail met bijlagen om in een met een wachtwoord beveiligd PDF-bestand. De ontvanger heeft geen eigen versleutelingsclient nodig. Afhankelijk van het gekozen wachtwoordmodel ontvangt de ontvanger een eenmalig wachtwoord, gebruikt die een opgeslagen wachtwoord of registreert die zelf een wachtwoord.

Voor een betrouwbare werking moeten vier onderdelen op elkaar aansluiten: een SPX-template, een eenduidige trigger, een veilig wachtwoordkanaal en indien nodig het SPX Reply Portal. Daarna worden een positieve en een negatieve e-mailstroom getest. Alleen de levering van een PDF bewijst niet dat de juiste policy is geactiveerd of dat wachtwoordregistratie en veilig antwoorden werken.

SPX in acht stappen

1. Controleer de Email Protection-licentie, MTA-e-mailstroom, modelondersteuning en het certificaat.
2. Bepaal of een beschermd domein, een Data Control-match of de afzender de versleuteling activeert.
3. Maak onder Email > Encryption > SPX templates > Add een eigen template.
4. Kies bewust het wachtwoordtype, de PDF-versleuteling, de melding en het Reply Portal.
5. Beveilig onder Email > Encryption > SPX portal settings de FQDN, toegestane netwerken en poort.
6. Wijs het template toe in de SMTP route and scan-policy of als bewust gekozen standaardtemplate.
7. Test met een externe ontvanger de PDF, het wachtwoordkanaal, de registratie en het antwoord.
8. Voer een negatieve test zonder SPX-trigger uit en documenteer Mail logs, MTA-logs en de rollback.

⚠️ Een leeg veld Allowed networks bij het SPX Portal betekent niet „geen toegang”, maar valt terug op Any. Sophos adviseert bovendien een eigen poort voor het Reply Portal. Daarom moeten de portal-FQDN, het certificaat, de toegestane bronnen en het wachtwoordkanaal vóór de productietest vaststaan.

Wanneer SPX past

SPX is geschikt wanneer externe ontvangers vertrouwelijke inhoud als beveiligde PDF moeten ontvangen zonder een versleutelingsclient te installeren. Het kan in zowel MTA mode als Legacy mode worden gebruikt. Deze procedure gebruikt MTA mode, omdat domein, Data Control en routing dan overzichtelijk in de SMTP-policy kunnen worden gekoppeld.

SPX is geen transportversleuteling tussen mailservers en ook geen end-to-endversleuteling tussen twee e-mailclients. De firewall verwerkt de platte tekst, maakt de PDF en beheert het wachtwoord of de registratie. De PDF kan vervolgens buiten de firewall blijven bestaan in mailboxen, archieven of downloads. De groep ontvangers, bewaartermijn en wachtwoordoverdracht maken daarom deel uit van het beveiligingsontwerp.

Vereisten zijn:

• een geldige Email Protection-licentie;
• een al geteste uitgaande e-mailstroom via Sophos Firewall;
• een gedocumenteerde externe testontvanger;
• een vertrouwde FQDN en een passend certificaat voor de gebruikte SPX-portals;
• een afzonderlijk veilig kanaal voor wachtwoorden als de ontvanger ze niet registreert;
• een herstelpad waarmee template- en policytoewijzingen weer kunnen worden verwijderd.

Volgens de actuele Sophos-help is SPX niet beschikbaar op XGS 87/87w. De volledige MTA mode is daarnaast niet beschikbaar op XGS 88/88w. Mail Protection in MTA mode configureren legt e-mailstroom, licentie, relay en modelgrenzen uit.

Trigger en prioriteit bepalen

SPX kan op drie manieren worden geactiveerd. Als meerdere methoden zijn geconfigureerd, past Sophos Firewall in MTA mode deze volgorde toe:

1. Beschermd domein: Het onder Domains and routing target gekozen SPX-template geldt voor uitgaande berichten van het overeenkomende beschermde domein.
2. Data control list: Alleen als op domeinniveau geen SPX-template is ingesteld, kan een Data Control-match het voor de lijst gekozen template toepassen.
3. Afzendertrigger: Pas als domein noch Data Control een template levert, wordt de onder Default SPX template geconfigureerde afzendermethode toegepast.

Een domeintoewijzing is breed en past alleen als werkelijk elk overeenkomend uitgaand bericht moet worden versleuteld. Data Control is geschikt voor gedefinieerde inhoudstypen, maar moet met echte positieve en negatieve voorbeelden op false positives worden getest. De afzendertrigger laat de beslissing aan de afzender, maar vereist een duidelijk gedocumenteerd proces voor de e-mailclient.

Vóór de configuratie wordt per e-mailstroom precies één primaire trigger vastgelegd. Een tweede methode mag niet ongemerkt een andere overschrijven.

SPX-template maken

Het voorbeeld gebruikt het template Finance-SPX-Recipient. De naam is een documentatiewaarde en wordt aangepast aan het doel en de organisatie.

1. Open Email > Encryption > SPX templates.
2. Kies Add.
3. Voer bijvoorbeeld Finance-SPX-Recipient als naam in.
4. Stel de organisatienaam voor de meldingen in.
5. Kies Encryption standard en PDF page size volgens de eigen vereisten.
6. Selecteer onder Password type het geplande wachtwoordmodel.
7. Controleer onderwerp, berichttekst en instructies voor de ontvanger en pas ze zo nodig aan.
8. Schakel bij vereiste veilige antwoorden Enable SPX reply portal in.
9. Schakel Include original body into reply alleen in als het oorspronkelijke bericht in het antwoord mag staan.
10. Sla het template op.

Wachtwoordmodel bewust kiezen

Sophos Firewall biedt vier modellen:

• Specified by sender: De afzender stelt het wachtwoord in. De firewall verwijdert het vóór de verzending en slaat het niet op. Het wachtwoord moet via een afzonderlijk veilig kanaal bij de ontvanger komen.
• Generate one-time password for every email: De firewall genereert voor elk bericht een nieuw wachtwoord en stuurt dit naar de afzender. Die geeft het afzonderlijk aan de ontvanger door. Het wachtwoord wordt niet opgeslagen.
• Generated and stored for recipient: De firewall genereert een ontvangerspecifiek wachtwoord, stuurt dit naar de afzender en gebruikt het opnieuw tot het verloopt.
• Specified by recipient: Een nog niet geregistreerde ontvanger krijgt een registratielink, stelt zelf een wachtwoord in en gebruikt dit tot het verloopt voor volgende SPX-berichten van de organisatie.

Voor een terugkerende partnerrelatie is Specified by recipient vaak het duidelijkste proces. Voor één bijzonder gevoelige verzending kan een eenmalig wachtwoord beter passen. Verschillende opgeslagen wachtwoordmodellen voor dezelfde ontvanger mogen niet ongepland worden gemengd, omdat de ontvanger anders per bericht het bijbehorende wachtwoord moet herkennen.

Bij Specified by sender kan het onderwerp het patroon [secure:<password>]<subject text> gebruiken. De afzender moet het wachtwoord daarna afzonderlijk doorgeven. Voor Microsoft Outlook biedt Sophos onder Authentication > Client downloads een Outlook Add-in aan.

De actuele Sophos-help gebruikt voor andere e-mailclients twee verschillende schrijfwijzen van de header: X-Sophos-SPXEncrypt: yes op de templatepagina en X-Sophos-SPX-Encrypt: yes op de algemene Encryption-pagina. Deze afwijking wordt niet als copy-pasterecept behandeld. Vóór een productieve clientuitrol moet worden gecontroleerd welke schrijfwijze op de gebruikte SFOS-build werkt. Waar mogelijk zijn een policy, Data Control of de Sophos Outlook Add-in beter traceerbare triggers.

Melding ontwerpen zonder een nieuw datalek te veroorzaken

Voor meldingen zijn onder andere deze variabelen beschikbaar:

• ENVELOPE_TO
• PASSWORD
• ORGANIZATION_NAME
• SENDER
• REG_LINK

Eenvoudige HTML-opmaak en links worden ondersteund. De tekst moet uitleggen van wie het bericht afkomstig is, hoe het wachtwoord veilig wordt verkregen en hoelang registratie of antwoorden mogelijk zijn. Inloggegevens of vertrouwelijke e-mailinhoud horen niet extra in een onbeveiligde melding.

SPX-portals beveiligen

Onder Email > Encryption > SPX portal settings worden wachtwoordregistratie en portaltoegang vastgelegd:

1. Voer onder Hostname de FQDN in waarmee externe ontvangers het portal daadwerkelijk bereiken.
2. Stel bij Allowed networks alleen de benodigde bronnetwerken in. Any is alleen passend als willekeurige externe ontvangers het portal moeten bereiken en het risico bewust wordt aanvaard.
3. Documenteer de poort. Het Password Registration Portal gebruikt standaard TCP 8094.
4. Gebruik een eigen poort voor het SPX Reply Portal.
5. Stel de geldigheidsduur in voor ongebruikte wachtwoorden, veilige antwoorden en registratielinks.
6. Voer de ontvangers van SPX-foutmeldingen in.

Als Allowed networks leeg blijft, gebruikt SFOS Any, omdat het SPX Reply Portal standaard in de WAN-zone actief is. Als het Reply Portal niet nodig is, documenteert Sophos als uitschakelmethode één ongebruikt vertrouwd privéadres, bijvoorbeeld 169.254.0.1, als enig toegestaan netwerk. Deze documentatiewaarde mag niet overeenkomen met een adres dat in productie wordt gebruikt.

CAPTCHA is altijd actief op het SPX Portal en kan niet worden uitgeschakeld. CAPTCHA op Sophos Firewall bewust beheren legt de grenzen van CAPTCHA-instellingen voor andere portals uit.

WebAdmin, User Portal, VPN Portal, Captive Portal en beide SPX-portals gebruiken dezelfde centrale certificaatselectie. Een wijziging kan daarom meerdere diensten tegelijk raken. Plan certificaat, SAN’s, herstelpad en echte portal-URL met Certificaten op Sophos Firewall beheren. Voor een openbare naam kan een Let’s Encrypt-certificaat op Sophos Firewall geschikt zijn.

Template met de SMTP-policy verbinden

Voor MTA mode wordt het SPX-template in de bijbehorende SMTP route and scan-policy onder Email > Policies and exceptions geselecteerd.

Een domein als trigger gebruiken

Onder Domains and routing target wordt het template aan het beschermde domein toegewezen. Daarna geldt het voor overeenkomende uitgaande berichten. Een brede domeintoewijzing wordt eerst met één pilotafzender en één externe testontvanger getest.

Data Control als trigger gebruiken

1. Maak onder Email > Data control list een duidelijk benoemde lijst of controleer de bestaande lijst.
2. Schakel in de SMTP route and scan-policy Data protection in.
3. Wijs het geplande SPX-template aan de Data Control List toe.
4. Voer één positieve inhoudstest en één vergelijkbare negatieve test uit.

Als onder Domains and routing target al een SPX-template is ingesteld, heeft dit voorrang op het Data Control-template. Een match van de Data Control List bewijst bovendien alleen de geconfigureerde inhoudsmatch. In de echte e-mailstroom moet worden gecontroleerd of het juiste bericht is versleuteld.

Een afzendertrigger gebruiken

Selecteer onder Email > Encryption > SPX configuration een Default SPX template. Dit geldt alleen voor door de afzender geactiveerde SPX-versleuteling als de SMTP-policy niet al op domein- of Data Control-niveau een template levert. None schakelt dit standaardpad uit.

De versleutelde e-mailstroom valideren

Noteer testtijd, afzender, ontvanger, onderwerp en verwachte trigger. Test daarna ten minste deze gevallen:

1. Positieve test: Een uitgaand bericht activeert precies het geplande SPX-template.
2. Wachtwoordtest: De ontvanger krijgt het wachtwoord of de registratielink via het geplande kanaal en kan de PDF openen.
3. Inhoudstest: Onderwerp, berichttekst en bijlagen staan zoals verwacht in de PDF en zijn leesbaar.
4. Antwoordtest: Indien ingeschakeld leidt de antwoordlink naar de verwachte FQDN en bereikt een testantwoord de oorspronkelijke afzender.
5. Negatieve test: Een vergelijkbaar bericht zonder trigger wordt niet als SPX-PDF verzonden.
6. Verlooptest: Registratie, opgeslagen wachtwoord en antwoordperiode gedragen zich na de ingestelde geldigheidsduur voorspelbaar.
7. Certificaattest: Browser en externe ontvanger krijgen een volledige vertrouwde certificaatketen voor de gebruikte portal-FQDN.

Gebruik voor de eerste correlatie Email > Mail logs, Log Viewer en de MTA-bestanden smtpd_main.log, smtpd_error.log en smtpd_panic.log. Koppel een foutmelding aan dezelfde testmail en hetzelfde tijdstip. Sophos Firewall-diensten en logs legt de toegang en andere logbestanden uit.

In HA staan logs op de node die het verkeer heeft verwerkt. Test na een gecontroleerde failover afzonderlijk een nieuwe SPX-mail, wachtwoordregistratie en antwoord. Ga er niet van uit dat een bestaande portalsessie of lopende registratie zonder onderbreking doorgaat. De basis staat in Sophos Firewall HA-clusters.

Fouten systematisch afbakenen

Het bericht wordt niet versleuteld

Controleer richting, beschermd domein, werkelijk gebruikte SMTP route and scan-policy en triggerprioriteit. Controleer bij Data Control ook Data protection, de lijstmatch en de templatetoewijzing. Voor een afzendertrigger moet een standaardtemplate zijn ingesteld dat niet door een domein- of Data Control-template wordt overschreven. De twee gedocumenteerde headerschrijfwijzen zijn geen reden om beide ongetest in productie uit te rollen.

De registratielink of het portal is niet bereikbaar

Controleer FQDN, openbare DNS-resolutie, poort, certificaat, Allowed networks en geldigheid van de link. Een lege Allowed Networks-waarde wordt als Any behandeld en is daarom geen veilige uitgeschakelde toestand. Als de client een andere host of portal bereikt, passen URL, NAT of certificaattoewijzing niet bij het geplande pad.

De PDF kan niet worden geopend

Vergelijk eerst het wachtwoordtype met het specifieke bericht. Een eenmalig wachtwoord geldt alleen voor die e-mail. Bij opgeslagen of geregistreerde wachtwoorden kunnen verloop of meerdere wachtwoordmodellen de oorzaak zijn. Na een SPX Password Reset moet de afzender het nieuwe wachtwoord opnieuw veilig aan de ontvanger doorgeven.

Het veilige antwoord komt niet aan

Controleer Enable SPX reply portal in het template, de antwoordperiode, portal-FQDN, poort, certificaat en toegestane bronnen. Controleer vervolgens Mail logs en MTA-logs voor het concrete antwoord. Het succesvol openen van de PDF bewijst niet dat het retourkanaal werkt.

DKIM-validatie mislukt na SPX

SPX wijzigt berichttekst en bijlagen. Als een bericht vóór deze wijziging wordt ondertekend, kan de handtekening bij de ontvanger ongeldig worden. Bepaal of de interne mailserver, Sophos Firewall of een latere gateway na alle geplande wijzigingen ondertekent. De verwerkingsketen en een externe test moeten samen worden gevalideerd.

Veilig terugrollen

1. Verwijder eerst de specifieke SPX-toewijzing uit Domains and routing target of de Data Control List.
2. Stel indien gebruikt Default SPX template in op None.
3. Voer een uitgaande negatieve test uit en bevestig dat geen nieuwe SPX-PDF wordt gemaakt.
4. Trek het Reply en Registration Portal alleen terug als geen andere actieve SPX-policy ervan afhankelijk is.
5. Zet tijdelijke openbare poort-, DNS- of portaltoegang terug naar de gedocumenteerde vorige toestand.
6. Verwijder het template pas als geen policy of actief bedrijfsproces er nog naar verwijst.
7. Bewaar Mail logs en MTA-logs van de laatste versleutelde en eerste onversleutelde test.

Maak een actuele Sophos Firewall-back-up voordat productie-e-mail- en portalpaden worden gewijzigd. SPX kan in airgap-omgevingen blijven werken, maar externe DNS-, certificaat- en portalafhankelijkheden moeten afzonderlijk bereikbaar blijven. Zie SFOS-functies zonder internettoegang voor productgrenzen.

Operationele checklist

• Licentie, model, MTA-e-mailstroom en externe ontvanger zijn gecontroleerd.
• Trigger en triggerprioriteit zijn gedocumenteerd.
• Wachtwoordtype en veilig overdrachtskanaal passen bij de toepassing.
• Portal-FQDN, certificaat, poort en Allowed Networks zijn nauw begrensd.
• De domein-, Data Control- of standaardtoewijzing is eenduidig.
• Positieve, negatieve, wachtwoord-, PDF- en antwoordtests zijn geslaagd.
• Mail logs en MTA-logs kunnen met het testbericht worden gecorreleerd.
• HA-failover en node-lokale logs zijn in de bedrijfsprocedure opgenomen.
• Eigenaar, verlooptermijnen, controledatum en rollback zijn gedocumenteerd.

FAQ