電子メールの暗号化が主流になるのを妨げているものはありますか？
PGPは約20年前から存在していますが、電子メールの暗号化はほとんどの「常連」では使用されていません。現時点では、SnowdenのNSA啓示（誰にとっても大きな驚きではありません））、Heartbleedバグなどにより、多くの人々が暗号化とプライバシーに関心を寄せていますが、電子メールは1つのままです人々が機密情報を常に最小限のセキュリティで送信する方法の概要現在の最新技術（技術的および社会的レベルの両方）は、それが主流になることを許可していますか？
ソフトウェア会社とメールプロバイダー
Microsoft（Outlook.comおよびOutlookメールクライアント）からのPGPのデフォルトサポート、Apple（iOSおよびOSXのデフォルトサポート）、YahooおよびGmail。これらは人々に認識させ、pgp-ウィザードを使用して、いくつかの手順で設定します。
Googleはこれを実現できますが、AppleまたはMSよりも大きな利益相反があります。ビジネスを継続し、メールを安全に保つソリューションを考え出すことができるでしょう。
考えられる問題：対テロ戦争とその「凶悪国家」。米国の企業は、特定の技術をそれらの国に輸出することを許可されていません。しかし、これらのテクノロジーは世界中で無料で利用できるため、これは本当の問題ではないと思います。
FacebookとTwitterはこれでは大したパーティーではありませんが、プライバシーは宣伝したいものであるため、彼らは意識向上キャンペーンを開始することができます。
国
国が推進すべきだと思います。近い将来にこれが実行されるのを確認できる唯一の十分な「国」はEUですが、ドイツは良い出発点になる可能性があります。しかし、それはもっと時間がかかります。
私たちにできること
PGPを自分でインストールして使用を開始します。慣れるためだけに、時々自分から仕事に自分にメールを送るためにそれを使用します。
マニュアルとインストール方法を作成し、手間をかけずに作業する方法を示します。したがって、ママやパパにとっては、あなたや私と同じように、メールを送信するときにデフォルトで機能するはずです。パスワードを入力しなくても機能します。つまり、そのコンピュータのだれでもメールを開くことができます。 OSXでは、キーをロック解除するためにログインする必要があります。Windowsでこれがどのように機能するのかはわかりませんが、同じようなものであることを願っています。
私のアマチュアがこれを引き受けます
技術的に要するに、暗号化を使いやすくする必要があると思います。これは、Google、Microsoft、Yahoo、Facebookなどの企業がWebベースの電子メールに暗号を実装した場合に発生する可能性があります。暗号化はすでに非常に簡単になっていますが（たとえば、それを簡単にするFirefoxの拡張機能/アドオンがあります）、さらに使いやすくする必要があります。おそらく、GoogleがGmailに暗号化/復号化ボタンを実装しているかどうかが、最初の良いステップでしょう。その後、すべてを自動的に実行させることができます。このプロセスは、人々が実際に喜んで何ができるかを理解するために、少し試行錯誤する必要があると思います。もちろん、ここで考えるべきことがいくつかあります。メールは暗号化された形式でGoogleのサーバーに保存されますか？もしそうなら、Googleはどのようにターゲットを絞った広告を配信できるでしょうか？
社会的に最初に、暗号化の必要性を人々に納得させる必要があると思います。あるレベルの平均的なJoeは、単に彼のメールを暗号化することを気にしていないように感じます。彼は政府が彼にスパイしていることについてすべて不満を抱いているかもしれませんが、彼はまた彼の電子メールを暗号化する問題を経験するほど十分に気にかけていません。ここで個人的に、私は標準的な電子メールを暗号化する必要性を（まだ）本当に感じていません。私が手に入れた新しいかわいい猫について彼女に話すために私の祖母を書いているなら、例えば、政府が聞く能力があるかどうかは気にしません（私は他のハッカーについてもっと心配しています）。隠すものは何もない。私が私の電子メールを暗号化したいなら、あなたは間違いなく私にとってそれを簡単にする必要があります。ここでは少し悪魔の擁護者になりたいと思っていますが、多くの人がこのように考えていると思います。それは単なる現実です。すべてのメールを暗号化する必要があると確信しているかもしれませんが、平均的な人は暗号化していません。これが私がこれについて私のアマチュア見解を与えたかった理由です。したがって、おそらく、もしあなたが大企業に暗号を実装するように説得して、それが自動的に行われるようにすることができれば、それは助けになるでしょう。
あなたは上記の輸出制限について言及しましたが、それがどれほど大きな取引であるかはわかりません。しかし、おそらく企業は、さまざまな対象ユーザー向けに設計されたさまざまな製品を持つことができます。
暗号化の欲求を生み出した後（またはそれと並行して）、おそらく暗号化について人々に教える必要があります。
そして、もしあなたが大企業を巻き込みたいならば、彼らはまた、公衆との信頼を回復する必要があるでしょう。これらの企業が政府と協力していることを知らされた後、多くの人々は、Googleがあなたのパスワード/秘密鍵のコピーを保持しないと言うとは信じたくありません。しかし、おそらく人々もそれを気にしませんか？
メールの暗号化だけが必要な場合は、主要なメールプロバイダーに各メールアドレスのS/MIME証明書を含め、デフォルトでWebインターフェース内で使用して、標準のメールクライアントで簡単に使用できるようにするだけで十分でしょう。
ただし、暗号化だけでなく実際のセキュリティが必要な場合は、別の場所から開始する必要があります。主な問題は暗号化の部分ではなく、信頼の部分です。このメールの送信者は本当に彼が主張するものです。 S/MIMEとPGPを使用した信頼モデルがありますが、証明書またはPGPキーの現在の所有者が実際に証明書/キーが主張する所有者であることを保証しないため、必要な信頼を提供するには十分ではありません。
- S/MIME証明書の署名者は、主張されたIDを検証するためにどのようなチェックを行いましたか？ PGPの信頼のWebでキーに署名したピアはどの程度信頼できますか？所有者から直接証明書/キーを入手した方がはるかに優れていますが、これはどのくらいの頻度で発生しますか？
- 証明書/キーが危険にさらされていないことを確認するにはどうすればよいですか？失効には、所有者が侵害を実際に認識していることと、それが機能している必要があります。これは、httpsに使用するPKIの構造がはるかに単純な場合でも当てはまりません。
私は実際にZRTP（VoIPの暗号化）のアイデアが好きです。デバイス固有のキーを交換し、別のチャネル（この場合は音声）を介して信頼を検証することにより、相互信頼を作成します。ピアがすでにお互いを十分に認識しており（したがって、ピアの音声を中間者の音声から区別できる）、デバイスが盗まれたり、他の方法で危険にさらされたりしない限り、使用は簡単で問題なく機能します。
メール用に同様のスキームを構築できるかもしれませんが、ZRTPのように、ピアを十分に理解していないと失敗します。この場合も、ピアの信頼性を保証するプロキシを使用する必要があります。 S/MIMEまたはPGPに戻る:(
要約すると、すべては信頼性に帰着します。これは、ピアを個人的に知っている場合は簡単ですが、プロキシを信頼して正しい信頼の決定を行う必要がある場合は困難です。実生活でも同じ問題があるので、これはメールやWebなどの問題ではありません。
一歩戻りましょう。 SSL Webサイトで行っているような「オンザフライ」の鍵交換を可能にする何らかの形式のTLSを追加した場合、これはすでに大きな前進となるでしょう。
はい、好奇心の強いISPからもメールを保護するPGPおよび関連技術は、SSL/TLSスタイルのトンネルを使用してメールサーバー間でデータを移動することで、ソースサーバーの認証を可能にします（つまり：メッセージを渡したのはYahooサーバーだったことを確認してください）。
スプーフィングされたソースドメインアドレスで1日にどのくらいのスパムを受信しますか？これはその多くを防ぐのに役立ちます（証明書を持たない小さなドメインでなければなりません）。
したがって、SMTPプロトコルに新しいハンドシェイクを追加すると、送信サーバーがメッセージと共に公開鍵を共有できるようになります。次に、受信者は、キー機関/預託機関（委託など）を介して適切なドメインに発行されたキーを検証できます。
輸送中のセキュリティの問題は少なくとも解決されており、電子メールシステムのユーザーはそれを実現するために何もする必要はありません。
確かに、これはソースサーバー上で静止している間はメールに対応しません（そのため、Googleは引き続きメールを読んで広告を表示することができます）。さらに、その上でPGPを実行したい場合でも、実行できます。
少しのセキュリティは、何よりも優れています。特に、セキュリティで保護されている人が支払う代価がない場合はなおさらです。
他の人が示唆したことに加えて、ここには基本的な問題が1つあります。それは人間側です。それは、ツールや数学的背景の問題ではありません。これらはすでにあります。私たちが必要なのは、抜け出すことです
電子メールの暗号化が主流になるには、それが最も抵抗の少ないパスである必要があります。のように-デフォルトで暗号化し、透過的に、ユーザーが明示的に復号化することを決定しない限り.
これは、HTTPとHTTPSのどちらでも同じです。誰かが（申し訳ありませんが、リンクを見つけることができません！）HTTPSを「安全な」バージョンのHTTPと見なすべきではないと書いています。代わりに、HTTPはHTTPSの「安全でないバージョン」です。微妙ですが、非常に重要な違いです。
もちろん、これは問題領域をツール（私たちが得意なもの）から心理学および人間（私たちがあまり得意ではないもの）特にオタクのためにを扱うことにシフトします）。その上、すべての上に透明で安全で信頼性の高いレイヤーが必要です。例えば、
- Webメール：client-sideを暗号化し、すべてのキー検証を透過的に実行するJavaScriptコード。
- ユーザー認証：自動暗号化を行う場合は、公開鍵を使用します。どうやってあなたの安全を守りますか？上記のブラウザーのシナリオでは、それはどのように機能しますか？
- 証明書、失効リストなど、まだ適切に処理する方法がわからないすべての混乱。
- エラーメッセージと明確なフォールバック。私のおばあちゃんがOpenSSL証明書エラーを見つけた場合、彼女は何をしようとしていると思いますか？エンドユーザーが賢明な人であるとは想定せず、人間の介入は一切避けたいと思います。
安全な電子メールLOL
暗号化にはキーが必要であり、基本的に平均的な人はそれらを適切に使用するにはあまりにも愚かです。 あなたどういうわけかあるキーであり、「メッセージ」、電子メール、テキスト、音声、ビデオ、など、常にあなたをあなたの暗号鍵として認識できます、暗号化はうまくいきません。
彼らがこの問題を解決したと告げる企業はたくさんありますが、彼らは真実を告げるのではなく、彼らはあなたに何かを売ろうとしています。たとえば、ウェブメールを見てみましょう。あなたがS/MIMEを使用するつもりで、個人の証明書を購入するとします。これは、現実の世界で誰かが責任を負っていると思われる人物、たとえば銀行の役員を識別する必要があります。
この証明書には、公開鍵と秘密鍵のペアが含まれています。公開鍵は（名前が示すとおり）公開サーバーに送られます。ただし、プライベートな部分はプライベートに保つ必要があります。もう一度お読みください。 非公開にする必要があります。それで、あなたのウェブメールシステムのどこにそれを保存するのですか？ウェブメールプロバイダーの非常に秘密のプライベートストレージでは、法執行機関や連邦政府であらゆる役割を果たしている事実上だれでも、知らないうちにそれを要求するだけでそれを入手できますか？または、政府の役人のように説得力のある人に見える人はいますか？
ああ、あなたが言うには、秘密鍵はパスワードでロックされています。うん、それはNSA、麻薬カルテル、またはそれを本当に望んでいる事実上だれでもの障害であるに違いない。あなたはそれに賭けることをいとわないかもしれませんが、私はそうではありません。
メールプログラムが実際にメッセージに署名または復号化している間を除いて、秘密鍵は秘密にしておく必要があります。それ以外の場合は、オフラインである必要があります。幸せなユーザーがすぐに忘れる、失う、捨てる、押しつぶす、飲み物を飲む、トイレ、または駐車場に置くなどの便利なストレージに保管するか、または...考え。ああ、そしてウェブメールでサムドライブトリックで秘密鍵全体をやってみてください。ええ、それはうまくいきます。
したがって、基本的に、安全な暗号化メールはそのまま正常に機能します。あなたがそれを使うのに十分賢く、あなたの安全な秘密鍵を追跡するのに十分に組織化されているなら。そして、結局のところ、それらの3人はすべて気にしません。