Introduzione
Libraesva ESG dispone di molteplici funzionalità per garantire che il tuo traffico venga sempre trasmesso in modo sicuro: HTTPS (TLS), SMTPS (TLS) e crittografia end-to-end. Tutte queste opzioni vengono fornite con le migliori impostazioni predefinite possibili all'installazione, ma rivedere la configurazione è comunque molto importante per aumentare la sicurezza.
×NOTA I passaggi 4 e 5 sono necessari solo se prevedi di utilizzare la crittografia email end-to-end, altrimenti le impostazioni predefinite sono già sufficienti.
×NOTA Questa guida è valida per Libraesva ESG versione 5.0 e successive. Se stai ancora utilizzando versioni precedenti, ti invitiamo ad aggiornare.
Creazione del certificato TLS
Il primo passo per migliorare la sicurezza è configurare certificati validi utilizzando una Certificate Authority (CA) riconosciuta. Libraesva ESG viene fornito con un certificato autofirmato, sufficiente per inviare e ricevere dati crittografati, ma i mittenti remoti non possono verificare la tua identità poiché non esiste un'autorità esterna per il tuo certificato.
Il problema principale dei certificati autofirmati è che non sono considerati attendibili dal browser, quindi all'utente viene presentato un avviso allarmante "Certificato non attendibile" e non esiste un modo (semplice) per assicurarsi che qualcuno non stia tentando uno spoofing.
Per creare un nuovo certificato vai su "Admin Area > Appliance > TLS Certificates", quindi nella scheda "Configure Certificates" crea una nuova configurazione.
- Let's Encrypt: certificato gratuito con rinnovo automatico (Consigliato)
Se prevedi di pubblicare l'interfaccia web dell'appliance anche dall'esterno dell'azienda, Let's Encrypt è la soluzione ideale. Let's Encrypt fornisce certificati facili da usare, gratuiti, a rinnovo automatico e con una Certification Authority pubblica correttamente riconosciuta. È sufficiente una configurazione con un solo clic e il gioco è fatto!
NOTA Let's Encrypt richiede di mappare sia la porta 443 sia la porta 80 per il nome scelto verso Libraesva ESG da tutte le sorgenti IP (ad es. da qualsiasi indirizzo verso your.tls-name.test:80 e your.tls-name.test:443). Questo non rappresenta un problema di sicurezza poiché Libraesva ESG utilizza la porta 80 solo per la validazione Let's Encrypt e gli utenti sono obbligati a utilizzare HTTPS.
2. Certificate Request: nuovo certificato per hostname
Se preferisci acquistare un certificato da una Certificate Authority per l'hostname assegnato a Libraesva ESG, devi creare una richiesta di certificato (Certificate Request) da Libraesva ESG.
Su Libraesva ESG crea un nuovo certificato di tipo "CSR" e compila tutte le informazioni richieste per il certificato.
Dal record appena creato, puoi scaricare il file della richiesta di certificato (l'estensione del file è *.csr) e utilizzarlo nel pannello della Certification Authority per creare certificati correttamente firmati.
Una volta ricevuti i certificati dalla CA, assicurati di caricare il tuo certificato, tutti i file dei certificati intermedi e (facoltativamente) il certificato root della CA (l'estensione di questi file è solitamente *.pem o *.crt).
Se tutto è stato eseguito correttamente e i certificati sono validati per l'hostname, il tuo record mostrerà ora "Installed: yes".
×RINNOVO prima della scadenza del certificato, devi scaricare nuovamente la richiesta di certificato e utilizzarla per creare un nuovo certificato presso la tua CA. È preferibile aggiornare il certificato esistente, invece di crearne uno nuovo.
3. Certificato Wildcard: se la tua azienda ne possiede già uno
Le organizzazioni più grandi spesso preferiscono acquistare un unico certificato wildcard da utilizzare per tutti gli host dell'azienda. Un certificato wildcard è simile al normale certificato, ma come suggerisce il nome, il common name non è limitato a un singolo valore (ad es. *.your-domain.test può essere usato per mail1.your-domain.test e mail2.your-domain.test, ma non per two.sub-level.your-domain.test).
Quando si installa un certificato wildcard è necessario installare anche la chiave privata fornita dalla CA al momento dell'acquisto dei certificati wildcard.
Su Libraesva ESG crea un nuovo certificato e seleziona il tipo "Wildcard", quindi assicurati di caricare la chiave privata del certificato, il certificato wildcard, tutti i file dei certificati intermedi e (facoltativamente) il certificato root della CA (l'estensione di questi file è solitamente *.pem o *.crt).
Se tutto è stato eseguito correttamente e i certificati sono validati, il tuo record verrà creato e mostrerà "Installed: yes".
RINNOVO prima della scadenza dei certificati devi caricare i nuovi certificati. È preferibile aggiornare il certificato esistente, invece di crearne uno nuovo.
Utilizzare i certificati installati per i servizi pubblici
Ora che i certificati validi sono installati su Libraesva ESG, possono essere assegnati ai servizi di Libraesva ESG.
Accesso web (HTTPS)
La voce dell'interfaccia web controlla il servizio HTTPS, ovvero il servizio utilizzato dai
browser web. Il certificato scelto dovrebbe corrispondere all'
hostname che vuoi che i tuoi utenti utilizzino durante la navigazione; tenendo presente questo, potrebbe essere una buona idea rivedere la configurazione per "Report Link URL" da "Admin area > Appliance > Quarantine settings".
Le connessioni in testo semplice tramite HTTP sono disabilitate su Libraesva ESG e non esiste alcuna possibilità di override.
Mail Transport (SMTPS)
L'agente di trasporto della posta controlla il servizio SMTPS, ovvero il servizio utilizzato dai server di posta per inoltrare le tue email. Il certificato scelto dovrebbe corrispondere all'hostname pubblicizzato dal banner SMTP, che per impostazione predefinita corrisponde all'hostname dell'appliance; tenendo presente questo, potrebbe essere una buona idea rivedere la configurazione per "My Hostname" da "Admin area > Mail Transport > Advanced Configuration".
Libraesva ESG è un gateway di posta, quindi deve accettare sia traffico crittografato che in testo semplice, come specificato dalla RFC 2487. Se impedisci l'uso di TLS per la posta elettronica, potresti causare il rimbalzo dei messaggi al mittente, specialmente quando comunichi con piccole aziende o server di posta obsoleti.
Per impostazione predefinita, Libraesva ESG cerca di utilizzare la protezione più elevata disponibile, ma potresti voler configurare requisiti più rigidi per i tuoi domini.
Impostare le policy TLS per il flusso email
Email in entrata
La responsabilità di crittografare tramite TLS un messaggio in entrata dipende dal server di posta che lo invia a Libraesva ESG. Se hai caricato un certificato TLS firmato da una Certification Authority, dovresti imporre a tutti i tuoi server che inviano a Libraesva ESG di utilizzare una policy "encrypt+verify"
Rivedi l'elenco di tutti i tuoi server attendibili in "Admin Area > Mail Transport > Relay Configuration > Trusted Network" e l'elenco degli account "System > Mail Transport > Relay Configuration > SMTP Auth"; per ciascuno dei tuoi server attendibili, assicurati che siano configurate policy TLS rigide.
Risorse esterne:
Email in uscita: policy TLS
Il traffico email in uscita non può essere obbligato a utilizzare TLS con un server di posta pubblico, come specificato dalla RFC 2487; se lo fai, potresti notare che alcuni messaggi vengono rimbalzati indietro perché il destinatario non supporta uno (o tutti) gli algoritmi di crittografia standard utilizzati da Libraesva ESG.
È buona pratica imporre TLS per i server di posta gestiti da Libraesva ESG.
La policy predefinita per le connessioni in uscita (obbligatoria)
Assicurati che "Default policy for outgoing connection" sia impostata su "may". Questo garantirà la corretta ricezione delle email da tutte le fonti.
Forzare la crittografia per i mittenti attendibili (consigliato)
Per ciascuno dei server attendibili, è piuttosto semplice impostare la policy "encrypt"; questo garantisce che tutto il traffico non venga mai inviato in testo semplice e assicura la privacy delle email per le comunicazioni interne.
Verificare il dominio e crittografare (quando possibile)
Per ciascun server per il quale sai che il certificato è valido e firmato da una Certification Authority pubblica, dovresti aggiungere una policy "verify". Questo significa che prima di stabilire il canale di comunicazione crittografato, il server viene verificato rispetto a informazioni pubbliche (CA, DNS, banner SMTP).
Crittografia email end-to-end
La crittografia end-to-end di Libraesva ESG inizia in modo trasparente sul gateway e garantisce che le tue email crittografate siano leggibili solo dal destinatario previsto.
Devi rivedere alcune delle tue impostazioni per assicurarti che la comunicazione tra i tuoi server e Libraesva ESG sia sicura. Se segui le linee guida di sicurezza comuni o hai seguito questa guida fino a questo punto, hai già tutto configurato e funzionante.
Per riepilogare i requisiti, assicurati che:
- sia installato un certificato valido (non autofirmato) e assegnato all'interfaccia web e all'agente di trasporto della posta;
- le email in uscita siano protette da TLS in Libraesva ESG, possibilmente imponendo policy "encrypt/verify" per tutti i tuoi server;
- le email in entrata siano protette da TLS in tutti i tuoi server di posta, possibilmente imponendo l'uso di TLS.
Dai agli utenti un modo per crittografare esplicitamente
Indipendentemente dall'automazione presente nella tua azienda, formare l'utente a crittografare i dati sensibili è uno dei modi migliori per prevenire la perdita di dati.
Modifica le impostazioni generali della crittografia email, con qualcosa di simile a quanto segue:
Si consiglia di mantenere abilitato il rilevamento dell'intestazione "Sensitive". La maggior parte degli utenti si trova a proprio agio con i propri client di posta (ad es. Outlook); abilitando questa opzione, ogni messaggio contrassegnato come riservato in un client di posta verrà crittografato da Libraesva ESG.
Per gli altri utenti, che preferiscono contrassegnare il messaggio nell'oggetto, scegli una delle parole chiave disponibili: "Encrypt", "Secure" e "Confidential". Puoi abilitare più parole chiave, ma tieni presente che ciò potrebbe comportare la crittografia di troppi messaggi, quindi è preferibile averne poche.
×Localizzazione La parola chiave di crittografia nell'oggetto viene rilevata in molte varianti e per tutte le lingue supportate (ad es. inglese, italiano) e in molte forme (ad es. Encrypt, Encrypted, Encryption, …).
Se preferisci un semplice tagging per crittografare un messaggio, potresti voler aggiungere un'espressione personalizzata come "[encrypt] [cypher]", e quindi puoi anteporre all'oggetto "[encrypt]", oppure "[cypher]".
Configurare la policy end-to-end per la destinazione sensibile
Puoi crittografare tutti i messaggi per una singola destinazione (o sorgente), indipendentemente dal livello di riservatezza o dall'analisi del contenuto.
Ad esempio, potresti crittografare tutti i messaggi in uscita verso il tuo avvocato o il consulente aziendale.
Utilizzare dizionari di parole riservate per prevenire la perdita di dati
La crittografia email è integrata perfettamente nel rilevamento dei contenuti dei dizionari, sia per i messaggi in entrata che in uscita. Per proteggere i segreti, potresti voler creare un dizionario di parole sensibili per attivare la crittografia.
Passaggio n. 1: nuovo dizionario
Innanzitutto crea un nuovo dizionario per le parole top-secret:
Passaggio n. 2: aggiungi informazioni sensibili
Quindi aggiungi parole o numeri sensibili ai dizionari. Buoni candidati sono i numeri di carta di credito, i numeri di partita IVA, i numeri di previdenza sociale, … Puoi aggiungere una parola alla volta oppure utilizzare l'importazione di testo per inserimenti in blocco.
Passaggio n. 3: attivazione della crittografia
Infine, crea una regola di crittografia per il tuo dizionario e applica le impostazioni per renderla effettiva
SUGGERIMENTO D'ora in poi, ogni volta che sarà necessario tracciare una nuova parola o codice segreto, potrai semplicemente aggiungere una voce nel tuo dizionario.