GMail 和 SSL 加密 - 加密了多少

Question

奇怪的是，很难确切地找出 SSL 如何处理电子邮件，至少在回答我的特定问题时 - 当我使用 SSL 连接到 gmail 时，我知道我的连接是安全的，因此数据在我的计算机和 GMAIL SERVER 之间都是加密的. 但是，这就是 SSL 的全部功能吗？例如，当我在我的电脑上打开一封电子邮件时，山景城（或其他）和我家之间的数据是加密的？这是否意味着如果我向我的朋友发送电子邮件，该朋友也使用启用了 SSL/安全 gmail 的 gmail，那么如果我发送一封电子邮件，并在他的 gmail 帐户中附加附件，该电子邮件以及附件在我的计算机上加密，发送到 GMail服务器，然后如果我的朋友使用 SSL，那么他也可以安全地获取电子邮件吗？那么就不需要那些 Firefox 加密插件了吗？那些只是为了更强大的加密算法吗？

所以总而言之，这是我认为我学到的东西（并为其他人提供了一个总结）。如果我错了，请纠正我：

1. gmail 使用 HTTP 向谷歌服务器发送电子邮件。gmail 还通过 HTTP 从谷歌服务器检索电子邮件。当您使用 https（而不是 http）连接到 google 服务器时，您的 gmail 客户端和 gmail 服务器之间的连接是安全的，并且数据在两者之间来回加密。

2. 使用客户端（例如thunderbird）时，SMTP 用于发送电子邮件，IMAP/POP 用于检索电子邮件。在附加组件/选项级别，您可以告诉这些客户端对 SMTP 和 IMAP/POP 步骤使用 TLC。

3. 在它们的服务器之间来回发送电子邮件时，谷歌服务器可能不会将 TLS 与 SMTP 一起使用。

4. 结论 - 如果使用 gmail，请始终使用 HTTPS，但要知道 google 的服务器之间没有加密，但在“外部世界”中，google 客户端之间的连接（只要使用 https）是安全的。如果使用雷鸟（或其他东西），请打开 TLS。

这样对吗？

Answer 1

当您信任来自使用 SSL 加密的站点的证书时，您可以：

• 相信与该 Web 服务器的连接已加密。
• 相信该 Web 服务器的身份是正确的（即它不是网络钓鱼骗局）。
• 相信有人不会拦截您到 Web 服务器的流量（中间人）。

（当然，这里重要的是您信任Google 邮件服务器提供的证书，您通常应该这样做:-)）

您在撰写电子邮件时在表单中提交的数据将通过 HTTPS 加密，因为它从您的客户端浏览器传输到 Gmail 服务器，Gmail 服务器将其传递给 SMTP 服务器。当您在浏览器中显示来自服务器的邮件时，这也是加密的。

但是，SMTP 不会加密邮件。有一些方法可以通过 IMAP 和 POP 使用 TLS（传输层安全）来加密从用户/客户端到服务器的身份验证数据。当您通过带有 TLS 的 IMAP/POP 连接时，您在检索邮件时收到的数据会从服务器加密到您。IMAP 和 POP 只是检索协议。当您使用 Thunderbird 等外部​​客户端发送邮件时，它将通过 SMTP 服务器。这也可以使用带有 SMTP 的 SASL/TLS 进行加密，但同样只能从您的客户端到服务器，而不是从服务器到其最终目的地。

如果您想端到端地发送和接收加密电子邮件，无论它在网络上的哪个位置，那么您都需要研究像 PGP/GPG 这样的解决方案。有关这方面的更多信息，请参阅我提出的问题。Gmail 的 webui 不支持使用 PGP/GPG，因此您需要使用外部邮件客户端进行设置，例如Thunderbird、Mail.app或Outlook（或其他）。

就您从 Gmail 帐户发送到朋友的 Gmail 帐户的电子邮件而言，它是在 Google 的内部邮件基础设施内部发送的。这可能在服务器之间有一个或多个跃点，但通常停留在它们的私有 (10.xxx) 网络中。您可以通过查看您朋友发送的电子邮件的标题来验证这一点。在 Gmail webui 中的电子邮件中，点击“回复”旁边的下拉按钮，然后点击“显示原件”。您正在寻找以“Received:”开头的行，如下所示：

Received: by 10.215.12.12 with SMTP id p12cs100615qai;
        Sun, 18 Jan 2009 15:04:17 -0800 (PST)
Received: by 10.90.100.20 with SMTP id x20mr2195513agb.12.1232319857088;
        Sun, 18 Jan 2009 15:04:17 -0800 (PST)
Received: by 10.90.68.11 with HTTP; Sun, 18 Jan 2009 15:04:17 -0800 (PST)

这是我收到的 Gmail 到 Gmail 邮件。此处的第一条（最后一条）消息表示邮件服务器 10.90.68.11 从 HTTP 连接 (webui) 接收到相关消息。然后邮件通过 SMTP 发送到 10.90.100.20，然后通过 SMTP 发送到 10.215.12.12，并在那里发送给我。

同样，虽然这一切都在 Google 的网络内部，但 SMTP 不应被视为用于发送敏感信息的安全协议。任何有权访问上述链中系统的人都可能阅读该消息。另请注意，Google Apps 可能会通过其网络上具有外部地址的网关系统（但仍归 Google 所有）。

Answer 2

您的数据不安全。

人们总是担心传输中的数据，但基本事实是数据存储是攻击发生的主要地点。EG 信用卡通常会从号码的文件和数据库中被盗，而不是从号码的传输中被盗。

Google 会存储您的数据。存储未加密。谷歌的人，或者那些妥协谷歌的人，如果他们真的愿意的话，有朝一日可以阅读它。邮件的收件人也可以阅读它，收件人的邮件服务器（ISP 或公司）的所有者也可以阅读。如果收件人使用的是普通邮件客户端，则它会存储在他/她的机器上。这是收件人安装的任何间谍软件或 rootkit 可以获取的地方。

在传输中，jtimberman是对的。如果您相信向您发送证书的机器是 Google，并且 Verisign 或任何值得信赖的公司告诉您 Google 确实向您发送了 Google 的证书，那么您的浏览器正在与 Google 对话。当浏览器通过 https 使用证书与 Google 对话时，传输是加密的。这很好，因为这意味着您网络上所有其他可能带有间谍软件或爱管闲事的 PC 以及网络管理员都无法了解您每天对他们的抱怨有多少。

您还必须信任您的浏览器及其所有插件。他们几乎可以在您发送表格之前阅读表格中的内容。通常，您可以信任它，但不是每个人都要求您安装所有下载的免费程序的那些八卦工具栏。

但总的来说，假设您向某人发送了一封电子邮件，其中包含您的税号、出生日期、当前地址和法定姓名，雇主可能需要知道的一些信息，您会认为这是敏感信息。好吧，该电子邮件被 Google 永久存储在已发送邮件区域。即使你删除了它。收件人将在他们的收件箱中存储一份副本。收件人的邮件服务器可能正在存储副本。收件人邮件服务器域的邮件服务器可能会存储副本，但不会保存太久。以及介于两者之间的更多服务器。还 smtp 在这些完全未加密的邮件之间发送邮件，但更可怕的是，某些犯罪分子的恶意程序可能在正确的时间侦听正确的网络以捕获传输中的数据，或者其他一些犯罪分子