Как включить размещаемые сертификаты S/MIME для шифрования писем

Эта функция доступна в версиях Frontline Plus, Enterprise Plus, Education Fundamentals, Education Standard и Education Plus. Сравнение версий

Вы можете настроить размещаемые сертификаты Secure/Multipurpose Internet Mail Extensions (S/MIME) в консоли администратора Google, чтобы защитить сотрудников организации от фишинга, вредоносных прикрепленных файлов и других типов угроз, связанных с электронной почтой. S/MIME обеспечивает более высокий уровень безопасности электронной почты за счет шифрования писем и добавления цифровой подписи. Для расшифровки используется сочетание из открытого и закрытого ключей. Если сертификат S/MIME является размещаемым, организация, которая использует S/MIME для шифрования, хранит закрытый ключ.

При желании вы можете установить требование использовать S/MIME для исходящих сообщений или для сообщений, содержащих определенный контент. Подробнее: Требовать шифрование S/MIME для исходящих сообщений

Сравнение CSE и S/MIME

При использовании клиентского шифрования Google Workspace сотрудники также могут отправлять и получать письма, зашифрованные с помощью S/MIME. Однако при использовании шифрования на стороне клиента закрытыми ключами управляет внешний сервис, чтобы обеспечить более надежную конфиденциальность и защиту данных. Подробнее о шифровании на стороне клиента…

Шаг 1. Включите размещаемые сертификаты S/MIME в консоли администратора Google

  1. В консоли администратора Google нажмите на значок меню > Приложения > Google Workspace > Gmail > Пользовательские настройки.

    У вас должны быть права администратора с доступом к настройкам Gmail.

  2. Слева в разделе Организации выберите нужный домен или организацию.

    Важно! Чтобы использовать расширенные возможности управления доверенными сертификатами S/MIME для загрузки корневых сертификатов и управления ими, включите S/MIME для организации верхнего уровня (как правило, это ваш домен). Подробнее о S/MIME и корневых сертификатах…

  3. Найдите параметр S/MIME и установите флажок Включить шифрование S/MIME для отправляемых и получаемых писем.

  4. Чтобы сотрудники могли загружать сертификаты, установите флажок Разрешить пользователям загружать собственные сертификаты.

  5. Чтобы загружать корневые сертификаты и управлять ими:

    1. Рядом с параметром Принимать эти дополнительные корневые сертификаты для определенных доменов нажмите Добавить.
    2. В окне Добавить корневой сертификат нажмите Загрузить корневой сертификат.
    3. Выберите файл сертификата и нажмите Открыть. Появится сообщение для проверки сертификата. В нем будет указано название и дата окончания срока действия.
    4. В разделе Уровень шифрования выберите уровень шифрования для сертификата.
    5. В разделе Список адресов укажите хотя бы один домен, который будет использовать добавляемый корневой сертификат. Если вы добавляете несколько доменов, укажите их через запятую. В доменных именах допускается использование подстановочных знаков. Чтобы узнать больше об использовании подстановочных знаков в доменных именах, ознакомьтесь с документом RFC 6125.

    6. Если нужно разрешить пары ключей шифрования на стороне клиента с сертификатами, связанными с адресом электронной почты, отличным от основного адреса электронной почты пользователя, включите параметр несоответствия сертификатов (For these domains allow certificates with email addresses that don't match users current email address (Для этих доменов разрешить сертификаты с адресами электронной почты, которые не соответствуют текущему адресу электронной почты пользователя)).

      В целях безопасности этот параметр рекомендуется использовать только в том случае, если это требуется организацией. Эта функция поддерживается для шифрования на стороне клиента, но не для размещаемых сертификатов S/MIME. С подробной информацией о несоответствии сертификатов можно ознакомиться в статье Как управлять доверенными сертификатами для S/MIME.

    7. Нажмите Готово.

    8. Чтобы загрузить другие цепочки сертификатов, повторите описанные выше действия.

  6. Если в вашем домене или организации требуется использование алгоритма SHA-1, установите флажок Разрешить шифрование SHA-1 глобально (не рекомендуется). Подробная информация о SHA-1 приведена в статье Как управлять доверенными сертификатами для S/MIME.

  7. Нажмите Сохранить.

Изменения вступают в силу в течение 24 часов (обычно быстрее). Подробнее… Письма, отправленные в этот промежуток, не шифруются.

Шаг 2. Попросите пользователей перезагрузить Gmail

Включив размещаемые сертификаты S/MIME в консоли администратора Google, попросите сотрудников своей организации перезагрузить Gmail. Если размещаемые сертификаты S/SMIME включены, в строке "Тема" отображается значок блокировки. Если сообщение зашифровано с помощью размещаемого сертификата S/MIME, замок будет зеленым.

Шаг 3. Добавьте сертификаты S/MIME в Gmail

Далее добавьте сертификаты S/MIME в Gmail. Это можно сделать двумя способами.

  • Администраторы могут добавить сертификаты с помощью Gmail S/MIME API.
  • Пользователи могут добавить сертификаты в настройки своего аккаунта Gmail.

Мы рекомендуем администраторам загружать сертификаты с помощью Gmail S/MIME API Settings.

Для пользователей: добавление сертификатов в настройки аккаунта Gmail

Вы можете попросить сотрудников своей организации выполнить приведенные ниже инструкции для добавления сертификатов S/MIME в настройки Gmail на вкладке Аккаунты и импорт или Аккаунты в разделе Отправлять письма как. Аккаунты "Отправлять письма как" не наследуют сертификаты S/MIME от основного аккаунта Gmail, поэтому вам нужно вручную добавлять сертификаты S/MIME в такие аккаунты. Подробнее о том, как настроить отправку писем с другого адреса или с помощью псевдонима…

Важно!

  • Пользователи могут добавлять сертификаты S/MIME в аккаунты "Отправлять письма как" только с помощью веб-интерфейса Gmail. Действия, описанные в этом разделе, не поддерживаются в приложении Gmail.
  • Пользователи могут отправлять сообщения S/MIME из своих аккаунтов "Отправлять письма как", только используя веб-версию Gmail.

Чтобы добавить сертификаты S/MIME:

  1. Откройте веб-интерфейс Gmail.
  2. Выберите Настройки > Все настройки.
  3. Выберите вкладку Аккаунты.

  4. Рядом с пунктом Отправлять письма как выберите Изменить информацию.

    Откроется окно Изменение адреса электронной почты и настроек шифрования. Если этого параметра нет, обратитесь к администратору.

  5. Нажмите Загрузить личный сертификат.

  6. Выберите сертификат и нажмите Открыть, после чего вам потребуется ввести пароль сертификата.

  7. Введите пароль и нажмите Добавить сертификат.

  8. Нажмите Сохранить изменения.

Требования к сертификату

Сертификаты, используемые с Gmail, должны соответствовать текущим криптографическим стандартам и иметь формат файла Public-Key Cryptography Standards (PKCS) #12.

В Google есть список доверенных сертификатов, которые поддерживают Gmail для S/MIME.

Шаг 4. Попросите пользователей обменяться ключами

Чтобы получить возможность отправлять и получать письма с шифрованием S/MIME, пользователям необходимо обменяться ключами с получателями писем. Это можно сделать следующими способами:

  • Отправить получателю сообщение, подписанное с помощью сертификата S/MIME. Это письмо с цифровой подписью будет включать открытый ключ пользователя. Получатели могут с помощью этого открытого ключа шифровать письма, адресованные пользователю.
  • Попросить получателя написать письмо. Оно будет подписано с помощью сертификата S/MIME, а ключ – автоматически сохранен и доступен для использования. У всех последующих писем, отправленных получателю, будет шифрование S/MIME.

Как переопределить настройки S/MIME дочерней организации

По умолчанию организационные подразделения наследуют настройки S/MIME от организационного подразделения верхнего уровня. Вы можете переопределить унаследованные настройки S/MIME для организационных подразделений. Эта функция может быть полезна, если вам нужно отключить или изменить настройки S/MIME для определенных организационных подразделений.

Чтобы переопределить настройки S/MIME:

  1. В консоли администратора Google нажмите на значок меню > Приложения > Google Workspace > Gmail > Пользовательские настройки.

    У вас должны быть права администратора с доступом к настройкам Gmail.

  2. Слева в разделе Организации выберите организационное подразделение, для которого нужно задать настройки.

  3. Найдите параметр S/MIME и разверните его.

    В метке параметра S/MIME будет указано Унаследовано от (название организации или доменное имя) или Переопределено.

  4. Нажмите Переопределить, чтобы сохранить изменения для дочерней организации, которая наследует настройки S/MIME.

    После сохранения под меткой настроек S/MIME появится надпись Переопределено. Также рядом с организациями, для которых переопределены настройки, в дереве структуры организационного подразделения слева отображается точка.

Совет. Если в вашей дочерней организации были переопределены настройки организации верхнего уровня, вы можете вернуть эти настройки с помощью кнопки Наследовать.

Устранение неполадок, из-за которых дочерние организации не наследуют настройки S/MIME

Проблема. Дочерние организационные подразделения не наследуют настройки S/MIME корневого организационного подразделения.

Причина. Наиболее распространенной причиной является то, что шифрование S/MIME было отключено или изменено для всей организации (на уровне корневого подразделения) после того, как в одном или нескольких организационных подразделениях были добавлены настройки S/MIME с помощью функции переопределения. Подробнее…

Такая проблема также может возникнуть, если эти параметры S/MIME заданы на уровне дочернего организационного подразделения с помощью любой из функций переопределения: Включить S/MIME, Разрешить пользователям загружать собственные сертификаты или Разрешить шифрование SHA-1 глобально. Это связано с тем, что эти изменения переопределяют настройки сертификата на уровне корневого подразделения.

Решение. Чтобы исправить проблему и применить наследование настроек S/MIME к дочернему организационному подразделению:

  1. В настройках S/MIME выберите название дочернего организационного подразделения слева под надписью S/MIME.
  2. Нажмите Наследовать, чтобы применить корневые настройки S/MIME к дочернему организационному подразделению.
  3. Примените настройки дочернего организационного подразделения повторно:
    1. Оставьте дочернее организационное подразделение выбранным слева под надписью S/MIME.
    2. Измените соответствующие настройки S/MIME для дочернего организационного подразделения: Включить S/MIME, Разрешить пользователям загружать собственные сертификаты или Разрешить шифрование SHA-1 глобально.
    3. Нажмите Переопределить. Будут сохранены настройки для дочернего организационного подразделения, но при этом оно также унаследует предыдущие изменения корневых сертификатов и настроек S/MIME на уровне корневого подразделения.

Повторите эти действия для каждого дочернего организационного подразделения, которое затронула проблема.

Важно! При каждом добавлении и удалении корневого сертификата необходимо повторить указанные действия для каждого организационного подразделения, к которому нужно применить изменения.

Как управлять доверенными сертификатами для S/MIME (расширенная настройка)