Dekryptera exporterade filer och e-postmeddelanden som är krypterade på klientsidan

Om organisationen använder Google Workspace-kryptering på klientsidan (CSE) kan du använda dekrypteringsverktyget för att dekryptera filer och e-postmeddelanden på som är krypterade på klientsidan som du exporterar med verktyget för dataexport eller Google Arkiv. Du kan köra dekrypteringen från kommandoraden.

När du kör dekrypteraren använder du kommandoradsflaggor för att ange IdP-autentiseringsuppgifterna, platsen för krypterade filer, utdataplatsen för dekrypterade filer och andra alternativ. Du kan även skapa en konfigurationsfil (config) för att spara dekrypteringsflaggor som du använder ofta.

Innan du börjar

  • När du dekrypterar en Google Dokument-, Kalkylark- eller Presentationer-fil slutar filnamnet med .gdoczip eller liknande. Efter dekryptering kan du konvertera filerna till Microsoft Office-format med hjälp av filkonverteringsverktyget. Mer information finns i Konvertera exporterade och dekrypterade Google-filer till Microsoft Office-filer.
  • Om du exporterar CSE-meddelanden i Gmail från Google Arkiv måste du exportera i MBOX-format. Dekrypteraren kan inte bearbeta exporter i PST-format.
  • Dekrypteringsverktyget kan dekryptera alla meddelanden som är krypterade med S/MIME-certifikat. Den kan även dekryptera meddelanden som har krypterats utan S/MIME-certifikat (det vill säga meddelanden som använder end-to-end-kryptering (E2EE) i Gmail) om användarna har krypterat meddelandena eller det ursprungliga meddelandet i trådar.
  • Dekrypteringsverktyget kan inte dekryptera meddelanden (inklusive alla meddelanden i en tråd) som har krypterats utan S/MIME-certifikat (Gmail E2EE) i en annan organisation.

Systemkrav

  • Microsoft Windows version 10 eller 11 64-bitars
  • macOS 12 (Monterey) eller senare. Både Apple- och Intel-processorer stöds.
  • Linux x86_64.

Ladda ned dekrypteraren

Öppna arkivet eller volymen och extrahera dekrypteringsverktyget till en lokal katalog eller mapp.

Konfigurera åtkomst till nyckeltjänst

Dekrypteraren skickar frågor till krypteringsnyckeltjänsten, som även kallas KACLS (Key Access Control List Service). Den skyddar varje krypterad fil eller meddelande i exporten. Be administratören för identitetsleverantören (IdP) och administratören för krypteringsnyckeltjänsten om användaruppgifter som KACLS godkänner. Annars avvisar KACLS dekrypterarens försök att dekryptera exporterat innehåll.

Detta behövs

Om du vill konfigurera KACLS-åtkomst måste du ha följande:

  • Ett klient-id för OAuth som installerade appar kan använda. Klient-id:t för dekrypteraren måste vara ett klient-id som kan användas av installerad datorprogramvara och som är specifikt för dekrypteringsverktyget. Det här klient-id:t måste vara ett annat klient-id än de klient-id:n som har angetts i Googles administratörskonsol för CSE-webb-, dator- och mobilappar.
  • OAuth-klientlösenordet som är kopplat till klient-id:t om din IdP är Google. Du behöver inte klientlösenordet om du använder en extern IdP.
  • E-postadressen till användarkontot som autentiserar till KACLS för exportdekryptering. Det kan vara ditt eget konto eller ett särskilt konto som administratörerna har konfigurerat. Du måste logga in som den här användaren när du kör dekrypteringsverktyget, så du behöver troligen kontots lösenord.

KACLS-slutpunkter

KACLS-konfigurationen måste tillåta att användarkontot och klient-id:t anropar slutpunkter som används för dekryptering av export. KACLS-administratören kan vanligtvis konfigurera detta åt dig. KACLS-ändpunkten som anropas av dekrypteraren beror på typen av krypterat innehåll:

  • CSE i Kalender: privilegedunwrap
  • CSE för Dokument, CSE för Kalkylark, CSE för Presentationer: privilegedunwrap
  • Drive CSE: privilegedunwrap
  • Gmail CSE (med S/MIME-certifikat): privilegedprivatekeydecrypt
  • Gmail CSE (utan S/MIME-certifikat): privilegedunwrap

Konfigurera Gmail S/MIME-åtkomst (valfritt)

Om du dekrypterar Gmail-meddelanden som är krypterade på klientsidan och som använder S/MIME från Google Arkiv måste dekrypteraren anropa Gmails offentliga API för att ladda ned ytterligare data. Google Arkiv-exporter inkluderar inte varje användares S/MIME-certifikat, så dekrypteraren hämtar dem automatiskt från Gmail efter behov.

Om du vill tillåta att dekrypteraren begär S/MIME-certifikat för en användare i organisationen måste du skicka användaruppgifter för ett domänomfattande tjänstkonto till dekrypteraren. Mer information om hur du konfigurerar det här tjänstkontot och skapar en JSON-fil med den privata användaruppgiften för tjänstkontot finns i Enbart Gmail: Konfigurera S/MIME för kryptering på klientsidan.

Obs! Den här konfigurationen krävs inte om du dekrypterar meddelanden som är krypterade på klientsidan från verktyget för dataexport eller dekrypterar krypterade meddelanden från Arkiv som inte har S/MIME-certifikat.

Dekrypteraren kan inte hämta en användares S/MIME-certifikat och kan därför inte dekryptera meddelanden som är krypterade på klientsidan och som använder S/MIME om något av följande är sant:

Du kan säkerställa dekryptering av krypterade meddelanden på klientsidan med S/MIME-certifikat genom att göra följande:

  • Dekryptera omedelbart meddelanden som exporteras från Arkiv medan certifikaten fortfarande är tillgängliga.
  • Använd verktyget för dataexport för att exportera meddelanden. Dessa exporter innehåller varje användares certifikat.

Skapa en konfigurationsfil först

Dekrypteraren använder OAuth och din IdP för att hämta autentiseringsuppgifter som den inkluderar i varje KACLS-begäran av typen privilegedunwrap och privilegedprivatekeydecrypt. OAuth-konfigurationen ändras inte ofta, så du kan skapa en konfigurationsfil (config) som innehåller dina OAuth-inställningar för att undvika att behöva ange dem varje gång du kör dekrypteraren. Mer information om konfigurationsfilflaggor finns i Flaggor för konfigurationsgenerering och Flaggor för konfigurationuppdatering nedan.

Obs! Det här konfigurationssteget är valfritt, men vi rekommenderar att du gör det för att förenkla användningen av dekrypteringsverktyget. Om du inte skapar en konfigurationsfil kan du i stället skicka OAuth-flaggorna på kommandoraden till varje körning av dekrypteringen. Om du gör båda åsidosätter flaggvärdena som skickas på kommandoraden värden som läses från konfigurationsfilen.

Exempel: Skapa en konfiguration för Google IdP:

På Windows

På macOS eller Linux

Nu kan du uppdatera konfigurationen för att lägga till OAuth-klienthemligheten i flödet för beviljande av auktoriseringskod.

På Windows

På macOS eller Linux

Om din IdP inte är Google: Lägg inte till klienthemligheten, som endast krävs av Googles IdP. Många andra identitetsleverantörer avvisar autentiseringsbegäranden när klientlösenordet finns.

Dekryptera CSE-filer och e-postmeddelanden

Dekrypteringsverktyget körs på uppackade exportfiler.

  1. När du har skapat en export i verktyget för dataexport eller Google Arkiv laddar du ned ZIP-filerna till din lokala dator.
  2. Packa upp filerna till en lokal katalog eller mapp.
  3. Kör dekrypteraren över de uppackade filerna och spara de dekrypterade filerna i klartext i en annan katalog.

Exempel: Använda en förberedd konfigurationsfil utan användaruppgifter för tjänstkontot

På Windows

På macOS eller Linux

Exempel: Använda en förberedd konfigurationsfil med användaruppgifter för tjänstkonto

På Windows

På macOS eller Linux

Exempel: Använda varken en konfigurationsfil eller användaruppgifter för tjänstkonto

På Windows

På macOS eller Linux

Dekrypteringsflaggor

En dekrypteringsflagga kan innehålla ett eller två inledande bindestreck. Till exempel kan flaggan för visning av hjälpinformation vara någon av följande:

-help

--help

Obs! Du kan bara använda bindestreck för flaggor, inte snedstreck (/).

Flaggor för strängargument kan inkludera ett likhetstecken eller ett blanksteg för att ange argumentet. Följande flaggor motsvarar till exempel varandra:

-action=decrypt

-action decrypt

Hjälpflaggor

Flagga Beskrivning
-version Skriver ut versionssträngen. Tänk på att ange den version av dekrypteraren som du använder om du kontaktar support.
-help Skriver ut en skärm med alla flaggor som referens.
-logfile Specificerar utdatafilen som körningsloggar skrivs till. Texten [TIMESTAMP] i filnamnet ersätts med körningens starttid.

Dekrypteringsflaggor

Flagga Beskrivning
-action decrypt Valfritt. Anger att verktygets läge är dekryptering av CSE-filer. Detta är standardläget.
-email <email_address> Valfritt. Den e-postadress som kan vara förifylld på IdP-autentiseringsskärmen som öppnas i webbläsaren.
-issuer <uri> Krävs om den inte finns i konfigurationsfilen. OAuth-utfärdarens identifierings-URI för IdP, till exempel https://accounts.google.com. Mer information finns i Anslut till identitetsleverantör för kryptering på klientsidan.
-client_id <oauth_client_id> Krävs om den inte finns i konfigurationsfilen. Ett klient-id för OAuth från den IdP som anges i flaggan -issuer. Mer information finns i Anslut till identitetsleverantör för kryptering på klientsidan.
-client_secret <oauth_client_secret> Valfritt, men vissa IdP:er kan kräva det. Den OAuth-klienthemlighet som motsvarar det klient-id som anges i flaggan -client_id.
-pkce
-nopkce		 Aktivera eller inaktivera PKCE (Proof Key for Code Exchange) i beviljandeflödet för auktoriseringskod. Om ingen av flaggorna anges är dekrypteraren aktiverad som standard.
-input <directory_or_file>

Obligatoriskt. Indatakatalogen eller exportfilen.

Om du anger en katalog går dekrypteraren rekursivt igenom hela katalogträdet för att hitta alla exporterade CSE-filer. Använd det här alternativet om du vill dekryptera alla exporterade filer i grupp från ett utökat exportarkiv.

Om du anger en exporterad CSE-fil avkrypterar dekrypteraren enbart den filen. Om det inte är en CSE-fil begär dekrypteraren att du autentiserar för IdP, men dekrypterar inga filer.
-output <directory> Obligatoriskt. Katalogen där de krypterade filerna sparas.
-overwrite
-nooverwrite		 Aktiverar eller inaktiverar överskrivning av befintliga dekrypterade utdatafiler i klartext. Om det här alternativet är inaktiverat (standard) hoppar dekrypteraren över dekryptering av krypteringsfilerna om det redan finns en klartextfil.
-workers <integer>

Valfritt. Antalet parallella dekrypteringsarbetare. Om du inte använder den här flaggan används antalet processorkärnor och hypertrådar som rapporterats av operativsystemet som standard av dekrypteraren.

Om datorn har prestandaproblem eller om du får ett meddelande om multibearbetningsfel när du dekrypterar filer, kan du ställa in flaggan på 1 för att inaktivera parallell bearbetning.
-config <file>

Valfritt. En konfigurationsfil som innehåller lagrade flaggvärden. Använd en konfigurationsfil för att undvika att klistra in samma kommandoradsflaggor när du dekrypterar filer. Mer information finns i Flaggor för konfigurationsgenerering och Flaggor för konfigurationuppdatering nedan.

Flaggvärden som du anger på kommandoraden gäller framför värden i konfigurationen.

Obs! Om du anger en fil i konfigurationen och den inte hittas uppstår ett fel.
-credential <file> Valfritt. Ange en JSON-fil som innehåller en privat nyckel för ett domänomfattande tjänstkonto. När det här alternativet anges söker Google API efter varje användares S/MIME-certifikat och KACLS-metadata (Key Access Control List) vid dekryptering av CSE-meddelanden i Gmail.

Flaggor för konfigurationsgenerering

Använd dessa flaggor för att spara dekrypteringsflaggor för kommandorader som används ofta i en konfigurationsfil för återanvändning. En konfigurationsfil formateras i JSON med läsbar text.

Flagga Beskrivning
-action createconfig Obligatoriskt. Åsidosätter standardkörningsläget för att köra genereringsläget för konfigurationsfil.
-config file Obligatoriskt. Ange utdatafilnamnet där du vill spara konfigurationen. Om filen redan finns skrivs den över utan förvarning.
-email <email_address>
-discovery_uri <uri>
-client_id <oauth_client_id>
-client_secret <oauth_client_secret>
-pkce
-nopkce		 Valfritt. Alla angivna flaggvärden sparas i konfigurationsfilen för återanvändning.

Flaggor för konfigurationsuppdatering

Använd dessa flaggor för att uppdatera alla flaggvärden i en konfigurationsfil.

Flagga Beskrivning
-action updateconfig Obligatoriskt. Åsidosätter standardkörningsläget för att köra uppdateringsläget för konfigurationsfil.
-config file Obligatoriskt. Konfigurationsfilen som du vill uppdatera. Om filen inte finns uppstår ett fel.
-email <email_address>
-discovery_uri <uri>
-client_id <oauth_client_id>
-client_secret <oauth_client_secret>
-pkce
-nopkce

Allt är valfritt. Värden för flaggor som du anger på kommandoraden skrivs över. Alla andra värden för flaggor i konfigurationen sparas. Ange ett tomt värde om du vill ta bort en lagrad flagga.

Obs! Om en ändring skadar JSON-formatet uppstår troligen ett fel när du använder konfigurationen i dekrypteraren.

Flaggor för information

Använd dessa flaggor för att skriva ut läsbar information om CSE-filer.

Flagga Beskrivning
-action info (Obligatoriskt) Åsidosätter standardkörningsläget för körning i informationsläge
-input directory_or_file

(Obligatoriskt) Anger inmatningsfilen eller exportfilen

Om du anger en katalog genomsöker verktyget rekursivt hela katalogträdet efter alla CSE-exportfiler. Om du anger en fil ger verktyget information om enbart den filen.

Du kan upprepa flaggan för att ange ytterligare indatakataloger eller filer. Exempel:

$ decrypter -action=info -input=file1.gcse -input=file2.gcse -input=file3.gcse