פענוח של קבצים ואימיילים שמוצפנים מצד הלקוח ויוצאו

אם בארגון שלכם משתמשים בהצפנה מצד הלקוח (CSE) ב-Google Workspace, אתם יכולים להשתמש בכלי לפענוח הצפנה כדי לפענח קבצים והודעות אימייל שמוצפנים מצד הלקוח, שאתם מייצאים באמצעות הכלי לייצוא נתונים או Google Vault. אפשר להריץ את מפענח ההצפנה משורת הפקודה.

כשמריצים את כלי הפענוח, משתמשים בדגלים של שורת הפקודה כדי לציין את פרטי האימות של ספק הזהויות (IdP), את המיקום של הקבצים המוצפנים, את מיקום הפלט של הקבצים המפוענחים ואפשרויות נוספות. אפשר גם ליצור קובץ תצורה (config) כדי לשמור דגלי פענוח שמשתמשים בהם לעיתים קרובות.

לפני שמתחילים

  • כשמפענחים קובץ Google Docs, ‏Sheets או Slides, שם הקובץ מסתיים ב-.gdoczip או בסיומת דומה. אחרי הפענוח, אתם יכולים להמיר את הקבצים האלה לפורמט של Microsoft Office באמצעות הכלי להמרת קבצים. פרטים נוספים זמינים במאמר המרת קובצי Google שיוצאו ופוענחו לקובצי Microsoft Office.
  • אם אתם מייצאים הודעות Gmail עם CSE מ-Google Vault, אתם צריכים לייצא אותן בפורמט MBOX. כלי הפענוח לא יכול לעבד קובצי ייצוא בפורמט PST.
  • כלי הפענוח יכול לפענח כל הודעה שמוצפנת באמצעות אישורי S/MIME. הוא גם יכול לפענח הודעות שהוצפנו בלי אישורי S/MIME (כלומר, הודעות שמשתמשות בהצפנה מקצה לקצה (E2EE) של Gmail), אם המשתמשים שלכם הצפינו את ההודעות או את ההודעה המקורית בשרשורים.
  • כלי הפענוח לא יכול לפענח הודעות (כולל כל ההודעות בשרשור) שהוצפנו בלי אישורי S/MIME (הצפנה מקצה לקצה ב-Gmail) בארגון אחר.

דרישות מערכת

  • ‫Microsoft Windows בגרסה 10 או 11, ‏64 ביט
  • ‫macOS 12 (Monterey) ואילך. יש תמיכה גם במעבדי Apple וגם במעבדי Intel.
  • ‫Linux x86_64.

הורדת המפענח

פותחים את הארכיון או את אמצעי האחסון ומחלצים את קובץ ההפעלה של מפענח ההצפנה לספרייה או לתיקייה מקומית.

הגדרת הגישה לשירות המפתחות

כלי הפענוח שולח שאילתות לשירות של מפתחות ההצפנה, שנקרא גם שירות רשימת המפתחות של בקרת הגישה (KACLS), שמגן על כל קובץ או הודעה מוצפנים בייצוא. בקשו מהאדמין של ספק הזהויות (IdP) ומהאדמין של שירות מפתחות ההצפנה פרטי כניסה שיתקבלו על ידי ה-KACLS. אחרת, ה-KACLS ידחה את הניסיונות של מפענח ההצפנה לפענח את התוכן שיוצא.

מה צריך

כדי להגדיר גישה ל-KACLS, ודאו שיש לכם:

  • מזהה לקוח OAuth שאפליקציות מותקנות יכולות להשתמש בו. מזהה הלקוח של כלי הפענוח חייב להיות מזהה לקוח שמתאים לתוכנה שמותקנת במחשב, וספציפי לכלי הפענוח. מזהה הלקוח הזה חייב להיות שונה ממזהי הלקוח שהוגדרו במסוף Google Admin לאפליקציות של CSE באינטרנט, במחשב ובנייד.
  • סוד הלקוח ב-OAuth שמשויך למזהה הלקוח, אם ספק הזהויות הוא Google. אם אתם משתמשים ב-IdP של צד שלישי, אתם לא צריכים את סוד הלקוח.
  • כתובת האימייל של חשבון המשתמש שמאמת את KACLS לצורך פענוח הייצוא. זה יכול להיות החשבון שלכם או חשבון מיוחד שהאדמינים הגדירו. כדי להריץ את כלי הפענוח, צריך להתחבר כמשתמש הזה, ולכן סביר להניח שתצטרכו את הסיסמה של החשבון.

נקודות קצה של KACLS

הגדרת ה-KACLS צריכה לאפשר לחשבון המשתמש ולמזהה הלקוח לשלוח קריאות לנקודות קצה (endpoints) שמשמשות לפענוח הייצוא. בדרך כלל, האדמין של KACLS יכול להגדיר את זה בשבילכם. נקודת הקצה של KACLS שאליה קורא מפענח ההצפנה תלויה בסוג התוכן המוצפן:

  • הצפנה מצד הלקוח ביומן: privilegedunwrap
  • ‫Docs CSE, ‏Sheets CSE, ‏Slides CSE: ‏privilegedunwrap
  • ‫Drive CSE: privilegedunwrap
  • הצפנה מצד הלקוח ב-Gmail (עם אישורי S/MIME): privilegedprivatekeydecrypt
  • הצפנה מצד הלקוח ב-Gmail (בלי אישורי S/MIME): privilegedunwrap

הגדרת הגישה ל-S/MIME ב-Gmail (אופציונלי)

אם אתם מפענחים הודעות Gmail מוצפנות מצד הלקוח שמשתמשות ב-S/MIME מ-Google Vault, כלי הפענוח צריך לקרוא ל-API הציבורי של Gmail כדי להוריד נתונים נוספים. הייצוא של Google Vault לא כולל את אישורי ה-S/MIME של כל משתמש, ולכן כלי הפענוח מאחזר אותם אוטומטית מ-Gmail לפי הצורך.

כדי לאפשר למפענח לבקש את אישורי ה-S/MIME של כל משתמש בארגון, צריך להעביר למפענח את פרטי הכניסה של חשבון שירות ברמת הדומיין. פרטים על הגדרת חשבון השירות הזה ויצירת קובץ JSON שמכיל את פרטי הכניסה הפרטיים של חשבון השירות זמינים במאמר Gmail בלבד: הגדרת S/MIME להצפנה מצד הלקוח.

הערה: ההגדרה הזו לא נדרשת אם אתם מפענחים הודעות מוצפנות מצד הלקוח מהכלי לייצוא נתונים, או מפענחים הודעות מוצפנות מ-Vault שאין להן אישורי S/MIME.

הכלי לפענוח הצפנה לא יכול לאחזר את אישורי ה-S/MIME של המשתמש, ולכן לא יכול לפענח הודעות עם הצפנה מצד הלקוח שמשתמשות ב-S/MIME, אם מתקיים אחד מהתנאים הבאים:

כדי לוודא שהודעות מוצפנות מצד הלקוח עם אישורי S/MIME יפוענחו, אתם יכולים:

  • פענחו מיד את ההודעות שיוצאו מ-Vault כל עוד האישורים זמינים.
  • אתם יכולים להשתמש בכלי לייצוא נתונים כדי לייצא הודעות – הייצוא הזה כולל את האישורים של כל משתמש.

קודם צריך ליצור קובץ תצורה

כלי הפענוח משתמש ב-OAuth וב-IdP כדי לקבל פרטי כניסה לאימות, שהוא כולל בכל בקשת privilegedunwrap ו-privilegedprivatekeydecrypt ל-KACLS. הגדרת ה-OAuth לא תשתנה לעיתים קרובות, לכן אתם יכולים ליצור קובץ תצורה (config) שמכיל את הגדרות ה-OAuth, כדי שלא תצטרכו להגדיר אותן בכל פעם שאתם מפעילים את מפענח ההצפנה. לפרטים על דגלים של קובצי תצורה, ראו דגלים ליצירת קובצי תצורה ודגלים לעדכון קובצי תצורה בהמשך.

הערה: למרות ששלב ההגדרה הזה הוא אופציונלי, מומלץ לפשט את השימוש בכלי לפענוח. אם לא יוצרים קובץ תצורה, אפשר להעביר את דגלי OAuth בשורת הפקודה בכל הפעלה של מפענח ההצפנה. אם תעשו את שניהם, ערכי הדגלים שמועברים בשורת הפקודה יחליפו את הערכים שנקראים מקובץ התצורה.

דוגמה: יצירת הגדרה ל-Google IdP

ב-Windows

ב-macOS או ב-Linux

עכשיו אפשר לעדכן את ההגדרות כדי להוסיף את סוד הלקוח של לקוח OAuth בתהליך הענקת ההרשאות של קוד ההרשאה.

ב-Windows

ב-macOS או ב-Linux

אם ספק הזהויות הוא לא Google: אל תוסיפו את סוד הלקוח, שנדרש רק לספק הזהויות של Google. הרבה ספקי זהויות אחרים ידחו בקשות אימות כשסוד הלקוח קיים.

פענוח קבצים ואימיילים עם CSE

כלי הפענוח פועל על קובצי ייצוא לא מכווצים.

  1. אחרי שיוצרים ייצוא בכלי לייצוא נתונים או ב-Google Vault, מורידים את קובצי ה-ZIP למחשב המקומי.
  2. מבטלים את הדחיסה של הקבצים לספרייה או לתיקייה מקומית.
  3. מריצים את מפענח ההצפנה על הקבצים שחולצו ושומרים את הקבצים המפוענחים בטקסט פשוט בספרייה אחרת.

דוגמה: שימוש בקובץ תצורה מוכן בלי פרטי כניסה לחשבון השירות

ב-Windows

ב-macOS או ב-Linux

דוגמה: שימוש בקובץ תצורה מוכן עם פרטי כניסה לחשבון שירות

ב-Windows

ב-macOS או ב-Linux

דוגמה: בלי להשתמש בקובץ תצורה או בפרטי כניסה לחשבון שירות

ב-Windows

ב-macOS או ב-Linux

דגלים של מפענח

דגל של מפענח יכול לכלול מקף אחד או שניים בתחילת השם. לדוגמה, הדגל להצגת מידע עזרה יכול להיות אחד מהבאים:

-help

--help

הערה: אפשר להשתמש רק במקפים לדגלים, ולא בלוכסנים (/).

דגלים של ארגומנטים של מחרוזות יכולים לכלול סימן שווה או רווח כדי לציין את הארגומנט. לדוגמה, הדגלים הבאים זהים:

-action=decrypt

-action decrypt

דגלי עזרה

דגל תיאור
-version מדפיס את מחרוזת הגרסה. אם אתם פונים לתמיכה, הקפידו לציין את גרסת המפענח שבה אתם משתמשים.
-help הדפסת מסך של כל הדגלים לעיון.
-logfile מציינת את קובץ הפלט שבו ייכתבו יומני הביצוע. הטקסט [TIMESTAMP] בשם הקובץ יוחלף בשעת ההתחלה של ההפעלה.

דגלי פענוח

דגל תיאור
-action decrypt אופציונלי. מציין שהמצב של הכלי הוא פענוח קובצי CSE. זהו מצב ברירת המחדל.
-email <email_address> אופציונלי. כתובת האימייל שעשויה להיות מאוכלסת מראש במסך האימות של ספק הזהויות שנפתח בדפדפן.
-issuer <uri> חובה, אלא אם הוא נמצא בקובץ התצורה. ה-URI לזיהוי המנפיק ב-OAuth של ספק הזהויות, למשל https://accounts.google.com. פרטים נוספים זמינים במאמר התחברות לספק הזהויות לצורך הצפנה מצד הלקוח.
-client_id <oauth_client_id> חובה, אלא אם הוא נמצא בקובץ התצורה. מזהה לקוח OAuth מספק הזהויות שצוין בדגל -issuer. פרטים נוספים מופיעים במאמר בנושא התחברות לספק הזהויות לצורך הצפנה מצד הלקוח.
-client_secret <oauth_client_secret> אופציונלי, אבל יכול להיות שחלק מספקי הזהויות ידרשו את זה. החלק של סוד הלקוח ב-OAuth שתואם למזהה הלקוח שצוין בדגל -client_id.
-pkce
-nopkce		 הפעלה או השבתה של PKCE (מפתח אימות להחלפת קוד) בתהליך של הענקת קוד הרשאה. אם לא מציינים אף אחד מהדגלים, מפענח ההצפנה מופעל כברירת מחדל.
-input <directory_or_file>

נדרש. ספריית הקלט או קובץ הייצוא.

אם תציינו ספרייה, כלי הפענוח יעבור באופן רקורסיבי על כל עץ הספריות כדי למצוא את כל קובצי ה-CSE שיוצאו. אפשר להשתמש באפשרות הזו כדי לפענח בכמות גדולה את כל הקבצים שיוצאו מארכיון ייצוא מורחב.

אם תציינו קובץ אחד שיוצא עם הצפנה מצד הלקוח, כלי הפענוח יפענח רק את הקובץ הזה. אם זה לא קובץ CSE, כלי הפענוח יבקש מכם לאמת את הזהות שלכם מול ספק הזהויות, אבל לא יפענח קבצים.
-output <directory> נדרש. הספרייה שבה יישמרו הקבצים המפוענחים.
-overwrite
-nooverwrite		 הפעלה או השבתה של האפשרות להחליף קובצי פלט קיימים של טקסט לא מוצפן שפוענח. אם המדיניות מושבתת (ברירת המחדל), כלי הפענוח ידלג על פענוח של קובצי מידע מוצפן (ciphertext) אם הקובץ עם הטקסט הלא מוצפן כבר קיים.
-workers <integer>

אופציונלי. מספר העובדים המקבילים לפענוח. אם לא משתמשים בדגל הזה, כלי הפענוח משתמש כברירת מחדל במספר ליבות המעבד וה-hyperthreads שדווחו על ידי מערכת ההפעלה.

אם יש במחשב בעיות בביצועים או שמופיעה שגיאה בריבוי תהליכים בזמן פענוח קבצים, אפשר להגדיר את הדגל הזה ל-1 כדי להשבית את העיבוד המקביל.
-config <file>

אופציונלי. קובץ תצורה שמכיל ערכי דגלים שמורים. כדי להימנע מהדבקה של אותן הגדרות flag בשורת הפקודה בכל פעם שאתם מפענחים קבצים, אתם יכולים להשתמש בקובץ תצורה. מידע נוסף זמין בקטעים דגלים ליצירת הגדרות ודגלים לעדכון הגדרות בהמשך המאמר.

ערכי הדגלים שאתם מגדירים בשורת הפקודה מקבלים קדימות על פני הערכים בקובץ התצורה.

הערה: אם מציינים קובץ בהגדרות והוא לא נמצא, תופיע הודעת שגיאה.
-credential <file> אופציונלי. צריך לציין קובץ JSON שמכיל מפתח פרטי של חשבון שירות ברמת הדומיין. אם ההגדרה הזו מופעלת, פענוח של הודעות Gmail עם הצפנה מצד הלקוח (CSE) יכלול שליחת שאילתה ל-Gmail API לגבי אישורי S/MIME של כל משתמש ולגבי המטא-נתונים של שירות רשימת בקרת הגישה למפתחות (KACLS).

דגלים ליצירת הגדרות אישיות

אפשר להשתמש בדגלים האלה כדי לשמור דגלים של שורת פקודה לפענוח שנמצאים בשימוש תכוף בקובץ תצורה לשימוש חוזר. קובץ תצורה הוא קובץ בפורמט JSON, שמכיל טקסט קריא לאנשים.

דגל תיאור
-action createconfig נדרש. מבטלת את מצב ברירת המחדל של ההפעלה כדי להריץ את מצב היצירה של קובץ התצורה.
-config file נדרש. מציינים את שם קובץ הפלט שבו רוצים לשמור את ההגדרות. אם הקובץ כבר קיים, הוא יוחלף בלי אזהרה.
-email <email_address>
-discovery_uri <uri>
-client_id <oauth_client_id>
-client_secret <oauth_client_secret>
-pkce
-nopkce		 אופציונלי. כל ערכי הדגלים שצוינו יישמרו בקובץ התצורה לשימוש חוזר.

דגלים של עדכון הגדרות אישיות

אפשר להשתמש בדגלים האלה כדי לעדכן ערכי דגלים בקובץ תצורה.

דגל תיאור
-action updateconfig נדרש. מבטל את מצב ברירת המחדל של ההפעלה כדי להריץ את מצב העדכון של קובץ התצורה.
-config file נדרש. קובץ התצורה שרוצים לעדכן. אם הקובץ לא קיים, תופיע שגיאה.
-email <email_address>
-discovery_uri <uri>
-client_id <oauth_client_id>
-client_secret <oauth_client_secret>
-pkce
-nopkce

כל השדות הם אופציונליים. הערכים של הדגלים שציינתם בשורת הפקודה יוחלפו, וכל הערכים האחרים של הדגלים בקובץ התצורה יישמרו. כדי לבטל את ההגדרה של דגל שמור, מציינים ערך ריק.

הערה: אם עריכה משבשת את פורמט ה-JSON, סביר להניח שתתרחש שגיאה כשתשתמשו בהגדרות האישיות במפענח.

התראות מידע

אפשר להשתמש בדגלים האלה כדי להדפיס מידע קריא על קובצי CSE.

דגל תיאור
-action info (חובה) משנה את מצב ברירת המחדל של ההפעלה למצב אינפורמטיבי
-input directory_or_file

(חובה) מציין את ספריית הקלט או את קובץ הייצוא

אם מציינים ספרייה, הכלי סורק באופן רקורסיבי את כל עץ הספריות ומחפש את כל קובצי הייצוא של CSE. אם מציינים קובץ, הכלי מספק מידע רק על הקובץ הזה.

אפשר לחזור על הדגל הזה כדי לציין עוד ספריות או קבצים של קלט. דוגמה:

$ decrypter -action=info -input=file1.gcse -input=file2.gcse -input=file3.gcse