การกรองอีเมลผ่าน VPN: กฎเนื้อหาทำงานจริงที่ชั้นไหน

คำขอนี้ฟังดูเหมือนปัญหาเครือข่าย: หยุดไฟล์แนบบางชนิดไม่ให้ออกจากอาคาร และมี VPN อยู่แล้วจึงใช้มัน กรอบคิดนั้นแตกที่คำถามแรกที่ตัวกรองต้องตอบ กฎเนื้อหาต้องเห็นข้อความ และข้อความจะปรากฏในชั้นที่ต่างจากอุโมงค์ ผมเดินเส้นทางเมลออกจากแพ็กเก็ตและหยุดที่จุดแรกที่ข้อมูลที่ต้องการมีอยู่จริง

สามชั้นเป็นอิสระจากกัน: การขนส่ง VPN การเชื่อมต่อ SMTP TLS และการเข้ารหัสของข้อความเอง แต่ละชั้นจบที่ต่างกัน

เริ่มจากชั้นที่มองเห็นข้อความ

การถอดห่อหุ้ม VPN ให้ทราฟฟิกเครือข่ายภายในแก่คุณ หากไคลเอนต์เมลเปิดการเชื่อมต่อ TLS ไปยังเซิร์ฟเวอร์รับส่ง ทราฟฟิกภายในยังคงมีสตรีม TLS นั้น ไม่ใช่เมลที่อ่านได้

ดังนั้นการดักจับแพ็กเก็ตที่ขอบอุโมงค์จึงตอบคำถามคนละข้อกับ «ข้อความนี้มีไฟล์แนบต้องห้ามหรือไม่»

การสิ้นสุด SMTP TLS จบที่ซองจดหมาย

การสิ้นสุด SMTP TLS ที่เซิร์ฟเวอร์เมลเปิดเผยข้อความตามที่ถูกส่งเข้ามาที่จุดนั้น เซิร์ฟเวอร์เห็นส่วนหัว ซองจดหมาย และโครงสร้าง MIME นั่นเพียงพอสำหรับกฎเนื้อหาหลายข้อ ซองจดหมายบอกผู้ส่งและผู้รับตามที่เซิร์ฟเวอร์เข้าใจ

นั่นไม่พอสำหรับข้อความที่ป้องกันด้วย S/MIME เซิร์ฟเวอร์ได้รับเอนทิตีที่ป้องกันไว้ และไม่มีกุญแจที่เกี่ยวข้องก็อ่านเนื้อหาข้างในไม่ได้ ขีดจำกัดเดียวกันใช้กับไฟล์แนบที่เข้ารหัสซึ่งมาถึงครบถ้วน

อย่าลดทอนความปลอดภัยของการขนส่งเพื่อให้การดักจับแบบพาสซีฟอ่านได้ นั่นเปลี่ยนสถาปัตยกรรมแทนที่จะวางกฎตรงที่ข้อมูลอยู่

S/MIME จบตรงที่กุญแจอยู่

S/MIME ปกป้องข้อมูลข้อความ MIME ดังนั้นขอบเขตคือวัสดุกุญแจและวิธีการถอดรหัสที่ได้รับอนุญาต ตัวกรองที่ไม่มีกุญแจเหล่านั้นยังคงทำงานกับเมทาดาทาที่มองเห็นหรือการมีอยู่ของวัตถุที่ป้องกันไว้ได้ แต่นั่นเป็นผลลัพธ์คนละแบบ

หากองค์กรเดินระบบเกตเวย์การเข้ารหัสที่ได้รับอนุญาตหรือการควบคุมปลายทางแบบมีการจัดการ ให้บันทึกว่าข้อความธรรมดาอยู่ที่ไหน ตัวตนใดตรวจสอบได้ และกุญแจกับบันทึกได้รับการปกป้องอย่างไร ไม่มีกุญแจหลักใดเกิดขึ้นจากการส่งทราฟฟิกผ่าน VPN

เขียนสิ่งนั้นก่อนที่ใครจะสัญญาว่าจะจำแนกข้อความธรรมดาได้ คำสัญญาคือส่วนที่ถอนคืนได้ยาก

วางกฎไว้ในแพลตฟอร์มเมล

หากเซิร์ฟเวอร์เมลที่อนุมัติได้รับข้อความที่อ่านได้ การผสานการกรองเนื้อหาที่รองรับของมันคือจุดบังคับใช้ นั่นต่างจากการอนุญาตให้เชื่อมต่อ SMTP ผ่านไฟร์วอลล์ ความแตกต่างนั้นตัดสินว่ากฎจะปฏิเสธ กักกัน หรือเพียงเพิ่มหมายเหตุได้หรือไม่

ตัวอย่างเช่น Postfix เอกสารระบุ การกรองเนื้อหาหลังคิว: เมลถูกใส่คิว ส่งต่อไปยังตัวกรอง และส่งกลับสู่เส้นทางการนำส่ง ลำดับหลังคิวของมันต่างจากตัวเลือกพร็อกซีก่อนคิวและ Milter ที่คู่มือเดียวกันอ้างถึง เลือกการผสานและพฤติกรรมเมื่อล้มเหลวที่รองรับสำหรับบริการเมลที่คุณเดินระบบจริง

กฎไฟล์แนบข้อเดียวไม่ใช่โปรแกรมป้องกันข้อมูลรั่วไหลที่สมบูรณ์ การอัปโหลดจากเบราว์เซอร์ พื้นที่จัดเก็บที่ใช้ร่วมกัน และการกระทำที่ปลายทางต้องมีการควบคุมของตัวเอง

เขียนการทดสอบการยอมรับด้วยข้อความสังเคราะห์

ทดสอบด้วยตัวอย่างสังเคราะห์ที่อนุมัติแล้ว: ข้อความที่อนุญาต การกระทำกับเนื้อหาที่ต้องห้าม และการจัดการการเข้ารหัสระดับข้อความตามที่ประกาศไว้ รวมถึงสิ่งที่บริการเมลทำเมื่อตัวกรองไม่พร้อมใช้งาน

ผลลัพธ์ที่มีประโยชน์ระบุการกระทำ จุดบังคับใช้ และข้อมูลที่มองเห็นได้ที่นั่น «VPN ถอดรหัสมัน» ตอบเพียงชั้นเดียวและแทนที่รูปแบบเนื้อหาและการอนุญาตของแอปพลิเคชันเมลไม่ได้