电子邮件结构示意图

8.4.3　安全电子邮件协议

随着网络进一步发展，电子邮件成为互联网上主要的信息传输手段，也是电子商务应用的主要途径之一，但它并不具备很强的安全防范措施，因此电子邮件的安全问题也越来越得到人们的关注。互联网工程任务组（Internet Engineering Task Force，IETF）为扩充电子邮件的安全性能已起草了相关的规范：

PEM。增强电子邮件保密的规范。

S/MIME。S/MIME是多功能电子邮件扩充报文基础上添加数字签名和加密技术的一种协议。MIME是正式的Internet电子邮件扩充标准格式。其目的是在MIME上定义安全服务措施的实施方式。目前，S/MIME已成为产业界广泛认可的协议。

PEM-MIME（MOSS）。MIME对象安全服务是将PEM和MIME两者的特性进行了结合。

1.增强的私密电子邮件（PEM）

增强的私密电子邮件（private enhanced mail，PEM）是增强电子邮件隐秘性的标准草案，是美国RSA实验室基于RSA和DES算法开发的产品，其目的是为了增强个人的隐私功能。，它在互联网电子邮件的标准格式上增加了加密、鉴别和密钥管理的功能，允许使用公开密钥和专用密钥的加密方式，并能够支持多种加密工具。对于每个电子邮件报文可以在报文头中规定特定的加密算法、数字签名算法、哈希功能等安全措施。

PEM是通过Internet传输安全商务邮件的非正式标准，目前已得到广泛的应用，专为E-mail用户提供诸如验证、完整性、抵赖性等安全服务功能，还提供可选的安全服务功能，如保密性等。

PEM对报文的处理包含如下过程：

（1）做规范化处理。为了使PEM与MTA（报文传输代理）兼容，按SMTP协议对报文进行规范化处理。

（2）MIC（message integrity code）计算。

（3）把处理过的报文转换为适于SMTP系统传输的格式。

2.网际邮件扩充协议（S/MIME）

S/MIME（secure/multipurpose internet mail extensions，安全多功能Internet电子邮件扩充）是Internet中用来发送安全电子邮件的协议。S/MIME为电子邮件提供了数字签名和加密功能。该协议允许不同的电子邮件客户程序之间收发安全电子邮件。

S/MIME是从PEM（Privacy Enhanced Mail）和MIME（Internet邮件的附件标准）发展而来的。同PGP一样，S/MIME也利用单向散列算法和公钥与私钥的加密体系。它与PGP主要有两点不同。首先，它的认证机制依赖于层次结构的证书认证机构，所有下一级的组织和个人的证书由上一级的组织负责认证，而最上一级的组织（根认证书）之间相互认证，整个信任关系基本是树状的。其次，S/MIME将信件内容加密签名后作为特殊的附件传送。

RFC822中定义了用S/MIME发送的电子邮件正文消息的格式。在RFC822 中，消息被分为信封和内容两部分。信封包含传送和分发的信息，内容包含要发给对方的对象。RFC822标准中包含了一组头字段被邮件系统用于生成信封，且该标准目的在于方便程序获得这些头字段。

在S/MIME协议中，定义了5种新的消息头字段，用于提供关于消息体的信息；定义了若干内容格式，从而标准化多媒体电子邮件；定义多种转换编码方式，使得任意内容格式转换到由邮件系统的格式。另外采用了MUST、SHOULD、SHA-1、MD5、DSS、Diffie-Hellman、RSA、3DES和RC2/40等算法对邮件加密。

S/MIME的目的是在MIME上定义安全服务措施的实施方式。S/MIME的证书格式也采用X.509，S/MIME已成为界业广泛认可的协议，如Microsoft、Netscape、Novell、Lotus等都支持该协议。在国外，Verisign向个人免费提供S/MIME电子邮件证书；在国内也有公司提供支持该标准的产品。为了使用S/MIME，必须在客户端使用支持S/MIME功能的电子邮件程序，例如Outlook Express 4和Netscape Messenger 4.0及以上版本。

虽然PGP与S/MIME都是基于TCP/IP和SMTP之上的应用层安全电子邮件标准，而且都沿袭了IETF的标准，但是S/MIME接近于一种工业标准，而PGP则多用于个人的安全电子邮件。PGP重点放在局域网上，适合在人数有限的情况下使用，人数猛增后，网络系统将难以支撑，而S/MIME已被广泛应用于商业领域。PGP可以自由使用，但与公钥基础设施不兼容，S/MIME可用于电子商务，具有可扩充性和安全可靠性。

【任务实施】