Fossa Guard

Fossa Guard - расширение для браузера Google Chrome, поддерживающее формат сообщения S/MIME (Secure/Multipurpose Internet Mail Extensions), интегрированное в Gmail.

11 ноября 2016 года компания Fossa Team сообщила о доступности сервиса зашифрованной и подписанной информацией - fossa.me и расширения для браузера Google Chrome - Fossa Guard, как составляющих одного из вариантов реализации технологии обмена зашифрованными email-сообщениями.

Сервис fossa.me обеспечивает (на 11 ноября 2016 года частично) инфраструктуру открытых ключей (PKI - Public Key Infrastructure) для выпуска и управления S/MIME-сертификатами. На стороне сервиса действует реестр всех, ранее выданных сертификатов, облегчающий поиск сертификата конкретного пользователя сервиса fossa.me.

Fossa Guard – расширение браузера Google Chrome, оно помогает:

• генерировать пару ключей,
• запрашивать, безопасно получать и использовать S/MIME сертификат для почтовых сообщений,
• хранить и синхронизировать между компьютерами пользователя приватный ключ,
• импортировать и использовать сторонние (не Fossa) сертификаты.

Пользователю достаточно установить расширение и, пройдя процедуру получения сертификата, начать пользоваться S/MIME-сообщениями непосредственно из сервиса Gmail, без какой либо дополнительной регистрации (требуется наличие аккаунта сервиса Google.Контроль бесконтрольного: как защитить «размытый» периметр

Технические детали PKI-реализации

Реализация PKI на fossa.me поддерживается двумя удостоверяющими центрами: Root F1 и Authority F2. Root F1 использует RSA-ключ длиной 4096 бит, Authority F2 использует RSA-ключ длиной 2048 бит. Fossa.me состоит из двух независимых сервисов: EST и CA.

Первый реализует протокол Enrollment over Secure Transport (EST), описанный в RFC 7030 и выполняет прием и обработку запроса на подпись сертификата - Certificate Signing Request (CSR).

Успешно авторизованные запросы направляются в CA сервис, основная функция которого генерация и подпись S/MIME-сертификата пользователя. CA сервис, по получении CSR, проверяет соответствие email запрашиваемого сертификата с email Google-аккаунта, которым пользователь авторизуется на сервисе Fossa.me.

Если все в порядке, СА сервис генерирует S/MIME-сертификат пользователя и подписывает его ключом Authority F2.

Authority F2 также издает Список отозванных сертификатов - Certificate Revocation List (CRL), помогая пользователю отозвать скомпрометированный сертификат на сервере.

Схема взаимодействия между Fossa Guard и сервисом fossa.me, (2016)

Технические детали Fossa Guard

Fossa Guard – умеет работать с сообщениями в формате S/MIME и поддерживает следующие типы: multipart/signed, application/pkcs7-mime c signed-data и enveloped-data.

Процедура запроса сертификата начинается с генерации пары c асимметричных ключей и создания CSR'а (Certificate Signing Request). Есть выбор между RSA ключами длиной 2048 или 4096 бит.

CSR отправляется по протоколу HTTPS на обработку в удостоверяющий центр Authority F2 на сервер Fossa.me.

Приватный ключ хранится в защищенном паролем контейнере PKCS#12 в хранилище браузера Google Chrome пользовательского аккаунта для автоматической синхронизации между всеми устройствами пользователя.

После получения сертификата, открывая страницу Google Mail можно будет создавать и читать письма в S/MIME-формате. Для создания письма Fossa Guard добавляет кнопку S/MIME справа от кнопки Compose (Написать).

Скриншот окна браузера, (2016)

Например, S/MIME-письмо с подписью (application/pkcs7-mime c signed-data) выглядит, как письмо с вложением smime.p7m. Для просмотра необходимо воспользоваться ссылкой View content внутри тела письма.

Fossa Guard использует свой диалог для создания и просмотра писем, что помогает избежать попадания незащищенного содержимого письма в Google Mail, который активно практикует авто-сохранение.

Диалог поддерживает по умолчанию HTML-формат. Есть поддержка вложений размером не более 100 KB (ограничение действующей версии расширения). Для повышения безопасности рекомендуется закрывать вкладку браузера после окончания работы с Google Mail - это инициирует процедуру удаления вложений из памяти браузера.

В настройках Fossa Guard можно посмотреть детали выданного сертификата, управлять 2-мя списками сертификатов: доверенных и пользовательских.

Расширение позволяет импортировать сторонние доверенные и конечные сертификаты в форматах DER и PEM.

Для подписанных писем есть возможность просмотра сертификатов и импорта их в списки доверенных и пользовательских сертификатов.

Согласно заявлению разработчиков, функционал сервиса ограничен, хотя и обеспечивает базовые возможности по организации защищенной переписки с использованием технологии S/MIME.