数字加密邮……你会用么

[cevincheung]

Ps. @Livid 不知道这算不算是……贴。如果是，请立刻删除。

在12306之后，数字推出了一款邮件客户端 [数字加密邮] 点这里。本着娱乐精神，在微博上给官方发了封私信，坐等回复。哈哈。

问题：你会用么？

Ps.好久不用国内的安全产品，现在使用WIN7正版，ess→正版+Advanced SystemCare Pro。已经觉得世界清静很多了。

[cevincheung]

@Livid

[fclql]

说是加密 其实是在偷窥

[NeoAtlantis]

不会。说用的是SM9加密算法，看了下是一种Identity Based Cryptography，基于身份的密码。
我记得以前看过介绍，据说公钥就是对方的ID或者类似的东西，私钥是不知道怎么分发的一套管理系统。
因为私钥是集中管理的，可以定期更新，可以权限控制。
但是这些优点和数字公司联系起来，就是缺点了。
而且SM系列加密算法似乎是国家商用密码管理办公室的东西。嗯。

[Septembers]

技术层面：
1. 官方主站是用是用ThinkPHP 3.1.2写的 且 没关闭错误消息(http://jiamiyou.360.cn/error_test)
2. 当时360库带计划发邀请给我朋友我协助测试时有发现有多处鉴权不严

商业层面：
SM9并没有公开算法细节 都懂的 @NeoAtlantis
私钥是集中管理 且 没有 算法细节 意味着算法中可能存在后门
关键字: SM9 NSA RSA 后门

[NeoAtlantis]

SM9这思路挺新的，倒是可以姑且算是先进。
但是这是这么用的，比如有一个公司，我作为雇员，有电子邮件。然后我们希望加密之间的电邮。
这样公司可以集中管理私钥和授权，我如果离职了也解密不了邮件了。可能节省了证书吊销的机制，能比较快的更新吧。
但是让大数字来管理所有用户的邮件，这就有点麻烦了……

电子邮件加密目前我看最靠谱的是OpenPGP系列的端到端加密。只是对参与通信的用户都有要求。
但是除了泄漏元数据之外，对内容的保护倒是没啥可说的，NSA也没啥辙。

[noli]

这种涉及加密的事情，不公开算法，不提供具体原理的，只要不是一无所知的外行人，都不敢用的。

[loveminds]

邮件加密一概只用鸡屁股（GPG）

[vibbow]

还是s/mime好

[shuangchun]

其实要是说安全。。。还是自建邮件服务器吧。哪家安全了。。。。。。

[bluu]

手机版跟电脑版很容易加后门，加密有啥意义？
有 WEB， imap吗
有也不敢用

[ferran]

Advanced systemcare算是半个国产吧。。

[JohnChu]

Advanced systemcare就是国产

[mengzhuo]

真不如 s/mine

[lingxi27]

IBE算是先进的加密技术吧，但是算法不公开，SB才会用

[Sharuru]

真的需要用到加密邮件的话，也不会使用360这样的客户端吧？

[zhuang]

IBE 加密的问题不在于技术，而在于管理策略。

使用 IBE 的前提是无条件信任 PKI，与 PGP 之类的『端对端』加密体系强调的『不信任任何第三方』是有本质的区别的。

至于说算法本身有什么问题，即使公开算法，你就能找到问题么？或者说你就能确定没问题么？

[expkzb]

国家不允许吧

[killsting]

看见360这个品牌就不会用。

[dallaslu]

s/mime 或 gpg 才是正道。

[ryd994]

@shuangchun
GPG比自架服务器要靠谱得多。
且不说自架的可用性，如果配置不正确，分分钟各种伪造。窃听更不用说，协议本身是不加密的。别以为内网就没事，员工之间相互……

GPG可以作为邮件客户端的插件，使用时是透明的，
可以使用任何邮箱，某个邮箱挂了还可以换其他的，只要私钥保护好。
算法的安全性也是有目共睹。