網址申請 | 網站代管 | 資安服務 | SSL 數位憑證
Cloudmax 匯智 SSL 數位憑證服務
        中國  |  如何付款  |  聯繫我們  |  Cloudmax 匯智
 Geotrust SSL
  Cloudmax 匯智資訊安全方案: 全面打造安全的電子商務平臺。  
     產品價格一覽表
     產品購買指南
     申請流程

安全郵件套件
 
前提
 
現在,網路竊聽太容易了!隨著無線網路的普及,網路竊聽愈演愈烈。接入同一個無線網路的電腦之間可以互相竊聽網路資料,一個不太懂電腦專業技術的人,從網上下載免費的竊聽軟體,通過電信、網通、移動等公司提供的無線網路(WLAN),就可以輕易的獲得其他人HTTP訪問記錄和內容、E-Mail帳戶資訊、無線上網的用戶名和密碼。電信、網通、移動等公司提供的無線網路(WLAN)已經網路帳戶盜竊的溫床。
 
傳統的郵件包括信封和信本身;電子郵件則包括信頭和信體。現存的端到端安全電子郵件技術(PGP)一般只對信體進行加密和簽名,而信頭則由於郵件傳輸中定址和路由的需要,必須保證原封不動。然而,一些應用環境下,可能會要求信頭在傳輸過程中也能保密,這就需要傳輸層的技術作為後盾。目前主要有兩種方式實現電子郵件在傳輸過程中的安全,一種是利用SSL SMTP和SSL POP3,另一利用VPN或者其他的IP通道技術,將所有的TCP/IP傳輸封裝起來,當然也就包括了電子郵件。VPN技術相對比較複雜,而且需要更新閘道並在用戶端安裝軟體,部署成本高,使用更複雜,而利用SSL SMTP和SSL POP3技術,則只需要在伺服器端做很少的改動,而用戶端不需要任何其他軟體,而且使用方式和傳統方式一樣,是目前最容易推廣的一種方案。
 
包括Google的Gmail在內的很多郵件服務商都開始使用SSL加密了,您也應該行動起來,避免郵件洩密。
 


選擇憑證
 
我們推薦在安全郵件套件採用:Geotrust SSL 專業版(GeoTrust QuickSSL Premium) 或者 Geotrust SSL 企業版(GeoTrust True BusinessID),這是因為:
申請便捷:通過GeoTrust專有的線上申請技術,和迅通誠信的線上平臺,快速獲得憑證簽發。
單根憑證:安裝簡單,無需級聯安裝
相容性強:100%相容1999年以後發佈的瀏覽器和郵件用戶端。
經典案例:Google的Gmail就是使用全球信SSL企業版(GeoTrust True BusinessID)進行SMTP-SSL和POP3-SSL加密的。使用Internet Explorer打開 https://pop.gmail.com:995/ ,滑鼠右鍵單擊螢幕,選擇“屬性”->“憑證”可以看到SSL憑證。

 


技術方案
 
本文將告訴您,如何配置郵件伺服器,讓POP3、SMTP、IMAP、HTTP都啟用SSL保護,免受網路竊聽,避免資料被盜竊。本文的方式適合所有的電子郵件伺服器,包括Exchange Server、Imail、Qmail、NTmail、MDaemon、Winmail等。
 
第一步:先下載並安裝TCP-to-SSL通用轉換軟體Stunnel,下載位址:這裏
 
第二步:修改stunel.conf檔,如果郵件伺服器沒有提供IMAP或者HTTP服務,可以刪除對於的部分:
 
[pop3s]
accept = 995
; 郵件伺服器IP位址和POP3埠號
connect = 127.0.0.1:110
 
[imaps]
accept = 993
; 郵件伺服器IP位址和IMAP埠號
connect = 127.0.0.1:143
 
[ssmtp]
accept = 465
; 郵件伺服器IP位址和SMTP埠號
connect = 127.0.0.1:25
 
[https]
accept = 443
; 郵件伺服器IP位址和HTTP埠號
connect = 127.0.0.1:8080
TIMEOUTclose = 0
 
第三步,啟動Stunel軟體。如果你把Stunel安裝為Service模式,則啟動Stunel Service,否則啟動Stunel.exe 程式
 
第四步,如果你的郵件伺服器啟動了HTTP訪問模式,請用瀏覽器訪問 HTTPS://stunel伺服器位址/,你將看到一個安全警告“您與該網站交換的資訊不會被其他人查看或更改。但該網站的安全憑證有問題。是否繼續?”,選擇“是”。這時,你的瀏覽器已經和郵件伺服器通過SSL方式訪問了。如果無法訪問,請檢查一下是否使用的防火牆,如果使用防火牆,請開啟相應埠。
 
第五步,配置郵件用戶端,本文已Outlook Express 6.0為例,其他郵件用戶端的配置方式類似,先按照正常方式建立郵件帳戶,然後按下圖,選擇“屬性”
 

(點閱放大)

 
在“伺服器”屬性頁,接收郵件(POP3)和發送郵件(SMTP)的伺服器都填寫“stunel伺服器地址”
 

(點閱放大)

 
選擇“高級”屬性頁後,設置發送郵件(SMTP)埠號為465,接收郵件(POP3)埠號為995,並選擇“此伺服器要求安全連接(SSL)”
 

(點閱放大)

 
郵件用戶端配置好了。在收發郵件時,Outlook express會出現一個“憑證警告”,忽略這個警告。現在你通過SMTP發郵件和POP3收郵件都通過SSL加密保護了。
 


為了避免憑證安全警告,你接下去要申請一個正式的SSL憑證,申請辦法如下:
 
第一步:下載OpenSSL,下載地址 https://www.myssl.cn/download/OpenSSL_0.9.8.a_Win32.zip
 
第二步:解壓縮到c:\openssl目錄下
 
第三步:運行cmd.exe,進入命令行視窗,運行命令:
 
    cd c:\openssl
    set OPENSSL_CONF= openssl.cnf
    openssl req -new -nodes -keyout server.key -out server.csr
 
於是當前目錄下將產生兩個檔:server.key 和 server.csr。請妥善保存這兩個檔,請不要洩露server.key私鑰文件。
 
在這一命令執行的過程中,系統會要求您填寫如下資訊:
 
Country Name (2 letter code):使用國際標準組織(ISO)國碼格式,填寫2個字母的國家代號。台灣請填寫TW。
 
State or Province Name (full name): 省縣,比如填寫 Tainan
 
Locality Name (eg, city): 城市,比如填寫Tainan
 
Organization Name (eg, company): 組織單位,比如填寫公司名的拼音
 
Organizational Unit Name (eg, section): 比如填寫IT Dept
 
Common Name (eg, your websites domain name): 行使 SSL 加密的網站地址。請注意這裏並不是單指您的網域名稱,而是直接使用 SSL 的網站名稱 例如:pay.abc.com。 一個網站這裏定義是:abc.com 是一個網站; www.abc.com 是另外一個網站; pay.abc.com 又是另外一個網站。 注意:這個伺服器網域名稱應該和郵件用戶端軟體設置的SMTP/POP3伺服器名稱一致。
 
Email Address: 郵件位址,可以不填
 
A challenge password: 可以不填
 
An optional company name:可以不填
 
第四步:為確認您對所申請的SSL伺服器網域名稱擁有管理權,認證系統將發電子郵件到指定的管理員郵箱中。 例如:您準備申請的 SSL 憑證伺服器網域名稱為host.yourdomain.com,在遞交申請時,請確認您可以接收 ssladmin@yourdomain.com 或者 ssladmin@host.yourdomain.com
 
第五步:到 這裏 申請SSL憑證 ,遞交第三步產生的server.csr,並輸入申請的相關資訊
 
第六步:你將收到一份來自美國Geotrust的申請確認郵件,點擊郵件中的URL,然後Approve你的申請
 
第七步:你將收到包含憑證的郵件,將郵件中“-----BEGIN CERTIFICATE-----”到“-----END CERTIFICATE-----” 部分複製到notepad.exe中,然後用保存為server.crt
 
第八步:將第二步產生的server.key和第七步產生的server.crt,複製到Stunnel目錄下,修改stunel.conf文件:
     cert = server.crt
     key = server.key
 
第九步:重啟Stunnel
 
你再用瀏覽器訪問HTTPS://Stunnel伺服器/ 或者用Outlook express收發郵件,就沒有安全警告了。
 
注意:
 
(1) 郵件用戶端設置SMTP/POP3伺服器時,名稱必須與憑證名字一致,否則可能無法收發郵件
 
(2) 啟用SSL後,你可以用防火牆遮罩掉原來的POP3的110埠,來強制用戶使用POP3-SSL的995埠;但是你不能遮罩掉原來郵件伺服器的SMTP的25埠,因為這個埠不僅用來給郵件用戶端發郵件,也用來伺服器之間投遞郵件。
 


 
SSL安全解決方案
 
典型解決方案
   電子商務網站安全方案
   虛擬主機安全方案
   安全郵件套件
SOSA 優良電子商店 SOSA 資訊透明化電子商店 ISO cert.No.573698 HackerScan