職場で使っているメーラーのアドオンは、社外にあてて送るメールでは標準で添付ファイルの暗号化をするようになっている。
暗号化って言ってもパスワード付きZIPで圧縮して送るってことだけど。
必ず暗号化しないといけないわけでもなく、そこは各自判断ということなんだけど。
問題はそのパスワードをどうやって伝えるかという話である。
たいてい他の手段がないので、パスワードも同じくE-mailで送るということになりがちである。
ただ、暗号化された添付ファイルの付いたE-mailもパスワードを伝えるE-mailも同じ経路で流れるだろうから、
一方が盗み見られれば、もう一方も多分見られているので、あまり意味があるとは思えない。
そんな重要なデータではないといえばそうなんだけどさ。
あらかじめ、お互いで何か共有できているものがあれば、それを使えばよくて、
見積書に対して注文書を返送するとき、見積書番号をパスワードにして暗号化するということをやっている。
これなら、パスワードもE-mailで送るということをやらなくて済みますからね。
ちなみにこのツールはパスワードを自動生成することもできるが、自分で決めることも出来る。
E-mailを暗号化する方法として、まず思いつくのはS/MIMEだが……
S/MIMEのそもそもの問題として、E-mailアドレスごとに個人用証明書が必要と言うこと。
認証局から証明書を発行してもらうにはお金がかかるケースが多いので大変だ。
署名は差出人が証明書を持っていれば済むが、暗号化には差出人と受取人の両側で証明書が必要である。
こんな条件が揃うことは稀だろう。
一方で、E-mailの暗号化方式としてはPGPも使われている。
S/MIMEでは認証局がこの人のものに違いないと証明された証明書(公開鍵)を使う。
なので信頼のおける認証局が発行した証明書であればOKということになるが、証明書の発行にいちいちお金がかかる。
一方でPGPでは、公開鍵のやりとりは個人間で行い、それが信頼できるかどうかは各自判断ということになる。
なので認証局にお金を払う必要はないが、どうやって公開鍵が信頼できるか確認するかが問題。
PGPを運用するなら、公開鍵のフィンガープリントを名刺に書いておくとか、そういう対応が必要だよね。
あと、S/MIMEは標準対応しているメーラーが多いけど、PGPはそうもいかない。Thunderbirdはアドオンで対応している。
そういう前提条件なしにできる暗号化なんて高々知れてるんですよ。
パスワード付きZIPでの暗号化はそもそも気休め程度の対策だが、
それでもパスワードが既知ならそんなに悪くない気はする。
パスワードもE-mailで送るというのはちょっとお粗末だけど。