Google: создавайте новые сайты сразу на HTTPS

[suffix]

suffix, и зачем вы открыто ключ своего сертификата публикуете? 

это же не приват кей а паблик кей - чтобы письмо мне было можно зашифровать и никто кроме меня его не прочитает.

s/mime так и работает - паблик кей нужно публиковать, передавать тем кто письмо мне хочет зашифровать.

[Старый]

Понял, о чём толкует suffix. 
Только в теме речь не о безопасности почты, а использовании SSL на сайте.

S/MIME предназначена для обеспечения криптографической безопасности электронной почты.
Обеспечиваются аутентификация, целостность сообщения и гарантия сохранения авторства, безопасность данных (посредством шифрования). Большая часть современных почтовых программ поддерживает S/MIME.

Сертификаты S/MIME
Для использования S/MIME необходимо получить и установить индивидуальный ключ/сертификат от центра сертификации (ЦС). Лучше всего использовать различные ключи/сертификаты для цифровой подписи и шифрования, так как это позволит раскрыть при определенных условиях ключ шифрования (например, по решению суда), не дискредитируя при этом цифровые подписи. Для шифрования сообщения требуется знать сертификат приемной стороны, что обычно обеспечивается автоматически при получении письма с сертификатом. Хотя технически возможно послать сообщение, зашифрованное сертификатом получателя и не подписывать сообщение собственным, например, из-за отсутствия оного, на практике, программы с поддержкой S/MIME потребуют установки сертификата отправителя перед тем как позволить шифрование сообщений.

Обычный основной личный сертификат удостоверяет идентичность владельца только путем связывания воедино почтового адреса и сертификата. Он не удостоверяет ни имя, ни род деятельности. Более полное удостоверение можно получить, обратившись к специализированным ЦС, которые предоставляют дополнительные (нотариально эквивалентные) услуги или безопасную инфраструктуру открытого ключа.

В зависимости от политик ЦС, ваш сертификат и всё его содержимое могут быть открыто опубликованы для ознакомления и проверки. В таком случае, ваше имя и почтовый адрес становятся доступными для всех, в том числе и для поиска. Другие ЦС могут публиковать только серийные номера и признак отозванности. Это необходимый минимум для обеспечения целостности инфраструктуры открытого ключа.


Препятствия при практическом использовании S/MIME
Не все приложения электронной почты могут обрабатывать S/MIME, что приводит к письмам с приложенным файлом «smime.p7m», что может привести к недоразумению.
Иногда считается, что S/MIME не сильно подходит для использования вебпочты. Так как требования безопасности требуют, чтобы сервер никогда не смог получить доступ к закрытому ключу, что уменьшает такое преимущество вебпочты, как доступность из любой точки.
Многие различают закрытые ключи для расшифровки и для цифровой подписи. Тех, кто готов предоставить некоторому агенту первый гораздо больше, чем тех, кто готов предоставить второй. Если необходимо безопасное подтверждение авторства (как и обеспечение отсутствия ложного подтверждения), то второй ключ должен быть под строгим контролем владельца, и только его, в течение всего цикла его жизни, от создания, до уничтожения.
S/MIME специально предназначено для обеспечения безопасности на пути от отправителя до получателя. Вредоносное ПО, попавшее в письмо, без препятствий дойдет до получателя, так как нет средств обнаружить его в этом промежутке. Следовательно, необходимо обеспечивать безопасность на оконечном устройстве.

[suffix]

Таки этом случае условный параноик который хочет отправить мне шифрованное письмо должен быть уверен что оно правильно зашифрованно и когда он копирует s/mime сертификат с этого сайта "атакой по середине" его не подменят. Вот тут и нужен ssl на сайте.

Повторюсь что ситуация редкая аж жуть. Но мне вот пришлось такое сделать - по работе - нашлись полтора параноика

[vold57]

Ну допустим Вы видете мой ник suffix и хотите мне отправить жутко секретную информацию которую нельзя передавать в открытом виде. Ясное дело что Вы переходите на сайт https://www.suffix.ru и там находите всё необходимые данные для отправки мне шифрованного сообщения.

Что происходит дальше? Как и посредством чего я буду отправлять вам сообщение. Перечислите все звенья цепочки и каким звеном является ваш сайт.

[suffix]

Что происходит дальше? Как и посредством чего я буду отправлять вам сообщение. Перечислите все звенья цепочки и каким звеном является ваш сайт.

На сайте вы видите e-mail. И публичный ключ сертификата s/mime. Копируете сертификат, вставляете в блокнот - сохраняете с разрешением pem. Затем понадобится программа почтовая поддерживаюшая s/mime - bat, thunderbird  или даже gmail но только бизнес-сьют версии. В неё имортируете данный сертификат и при отправке мне письма ставите галочку - зашифровать этим ключом. Вы можете быть уверены что письмо прочитаю только я. Сайт нужен только единожды для копирования сертификата, а ssl на сайте только для того чтобы Вы были уверены что при копировании Вам не подменили сертификат 'атакой по середине' ну и то что сайт именно  suffix-a

[vold57]

Я в данном вопросе разбираюсь очень слабо, отсюда и многочисленные вопросы.) Так что, сори.)
Другими словами, если сайт на http, а не на https, то ваш public key могут подменить на какой-то другой. Что при этом может произойти? Для какой цели это могут сделать?

[suffix]

Разумеется это никому и нафиг не надо
Добавлено: 04-03-2018, 13:24:51

Но гипотетически - вот Вы позвонили мне и говорите что хотите отправить мне сверхважное письмо которое обязательно нужно зашифровать. Я дал вам адрес сайта. Разговор злоумышленник подслушал. Вы переходите на сайт а Вам подменили ключ при копировании "атакой по середине" которая возможна без ssl. В почтовой программе Вы шифруете этим лжеключом отправляете мне ваше сверхважное письмо и его перехватывают и спокойно читают (ключ то подсунули свой). А я письмо ваше вообще прочитать не смогу

[Старый]

А если взломали хост и на сайт вставили чужой код ключа вместо вашего и параллельно имеется доступ к вашей почте? 

[Sky-fi]

А если взломали хост и на сайт вставили чужой код ключа вместо вашего

Что сделать куда проще и удобнее, чем расшифровать письмо) Не обязательно даже быть хакером, социальную инженерию никто не отменял...

[suffix]

А если взломали хост и на сайт вставили чужой код ключа вместо вашего и параллельно имеется доступ к вашей почте? 

Да конечно ! И это возможно а пяльник животворящий вообще чудеса делает. Я полностью согласен ! Но вот пришлось по работе для полутора параноиков