Как отправлять зашифрованные письма в Thunderbird

Что вы получите

• Пошаговая инструкция по установке GPG и настройке OpenPGP в Thunderbird.
• Чек-листы для отправителя, получателя и администратора.
• Регламенты (SOP) для создания, резервного копирования и отзыва ключей.
• Советы, когда метод не работает, и альтернативные подходы.

Справочник терминов

• PGP — протокол для шифрования и подписи электронной почты (Pretty Good Privacy).
• GPG — реализация PGP с открытым кодом (GNU Privacy Guard).
• OpenPGP — стандарт, основанный на PGP; в Thunderbird реализуется через GPG.
• Enigmail — ранее использовавшееся расширение для Thunderbird, связывало его с GPG.

Установка

Ниже — базовые шаги для установки GPG и подготовки Thunderbird. Если у вас уже установлен GPG или встроенный OpenPGP в Thunderbird, переходите к разделу «Настройка OpenPGP в Thunderbird».

Для Linux

В большинстве дистрибутивов GPG уже установлен. На Ubuntu для установки вспомогательных пакетов можно использовать пакетный менеджер. Пример установки Enigmail (если вы используете устаревшие версии Thunderbird, где Enigmail ещё актуален):

sudo apt-get install enigmail

Важно: в современных версиях Thunderbird (начиная с релизов, где OpenPGP интегрирован) отдельное расширение Enigmail больше не требуется. См. раздел «Матрица совместимости».

Для Windows

Установите комплект Gpg4win: он содержит GPG и графические утилиты для управления ключами. После установки перезагрузите Thunderbird и продолжайте настройку OpenPGP.

Для macOS

Установите GPG Suite для macOS. Он включает gpg, менеджер ключей и интеграцию с системными инструментами. После установки проверьте, что команда gpg доступна в терминале.

Установка Enigmail в Thunderbird (если у вас старая версия)

Если вы используете старую версию Thunderbird, где Enigmail всё ещё актуален:

1. Откройте Thunderbird.
2. Меню Tools → Add-ons (Инструменты → Дополнения).
3. Найдите «Enigmail» и установите расширение.
4. Перезапустите Thunderbird.

После установки вы увидите пункт «OpenPGP» в строке меню Thunderbird.

Настройка OpenPGP в Thunderbird

1. Откройте Thunderbird и выберите меню OpenPGP → Setup Wizard.
2. В окне мастера выберите «Yes, I would like the wizard to get me started» (Да, запустите мастер).

3. Решите, хотите ли вы автоматически подписывать все отправляемые письма. Для подписи всех писем выберите «yes, I want to sign all of my email», иначе — опцию для выборочной подписи.

4. Настройте поведение шифрования: шифровать все исходящие письма или выбирать по получателю.

5. Мастер предложит изменить несколько настроек почтового клиента (отключить HTML-почту, отображать тело как plain text и др.) — это повышает надёжность работы OpenPGP. Если вы зависите от текущих настроек, выберите «No», иначе доверьтесь мастеру и нажмите «Yes».

6. Создайте новую пару ключей (если у вас их нет): выберите «Create a new key pair», введите имя и адрес, придумайте надёжную парольную фразу.

7. Введите парольную фразу для приватного ключа. Используйте длиную, уникальную фразу и храните её в надёжном менеджере паролей.

8. Подтвердите сводную информацию и дождитесь завершения генерации ключевой пары.

9. После создания ключей мастер предложит сгенерировать сертификат отзыва (revocation certificate). Создайте его и сохраните в безопасном месте — он нужен для аннулирования ключа при компрометации.

Важно: сделайте резервные копии приватного ключа и сертификата отзыва на зашифрованном внешнем носителе или в надёжном менеджере секретов.

Подпись и шифрование писем в Thunderbird

1. Откройте окно создания нового письма.
2. Перед отправкой перейдите OpenPGP → Encrypt Message, чтобы шифровать тело письма.
3. Опционально выберите OpenPGP → Sign Message, чтобы подписать сообщение цифровой подписью.
4. Если получатель ещё не имеет вашего публичного ключа, прикрепите его к письму или отправьте отдельным сообщением.

Доступ к зашифрованным письмам в Gmail

Если вы получаете зашифрованные PGP-письма в веб-интерфейсе Gmail, для расшифровки можно использовать расширения браузера: Mymail-Crypt for Gmail (Chrome) или WebPG (для Firefox и Chrome). Они помогают импортировать приватный ключ в браузер и автоматически расшифровывать сообщения.

Примечание: держите приватный ключ защищённым; импорт ключа в браузер увеличивает поверхность атаки.

Когда этот подход не сработает

• Получатель не поддерживает PGP/OpenPGP или не имеет вашего публичного ключа.
• Получатель использует мобильный почтовый клиент без поддержки PGP.
• Утилита для расшифровки (например, браузерное расширение) не доверяет вашему формату ключа.

В таких случаях рассмотрите альтернативы (см. ниже) или используйте защищённый канал обмена файлами.

Альтернативные подходы

• S/MIME: электронные подписи и шифрование на основе X.509 сертификатов. Удобен в корпоративных средах.
• End-to-end защищённые почтовые сервисы: ProtonMail, Tutanota — встроенное E2E, не требует ручного обмена ключами.
• TLS в транзите: защищает транспорт, но не даёт E2E-защиты от провайдера почты.

Матрица совместимости и советы по миграции

• Thunderbird с интегрированным OpenPGP (современные релизы): Enigmail не нужен.
• Старые версии Thunderbird: можно использовать Enigmail + GPG.
• Gpg4win / GPG Suite: обеспечивают кроссплатформенную совместимость ключей.

Совет: если вы обновляете Thunderbird с Enigmail, экспортируйте ваши ключи и сертификаты перед обновлением и импортируйте их в встроенный менеджер OpenPGP после обновления.

Риски и меры снижения

• Потеря приватного ключа: храните резервную копию в зашифрованном хранилище; создайте сертификат отзыва заранее.
• Кража парольной фразы: используйте длинную мнемоническую фразу и храните её в менеджере паролей.
• Человеческая ошибка (отправка незашифрованного письма): включите предупреждение в настройках Thunderbird или настройте подпись по умолчанию.

Ролевые чек-листы

Отправитель:

• Установлен GPG/OpenPGP и создан ключ.
• Проверен публичный ключ получателя.
• Письмо зашифровано перед отправкой.
• Приватный ключ и сертификат отзыва сохранены.

Получатель:

• Имеет GPG/OpenPGP или совместимый клиент.
• Импортировал публичные ключи отправителей.
• Установил доверие и проверил отпечатки ключей.

Системный администратор:

• Обеспечил наличие актуальных пакетов GPG на рабочих станциях.
• Настроил политику резервного копирования ключей (для служб, где это разрешено).
• Провёл инструктаж по безопасному хранению ключей.

Быстрый регламент (SOP)

1. Генерация ключа:
   • gpg –full-generate-key (или через UI Thunderbird)
   • Снимите резервную копию приватного ключа: gpg –export-secret-keys –armor user@example.com > secret-backup.asc
2. Создание сертификата отзыва через мастер Thunderbird или gpg –gen-revoke
3. Передача публичного ключа получателю: прикреплённым файлом или через публичный ключ-сервер.
4. Отзыв ключа: импортируйте сертификат отзыва и отправьте уведомление корреспондентам.
5. Удаление ключей с ненадёжных устройств: gpg –delete-secret-keys и gpg –delete-keys (после отзыва).

Критерии приёмки

• Письмо успешно шифруется и расшифровывается между отправителем и получателем.
• Электронная подпись проверяется без ошибок.
• Сертификат отзыва работает: после применения отклонённые сообщения не принимаются как валидные.

Тестовые сценарии (приёмочные тесты)

• Тест 1: Отправитель шифрует письмо получателю A → получатель A может расшифровать.
• Тест 2: Подпись проверяется и совпадает с отпечатком публичного ключа.
• Тест 3: После отзыва ключа старые сообщения остаются зашифрованными, но новые подписи считаются недействительными.

Краткий словарь (1 строка)

• Публичный ключ — открытая часть ключевой пары для шифрования/проверки подписи.
• Приватный ключ — секретная часть ключевой пары для расшифровки/подписания.
• Сертификат отзыва — файл, который аннулирует приватный ключ в случае компрометации.

Часто задаваемые вопросы

Q: Нужно ли устанавливать Enigmail в новых релизах Thunderbird? A: В современных релизах Thunderbird OpenPGP встроен, поэтому Enigmail не требуется. Enigmail использовали в старых версиях.

Q: Как передать публичный ключ получателю безопасно? A: Лучшая практика — обменяться отпечатками ключей через независимый канал (телефон, личная встреча) и отправить ключ как файл или через публичный сервер ключей.

Q: Что делать при компрометации приватного ключа? A: Немедленно используйте сертификат отзыва, опубликуйте отзыв на ключевых серверах и сообщите корреспондентам.

Итог

Thunderbird позволяет организовать End-to-End шифрование писем с помощью OpenPGP/GPG. После установки и создания ключей вы сможете подписывать и шифровать сообщения, а также управлять отзывами и резервными копиями. Это обеспечивает высокий уровень конфиденциальности при регулярном использовании электронной почты.

Image credit: Computer security by BigStockPhoto