如何configuration电子邮件服务以提供（接近）零知识？

免责声明 – 我正在捕鱼的想法，所以我可以看到，有些人会开始downvoting和标记这不适合SF，但嘿，如果你知道一个更好的地方来问这个问题，那里有一个评论框，不要只隐藏你的点击。

我有这个微小的生产服务器，我正在与同事分享和closures客户端。我被要求提供电子邮件服务。我想我从来没有想过这个，但是我很惊讶地发现，各种邮箱格式以明文forms存储消息，并且接近没有人关心。所以我想，那些奇特的提供商必须在幕后做一些事情。我不一定会想到ProtonMail，但我想Google确实会用某种forms的encryption存储消息 – 是的，我意识到这些服务可能已经开发出了自己的软件，但是嘿。所以我开始阅读，而且我得到的最接近的是一个相对复杂的Exim4安装程序，其中涉及每个用户密钥对的GPG transport_filter 。

事实是，可能绕过服务器的消息将不会是非常机密的，我的同事和客户已经足够精明，可以根据需要自行使用GPG。我主要关心的是，这些消息对任何人都是明文的 – 我可以看到，只要我不是pipe理服务器的唯一人，偶尔的cat /var/mail/username （或者其他的）将会发生。最糟糕的是，这些消息将以明文forms备份 – 事实上，我可以对备份进行encryption。

正如我所说的，我不想提供类似protonmail的服务，我只是在寻找一些提供某种forms的烟雾来对付不小心的pipe理员。特别是在运输过程中需要一些明确的文字，例如反病毒和反垃圾邮件。但是，如果您对更安全的事情有令人信服的解决scheme，我愿意接受所有build议。

我只是在寻找一些对粗心大意的pipe理员提供某种forms的烟幕。

简答： 不，你不能 。

如果你与pipe理员打交道， 第一个，最后也是唯一一个防守就是end2endencryption。所以GPG就是答案。

谁拥有对服务器的根访问权限（应该）拥有它，因为他们需要它，并可能知道如何configuration服务（以便维护它们或在出现问题时修复它们）。

所以，如果你设置了一些拥有root权限的混淆模式，可能知道这个混淆是如何产生的，并知道如何解码这些消息，所以：

它不添加任何有效的安全层
造成虚假的安全感

安全系统只有它的秘密才是安全的。谨防伪秘密。

（埃里克雷蒙德 – 大教堂和集市）

相反，你应该明智地select谁拥有pipe理员资格：

他们真的需要他们？
一个适当的有限的sudo访问一些特定的命令可以是足够的？

其他解决scheme

所有传入邮件的自动GPGencryption

PRO：

保持IMAP邮箱由偷窥者保护
即使被盗，数据也是安全的

缺点：

需要一个适当的configuration客户端来阅读邮件（没有networking邮件访问）
客户必须同意，提供公共的GPG密钥并configuration其邮件客户端（需要技术技能）
发件人，收件人，主题和所有标题未encryption（客户必须知道）
需要一些工作服务器端和validation客户公钥的正确方法
邮件在您的服务器上以明文forms出现，因此可以在GPGencryption之前进行窃听

服务器上的全盘encryption

PRO：

如果服务器或磁盘被盗/被占用，可以保证数据安全
完全透明，不需要特别configuration邮件服务器或其他服务

缺点：

没有保护pipe理员或如果服务器被黑客入侵
每次启动时都需要input密码（如果只有数据分区被encryption，或者需要KVM才能通过SSH），并且您必须信任该通道。
你会得到较低的I / O性能

使用end2endencryption

PRO：

最安全的方式，即使你不能访问这些数据

缺点：

客户必须做到这一点，谁的客户联系一定要做到这一点
为了安全起见，必须对所有邮件进行处理，对所有在线服务发送未encryption的邮件（欢迎邮件，密码更改邮件，通知等）

知道系统pipe理员（电子邮件服务器的）和所有C级别的伙伴如何知道你和你的公司正在进行的沟通显然并不常见。如上面详细提到的GPG显然是一种select – 你是对的：你的用户可能是照顾它的人。一旦他们这样做，你（系统pipe理员）不能再阅读他们的电子邮件了，除非你有他们的钥匙。根据你所描述的事实，很多电子邮件用户并没有使用它。

好的老式的方式可能是给他们写一封电子邮件，build议这样做…但这可能是超出此平台的目的的一种方法。然而，一个非常引人注目的解决scheme（恕我直言）。

说了这些，回到技术选项：

几年前，在一家提供这种用户pipe理的隐私保护的公司，我们使用了PGP（它提供了一个相当不错的隐私 ;-)，这当然是GPG的一个很好的select（这些GNU的人总是想扭转我们的想法，他们？），但它仍然是基于每个用户的。

请记住，隐私和知识的含义是非常不同的。从你正在写的内容来看，我认为你想要的是为别人提供额外的隐私保护……就像出于某种无私的思考或者关心周围的敏感信息以及每个pipe理员都可以访问它们一样。我觉得你觉得这样很好，如果你这样想的话，你可能对一些用户来说太过分了。他们甚至不希望你改变每个人习惯的习惯（或者习惯了不知道）。因此，如果您想要超越让每个人都关心其电子邮件中包含的敏感信息的程度，并且个性化的encryption解决scheme由于任何原因而不可用，那么我想您必须将服务器解决scheme作为@Tsumi非常好的讨论，或者你真的去质子邮箱。

或者 – 再一次 – 你去寻找上面提到的人类解决scheme – 祝你好运，为你的使用案例find最好的决定！