计世网消息 e-mail加密或许比你想象的更简单。这种体会来自于我们对6款产品的Clear Choice Test，这些产品不仅为你的e- mail系统加上一把大锁，还提供了许多加密以外的新特性。
在评测前，我们向邮件加密产品供应商撒了一张大网，其中的六家接受了我们的邀请（CipherTrust IronMail、Entrust Entelligence、PGP Universal Series 500、PostX Secure E-mail、Tumbleweed MailGate以及ZipLip Secure Messaging Suite）。Voltage Security、Sigaba、Authentica和Zix拒绝了我们的邀请。CenturionSoft的CenturionMail也接受了测试，但是其桌面加密系统不适用本次测试。（see story)
CipherTrust的IronMail在稳定的性能、管理和策略加强方面赢得了本次的Clear Choice Award。其它五款被测产品则紧随CipherTrust其后，IronMail提供了最好最全的功能，当然，其它产品也提供了很丰富的功能。
起程
在很大程度上，e-mail加密产品的价格倒并不是企业最在意的――最大的障碍是管理密钥和证书的复杂性。试图在桌面上来管理加密往往很困难。我们测试的这些产品能让你在网关上来管理加密（即，基于策略的网关e-mail加密）。更重要的是，这些产品的加密过程对于最终用户是完全透明的。
虽然我们使用的是Exchange Server 2003，但这些产品可以与任何基于SMTP的e-mail系统配合使用。向外发送的e-mail首先发给网关服务器处理。如果收到需要解密的邮件，那么这些入站的邮件同样也由这些产品先进行处理，然后再转交给现有的e-mail系统。
兼容他人
接下来的一个大问题是：如果e-mail的接收方不使用加密该怎么办。幸运的是，供应商们利用一个基于Web的接口很好地解决了这个问题，外部收件人可以通过它来获取加密邮件。如果系统找不到密钥来加密向外发送的邮件，该邮件便被转移到发送方网络的某个Web站点。然后，系统给最初的收件人发送一则明文消息，指引他们到该Web站点。当外部用户首次连接到Web站点时，需要创建一个用于登录的密码。创建完成后，用户便可以登录并阅读e-mail了。此时使用的是SSL Web浏览器连接，系统是安全的。
被测产品对Web内容的控制也各不相同。有的根据指定的期限自动删除过期消息。PGP还能为消息存储设置配额，一旦配额已满，消息即被退回。这么做的原因是你实际上是帮外部收件人在保存e-mail，发送方应该对这些资源有所控制。
我们所测试的所有产品都能或多或少地在其邮件Web站点上打上你公司的商标，使之看上去与公司页面风格一致。不过能打上多少商标就大有区别了。灵活性最小的PGP只允许你加载一个logo 和一条客户广告标语。而灵活性最大的CipherTrust 则可以在各种Web界面上都打上你公司的商标。这么做有助于标识公司的分公司和部门。其它产品则介于二者之间。
ZipLip和PostX另外提供了一个方法来向外部用户发送加密的邮件而无需他们自己的加密。 E-mail能够以JavaScript附件的形式来发送，称作安全信封（secure envelope）。当第一次向外部用户发送消息时，该用户必须连接到Web站点并创建一个密码。一旦密码注册成功，收件人便可以接收安全信封消息了。以后，当收到这类消息时，收件人打开JavaScript附件。附件会要求密码，密码正确则显示消息的具体内容。如果查看消息的源代码，你会发现它是以加密格式保存的。
这个方法可以实现两个目的：把消息保存在收件人的邮件系统上而不是你的系统，同时也能够让收件人在离线时阅读消息。然而，实施该方法必须具备一个支持JavaScript功能的浏览器。这两家厂商的系统与Internet Explorer和Mozilla Firefox的协作都很良好，不过对于Konqueror和Safari浏览器我们也有综合的结果（见"How we did it"）。如果浏览器无法执行JavaScript，这两款产品都会向收件人作出解释说明。
加密还是不加密？
决定什么样的e-mail应该被加密最好是通过策略来完成。所谓策略就是一组可应用于每一则消息的规则，它能够触发一个动作。
与其它产品相比，PGP在这方面的功能要少得多。PGP的所有策略都是基于e-mail地址的。我们可以把用户分成组，为特定的域创建策略以及做一些初步的邮件主题扫描，就这么多。动作则包括选择加密类型或是否发送消息。
其它产品不仅能够完成上述工作，还在如何扫描消息内容方面提供了一些附加功能。ZipLip和CipherTrust可以让用户建立用于扫描的单词和短语字典库，当消息的主题或内容里出现这些词语时便会触发一个动作。Entrust、PostX 和Tumbleweed还可以让你输入规则表达式，这是一种描述数据潜在特征的方法而不是精确定义。例如，你要搜索一个由九个阿拉伯数字组成的数，其中第三位和第五位数字后面允许或不允许出现破折号（假如你查找的是社会安全号码）。CipherTrust、Entrust和Tumbleweed在这方面强于其它被测产品。
对于那些受Sarbanes-Oxley Act或Health Insurance Portability and Accountability Act之类法规管制的公司来说，这些产品具备顺应性（Compliance）功能。 这些产品预置了相关词典，可应用于这些情景。系统同样也有一些额外的动作来处理顺应性需求。其中包括把相关消息拷贝给审核官员、记录消息日志或整合这些消息。
保密性
我们测试产品的核心是加密密钥和证书。每个产品的测试均使用Advanced Encryption Standard。此外，PostX 可以使用ARC4算法，而ZipLip和Tumbleweed也可应用Triple-DES 。Entrust和PGP 提供最灵活的密钥生成方案，支持5个密码。而PGP的不同之处是它支持更长的密钥长度（对于Triple-DES可达4,096位），依密码而定。总的来说，密钥越长越难被破解。不过也意味着需要花更长的时间来加密解密。
在我们的性能测试中，PGP是绝对的赢家。它消化我们测试负荷的速度明显快于其它产品。CipherTrust和Entrust分列二三位，二者速度很接近。
体贴和供给
所有的产品都是通过一个Web界面来管理的，这使得管理很方便。
PGP的界面一致性最好。无论在Internet Explorer、Firefox、Konqueror还是Safari上，它的外观和性能都是一样的。ZipLip、 PostX、CipherTrust和Tumbleweed在Explorer 和Firefox上表现很好,但是在Konqueror和Safari上就不那么理想了。而Entrust只在Explorer上工作正常。
此外,Entrust是唯一不完全基于Web来进行管理的产品。它的策略编辑器是一个独立的应用程序，运行于某台Windows 工作站上。尽管那个图形应用程序能够显示策略流程，但它需要你把策略集从服务器上下载下来，修改后再上传给服务器。Entrust产品套装也被分为三大服务：顺应性（compliance）服务器、消息服务器和Web邮件分发服务器。每个服务都由专门的Web界面来管理。尽管看上去很相像，但它们之间还是有很明确的区别的，包括不同的密码要求。这使得Entrust管理起来更具技巧性。
ZipLip的有些行为令人费解――某些主要的配置发生更改后居然要求重启Tomcat应用程序服务器。而我们无法通过Web界面来重启；还得连到服务器上去手动重启。幸运的是，这些主要的更改不会频繁发生。
所有被测产品都能很好地显示摘要――通过该版面来快速查看产品的表现有多么的好。CipherTrust、PGP、Tumbleweed和PostX所提供的图表很美观。
所有的产品都具备一定的报告功能。Entrust所能生成的报告的数目是最多的。ZipLip包含许多预定义的报告，但默认情况下都没有激活。Tumbleweed也有不少包装好的报告，可以从Web界面或通过计划任务来执行它们。
最终用户友好性
|
E-mail encryption delivery performance*
IN SECONDS |
|
PGP |
58 |
|
CipherTrust |
125.6 |
|
Entrust |
130.6 |
|
PostX |
133 |
|
ZipLip |
211 |
|
Tumbleweed |
393.2 |
|
*Average time to trigger and deliver 1,000 encrypted e-mails, over five test runs. |
|
尽管这些产品被置于网关，它们中的某些产品还拥有一些可选的客户端组件。Tumbleweed和CipherTrust含有Outlook的管理单元。这些插件为用户添加了一个工具栏按钮，使他们能够主动要求为某则消息加密，而不管其内容是否触发了某条策略。PostX 拥有一个可选的客户端程序，它能够将一些附加的功能推送给客户端。它还可以让用户进行强制加密，以及获取系统密钥并在桌面上加密消息。这可以确保消息在加密的状态下在因特网上传输。
PGP拥有一个可选的桌面客户端程序，它是与Universal Server 网关集成在一起的。我们并没有测试它，因为它是个附加产品。其它方面，用户可以管理他们自己的加密密钥，也可以发送给网关做代理加密。此外，还有一些工具可用于在客户机上加密本地文件。
其它传输选项
对于在他那一端启用了加密的收件人来说，这些产品还有一些额外的用处。例如，所有的产品都支持Transport Layer Security (TLS)。如果你将其它公司e-mail服务器的证书导入到你的系统中，便可以在两个系统间建立一个加密的通道来传递邮件。使用TLS,消息的传递过程是加密的，但消息本身并没有加密。
将证书导入到你的系统中还可以让你实施Secure Multi-purpose Internet Mail Extensions (S/MIME)加密。它使用同样的加密密钥，但它加密消息本身，而不仅仅是加密连接。所有被测产品都支持S/MIME,不过Tumbleweed在这方面更加深入一些,它采用了一种新颖的协议，叫做S/MIME Gateway,可实现证书的自动交换。此外，CipherTrust、 Entrust、PostX，当然还有PGP都支持PGP加密，把它作为S/MIME的备选方案。
如果消息是被签名的而不是加密，那么该消息会以明文来发送，但是可以通过发送方的数字签名来验证消息在传输过程中有无被改动。Tumbleweed、Entrust、PGP和PostX能够完成“密钥收获（key harvesting）”，就是把数字签名里的公钥提取出来并保存以备日后使用。当系统发现有发往那个地址的邮件时，便可以为该用户执行代理加密。
安装/文档
CipherTrust的IronMail安装起来最方便。当购买该系统时，你需要填写一张配置表。CipherTrust随后便将预配置好的设备送给你，你只需把它放上设备架、插上电源并开机即可。没花几分钟，我们就完成了它的基本配置。
Tumbleweed和Entrust也负责送设备。还可以只购买纯软件的系统，Tumbleweed 的安装很轻松。当我们把硬件挂接好并连接到网络后，一个Tumbleweed工程师便会远程地接入系统来配置它。此外，还需要花一点时间来接受一个简短的培训。
Entrust的安装过程是最复杂的。每个设备都包含基于Red Hat Linux的软件预载，但各个设备都需要手动配置。我们得运行脚本、记下地址并随后输入它们，工作烦琐不堪。还好，Entrust提供的文档相当棒，使我们的工作得以顺利进行。
PGP给我们发来了专门的软件，可以在认可的硬件设备（包括我们的HP ProLiant服务器）上实现自动安装。如果客户的硬件与PGP的要求不符，也有相应的工具来解决这个问题。安装过程自动地格式化驱动器、安装一个Red Hat Linux内核并完成一个基本配置，配置过程只需回答几个问题。
ZipLip和PostX是传统的软件包。虽然我们把两个软件包都装在了Windows Server 2003上, ZipLip也能够在Linux上运行,而PostX则可运行于Linux、Sun或AIX系统。PostX的安装相对而言更直截了当一些,整个过程都提供配置选项。ZipLip的安装要复杂一些，主要因为它的那些不同的配置选项。
所有产品都提供有用的文档。给我们印象最深的是PostX,它提供了一个针对特定功能的Quick Start指南。PGP提供很好的配置范例以及一大堆截屏图片。ZipLip的安装指南相当得好，但安装完成后就显得用处不大了。其它厂商的文档都很好地兼顾了安装和参考的功能。
所有这些产品都向我们证明了：实施e-mail加密或许比你想象的更简单。
, ,