Amgryptio E-bost

Mae amgryptio sy’n seiliedig ar TLS (yr un dull amgryptio sy’n cael ei ddefnyddio ar gyfer mynediad diogel i wefannau; yng nghyd-destun negeseuon e-bost cyfeirir ato’n aml fel STARTTLS) yn ddewisol ar gyfer gweinyddion e-bost sy’n cyfnewid negeseuon e-bost dros y rhyngrwyd.

Mae’r diagram isod yn dangos cwmpas effeithiolrwydd TLS wrth ei ddefnyddio i gyfathrebu rhwng gweinyddion e-bost.

Ar ôl i e-bost gael ei anfon i weinydd e-bost y derbynnydd, dylid nodi fod amgryptio negeseuon wedi hynny’n ddibynnol ar unrhyw daith ymlaen a hefyd ar ffurfwedd ap e-bost y derbynnydd.

Gall y rhan fwyaf o wasanaethau e-bost, fel Office 365 a Gmail, ddefnyddio TLS, ond nid yw pob gwasanaeth yn gallu ei ddefnyddio, felly ni ellir ei ffurfweddu fel gofyniad ar gyfer pob e-bost i ac oddi wrth Hwb, gan y byddai hynny’n atal rhai systemau e-bost rhag gallu anfon neu dderbyn negeseuon e-bost gan Hwb.

Fodd bynnag, gydag Office 365 mae modd gorfodi TLS mewn modd dethol; mae gwasanaeth e-bost Hwb wedi’i ffurfweddu i ganiatáu’r defnydd ymarferol ehangaf o TLS gorfodol.

Ffurfwedd Hwb

Mae Hwb wedi’i ffurfweddu i orfodi TLS ar gyfer pob e-bost sy’n cael eu hanfon a’u derbyn:

• Rhwng defnyddwyr Hwb

• Rhwng Hwb a Parthau Dibynadwy

Nid oes angen i ddefnyddwyr wneud dim, mae amgryptio’n cael ei roi ar waith yn dryloyw’n ôl rheolau sydd wedi’u rhag ddiffinio.

Mae’r ffurfwedd ar gyfer TLS gorfodol ar Hwb yn cynnwys:

• Gwirio cofnod DNS MX cyrchfan y parth

• Cadarnhau bod y gweinydd post yn gydnaws â STARTTLS

• Creu rheol llif post Exchange Online sy’n datgan bod TLS ar gyfer pob e-bost yn seiliedig ar:

  • Parth

    Mae hyn yn dweud wrth Office 365 pa negeseuon sy’n berthnasol i’r rheol.

    Enghraifft ffurfwedd: hwbcymru.net

  • Cyfeiriad gweinydd e-bost (o gofnod MX)

    Mae hyn yn helpu i atal newidiadau maleisus i DNS o ganlyniad i e-bost yn cael ei ailgyfeirio i systemau sy’n cael eu rheoli gan hacwyr. Enghraifft ffurfwedd: protection.outlook.com

  • Gofyniad am dystysgrif TLS a gyhoeddir gan CA

    Mae hyn yn helpu i sicrhau bod y gweinydd post yn cael ei ‘ddilysu’ mewn modd dibynadwy cyn bod yr e-bost yn cael ei anfon.

Mae’r ffurfwedd yn un na all fethu, sy’n golygu os bydd yr amgryptio’n methu am unrhyw reswm, ni fydd yr e-bost yn cael ei anfon.

Mae Message Encryption Office 365 (OME) yn wasanaeth Microsoft sy’n benodol i Office 365, ac sydd wedi’i drwyddedu i holl ddefnyddwyr Hwb.

Mae OME yn defnyddio cyfuniad o amgryptio a rheoli hawliau i alluogi diogelwch sy’n aros gyda’r e-bost ar ôl iddo gael ei anfon. Mae hyn yn rhoi sicrwydd ychwanegol mai dim ond pobl mae wedi ei rhannu â hwy fydd yn cael mynediad at yr wybodaeth.

Mae Message Encryption OME wedi ei ffurfweddu i weithio’n awtomatig os yw defnyddiwr yn cynnwys y geiriau allweddol ‘secure mail’ neu ‘post diogel’ yn llinell destun yr e-bost.

Dylid ystyried defnyddio S/MIME gyda gwybodaeth fwy sensitif, yn enwedig os nad yw rheolaethau eraill, fel MFA, yn ymarferol.

Mae S/MIME yn gweithio drwy ddefnyddio tystysgrifau; mae un yn gyhoeddus ac mae un yn breifat. Mae’r dystysgrif gyhoeddus yn cael ei rhannu â phobl eraill a gellir ei defnyddio i amgryptio negeseuon. Bydd angen tystysgrif gyhoeddus rhywun arnoch os ydych chi am anfon negeseuon wedi’u hamgryptio â S/MIME atynt.

Defnyddir y dystysgrif breifat i ddatgloi negeseuon e-bost; rhaid cadw’r dystysgrif hon yn gyfrinachol. Ar ôl ei osod bydd yn cael ei ddiogelu gan feddalwedd y cyfrifiadur. Bydd angen storio unrhyw gopïau wrth gefn o’r dystysgrif breifat yn ddiogel.

Y dystysgrif hon yw’r un sy’n sicrhau budd mwyaf S/MIME, byddai’n rhaid i haciwr gael mynediad at eich dyfais a’r dystysgrif breifat i allu gweld negeseuon e-bost wedi’u hamgryptio â S/MIME.

Os bydd haciwr yn dyfalu eich cyfrinair ac yn gallu mewngofnodi i Hwb, ond heb fynediad at eich dyfais, byddant yn gallu gweld eich e-bost, ond bydd unrhyw negeseuon sydd wedi’u hamgryptio â S/MIME yn parhau wedi’u hamgryptio ac ni all yr haciwr eu gweld.

Mae S/MIME yn opsiwn sydd ar gael i bob un o ddefnyddwyr Hwb. Bydd angen i ddefnyddiwr gael tystysgrif leol, y gellir ei ffurfweddu’n lleol ac ni fydd angen i dîm gweinyddol Hwb wneud dim newidiadau i Hwb.

Bydd e-bost wedi’i ddiogelu gyda S/MIME ar gael ar ddyfeisiadau sydd wedi’u ffurfweddu gyda’r tystysgrifau cyfatebol yn unig; os amharwyd ar flwch post o ddyfais arall, ni fydd modd cael mynediad at negeseuon e-bost S/MIME.

Nodiadau:

• Bydd angen eu tystysgrif eu hunain ar yr anfonwr a’r derbynnydd

• Rhaid i ddefnyddwyr â gosodiad S/MIME ddewis amgryptio e-bost mewn Outlook (fel arall byddant yn cael eu hanfon yn y ffordd arferol)