为什么几乎没有大公司通知邮件用证书数字签名防钓鱼的

[busier]

大公司，尤其是那些在主流系统内可以预埋 CA 根证书的公司，连证书的成本都省了

但是几乎没什么公司在通知邮件中进行 S/MIME 数字签名。

这项技术不是很容易就将仿冒钓鱼邮件给排除在外了么。

即便买不起证书的小公司或个人，用 pgp 签名通知邮件也可以凑合下

网站之类 用证书表明自己身份 大家都觉得有必要

但是邮件上，大家都好像约好的不用呢

有什么重大缺陷 还是利益问题？

[arrow629]

邮件现在有 SPF 、DKIM 、DMARC 其实也够用了，DKIM 还可以放 RSA 公钥，差不多也相当于签名了。就是交换密钥的方式使用明文 DNS 有点被劫持的风险。

[billlee]

Webmail 大部分都不支持校验 S/MIME 或 PGP 签名吧

[sampeng]

因为成本。这个成本不光是服务器成本。想想现在所有的邮件都有了 pgp 签名，服务器最少得加。
但是，更多的是学习成本。客户端要自动生成，自动签名，自动携带。技术上没问题，但执行有问题。。除非形成共识或者法规。运营商是没这个动力干这个事的。

[busier]

@sampeng

通知类邮件 服务商发件签名就可以了 客户端最多只验证签名（可选）

又不用客户端发件，不需要客户端签名

[busier]

@billlee 如果只是验证数字签名，而不是加密的话，webmail 支持并没技术难度

[busier]

@sampeng

再说现在 DKIM 是每次发件，还是需要邮件服务器处理 DKIM 签名加解密

S/MIME 和 PGP 签名又不需要邮件服务器处理，而是发件方邮件客户端处理，不会增加邮件服务器成本。

[wdlth]

因为大公司有垃圾、有害邮件处理系统，像我以前在的一家公司，发进来至少得有 3 次处理，普通的公共邮箱根本发不进来，你想发到自己邮箱带上附件，只能提单。

[yinmin]

因为 S/MIME 签名是不附带时间戳签名，邮件证书是附加在邮件里的，如果证书过期了，那么这封邮件直接报警。

试想一个场景，你发一个重要的邮件给客户带了邮件签名，一切正常。过了半年邮件证书过期，客户回看这个邮件直接报警， 客户发邮件问你：这个半年前的邮件是不是你发的，为什么报警，是不是你们的邮件系统出 BUG 了？是不是感觉有点酸爽？

如果大老板问 IT 为什么半年前的邮件报警了，是不是邮件系统出 BUG 了，要求 IT 赶紧去修复过期邮件报警问题(其实是无法解决的)，你说 IT 会不会回去就把 S/MIME 给关了？

[busier]

@yinmin 嗯 你这到是说道点上了

[busier]

@yinmin 不过我说的是公开通知类邮件 比方说验证码 找回密码之类的 其实也没有这样的问题 反正过时失效