GMail vs Архив с паролем: печальные последствия хороших начинаний

Иногда возникает такая задача - передать по электронной почте документ, подлежащий особой защите, который не следует передавать в открытом виде.

Удобным способом, без привлечения сторонних средств шифрования, является его архивация с установкой пароля на архив. Практически все архиваторы имеют функцию установки пароля.

Часто, используя архивы с паролем происходят рассылки вирусов. Лично мне попадались такие письма с предложениями оплатить или проверить счета, посмотреть мои "заявки" и документы.

GMail, проявляя предусмотрительность и заботу о безопасности пользователей, стал блокировать запароленые архивы. Что конечно от части логично, но вот предупредить об этом пользователей, как отправляющих так и принимающих такие файлы, забыли.

Вот и получается, что отправляешь ты подрядчику/заказчику документ на его корпоративный адрес, привязанный к GMail, и только спустя время узнаешь, что документ не получен, со всеми вытекающими последствиями.

Такое происходит только при отправке на ящики, привязанные к GMail. При отправке на ящик @gmail.com приходит уведомление о блокировке письма:

host gmail-smtp-in.l.google.com[64.233.164.26] said:
552-5.7.0 This message was blocked because its content presents a potential
552-5.7.0 security issue. Please visit 552-5.7.0
http://support.google.com/mail/bin/answer.py?answer=6590 to review our 552
5.7.0 message content and attachment content guidelines. w6si507564lad.83 -
gsmtp (in reply to end of DATA command)

И все бы хорошо, можно файлы и по другому передать. Но GMail, будучи крайне предусмотрительным, еще и блокирует отправителя запароленых архивов как потенциального распространителя зловредов. А чтобы распространитель зловредов не заподозрил, что гугл его вычислил, gmail присылает уведомление о успешной доставке (!):

delivery via
gmail-smtp-in.l.google.com[173.194.71.27]:25: 250 2.0.0 OK 1423661766
y8si575263lal.144 - gsmtp

В результате, все последующие письма уходят в пустоту.

Конечно, нельзя стоят на пути у прогресса, тем более в области ИБ, но в данном случае имеем наглядный пример того, как чрезмерная безопасность может ввести в заблуждение и нарушить технологические процессы.

Учась на ошибках, при внедрении политик безопасности у себя в организации следует учитывать возможность подобных последствий и стараться уведомлять пользователей о новых ограничениях.