Szyfrowany email a szyfrowane przesyłanie plików: porównanie
Porównaj szyfrowany email oraz szyfrowane przesyłanie plików i znajdź najlepszą metodę bezpiecznego wysyłania poufnych dokumentów i dużych plików.
Szyfrowany email (PGP, S/MIME lub usługi takie jak ProtonMail) sprawdza się dobrze do krótkich poufnych wiadomości i dokumentów poniżej około 25 MB — limitu załączników Gmail, który większość serwerów odbiorczych nadal egzekwuje. Szyfrowane przesyłanie plików (HexaTransfer, SwissTransfer, Tresorit Send) obsługuje pliki do 10 GB i więcej, generuje jednorazowe linki pobierania i oddziela plik od polityki retencji skrzynki odbiorczej. Email warto wybrać, gdy potrzebny jest wątek rozmowy wraz z małymi załącznikami. Przesyłanie plików warto wybrać dla wszystkiego dużego, wymagającego ograniczonej trwałości lub takiego, które nie powinno na stałe pozostawać w archiwach pocztowych. Często potrzebne będą oba narzędzia.
Ściana rozmiaru w emailu
Protokół SMTP został zaprojektowany w 1982 roku dla 7-bitowych telegramów ASCII. Załączniki są dołączane za pomocą kodowania MIME base64, które zwiększa rozmiar danych binarnych o około 33%. Wideo 20 MB staje się emailem 27 MB. Gmail odrzuca wiadomości powyżej 25 MB, Outlook.com ogranicza do 20 MB, a większość firmowych serwerów Exchange ustawia limity między 10 MB a 35 MB.
Po przekroczeniu tej granicy opcje stają się uciążliwe: dzielenie .zip na części za pomocą woluminów 7-Zip, przesłanie do usługi chmurowej i wklejenie linku (co niszczy szyfrowanie) lub zmiana narzędzia. Usługi transferu plików omijają ten problem — HexaTransfer przenosi .psd o rozmiarze 10 GB bezpośrednio, WeTransfer obsługuje 2 GB w darmowym poziomie, a dedykowane narzędzia korporacyjne jak Signiant mogą przesyłać terabajty.
Jak szyfrowanie faktycznie się różni
PGP (RFC 4880) szyfruje treści wiadomości losowym kluczem sesji AES-256, a następnie opakowuje ten klucz kluczem publicznym RSA-4096 lub Curve25519 odbiorcy. S/MIME (RFC 8551) działa analogicznie, używając certyfikatów X.509 wydanych przez urząd certyfikacji. Oba są end-to-end — dostawca poczty przechowuje szyfrogram.
Szyfrowane przesyłanie plików zazwyczaj stosuje inny model. Plik jest szyfrowany po stronie klienta za pomocą AES-256-GCM, serwer przechowuje jedynie szyfrogram, a klucz deszyfrowania jest zawarty we fragmencie URL (#key=...), który nigdy nie trafia na serwer. Nie potrzeba PKI, sieci zaufania ani serwerów kluczy. Kompromis: szyfrowanie emailowe uwierzytelnia nadawcę kryptograficznie; linki do plików uwierzytelniają jedynie posiadacza URL.
Porównanie w skrócie
| Cecha | Szyfrowany email (PGP/S/MIME) | Szyfrowane przesyłanie plików | |---|---|---| | Typowy limit rozmiaru | 25 MB | 2 GB – 10 GB+ | | Uwierzytelnienie nadawcy | Silne (podpisane) | Słabe (oparte na linku) | | Konfiguracja klucza odbiorcy | Wymagana z góry | Niepotrzebna | | Trwałość | Na stałe w skrzynce | Zazwyczaj 7 dni | | Ujawniane metadane | Temat, nagłówki | Opcjonalnie nazwa pliku | | Działanie dla nietech. odbiorców | Rzadko | Zawsze | | Zgodność regulacyjna | HIPAA email (z BAA) | RODO art. 32, HIPAA |
Trwałość: archiwa pocztowe a wygasające linki
Zaszyfrowany email leży w ~/Mail/INBOX.mbox lub na serwerach Gmail przez lata. Jeśli urządzenie odbiorcy zostanie później skompromitowane lub jego klucz prywatny PGP zostanie wykradziony, wszystkie historyczne wiadomości zostaną odszyfrowane. Długa retencja jest dobra dla ścieżek audytu i zła dla zakresu strat po naruszeniu.
Linki do transferów plików zazwyczaj wygasają. HexaTransfer usuwa transfery po 7 dniach. SwissTransfer ogranicza do 30 dni. SendGB oferuje od 24 godzin do 30 dni. Po upłynięciu terminu szyfrogram jest usuwany, a klucz deszyfrowania staje się bezużyteczny — nawet jeśli URL wycieknie lata później, nie ma czego odblokować. Odpowiada to zasadom minimalizacji danych z art. 5 ust. 1 lit. e RODO i dlatego procedury prawne i medyczne coraz częściej preferują usługi transferu dla jednorazowych ujawnień.
Tarcie po stronie odbiorcy
Problem użyteczności PGP jest legendarny. Badanie Carnegie Mellon z 2015 roku wykazało, że 10 na 10 uczestników nie potrafiło za pierwszym razem poprawnie wysłać zaszyfrowanego emaila. Dwie dekady po wydaniu PGP przez Phila Zimmermanna odbiorca nadal musi wygenerować parę kluczy, opublikować ją, zweryfikować odciski palców i skonfigurować Thunderbirda lub GPG Suite. S/MIME jest nieco prostszy w środowiskach korporacyjnych, które automatycznie dystrybuują certyfikaty przez Active Directory.
Przesyłanie plików sprowadza cały ten proces do: kliknij link, ewentualnie wpisz hasło. Odbiorca nie potrzebuje żadnej wcześniejszej konfiguracji. Dlatego szyfrowane narzędzia do transferu plików wygrywają w scenariuszach kontaktu z klientem — księgowy wysyłający PIT klientowi, radiolog przekazujący badania DICOM lekarzowi kierującemu, prawnik dostarczający pakiety .pdf z materiałami do ujawnienia.
Gdzie oba podejścia się pokrywają: małe poufne dokumenty
Podpisana umowa, skan paszportu, wynik badania laboratoryjnego 2 MB — te pliki leżą w strefie niejednoznaczności. Obie metody działają. Email wygrywa, gdy potrzebny jest trwały zapis powiązany z wątkiem rozmowy. Przesyłanie plików wygrywa, gdy dokument powinien zniknąć po dostarczeniu, gdy odbiorca jest poza kręgiem PGP lub gdy potrzebne jest potwierdzenie pobrania potwierdzające faktyczne odebranie.
Niektóre zespoły stosują podejście dwutorowe: ProtonMail lub Tutanota do wymiany wątkowej poniżej 25 MB, oraz dedykowana usługa transferu dla wszystkiego większego lub takiego, co powinno wygasnąć. Oba warianty pozostawiają dostawcy jedynie szyfrogram, co dobrze spełnia wymogi HIPAA 45 CFR 164.312(e)(1) i PCI DSS 4.0 wymóg 4.2.1 dla danych w tranzycie.
Zgodność z przepisami i kwestia retencji
Przepisy rzadko nakazują konkretne narzędzie — nakazują osiągnięcie określonych wyników. Art. 32 RODO wymaga „odpowiednich środków technicznych" dla danych osobowych. Przepisy bezpieczeństwa HIPAA wymagają szyfrowania ePHI w spoczynku i w ruchu. PCI DSS 4.0 blokuje niezaszyfrowany PAN w kanałach komunikacji. Każde rozwiązanie E2EE — email lub transfer plików — może spełnić te wymagania, jeśli jest prawidłowo skonfigurowane i poparte podpisaną Umową o Wspólniku Biznesowym (dla HIPAA) lub Umową o Przetwarzaniu Danych (dla RODO).
Praktyczna różnica dotyczy podejścia do retencji. Systemy pocztowe domyślnie przechowują dane bezterminowo; systemy transferu plików domyślnie usuwają dane. W przypadku żądań usunięcia danych na mocy art. 17 RODO model transferu plików jest zdecydowanie łatwiejszy — danych często już nie ma, gdy wpłynie żądanie.
Wybór właściwego narzędzia do zadania
Szyfrowanego emaila należy używać do bieżącej korespondencji ze znajomymi kontaktami, małych załączników i komunikacji prawnie istotnej, gdzie potrzebna jest podpisana ścieżka audytu. Szyfrowanego przesyłania plików należy używać do jednorazowych dużych wysyłek, poufnych dokumentów dla nietech. odbiorców, plików, które powinny się samozniszczyć, oraz czegokolwiek, co odbijałoby się od limitu 25 MB załącznika. Oba narzędzia uzupełniają się, a nie konkurują.
Do przesyłania plików w tym przepływie pracy: Wypróbuj na hexatransfer.com — bezpłatnie, bez konta, do 10 GB.
Wysyłaj duże pliki bezpiecznie z szyfrowaniem end-to-end
Przesyłaj pliki do 10 GB za darmo z szyfrowaniem end-to-end. Bez rejestracji. Twoje pliki są szyfrowane w przeglądarce przed przesłaniem — nikt inny nie może ich odczytać.
Wyślij plik