Jak zašifrovat e-mail: PGP, S/MIME a snadné alternativy

E-mail vznikl v 70. letech – dávno předtím, než internet začal řešit bezpečnost. Ve výchozím stavu putuje e-mail internetem jako prostý text, který si může přečíst kdokoli, kdo ho zachytí. Je to jako posílat pohlednici místo zalepeného dopisu.

Šifrování e-mailu tento problém řeší. Jenže metod je hned několik – PGP, S/MIME, vestavěné šifrovací funkce, specializovaní poskytovatelé – a vybrat tu správnou může být matoucí.

Tento průvodce projde všechny metody, od technických po jednoduché, abyste si mohli vybrat tu, která odpovídá vaší situaci.

Proč na šifrování e-mailu záleží

Bez šifrování mohou váš e-mail číst:

• Váš poskytovatel e-mailu (Gmail, Outlook, Yahoo – zpracovávají obsah kvůli funkcím, jako je filtrování spamu, a Yahoo stále využívá komerční e-maily k reklamě)
• Váš zaměstnavatel (pokud používáte firemní poštovní server)
• Poskytovatelé internetových služeb po cestě
• Hackeři, kteří zachytávají provoz (útoky typu man-in-the-middle)
• Státní orgány se zákonným přístupem k datům poskytovatelů

I „smazané" e-maily často přetrvávají v zálohách, archivech a v několika kopiích na serverech.

Metoda 1: PGP/GPG – zlatý standard

Pretty Good Privacy (PGP) je původní standard pro šifrování e-mailu, který v roce 1991 vytvořil Phil Zimmermann. GPG (GNU Privacy Guard) je jeho bezplatná open-source implementace.

Jak PGP funguje

PGP používá asymetrické šifrování s párem klíčů:

Veřejný klíč    → Sdílejte s kýmkoli (slouží k šifrování zpráv PRO vás)
Soukromý klíč   → Držte v tajnosti (slouží k dešifrování přijatých zpráv)

Když posíláte šifrovaný e-mail:

1. Zašifrujete ho veřejným klíčem příjemce
2. Dešifrovat ho dokáže jen jeho soukromý klíč
3. Ani vy si pak odeslanou zprávu nepřečtete

Nastavení PGP

Možnost A: Thunderbird (vestavěno od verze 78)

1. Nainstalujte Mozilla Thunderbird
2. Přejděte do Account Settings → End-to-End Encryption
3. Vygenerujte nový pár klíčů OpenPGP
4. Sdílejte svůj veřejný klíč s kontakty
5. Importujte veřejné klíče svých kontaktů
6. Napište e-mail → klikněte na ikonu šifrování

Možnost B: GPG Suite (macOS) / Gpg4win (Windows)

1. Nainstalujte GPG Suite nebo Gpg4win
2. Vygenerujte svůj pár klíčů
3. Nahrajte veřejný klíč na server klíčů
4. Nainstalujte plugin pro poštovního klienta
5. Šifrujte/podepisujte e-maily ve svém běžném klientovi

Výhody a nevýhody PGP

Výhody	Nevýhody
Nejsilnější dostupné šifrování	Složité nastavení pro netechnické uživatele
Decentralizované – žádná důvěryhodná třetí strana	PGP musí používat obě strany
Open source a důkladně auditované	Správa klíčů je těžkopádná
Funguje s jakýmkoli poskytovatelem e-mailu	Předmět ani metadata se nešifrují
Zdarma (GPG)	Odvolané/prošlé klíče způsobují zmatek

Metoda 2: S/MIME – šifrování založené na certifikátech

S/MIME (Secure/Multipurpose Internet Mail Extensions) používá digitální certifikáty vydávané certifikačními autoritami (CA).

Jak S/MIME funguje

Místo ruční výměny klíčů (jako u PGP) se S/MIME spoléhá na certifikáty od důvěryhodných CA:

1. Získejte certifikát S/MIME (od CA jako Sectigo, Comodo nebo od své organizace)
2. Nainstalujte certifikát do poštovního klienta
3. E-maily se šifrují automaticky, pokud je k dispozici certifikát příjemce
4. Digitální podpisy ověřují identitu odesílatele

Výhody a nevýhody S/MIME

Výhody	Nevýhody
Vestavěno v Outlooku, Apple Mail a Thunderbirdu	Certifikáty stojí peníze (bezplatné varianty existují, ale jsou omezené)
Pro organizace jednodušší než PGP	Centralizovaná důvěra (závislost na CA)
Automatická výměna klíčů prostřednictvím certifikátů	Certifikáty je nutné obnovovat
Vhodné pro firemní prostředí	Méně běžné pro osobní použití

Metoda 3: Důvěrný režim Gmailu

Gmail nabízí vestavěný „důvěrný režim" (Confidential Mode), který poskytuje jen omezenou ochranu.

Jak ho používat

1. V Gmailu napište nový e-mail
2. Klikněte na ikonu zámku s hodinami dole
3. Nastavte datum vypršení
4. Volitelně vyžadujte přístupový kód přes SMS
5. Odešlete

Co dělá

• Brání přeposílání, kopírování, tisku a stahování
• Nastavuje datum vypršení zprávy
• Může k otevření vyžadovat ověření přes SMS
• Po odeslání můžete přístup odvolat

Co NEdělá

• NEšifruje obsah e-mailu – Google ho stále může číst
• NEbrání pořízení snímků obrazovky
• E-mail zůstává uložený na serverech Googlu
• Nejde o skutečné end-to-end šifrování

Verdikt: divadlo na soukromí, ne skutečné šifrování. Hodí se pro běžné použití, ale ne pro opravdu citlivé informace.

Metoda 4: Šifrovaný e-mail v Outlooku

Microsoft Outlook nabízí šifrování e-mailu prostřednictvím Microsoft 365 Message Encryption.

Jak ho používat

Outlook pro desktop:

1. Napište nový e-mail
2. Přejděte do Options → Encrypt
3. Zvolte úroveň šifrování:
   - Encrypt-Only (Microsoft 365)
   - Do Not Forward
   - Confidential
4. Odešlete

Outlook na webu:

1. Napište nový e-mail
2. Klikněte na tlačítko Encrypt
3. Zvolte „Encrypt" nebo „Do Not Forward"
4. Odešlete

Omezení

• Vyžaduje vhodný placený plán Microsoft 365 (některé plány Business/Enterprise, nebo Personal/Family pro Outlook.com)
• Příjemci bez účtu Microsoft dostanou odkaz k zobrazení v prohlížeči
• Microsoft má k obsahu stále přístup (nejde o skutečné E2E)
• S/MIME v Outlooku vyžaduje nastavení certifikátu

Metoda 5: ProtonMail – vestavěné E2E šifrování

ProtonMail poskytuje end-to-end šifrování bez jakéhokoli nastavování.

Jak to funguje

• Mezi uživateli ProtonMailu: automatické E2E šifrování – nulová konfigurace
• Externím příjemcům: nastavíte heslo; příjemce zprávu otevře přes šifrovaný odkaz
• Kompatibilita s PGP: můžete si vyměňovat šifrované e-maily s uživateli PGP

Výhody

• Nevyžaduje žádné technické znalosti
• Šifrování je automatické a nenápadné
• Švýcarská jurisdikce (přísné zákony na ochranu soukromí)
• Šifrování s nulovým přístupem – ProtonMail vaše e-maily číst nemůže
• K dispozici je bezplatný tarif

Omezení

• Bezplatné účty jsou omezeny na 500 MB
• E-maily uživatelům mimo ProtonMail vyžadují, aby příjemce použil heslo nebo PGP

Metoda 6: Tutanota – šifrování s nulovou znalostí

Tutanota šifruje všechno – e-maily, kontakty, kalendář, a dokonce i předměty zpráv.

Jak to funguje

• Mezi uživateli Tutanoty: automatické E2E šifrování
• Externím příjemcům: nastavíte heslo; příjemce použije zabezpečený odkaz
• Předměty zpráv jsou šifrované (na rozdíl od většiny ostatních metod)

Výhody

• Šifrování předmětu zprávy (mezi poskytovateli vzácné)
• Open-source klientské aplikace (kód serveru není zveřejněn)
• Při běžném provozu se nezaznamenávají IP adresy
• Šifrované vyhledávání

Omezení

• Bezplatné účty jsou omezeny na 1 GB
• Vlastní domény vyžadují placený tarif
• Nelze používat s poštovními klienty třetích stran (IMAP/SMTP není podporováno v žádném tarifu)

Srovnávací tabulka

Metoda	Typ šifrování	Náročnost nastavení	Cena	Šifrovaný předmět	Poskytovatel může číst
PGP/GPG	E2E (asymetrické)	Obtížné	Zdarma	❌	❌
S/MIME	E2E (certifikát)	Střední	Zdarma–$$	❌	❌
Důvěrný režim Gmailu	Pouze řízení přístupu	Snadné	Zdarma	❌	✅
Šifrování v Outlooku	Přenos/DRM	Snadné	$$ (M365)	❌	✅
ProtonMail	E2E (automatické)	Snadné	Zdarma/placené	❌	❌
Tutanota	E2E (automatické)	Snadné	Zdarma/placené	✅	❌

Kterou metodu zvolit?

Pro maximální bezpečnost (techničtí uživatelé):

PGP/GPG – decentralizované, důkladně auditované, funguje s jakýmkoli poskytovatelem. Vyžaduje zapojení obou stran.

Pro firemní prostředí:

S/MIME – integruje se s Outlookem, centralizovaná správa certifikátů, vhodné pro organizace.

Pro každodenní šifrovaný e-mail:

ProtonMail nebo Tutanota – bez nastavování, automatické šifrování, k dispozici bezplatné tarify.

Pro rychlou ochranu v Gmailu:

Důvěrný režim Gmailu – lepší než nic, ale pamatujte, že nejde o skutečné šifrování.

Kdy šifrování e-mailu nestačí

I šifrovaný e-mail má svá omezení:

• Metadata e-mailu jsou vždy odhalena – odesílatel, příjemce, časová razítka, předmět (kromě Tutanoty)
• Šifrovaný e-mail je pořád e-mail – zůstává natrvalo ve schránkách
• Správa klíčů je křehká – ztracené klíče znamenají ztrátu přístupu ke starým e-mailům
• Chování příjemce nemáte pod kontrolou – může pořídit snímek obrazovky, přeposlat dešifrovaný obsah apod.

Pro sdílení informací, které mají být dostupné jen krátce – hesla, přihlašovací údaje, důvěrné poznámky – zvažte nástroje určené k dočasnému sdílení. LOCK.PUB vytváří poznámky chráněné heslem a s Pro můžete nastavit, aby se po určité době nebo počtu zobrazení přestaly otevírat. Na rozdíl od šifrovaného e-mailu přístup končí, kdy se rozhodnete vy.

Jak začít

1. Zhodnoťte své potřeby: Chráníte běžné e-maily, nebo opravdu citlivá data?
2. Zvažte své příjemce: Nastaví si PGP, nebo potřebujete něco jednoduššího?
3. Začněte nejsnazší možností: pro většinu lidí ProtonMail nebo Tutanota
4. Podle potřeby přitvrďte: pro maximální bezpečnost při komunikaci s technicky zdatnými kontakty přidejte PGP

Šifrování e-mailu není otázkou „všechno, nebo nic". I přechod na ProtonMail pro citlivé konverzace při zachování Gmailu pro běžné použití je výrazné zlepšení.

Bezpečně sdílejte citlivé informace →