我想对我们的电子邮件使用 S/MIME 加密。我想我了解事情的运作方式，并且当人们安装了所有必要的证书时，我能够在他们之间发送加密邮件。
但在现实生活中，当开始节目时，人们可能没有在他们的设备上安装我的 S/MIME 证书。他们如何获得它们？
选项 1）我是否必须使用标准电子邮件将证书发送给他们并将证书作为附件发送？（例如，Microsoft Outlook 默认不允许这样做...）
选项 2）安装公钥后，公钥是否会自动附加到我的邮件中？（但随后，我会收到很多带有公钥附件的电子邮件...）
选项 3) 如果我的邮件是加密的（使用我的私钥），我的公钥会自动附加到邮件中吗？我认为这是最简单的解决方案。但事实确实如此吗？
如果以上情况都不成立，那么收件人如何获取我的证书以便解密我的邮件？
答案1
通常有两种方法可以让其他电子邮件用户使用带有公钥的 S/MIME 证书。
1. 签名电子邮件
在电子邮件客户端中设置 S/MIME 后，您通常会将其配置为对所有发出的电子邮件进行签名。大多数（如果不是全部）邮件客户端都会自动将 S/MIME 证书嵌入该 S/MIME 签名中。
收件人收到签名的电子邮件后，可以导入嵌入的 S/MIME 证书。某些邮件客户端可以配置为自动执行此操作，但始终应手动执行此操作。导入 S/MIME 证书后，收件人即可开始向证书所有者发送加密电子邮件。
2. 目录
S/MIME 证书可以在基于 LDAP 的目录中发布，并且可以配置邮件客户端以自动从目录中检索它们。
通过这种方法，无需先交换签名的电子邮件即可建立加密通信。但是，它要求两个电子邮件客户端都配置为查找正确的目录。此方法通常用于同一组织内的用户。有时，几个组织共享一个公共目录，以启用和简化其用户之间的加密通信。
但是，实际上并没有像公共 S/MIME 目录这样的东西，因为有用于 PGP 加密的 PGP 密钥服务器。我知道开放钥匙计划（ldap.openkeys.de），以及全球信任点证书(ldap.globaltrustpoint.com)，但我怀疑它们的使用并不多。
PKI 与信任
它们各自的公钥基础设施 (PKI) 是使用 S/MIME 和 PGP 进行电子邮件加密的主要区别。S/MIME 依赖根证书作为信任锚，而 PGP 使用分布式信任方法（“信任网”），每个用户或多或少都可以自行决定是否可以信任密钥。
答案2
如果它们被加密了（使用我的私钥）？
消息不是使用您的私钥（或任何私钥）加密。它们只能使用一个私钥解密。
（然而，签使用你的私钥——但这是 S/MIME 中的一个单独功能，不要与加密混淆！签名消息的内容可以以一种看起来相似的对加密消息进行加密，但这并不意味着其中任何内容实际上都是加密的。
收件人如何获取我的证书以便解密我的邮件？
收件人不需要您的证书来解密您的邮件。他们只需要自己的证书 - 或者更确切地说，随证书附带的私钥。
反而，你需要收件人证书，以便您可以为特定收件人加密消息。
因此，你没有必要在消息中同时发送任何东西（当然不是私钥——整个点公钥系统的一个特点是私钥永远不会被发送到任何地方；相反，接收者必须先向您发送他们的证书。
您可能会混淆 S/MIME 加密与签署，这在很多方面都是相反的：你使用自己的私钥来创建数字签名，而收件人确实需要你的证书，以便他们可以验证该签名。（但不一定需要你的证书）读消息——如果他们愿意，他们可以不加验证地打开它。事实上，大多数收到签名消息的人都不会验证它。）
在签署邮件时，您自己的证书确实可以包含在签署的数据中；我相信大多数邮件应用程序默认使用 S/MIME 进行此操作。这在假设您的证书是由收件人“信任”的 CA 颁发的前提下有效。（对于 OpenPGP，这也是一种选择，但并不常见，因为 OpenPGP 证书验证的性质不同。）
这也是您收集加密证书的一种方式 - 对方向您发送签名的“Hello！”，您验证它，并且希望您的邮件客户端将此人的证书存储在地址簿中。（至少有些邮件客户端可以选择手动或自动执行此操作。）