Share
Cosa starai creandoAnteprima immagine mashup credit: Email Self Defense: la Free Software Foundation.
Questo è un episodio continuo nel mio serie di tutorial sulla privacy e sicurezza delle e-mail. Gli episodi precedenti descrivono una varietà di modi per crittografare e proteggere la tua posta elettronica. Questo episodio parlerà di come noi tecnologi possiamo ricostruire l'email per l'era digitale.
L'importanza della privacy delle e-mail mi ha colpito a casa ultimamente quando ho inviato un'email agli amici sulla diagnosi del mio tumore al cervello. Non c'era un modo semplice per ottenere la parola senza condividere una nota molto personale con i server di posta per Gmail, Hotmail, Yahoo, Comcast e Apple (.me). Qualsiasi parvenza di privacy a quel punto era puramente illusoria. Anche la maggior parte delle e-mail che ho scambiato con gli operatori sanitari nelle settimane successive sarebbe stata molto insicura.
Piuttosto che discutere su come migliorare le e-mail per migliorare la sicurezza, dichiaro che è fondamentalmente rotto in modi che dobbiamo rinnovare per l'era moderna delle comunicazioni digitali.
In questo tutorial descriverò in che modo le e-mail si rompono e parlano dei principi di Apple Pay, il nuovo sistema di pagamento mobile dell'azienda, che potrebbero essere applicati per costruire una moderna infrastruttura di messaggistica che offra sicurezza end-to-end. Non tutta l'ispirazione di Apple Pay è tecnica; alcuni dei suoi punti di forza maggiori consistono nel spostare l'enfasi dall'utile aziendale e dalla raccolta di dati e a vantaggio dei consumatori con transazioni più veloci, più sicure e più private.
Tieni presente che parteciperò alle discussioni di seguito. Se hai una domanda o un suggerimento sull'argomento, per favore pubblica un commento qui sotto. Puoi anche inviarmi messaggi su @reifman o email direttamente.
La privacy e la sicurezza delle e-mail sono fondamentalmente infranti. La maggior parte delle e-mail che inviamo galleggiano su Internet non crittografate come testo normale.
In One non si invia semplicemente un'e-mail, il giornalista Quinn Norton scrive:
[Email] non ha alcuna sicurezza di rete progettata in esso. In parte questo è dovuto al fatto che ciò che usiamo per la posta elettronica è stato pensato per essere una misura temporanea, un ostacolo mentre il vero protocollo è stato sviluppato. Era il 1982. Ha avuto un piccolo aggiornamento nel 2008, ma l'e-mail rimane profondamente insicura.
La maggior parte dei provider di servizi webmail gratuiti come Google pensa ai propri utenti come a prodotti non come persone. Gmail è gratuito, quindi può imparare tanto su di noi quanto può per il suo business pubblicitario.
Se utilizzi un host di posta comune come Google, tutte le tue email sono accessibili, i suoi motori di analisi interni e qualsiasi governo con accesso illegale o approvato dal tribunale. Le e-mail in uscita che hai inviato agli altri host di posta elettronica possono essere recuperate in modo relativamente semplice tramite sorveglianza o accesso simili.
Il tuo indirizzo IP viene registrato mentre accedi e invii messaggi, fornendo una traccia parziale della tua posizione fisica (se ciò non è già registrato dai fornitori di servizi del tuo cellulare).
Infatti, solo l'accesso e l'invio di e-mail con il telefono apre ulteriori vettori di attacco: la tua compagnia di telefonia mobile, provider di backup come iCloud o sorveglianza forzata in dogana durante una fermata di confine. Ad esempio, all'inizio di quest'anno, un rappresentante di T-Mobile mi ha chiamato per rispondere a Un-truthful Carrier: Dieci bugie T-Mobile mi ha raccontato il mio piano dati e mi ha sorpreso mentre faceva casualmente tintinnare i domini comuni che stavo accedendo ai dati da su il mio telefono.
Dati questi punti deboli, tutto ciò che scrivi in un'e-mail probabilmente è rintracciabile per sempre. E non c'è modo di sapere se, quando, come e da chi è stata acceduta la tua email.
Inoltre, i messaggi possono essere modificati e falsificati da impostori (come nel caso di un uomo in attacco centrale). L'e-mail può essere utilizzata per sottoporsi a attacchi di phishing e consegnare cavalli di Troia. Come dice Norton, "l'email è una cosa pericolosa".
Credito immagine Email Self Defense: la Free Software Foundation
La crittografia a chiave pubblica rimane abbastanza difficile da configurare e utilizzare. Anche se ne sei capace, la maggior parte delle persone che invii regolarmente email probabilmente non lo saranno. Se hai letto i miei tutorial, probabilmente lo hai capito ormai. È difficile convincere i nostri amici a iniziare a usarlo e ad usarlo regolarmente.
Anche se usato correttamente, la crittografia non fa nulla per proteggere l'identità delle persone con cui invii email a meno che non stiano utilizzando indirizzi email anonimi e accedano utilizzando un servizio come TOR. Le buste dei messaggi rimangono aperte.
Mentre Apple Pay non è un sistema di messaggistica, fornisce un'ispirazione concettuale per un sistema di posta elettronica più sicuro. Ecco alcune delle cose che fa bene da cui possiamo imparare. Puoi leggere ulteriori informazioni sulla Panoramica sulla sicurezza e sulla privacy di Apple Pay.
Apple ha preso provvedimenti con Apple Pay per migliorare le nostre vite, rendendo lo shopping più veloce, più semplice e privato, senza cercare di massimizzare i profitti. Hanno sfidato lo status quo dei fornitori di carte di credito senza scrupoli e lo hanno fatto pensando al consumatore. Rappresentava uno spostamento nella direzione dello sviluppo dei tipi di servizi che costituiscono il tessuto della nostra vita quotidiana.
Apple Pay adotta un approccio equilibrato ea lungo termine per ridisegnare e distribuire i pagamenti, suggerendo come un singolo fornitore può fornire un servizio sicuro nel migliore interesse dei suoi clienti.
Se applichiamo alcuni dei principi di Apple Pay a un sistema di posta elettronica orientato alla privacy, offrirebbe funzionalità simili:
Certamente, ci sono provider che cercano di spostare i messaggi in questa direzione.
Le nostre precedenti puntate ti hanno guidato attraverso l'utilizzo di componenti aggiuntivi di terze parti per crittografare i messaggi, come GPG Tools e Keybase, una directory pubblica emergente di chiavi verificabili. L'app Signal di Whisper Systems offre messaggistica e chiamate crittografate.
Una volta, Lavabit ha offerto un sistema di posta elettronica sicuro che ha fornito una serie di queste funzionalità, ma il suo fondatore lo ha chiuso piuttosto che affrontare la minaccia di un accesso completo da parte del governo. Anche Silent Circle lo ha fatto altrettanto bene.
Ma ora sono tornati i fondatori di questi sistemi di posta ispirati alla privacy.
La Dark Mail Alliance è composta dai fondatori di queste due società, Silent Circle e Lavabit, che si sforzano di costruire un sistema di posta elettronica privato e sicuro che spinga il settore a supportare standard aperti che garantiscano la protezione della privacy comune in tutto il settore, molti dei quali ricordano io di Apple Pay.
Portare al mondo il nostro esclusivo protocollo e architettura crittografati end-to-end che rappresenta la "prossima generazione" di e-mail private e sicure. In qualità di soci fondatori di The Dark Mail Technical Alliance, sia Silent Circle che Lavabit lavoreranno per portare altri membri nell'alleanza, assisterli nell'implementazione del nuovo protocollo e lavorare congiuntamente per far proliferare la prima "email 3.0" crittografata end-to-end al mondo in tutto il mondo fornitori di posta elettronica. Il nostro obiettivo è l'open source del protocollo e dell'architettura e aiutare gli altri ad implementare questa nuova tecnologia per affrontare i problemi di privacy contro le minacce di sorveglianza e backdoor di ogni tipo.
La squadra sembra fare progressi significativi. Puoi leggere la sua dettagliata architettura e specifiche di Internet Mail Architecture (pdf) in cui Levison dedica il suo progetto all'Agenzia per la sicurezza nazionale:
E puoi guardare la sua presentazione DEF CON 22 su Dark Mail:
Recentemente, ZDNet ha riferito che i primi provider di Dark Mail arriveranno presto. Levison afferma: "Dato che è stato dedicato molto tempo allo sviluppo dei protocolli di posta scura, qualcun altro potrebbe avere più fortuna nel prendere il codice open source e mettere in funzione il primo provider di posta elettronica dark."
Apple Pay ha stabilito un precedente che fare del bene ai consumatori è la cosa giusta da fare e, si spera, renderà più probabile che altre aziende prenderanno apertamente in considerazione l'adozione del supporto di Dark Mail. Per ora, guardiamo e aspettiamo, senza alcuna privacy di posta elettronica di routine.
Non esitate a postare le vostre domande e commenti qui sotto. Puoi anche raggiungermi su Twitter @reifman o mandarmi un'email direttamente. Puoi trovare i miei altri tutorial sfogliando la mia pagina di istruttori + istruttore Envato.
Accentsconagua