Share
Hva du skal skapeForhåndsvis bilde mashup-kreditt: E-mail Selvforsvar - Free Software Foundation.
Dette er en kontinuerlig episode i min opplæringsserie om e-post privatliv og sikkerhet. Tidligere episoder detaljer en rekke måter å kryptere og sikre e-posten på. Denne episoden vil snakke om hvordan vi som teknologer kan gjenoppbygge e-post for den digitale tidsalderen.
Betydningen av e-post personvern traff hjem for meg nylig da jeg mailte venner om min hjerne svulstdiagnose. Det var ingen enkel måte å få ordet uten å dele et veldig personlig notat med postservere for Gmail, Hotmail, Yahoo, Comcast og Apple (.me). Ethvert syn på personvern på det tidspunktet var rent illusorisk. De fleste e-postene jeg byttet med helsepersonell i løpet av de følgende ukene, ville også være svært usikre.
I stedet for å diskutere hvordan e-post kan forbedres for å øke sikkerheten, erklærer jeg at den er fundamentalt ødelagt på måter vi må overhale for den moderne digitale kommunikasjonsalderen.
I denne veiledningen beskriver jeg hvordan e-post er ødelagt og snakkes om prinsippene for Apple Pay, selskapets nye mobile betalingssystem, som kunne brukes til å bygge en moderne meldingsinfrastruktur som tilbyr end-to-end-sikkerhet. Ikke alle Apple Pays inspirasjon er teknisk; En del av sin største styrke ligger i å skifte vekten bort fra bedriftens profitt og datainnsamling og mot å gi forbrukerne bedre, sikrere og mer private transaksjoner.
Husk, jeg deltar i diskusjonene nedenfor. Hvis du har et spørsmål eller et emneforslag, vennligst legg inn en kommentar nedenfor. Du kan også sende meg melding på Twitter @ reifman eller email direkte.
E-post personvern og sikkerhet er fundamentalt ødelagt. Langt de fleste e-postmeldinger vi sender flyter rundt på Internett, krypteres som ren tekst.
I en sender ikke bare en e-post, skriver journalist Quinn Norton:
[Email] har ingen nettverkssikkerhet utformet i det hele tatt. Delvis skyldes det at det vi brukte til e-post var ment å være et midlertidig mål, en stoppvindu mens den virkelige protokollen ble utviklet. Det var 1982. Det ble en liten oppdatering i 2008, men e-post forblir dypt usikker.
De fleste gratis webmailleverandører som Google tenker på sine brukere som produkter som ikke er folk. Gmail er gratis, så det kan lære så mye om oss som det kan for sin annonseringsvirksomhet.
Hvis du bruker en felles postverten som Google, er all din e-post tilgjengelig for den, dens interne analysemotorer og enhver regjering med ulovlig eller domstolsgodkjent tilgang. Utgående e-postmeldinger du har sendt til folk hos andre postverter kan relativt enkelt gjenopprettes ved hjelp av lignende overvåking eller tilgang.
Din IP-adresse er logget som du får tilgang til og sender meldinger, og gir et delvis spor av din fysiske plassering (hvis den ikke allerede er registrert av mobilens tjenesteleverandører).
Faktisk, bare å få tilgang til og sende e-post med telefonen din, åpner du flere angrepsvektorer: mobilselskapet ditt, backupleverandør som iCloud, eller tvunget overvåkning i toll under et grensesnittstopp. For eksempel, tidligere i år, ringte en T-Mobile-representant meg til å svare på Un-truthful Carrier: Ten Lies T-Mobile fortalte meg om min dataplan og skremte meg da han tilfeldigvis rattlet av de vanlige domenene jeg fikk tilgang til data fra telefonen min.
Gitt disse svakhetene, er alt du skriver i en e-post sannsynlig oppdagelig for alltid. Og det er ingen måte å vite om, når, hvordan og av hvem e-postadressene dine ble benyttet.
Videre kan meldinger endres og falses av bedragerne (som med en mann i midtangrep). E-post kan brukes til å utsette deg for phishing-angrep og levere trojanske hester. Som Norton sier, "E-post er en farlig ting."
Bildekreditt E-mail Selvforsvar - Free Software Foundation
Offentlig nøkkelkryptering forblir ganske vanskelig å sette opp og bruke. Selv om du er i stand til, vil de fleste av personene du regelmessig sender e-post sannsynligvis ikke være. Hvis du har lest mine opplæringsprogrammer, har du sikkert forstått dette nå. Det er vanskelig å få våre venner til å begynne å bruke det og vanskelig å bruke rutinemessig.
Selv når det brukes riktig, gjør kryptering ingenting for å beskytte identiteten til personene du sender med, med mindre de bruker anonyme e-postadresser og logger inn ved hjelp av en tjeneste som TOR. Meldingskuvertene forblir åpne.
Mens Apple Pay ikke er et meldingssystem, gir det en konseptuell inspirasjon for et sikrere e-postsystem. Her er noen av tingene som det gjør bra, som vi kan lære av. Du kan lese mer i Apple Pay Security og personvernoversikt.
Apple tok skritt med Apple Pay for å forbedre våre liv, gjøre shopping raskere, enklere og privat, uten å prøve å maksimere fortjenesten. De utfordret status quo av de samvittighetsløse kredittkortleverandørene og gjorde det med forbrukeren i tankene. Det representerte et skifte i retning av utviklingen av de tjenestene som utgjør stoffet i hverdagen.
Apple Pay tar en balansert og langsiktig tilnærming til å omforme og distribuere betalinger, noe som tyder på hvordan en enkelt leverandør kan tilby en sikker tjeneste til beste for sine kunder.
Hvis vi bruker noen av prinsippene for Apple Pay til et privatlivsrettet e-postsystem, vil det tilby lignende funksjoner:
Sikkert, det er leverandører som prøver å flytte meldinger i denne retningen.
Våre tidligere episoder guidet deg gjennom å bruke tredjeparts tilleggsprogrammer for å kryptere meldinger, for eksempel GPG Tools, og Keybase, en voksende offentlig katalog med verifiserbare nøkler. Og Whisper Systems Signal app gir kryptert meldinger og samtaler.
Lavabit tilbød engang et sikkert e-postsystem som ga en rekke av disse funksjonene, men grunnleggeren slo den ned i stedet for å møte trusselen om fullstendig tilgang til regjeringen. Silent Circle gjorde det samme også.
Men nå er grunnleggerne av disse inspirerte personvernrettede postsystemene tilbake.
The Dark Mail Alliance består av grunnleggerne av disse to selskapene, Silent Circle og Lavabit, som arbeider for å bygge et sikkert, privat e-postsystem som presser næringen til å støtte åpne standarder som gir felles personvernbeskyttelse over hele sektoren. Mange av dem minner om meg av Apple Pay.
Å bringe verden vår unike ende-til-ende krypterte protokoll og arkitektur som er "neste generasjon" av privat og sikker e-post. Som grunnleggende partnere i The Dark Mail Technical Alliance vil både Silent Circle og Lavabit jobbe for å bringe andre medlemmer inn i alliansen, hjelpe dem med å implementere den nye protokollen og arbeide sammen for å sprede verdens første end-to-end krypterte 'Email 3.0' gjennom hele verdens e-postleverandører. Vårt mål er å åpne kilde protokollen og arkitekturen og hjelpe andre med å implementere denne nye teknologien for å håndtere personvernproblemer mot overvåkings- og bakdørstrusler av noe slag.
Teamet ser ut til å være solid fremgang. Du kan lese sin detaljerte Internet Mail Environment Architecture og spesifikasjoner (pdf) der Levison dedikerer sitt prosjekt til National Security Agency:
Og du kan se hans DEF CON 22 presentasjon på Dark Mail:
Nylig rapporterte ZDNet at de første Dark Mail-leverandørene kommer snart. Sier Levison, "fordi så mye tid har vært dedikert til å utvikle de mørke postprotokollene, kan noen andre ha bedre lykke med å bruke åpen kildekoden og få den første e-postleverandøren til å komme i gang."
Apple Pay setter en presedens som gjør rett ved forbrukerne, er den riktige tingen å gjøre, og forhåpentligvis vil det gjøre det mer sannsynlig at andre selskaper åpent vil vurdere å vedta Dark Mail-støtte. For øyeblikket ser vi på og venter-uten rutinemessig e-post personvern.
Ta gjerne inn dine spørsmål og kommentarer nedenfor. Du kan også nå meg på Twitter @ reifman eller email meg direkte. Du kan finne mine andre opplæringsprogrammer ved å bla på Envato Tuts + instruktør siden.
Accentsconagua