Nie chcesz, by ktoś czytał Twoje e‑maile? Zapomnij o Gmailu, oto cztery skuteczne serwisy i rozwiązania

Naprawdę myślisz, że darmowa poczta sprawdzana w przeglądarce jest bezpieczna? Że służby ścigania potrzebują nakazu sądowego, by zajrzeć do Twojej prywatnej korespondencji? Jeśli tak, jesteś naiwny. Ale na szczęście są sposoby na to, by Twoje maile nie wpadły w niepowołane ręce.

1. Hushmail

Ten kanadyjski serwis powstał w 1999 roku i wykorzystuje OpenPGP do zabezpieczania wiadomości i skrzynek. Dodatkowe funkcje to ukrycie adresu IP oraz nagłówka wiadomości. Hushmail oferuje ponadto nieco przestrzeni dyskowej w chmurze; w zależności od promocji i usługi może być to od 1 do 10 GB.

Warto przy okazji wiedzieć, jak funkcjonuje poczta zabezpieczana przez PGP. Pełne zabezpieczenie ma miejsce wtedy, gdy nadawca i odbiorca używają Hushmaila lub usługi wykorzystującej PGP. Wtedy też klucze szyfrowania dostępne są dla obu uczestników wymiany informacji. Jeżeli odbiorca nie korzysta z PGP, to wiadomość można zabezpieczyć hasłem z funkcją wskazówki.

Zanim wypróbujecie Hushmail i poczujecie się bezpiecznie, musicie wiedzieć o pewnych niecnych czynach, jakich dopuścili się admini tego serwisu. W 2007 r. Hushmail przekazał nieokreśloną liczbę kopii prywatnych wiadomości służbom śledczym na bazie porozumienia MLAT pomiędzy Kanadą a USA. Wręczono agentom około 12 płyt CD z danymi, co wskazuje na potężną ilość informacji.

Warto przy tym zaznaczyć, że Hushmail jest zmuszony ujawnić dane tylko w przypadku otrzymania nakazu sądowego, co jest powszechnie stosowanym tłumaczeniem wśród większych graczy na tym rynku (i nie ma wiele wspólnego ze stanem faktycznym, o czym wspomnę dalej w ramach ciekawostki).

2. Mailvelope

Webmail nie jest bezpieczny. Jest wręcz niebezpieczny. Używamy go jednak coraz częściej, rezygnując z odrębnych klientów pocztowych. Najczęściej korzystamy z usług Google'a, Microsoftu lub wielu rodzimych rozwiązań. Niestety, nie oferują one tak wybujałych metod zabezpieczeń jak szyfrowanie. Jest jednak sposób na to, by zrobić z nich w miarę bezpieczne formy wymiany informacji poprzez zabezpieczenie szyfrowaniem PGP.

Mailvelope to wtyczka do przeglądarki internetowej. Rzecz stosunkowo nowa, więc chwilowo obsługuje jedynie Chrome'a i Firefoxa. Instaluje się i obsługuje bardzo przystępnie, więc kryptograficzna wiedza nie będzie od użytkownika wymagana.

Wiele wskazuje na to, że Mailvelope jest rozwiązaniem bezpiecznym. Wtyczka przechodzi zewnętrzne audyty i jest nieustannie testowana pod kątem dziur i błędów. Tak jak wspomniałem, Gmail, Outlook, Yahoo oraz GMX są prekonfigurowane, ale praktycznie każdy webmail można zabezpieczyć za pomocą Mailvelope.

Przy okazji ciekawostka. Wbrew powszechnym zapewnieniom Google'a, Microsoftu i innych służby ścigania nie potrzebują nakazu sądowego, żeby czytać prywatne maile. Po 180 dniach od daty utworzenia wiadomości wystarczy jedynie wezwanie (subpoena), a e-mail jest traktowany jako zwykły zapis w bazie danych i traci charakter prywatnej wiadomości.

3. Countermail

Zabezpieczonych serwisów e-mail jest bardzo mało i znikają jak grzyby po kwaśnym deszczu. Po zagładzie Lavabit i kilku pokrewnych ostał się jeszcze szwedzki Countermail, który oferuje dość wysoki stopień zabezpieczeń i nie bawi się w przekazywanie informacji tajnym służbom (przynajmniej do tej pory).

Serwis wykorzystuje OpenPGP z 2048-bitowym kluczem. Zabezpieczenie to jest pewne i do dziś nie zostało złamane. Dodatkowo serwis zabezpiecza przed atakami MITM - ma wyższy poziom niezawodności niż SSL. Dla wyjątkowych paranoików Countermail przygotował token USB, bez którego nie uzyskamy dostępu do skrzynki i wiadomości. Usługa jest płatna.

Ciekawie rozwiązano sposób przechowywania danych na serwerach Countermail. Ważne informacje (adresy IP) zapisywane są na płytach CD-ROM i z nich odczytywane. Pominięto w ten sposób dyski twarde będące wedle administratorów serwisu wrażliwym punktem.

4. Remailer

Wiadomości da się szyfrować przed wysłaniem. Można także łączyć kilka serwerów remailingowych, aby wiadomość była przeforwardowana kilka razy, co zapewni stuprocentową anonimowość. Do najpopularniejszych rozwiązań należą serwery Cypherpunk. Jest ich wiele i są dość zróżnicowane - podstawowe informacje o ich działaniu znajdziecie tutaj w języku angielskim. Moim zdaniem jest to najlepsza metoda na zabezpieczanie e-maili - tak treści, jak i informacji pobocznych. Schemat działania takiej usługi przedstawiono poniżej.

Szczytowym osiągnięciem tej techniki jest Mixminion. Usługa ta wyczynia cuda na kiju, by wiadomość nie mogła zostać odczytana i wyśledzona przez osoby niepowołane. Serwery zwane "mixami" nie tylko kasują informacje o miejscu nadania, ale też rozczłonkowują wiadomość na niewielkie paczki i rozsyłają w sieci mixów. Każda paczka jest zabezpieczona publicznym kluczem. Protokół skonstruowano tak, by wiadomość skompilowała się pod koniec drogi i dotarła do odbiorcy.

Zwróćcie uwagę, że większość serwisów lub aplikacji remailingowych nie jest udoskonalana tak często jak inne, mniej bezpieczne rozwiązania. Wiele usług zatrzymało się w rozwoju kilka lat temu. Nie oznacza to jednak, że nie działają albo że są niebezpieczne. Wciąż się z nich korzysta, choć narzędzie to wydaje się strzelaniem z armaty do wróbla. A może nie...

Stosujcie w dawkach odpowiadających natężeniu osobistej paranoi.