Bezpieczna poczta e-mail

Czego wymagać od bezpiecznej poczty e-mail?

Mam nadzieję, że kwestię komunikatorów mamy już załatwioną. Będę jednak cały czas powtarzał najważniejsze informacje związane z bezpieczną korespondencją. Aby ją zapewnić, najpierw załatwmy sobie bezpieczne urządzenie, a dopiero drugim krokiem powinien być wybór odpowiedniej poczty. Nie chcę się powtarzać, więc przejdź do artykułu, w którym pisałem, czego wymaga się od bezpiecznego komunikatora – tego samego można wymagać od poczty.
W kwestii wyboru bezpiecznej poczty chciałbym zacząć od polecenia bardzo ciekawego artykułu na temat Gmaila, opublikowanego w Niebezpieczniku. Autor zwracają uwagę na bardzo ważną kwestię, jaką jest poziom bezpieczeństwa a prywatność komunikacji.

Bezpieczna poczta e-mail a prywatność

Nie wiem, czy zdajesz sobie sprawę z tego, że nie zawsze bezpieczeństwo jest równoznaczne z prywatnością. Szczególnie amerykańskie agencje rządowe jak mantra powtarzają, że dla bezpieczeństwa obywateli muszą czasem ograniczyć ich prywatność.

GMAIL

Gmail – to rozwiązanie najlepsze dla typowego Kowalskiego. Zapewnia duży poziom bezpieczeństwa, ale nie zapewniając przy tym prywatności komunikacji. Choć mówiąc szczerze, dla dużej liczby osób nie jest problemem, że są profilowane pod np. reklamy. I nie patrzą na to, że w razie czego NSA czy lokalne służby mogą bez problemu przeczytać ich korespondencję, no bo co to za różnica – przeciętny obywatel chce być po prostu bezpieczny.
Warte podkreślenia jest to, że poczta Gmail myśli za użytkownika i jeżeli jakaś wiadomość wydaje jej się podejrzana, od razu nas o tym informuje. Żadna inna poczta nie dysponuje taką liczbą dedykowanych, dobrze wykształconych specjalistów. Gmail wspiera także dwuetapowe uwierzytelnienie, które po włączeniu w znacznym stopniu zabezpieczy nas przed phishingiem. Pamiętaj, Gmail nie jest darmowy, za bezpieczeństwo płacisz mu swoją prywatnością.

ProtonMail

ProtonMail – serwery tej poczty znajdują się w Szwajcarii. Czy to dobrze? Tak, Szwajcaria bardzo dba o bezpieczeństwo, można powiedzieć, że to najdroższy towar tego kraju. Przy zakładaniu konta nie musimy podawać żadnych danych, ewentualnie możemy wpisać pomocniczy adres e-mail. ProtonMail ma trzy typy kont: darmowe, wersję Plus oraz wypasione konto Visionary. Różnią się one od siebie w pierwszej kolejności pojemnością skrzynki oraz limitem przesyłanych danych. Od wersji Plus z Protona możemy korzystać już na własnej domenie.
Podczas zakładania konta generowane są dla nas dwa unikalne klucze: prywatny oraz publiczny. Klucz publiczny służy do wysyłania do niego zaszyfrowanej wiadomości, a prywatny do rozszyfrowania wiadomości na urządzeniu adresata. Co najważniejsze, Proton nie przechowuje tych kluczy jak duża liczba dostawców poczty, nie ma też żadnego uniwersalnego klucza. Proton zapewnia oczywiście szyfrowanie „end to end”, bardzo ważne jest jednak, aby osoba, do której przesyłamy wiadomość, również tego typu szyfrowanie posiadała. Jeżeli tak nie jest, Proton proponuje inne rozwiązanie – poprzez wysłanie linku do zaszyfrowanej wiadomości; trzeba jednak takiej osobie w inny bezpieczny sposób dostarczyć klucz do rozszyfrowania.
W przypadku wszystkich wiadomości wysłanych za pomocą Protona można także dodać informację, po jakim czasie mają zniknąć. Największym minusem Protona jest z kolei to, że nie zapewnia on wsparcia dla U2F. Pamiętajmy także, że jeżeli wyślemy mail z Protona do odbiorcy, który ma swoje konto np. na Gmailu, nici z naszej prywatności.

Jaką więc wybrać bezpieczną pocztę ?

Czy powyższe dwa rozwiązania są jedyne? Oczywiście, że nie. Chciałem tylko przedstawić dwie strony medalu, aby każdy mógł sobie wybrać odpowiednią dla siebie pocztę. Poza wszystkimi technicznymi aspektami bezpieczeństwa korespondencji należy przypomnieć, że informacja jest w 100% bezpieczna tylko wtedy, gdy wiedzą o niej wyłącznie dwie osoby, z czego jedna nie żyje. A tak poważnie – radzę zwracać uwagę nie tylko na to, jak zabezpieczyć swoją korespondencje, ale i do kogo ją przesyłamy i czy na pewno musimy ją przesyłać. Przecież w przypadku najważniejszych spraw można spotkać się i porozmawiać.

Złote wskazówki dotyczące bezpiecznej poczty e-mail

1. Sprawdź nadawcę – postaraj się zawsze upewnić, że wiesz, z kim rozmawiasz. Niezależnie od tego, czy otrzymałeś wiadomość z urzędu, banku, czy też od swojego kolegi, sprawdź, czy na pewno osoba, z którą będziesz korespondował, jest tą, za którą się podaje.
2. Pisownia – nie jest to oczywiście standard, ale typowe tandetne ataki skierowane na dużą liczbę osób mogą zawierać liczne błędy stylistyczne czy nawet ortograficzne. Jeżeli jednak atak będzie spersonalizowany i skierowany na Ciebie lub mniejszą grupę odbiorców, może zostać bardzo dobrze przygotowany i umiejętnie stworzony. Po drugiej stronie komputera nie siedzą idioci, oni wiedzą, co robią.
3. Spakowane załączniki – radziłbym nigdy nie pobierać spakowanych załączników, takich jak zip, rar czy 7z. Jeżeli jednak musisz pobrać tego typu plik, upewnij się, że pochodzi on z zaufanego źródła i od znanego Ci nadawcy.
4. Linki – wysyłanie linków wewnątrz wiadomości e-mail to trik tak stary, że nie powinienem nawet o nim pisać, ponieważ już nikt na to nie powinien się nabierać. Jednak wspominam o tym, bo smutna prawda jest taka, że ludziom dalej zdarza się nie pomyśleć dwa razy, zanim cokolwiek klikną.
5. Stosuj dwustopniowo weryfikację – właśnie się zorientowałem, że umieściłem to w punkcie 5, choć w mojej ocenie jest to najważniejsza informacja, absolutna podstawa bezpiecznego użytkowania nie tylko poczty elektronicznej, ale i wszelkiego rodzaju komunikatorów czy – jeżeli to możliwe – internetowych kont w banku. Jednak nie każda dwustopniowa weryfikacja jest równie dobra. Najczęściej stosowana dwustopniowa weryfikacja realizowana poprzez telefon komórkowy jest metodą, delikatnie mówiąc, nierekomendowaną przeze mnie. Ataki na karty SIM za pośrednictwem ich duplikatów są bardzo częste i, co smutne, bardzo łatwe do przeprowadzenia. Dlatego polecam przede wszystkim stosowanie tokenów U2F, czyli kluczy bezpieczeństwa. Przypominają one pendrive. Do danego konta wpisujemy hasło, wpinamy nasz klucz do komputera i gotowe. Co ważne, działają one również w trybie offline.
6. Rozdziel konta – postaraj się nie używać jednego konta do wszystkiego, ale dzielić je w zależności od potrzeb. Jedno konto możesz wykorzystywać do biznesu, inne do mediów społecznościowych, a jeszcze inne do stron, o których nie chciałbyś, aby ktoś się dowiedział, że z nich korzystasz.
7. Różne hasła – nigdy, ale to nigdy nie używaj do różnych miejsc takich samych haseł. Jeżeli ktoś zdobędzie jedno Twoje hasło, będzie miał dostęp do wszystkich Twoich kont. Zdarzają się nawet ataki polegające na tym, że ktoś preparuje stronę, abyś założył na niej konto. Wtedy haker będzie mógł łatwo zobaczyć, jakiego hasła użyjesz, a później sprawdzić, czy gdzieś jeszcze pasuje. Dlatego wszędzie powinieneś mieć inne, odpowiednio złożone hasła. Jeżeli nie jesteś w stanie ich zapamiętać, użyj programu, który będzie Twoim menagerem haseł – to najlepsze rozwiązanie.

*

Pamiętaj o najważniejszym – dbaj o bezpieczeństwo kodu dostępu zabezpieczającego Twój telefon, laptop i każde inne urządzenie, którego używasz. Wpisując bezmyślnie hasło w różnych miejscach publicznych, możesz ułatwić sprawę przestępcom. Wystarczy, że ktoś je skradnie – mając taki kod dostępu, od razu dostanie się do całej Twojej korespondencji.
Stąd od razu druga rada – szyfruj wszystko. Nie poprzestawaj na jednym rodzaju zabezpieczenia dla swojego telefonu. Do każdego komunikatora przypisz osobny PIN, tak samo jak do ważnych danych w telefonie. Choć muszę Cię zmartwić – w mojej ocenie wszystko, co jest umieszczone na sprzęcie z dostępem do sieci, prędzej czy później może zostać przejęte.