Nešmírovaný mail

[Lol Phirae]

Když o tom tak přemýšlím, už jsem se s tím taqké dlouho nesetkal.

Soudruzi z Avastu to donedávna přidávali do mailů defaultně. 

[Reklama]

[GTor]

Testovano bylo nekolik mailovych serveru, a jde hlavne o tyto vlastnosti.

-Moznost pouziti prez TOR
-MOznost zalozeni prez TOR
-Moznnost vysledovani kdo si s kym pise
-Sifrovana schranka
-Sifrovani END TO END
-Spoluprace s urady (vramci CR i mezistatne)
-Nutnost Java Scriptu
-Jake dalsi udaje musim zadat a zda jdou fejkovat (nic, sekundarni mail, telefon)
-Hacknuti a kradez uctu

-Moznost zalozeni prez TOR je casto blokovana, kvuli ochrane pred spamem hlavne. Prez TOR nejde zalozit GMAIL, YAHOO, gmx.de, problemy ma dost seznam.cz . U centrum.cz a mail.md lze s vetsi snahou prez TOR zalozit. Zalozeni prez TOR je mozne u posta.ro, wp.pl, mail.md (nextere exit nody blokovany), tutanota.com hushmail.com, protonmail.ch, bitmessage.ch a special mail2tor.

-moznost pouzivani prez TOR je u vsech zminovanych emailu temer, pouze Yahoo rve, ze se prihlasuji od jinud a chce overit smskou. U Gmailu staci zadat zneni recovery mail adresy.

-Moznost vysledovani kdo si skym pise (ktera mail adresa se kterou) maji nejsis vsechny maily, pouze bit-message se prititomu uspesne brani (pouze v prostoru BM). Bitmessage je klon BTC zamereny na zpravy a nelze si zvolit zneni mail adresy, je vygenerovana.

-Zadne sekundarni udaje se nemusi zadavat u posta.ro, wp.pl, mail.md, , seznam.cz, centrum.cz, tutanota.com.wp.pl chce obcas telewfon, da se to obklikat. U yahoo je pri prihlasovani se odjinud nez obvykle potreba overeni SMS - yahoo je zde nejhorsi. U bitmessage a protonmail se muzi zadavat sekundarni emailova adresa in. pri vytvoreni, Gmail ji obcas potrebuje pri obnoveni. Telefon lze fejkovat, napsat neexistujici cislo, i u yahoo, pak ale samozrejme nejde overujici sms. Hushmail kdyzi sel zalozit prez TOR, pak zacal chtit telefon a posilal overujici SMS pri registraci (specialni SIM i pristroj i poloha zalozeni na to).

-Hacknuti a kradez uctu. U velkyh serveru je propadakem yahoo, hacknuto nekolikrat. Male servery typu posta.ro, mail.md, centrum.cz jsou nezname v tomto, ale asi to nebude zadna slava.

-Spoluprace s urady. Yahoo jakozto americke spolupracuje i s Cinskymi urady za velke odmeny a vudava dizidenty, u Google je to otazka. Seznam.cz a centrum.cz spolupracuji min. s PCR. Naopak bitmessage, Tutanota, mail2tor s urady podle vseho nespolupracuji.

Nutnost javaskriptu je u vetsiny emailu. JS neni potreba u tzv. Squirell mail, ktere pouziva tor2mail a bitmessage.ch. I gmail lze pouzit bez JS. U Ostatnich poskutovatelu je JS potreba.

-Sifrovanou schranku nabizi hushmail.com, tutanota.com, protonmail.ch bitmessage.ch a pravdepodobne i mail2tor. Jeden z predpokladu je nmoznost obnoveni hesla (tedy administrator nemuze zmenit heslo). U zadneho emailu ale nebylo sifrovani a nemoznost dostat se do schranky bez hesla dokazana. Vetsina mailu (seznam, centrum, yahoo, gmail, mail.md, wp.pl, posta.ro ...) schranku nesifruji. Sifrovane zpravy lze posilat min. u bitmessage v ramci serveru, dale pak tutanota v ramci serveru automaticky, ale end-to end sifrovany email lze poslat i mimo server. U ostatnich nevim,

Na zaver jako nejlepsi je squirell mail rozrani a bitmesage, nejhorsi yahoo a posta.ro. Posta.ro nabizi neuveritelnych 5 MB mista.

Pro premiove ucty lze anonymni platbu provest jenu Tutanota - v BTC. bitmessage prijima donace v BTC a Lite Coin. Ostatni maily leda tak platebni kartou ci paypalem. A anonymni platebni karty co SIM karty prestavaji pomalu ale jiste extistovat. U Hushmail je potreba prihlasi se min. jednou za 21 dni, jinak se ucet zamkne a odmkne az po premiovem upgrade.

-Co de tycevyskytu reklam, tak bez reklam je bitmessage.ch, mail2tor, protonmail. U vetsiny mailovych serveru dochazi ke sledovani za ucelem cilene reklamy a pak je to problem.

[Filip Jirsák]

-Nutnost Java Scriptu

Nevím, zda je k smíchu nebo k pláči, když se někdo snaží dělat bezpečnostní rozbor e-mailů, a neví o tom, že e-mail není nutné používat jen přes webové rozhraní, ale že existují e-mailoví klienti, kteří mimochodem existovali dávno před webovými rozhraními e-mailů, a dokonce dávno před webem.

No a pak samozřejmě takové detaily, jako že šifrovaná schránka nebo šifrování end to end provozovateli věřit můžete a nemusíte. Ale ona taky existuje možnost šifrovat přímo e-maily, pak jejich obsah nezná ani provozovatel – a právě ti e-mailoví klienti to šifrování a dešifrování obvykle umí.

[GTor]

-Nutnost Java Scriptu

Nevím, zda je k smíchu nebo k pláči, když se někdo snaží dělat bezpečnostní rozbor e-mailů, a neví o tom, že e-mail není nutné používat jen přes webové rozhraní, ale že existují e-mailoví klienti, kteří mimochodem existovali dávno před webovými rozhraními e-mailů, a dokonce dávno před webem.

No a pak samozřejmě takové detaily, jako že šifrovaná schránka nebo šifrování end to end provozovateli věřit můžete a nemusíte. Ale ona taky existuje možnost šifrovat přímo e-maily, pak jejich obsah nezná ani provozovatel – a právě ti e-mailoví klienti to šifrování a dešifrování obvykle umí.

Ale vime ze mail lze pouzivat i jinak nez prez webove rozrani. (treba Outlok pro poradne masochisty), ale klienti pro Linux existuji samozrejme a jsou bezpecne. Jen to nebylo zmineno. Vetsina uzivatelu leze stejne na mail prez web, stejne tak TOR dost uzivatelu pouziva jen jako TOR Browser. Newebove rozhrani + TOR vetsina uzivatelu neumi.

To ze je schranka sifrovana, tam neni zadny dukaz pro uzivatele (a navic tam muze byt backdor pro ziskani hesla). Nicmene rozhodne pokud lze heslo obnovit, schranka bud sifrovana neni, nebo je tam backdor.

Maily muze sifrovat i newebovy klient, ne jen server (vyzaduje to vetsi uzivatelske znalosti na obou stranach, coz ne vzdy plati. Stejne tak jako uziti neweboveho klienta + TOR).

[j]

... drtiva vetsina uzivatelu pouziva ... standardniho mailovyho klienta, jen o tom mozna ani nevi. Treba vsechny ty miliardy uzivatelu mobilnich telefonu a tabletu.

Sifrovani v klientovi muze byt velice primitivne nastavitelny ... a opet, uzivatel v principu ani nemusi nicemu moc rozumet. Staci kdyz ma klienta kterej dela co ma. V principu totiz muze kazdy svuj verejny klic posilat v kazdem mailu, a klient pak muze zaridit, ze jakoukoli odpoved zasifruje prave timhle klicem. Coz by (kdyby to appky delaly automaticky) casem vedlo k tomu, ze by se sifrovaly vsechny maily.

Zatim je ovsem stav takovej, ze ani soudruzi v bankach neumej poslat vypis z uctu zasifrovanym mailem ... vubec netusej co ze to jako po nich clovek chce.

[Reklama]

[fatmatt]

Testovano bylo nekolik mailovych serveru, a jde hlavne o tyto vlastnosti.
...

takže víťaz je...?

[P1trson]

s5 k teme.

Skus pozriet www.posteo.net, ja som spokojny. Stoji to 1EUR mesacne.

[braqela]

Ahoj,
jak Posteo přijímají mejly zřízené u webhostingových služeb? Třeba odsud https://runbox.com/ se mi vracely s různými hláškami mailer daemona. Kdežto Gmail přijímaly bez problémů.

[hugochavez]

Ahoj, nevíte o nějakém relativně nešmírovaném mailu (žádné čtení pošty pro reklamní účely, pokud možno bez toho, aby to zcela nepokrytě a víceméně legálně četl stát...

Z neplacených třeba GMail/Inbox...

Psát imbecilní příspěvky je asi vaše hobby....

Co je na tom příspěvku imbecilního? Vy si myslíte, že GMail/Inbox někdo šmíruje? Máte ten názor nějak odůvodněný?

Mame https://9to5mac.files.wordpress.com/2013/06/prism-slide.jpg

[G]

Ahoj, nevíte o nějakém relativně nešmírovaném mailu (žádné čtení pošty pro reklamní účely, pokud možno bez toho, aby to zcela nepokrytě a víceméně legálně četl stát...

Z neplacených třeba GMail/Inbox...

Psát imbecilní příspěvky je asi vaše hobby....

Co je na tom příspěvku imbecilního? Vy si myslíte, že GMail/Inbox někdo šmíruje? Máte ten názor nějak odůvodněný?

Mame https://9to5mac.files.wordpress.com/2013/06/prism-slide.jpg

Ked boli data z odpocuvania datacentier (projekt MUSCULAR), tak to je opravene. Vsetko sa sifruje.

[hugochavez]

GMail se nepovazuje za sluzbu, ktera respektuje soukromi. Celkem nedavno zrusil scanovani emailu, pro ucely reklamy na free uctech

Google udajne upustil od scanovani emailu protoze uz ty data o uzivatelich takto ziskavat nepotrebuje-dokaze si je obstarat jinym, mnohem efektivnejsim zpusobem.

Neocekaval bych, ze google se v pripade problemu s agenturami zachova jako lavabit a sluzbu zavre.

Ano to lze ocekavat opravdu jen tezko, tim spis ze se nahlas mluvilo o tom ze Google systematicky manipuloval s vysledky vyhledavani v dobe US prezidentske kampane a to ve prospech Clintonove.
Pokud vim tak Google to ani nepoprel ani nepotrvdil..........zaujal pozici mrtveho brouka.

IMHO je nejdulezitejsi si uvedomit, jakou cast me identity(dulezite je svou identitu vlastnit) chci sdilet a ktera je pro me citliva a podle toho zvolit sluzby a SW ktery chci pouzivat.

Osobne pouzivam uz nejaky ten patek tohle https://en.wikipedia.org/wiki/TorChat a divim se ze se tenhle koncept vic nerozsiril.
Umi to posilat text-zpravy+ prilohy (defacto bez omezeni velikosti) je to sifrovany tak jako Tor a bezpecny do ty miry do jaky povazujeme  bezpecny Tor hidden services (na kterejch jeto zalozeny)
Spustit to zvladne i uplnej debil tim spis ze neni nutny se srat s PGP/GPG apod.
Ten hash verejnyho klice kterej slouzi jako ID v systemu si je mozny vytisknout jako QR kod na vizitku takze odpada i vopruz s dlouhou adresou.
Jedina slabina je ze zrejme neexistuje appka pro mobil, ovsem provozovat Tor-hidden-services na bezpecnostnim cedniku typu Android je vlastne oxymoron takze to az zas tolik nevadi..........Provozuju to na FreeNASu takze se to chova vlastne jako soukromej mail-server ovsem s tou vyhodou ze uzivatel nemusi prosit na kolenou svyho ISP aby mu otevrel nejaky porty...............

[hugochavez]

Váš obsah (včetně e-mailů) analyzují naše automatizované systémy, abychom vám mohli nabídnout funkce služeb relevantní přímo pro vás, například přizpůsobené výsledky vyhledávání, personalizované reklamy...

....... U placených variant GMailu to nedělal nikdy.

"Máte ten názor nějak odůvodněný?"
    

[hugochavez]

......Snowden byl takový prototyp fakenews, akorát se ukázalo, že bude lepší fakenews šířit pomocí mnoha anonymních zdrojů a nespojovat to s jednou konkrétní osobou.

Jirsaku myslim ze byses mel o tento svuj brilantni poznatek podelit s US gov a NSA, protoze ty sulini na ty Snowdenovo fake news skocili a to tak ze mu navarili nejtezsi paragrafy za vlastizradu, Rusum delaj neskutecny dusno za to ze ho nechtej vydat a u NSA ted ty chudaci zamestnanci chodej 2x do tejdne na polygraf jestli nahodou nekdo dalsi nechce "zdrhnout s rodinnym stribrem".....
Navic v dobe honu na tohodle rozsevace fake-news Amici nevahali porusit Videnskou konvenci o diplomaticke imunite kdyz uzemnili letadlo bolivijskyho prezidenta ktery nasledne bez jakykoliv pravni opory prohledali, zatimco v Kodani tou dobou stal pripravenej "civilni" tryskac patrici US ministerstvu zahranici aby toho fake news srandistu dopravil supito-presto zpet do demokratickych zakony dodrzujich USA............

To je demagogie, nemyslíte? Z toho, že nevěřím ničím nedoloženým tvrzením jednoho člověka, nijak neplyne......

Jirsaku z ceho prameni ta tvoje nutkava touha znovu a znovu tady ze sebe delat idiota??
Ty "nedoložený tvrzení" detailne rozebiral napr. Bruce Schneier na cetnych prednaskach kde se slo do hloubky jak kterej fizlovaci NSA program technicky funguje a k jakymu ucelu slouzi.......

S kazdou dalsi vetou Jirsaku jen dokazujes ze o problematice vis naprosty kulovy........

Na druhou stranu vzhledem k tomu ze se u M$ vyhazovalo 
http://economictimes.indiatimes.com/news/international/business/microsoft-to-cut-up-to-4000-jobs/articleshow/59486300.cms
takze Lael Ophira  uz tu asi neuvidime, budu rad kdyz ty zde setrvas, on totiz kazdy podnik potrebuje sveho komika  ......a Hawran to sam neutahne, ten odpovida vetsinou jednoslabicne a navic je furt na vetvi....

[hugochavez]

Ked boli data z odpocuvania datacentier (projekt MUSCULAR), tak to je opravene. Vsetko sa sifruje.

....a sifrovaci klice distribuuje kdo?   

PS: Je to stejna sarada jako iMessage u Jabka, klice "opatruje" Apple a neni tedy problem zahrat si na MitM.......
Podobny pochybnosti mam i u Signalu, tam JEJICH server "opatruje" batch 100 TEBOU VYGENEROVANYCH verejnych klicu a to pro pripad ze by ti nekdo chtel napsat kdyz ses offline, zprava je pak zasifrovana TVYM verejnym klicem a ulozena na JEJICH serveru dokud nenaskocis online eventuelne pro pripad ze by odesilatel mezitim sam sel offline........
Teoreticky tedy FBI sedici na serveru Signalu nema moznost cist zpravy, OVSEM v mezidobi nez SYSTEM overi AUTENTICITU PROTISTRANY coz se rado u Signalu zduraznuje ze jeto defaultne zapnuto (coz je samozrejme dobre- na rozdil od Facebookovyho WhatsUp kde to je standartne vypnuty- za jakym ucelem at si kazdej domysli sam)  tak je mozne IMHO  podstrcit odesilateli falesny klic domneleho prijemce, a tuto zpravu prijmout na serveru a nasledne precist. Jestlize prijemce drzim ve vazbe a zaroven sedim na Signal serveru, je podle me realne cist prichozi zpravy adresovane zadrzovane osobe.......
Mimochodem FBI ukazala uz mnohokrat ze dokaze byt kreativni ohledne vykladu a chapani platnych zakonu:
  https://www.wired.com/2014/08/operation_torpedo/

Tenhle problem s MitM vyeliminovali napr. u https://ring.cx/ kde distribuci verejnych klicu (alias ID ucastniku komunikace)  sverili DHT s tim ze ID si SAM musis od protistrany ziskat =zaroven tim provedes autentizaci. Nove ted implementovali ze si muzes zvolit i uzivatelsky jmeno ktery v paru s TVYM a TEBOU VYGENEROVANYM verejnym klicem se vlozi do blockchainu, kterej uz ze svy podstaty pozmenovat/falsovat  nelze.
Pokud neudelali chybu v implementaci tak tohle reseni je podle mne neprustrelny- a mnohem lepsi nez u Signalu.

[hugochavez]

OT pro Jarda_P
videl's uz   http://www.imdb.com/title/tt4065414/?ref_=nv_sr_1   
? pisni mi na  4vuyutoo7n5ifgrf