hier is waarom uw e-mail onveilig is en waarschijnlijk zo blijft

e – mail is de meest alomtegenwoordige manier van communicatie op het Internet-misschien zelfs op de planeet. Het is ingebouwd in bijna alles, van telefoons en tablets tot traditionele computers tot gaming – apparaten-heck, zelfs aangesloten huishoudelijke apparaten en auto ‘ s kunnen e-mail doen. Belangrijker nog, “op het Internet” betekent het hebben van een e-mailadres (of tientallen van hen); het zijn onze id’ s, hoe we ons aanmelden voor dingen, hoe we kennisgevingen ontvangen, en soms zelfs met elkaar communiceren. E-mail is de originele “killer app.”

maar e-mail is niet ontworpen met enige privacy of veiligheid in het achterhoofd. Er zijn veel inspanningen om e-mail veiliger te maken, maar de recente sluiting van zeer aangeprezen beveiligde e-maildiensten zoals Lavabit (naar verluidt gebruikt door NSA leaker Edward Snowden) en Silent Circle in het kielzog van de overheid toezicht programma ‘ s benadrukken de moeilijkheden. Gebrek aan e-mailbeveiliging is ook het hebben van een aantal verrassende nevenschade, zoals de aangekondigde sluiting van de gerespecteerde software en wet blog GrokLaw.

is e-mailbeveiliging hopeloos? Kijken we naar het einde van de internet killer app?

Waarom is e-mail niet veilig?

e-mail is niet veilig omdat het nooit de bedoeling was om het middelpunt van ons digitale leven te zijn. Het werd ontwikkeld toen het Internet een veel kleinere plaats was om eenvoudige store-and-forward messaging te standaardiseren tussen mensen die verschillende soorten computers gebruiken. E – mail werd allemaal volledig overgedragen in de open-alles was leesbaar voor iedereen die het netwerkverkeer of toegang accounts kon kijken (oorspronkelijk niet eens wachtwoorden werden versleuteld). Verbazingwekkend, e-mail verzonden met behulp van die wijd open methoden nog steeds (meestal) werkt.

vandaag zijn er vier basisplaatsen waar de e-mail van de meeste mensen gecompromitteerd kan worden:

  • op uw apparaat(en)
  • op de netwerken
  • op de server(s)
  • op het apparaat van uw ontvanger (s))

de eerste en laatste plaatsen – apparaten-zijn gemakkelijk te begrijpen. Als iemand achter je computer kan zitten, je telefoon kan pakken of door je tablet kan vegen, is de kans groot dat je e – mail daar zit zodat ze kunnen lezen-Je gebruikt een vergrendelingsscherm of wachtwoord op je apparaten, toch? Hetzelfde geldt voor de apparaten van uw ontvangers. Maar zelfs wachtwoorden en vergrendelingsschermen zijn soms niet veel hulp. Terwijl een paar e-mailprogramma ‘ s versleutelen de e-mailberichten die ze op te slaan op het apparaat, de meeste niet. dat betekent dat iedereen (of een programma) die toegang heeft tot de interne opslag van het apparaat kan waarschijnlijk ook e-mail te lezen en naar bestandsbijlagen. Klinkt dat vergezocht? Het hoeft niet een persoon te zijn; rifling via e-mail is een van de meest voorkomende dingen die malware doet.

netwerken zijn iets moeilijker te begrijpen en omvatten drie basisverbindingen:

  • uw verbinding met uw e-mailprovider (of dat nu uw ISP, Google, Outlook, Yahoo, Apple of iemand anders is)
  • netwerkverbindingen tussen uw e-mailprovider en uw ontvanger
  • de netwerkverbinding van uw ontvanger met hun e-mailprovider.

als u e-mail verzendt naar iemand op dezelfde service die u gebruikt (bijvoorbeeld Outlook.com), hebt u ten minste de eerste en derde potentiële netwerk kwetsbaarheden: uw verbinding met Outlook.com en de verbinding van uw ontvanger met Outlook.com. als de e-mail van uw ontvanger elders is (bijvoorbeeld een bedrijf of school) dan heb je ten minste een meer: de verbinding tussen Outlook.com en de e-mailprovider van uw ontvanger. De realiteit van netwerktopografie betekent dat elk van deze verbindingen een reeks routers en switches (misschien een dozijn of meer) omvat, waarschijnlijk eigendom van en beheerd door verschillende outfits. Als één verbinding veilig is, is er geen garantie dat een andere verbinding in de volgorde veilig is. En als je je zorgen maakt over zaken als het prisma-surveillanceprogramma van de NSA, zijn er tot nu toe aanwijzingen dat een deel ervan gebeurt op deze tussentijdse netwerkpunten.

e-mail is niet ontworpen met enige privacy of beveiliging in gedachten.

Servers zijn de machines bij uw e-mailprovider of ISP die uw e-mail fysiek opslaan. Als iemand uw e-mailwachtwoord scheurt (of raadt, of steelt), hebben ze uw apparaten waarschijnlijk niet nodig; ze kunnen direct inloggen bij uw e-mailprovider en elke e-mail die daar is opgeslagen, lezen. Dat kan zijn slechts een paar berichten, maar het kan weken, maanden, of jaren waarde van e – mail-met inbegrip van ten minste een aantal berichten die u hebt verwijderd. Maar dat is niet het enige risico. De meeste e-maildiensten slaan uw berichten op als platte tekst. Dus, elke aanvaller die toegang heeft tot deze servers (bijvoorbeeld, via een veiligheidslek of door het stelen van een admin wachtwoord) kan gemakkelijk toegang krijgen tot alle opgeslagen e-mail en bijlagen. Waarom beschermen providers opgeslagen e-mail niet? Deels vanwege de overhead die zou maken, maar het opslaan van de e-mail onversleuteld laat mensen zoeken hun berichten (u wilt uw e-mail te zoeken, toch?) en stelt diensten zoals Gmail in staat om automatisch e-mail te scannen op zoekwoorden om reclame te verkopen (en je houdt van reclame, toch?).

encryptie te hulp!

de beste manier om communicatie te beschermen is door ze te versleutelen: in principe, het versleutelen van de gegevens met complexe wiskundige transformaties zodat het alleen verstaanbaar is met behulp van het juiste wachtwoord of andere referenties. Een veel voorkomende vorm van versleuteling is public key cryptography, waarbij mensen (of ISP ‘ s of bedrijven) een publieke sleutel weggeven die iedereen kan gebruiken om gegevens die voor hen bedoeld zijn te versleutelen, maar alleen kan worden gedecodeerd met behulp van een private sleutel die de persoon (of ISP of bedrijf) geheim houdt.

public key cryptografie is de basis van twee primaire manieren om e-mail te beschermen:

  • berichten versleutelen
  • netwerkverbindingen versleutelen

berichten versleutelen

het idee achter versleutelde berichten is eenvoudig: in plaats van het verzenden van platte tekst die iedereen kan lezen, stuur je gecodeerde gobbledegook alleen de beoogde ontvanger kan lezen. Veelgebruikte tools voor het versleutelen van e-mail zijn PGP (nu een commercieel product van Symantec) en tal van mainstream apps en tools die de open source OpenGPG en S/MIME ondersteunen.

het versleutelen van berichten is een eenvoudig idee, maar de aanpak heeft voor-en nadelen. Aan de positieve kant worden versleutelde berichten beschermd op zowel netwerken als servers, zelfs als ze worden gecompromitteerd of als platte tekst worden opgeslagen. (De gobbledegook kan Gmail serveren een aantal rare advertenties, hoewel!) Het bericht is waarschijnlijk ook versleuteld op uw apparaat en de apparaten van uw ontvanger (totdat ze het decoderen), die enige extra bescherming biedt. Dat is allemaal goed.

nu de nadelen. Het versleutelen van individuele berichten is lastig. Je moet de publieke sleutel hebben van iedereen waarmee je veilig wilt communiceren. Voor een of twee mensen is dat niet slecht, maar de meeste mensen hebben tientallen (of honderden) contacten. Ze allemaal operationeel krijgen met cryptografie met openbare sleutels zal niet gemakkelijk zijn.

Verder heeft iedereen die je beveiligde e-mail wil sturen je publieke sleutel nodig! U kunt het naar hen sturen via e-mail … maar dat zal niet worden gecodeerd, dus het is niet veilig. Hetzelfde met een blog post of een Facebook-pagina of keyserver diensten of een ander onveilig kanaal. De enige echt veilige manier om publieke sleutels uit te wisselen is face-to-face of een andere manier waarop je er echt zeker van kunt zijn dat je de juiste sleutel van de juiste persoon krijgt. Dat kan onpraktisch zijn. Sommige mensen die u gevoelige e – mail – zoals banken, creditcardbedrijven, ziekenhuizen, scholen, of de lokale vruchtbaarheid kliniek-waarschijnlijk zal niet (of zal niet weten hoe) om uw openbare sleutel te gebruiken, zelfs als ze het hadden. Bottom line, niet veel van uw e-mailberichten zullen worden versleuteld, dus het versleutelen van berichten is geen algemene oplossing voor veilige e-mail.

maar wacht! Er zijn meer nadelen aan het versleutelen van berichten. Alleen de inhoud van het bericht (en eventuele bijlagen) worden versleuteld. De header informatie (inclusief uw adres, adres van de ontvanger, onderwerp, datum, en meer) zijn allemaal nog steeds platte tekst iedereen kan lezen. Die informatie kan alleen metadata zijn, maar na verloop van tijd kan het een verrassend gedetailleerd beeld schetsen van uw online activiteiten. Vraag het aan de NSA! Wil je nog een keerzijde? Probeer in te loggen op je webmail en door versleutelde mail te zoeken naar een telefoonnummer of adres.

verbindingen versleutelen

problemen met versleutelde berichten betekenen dat veel van de nadruk op het beveiligen van e-mail ligt op het versleutelen van netwerkverbindingen. Het basisidee is hetzelfde als het gebruik van een beveiligde website zoals uw bank of Amazon.com wanneer u verbinding maakt met uw e-mailprovider, gebruikt uw software Transport Layer Security (TLS, nog beter bekend als SSL) om de verbinding tussen uw apparaat en de service te versleutelen. Het zorgt zelfs voor het uitwisselen van sleutels: de meeste apparaten vandaag komen vooraf geïnstalleerd met sleutels voor certificaat autoriteiten, waar ze geverifieerde sleutels voor sites en diensten kunnen downloaden zonder lastig gebruikers: geen muss, geen gedoe, geen vliegen naar Australië om openbare sleutels uit te wisselen met iemand. De basistechnologie werkt al bijna twee decennia voor e-commerce.

deze informatie kan alleen metadata zijn, maar na verloop van tijd kan het een verrassend gedetailleerd beeld geven van uw online activiteiten.

de verbinding tussen u en uw e-mailprovider versleutelen betekent dat niemand op het netwerk daartussen e-mailberichten kan bekijken die u verzendt of ontvangt: het is allemaal gobbledegook. Dat beschermt u tegen de kruip op het lokale Wi-Fi-netwerk en zelfs geheime overheid kranen in een datacenter ergens langs de weg.

echter, zodra het bericht uw e-mailprovider bereikt, zijn alle weddenschappen uitgeschakeld. Meestal slaat uw e-mailprovider de berichtgegevens op als platte tekst (zie hierboven), hoewel er uitzonderingen zijn zoals de Canadese Hushmail. En als uw ontvanger is op een andere e-mailprovider of ISP, uw bericht zou kunnen zijn (en waarschijnlijk is!) verzonden naar hen via het Internet als old-school platte tekst e-mail. Een groeiend aantal e – mailservices gebruikt TLS om onderlinge verbindingen te versleutelen, maar de overgrote meerderheid van de e-mailservers in de wereld wisselen nog steeds berichten uit zonder versleuteling-en u kunt dit op geen enkele manier weten. Bovendien is het niet te zeggen of uw ontvanger een beveiligde verbinding zal gebruiken om uw e-mail te ontvangen of te beantwoorden. Je zou jezelf hebben beschermd tegen de kruip op het openbare Wi-Fi-netwerk, maar deed uw arts of accountant? Misschien niet.

is e-mail gedoemd?

e-mail zal niet snel verdwijnen. Het is veel te nuttig, en het is bijna-universele status op bijna elk apparaat en service zorgt ervoor dat e-mail zal bij ons voor vele jaren.

maar veilige e-mail? De bottom line is dat e-mail zoals we het vandaag kennen nooit veilig is geweest, en de talloze manieren waarop we verzenden, ontvangen, opslaan en gebruiken e-mailberichten maakt het volledig beveiligen van e-mail een zeer moeilijk probleem. Op zijn best.

we kunnen nieuwe beveiligde berichtdiensten uitvinden die e-mail kunnen vervangen. Dat is wat Silent Circle heeft gedaan met de versleutelde communicatiedienst, en misschien is dat wat BlackBerry deed met BBM en wat Apple kan hebben gedaan met iMessage. Niettemin zijn deze diensten onderworpen aan disclosure verzoeken van regeringen – hoewel Silent Circle de interessante stap zet om met bijna niets te kunnen reageren. Belangrijker, Geen zijn waarschijnlijk de brede alomtegenwoordigheid en bijna alomtegenwoordig bereik van e-mail op elk punt in de middellange of zelfs de lange termijn. Hopelijk, de moeilijkheid zal niet stoppen mensen uit te proberen-en Kim Dotcom Mega is al gooien haar hoed in de ring.

maar in de nabije toekomst kunnen internetgebruikers niet verwachten dat e-mail beveiligd is tegen nieuwsgierige blikken of onderschepping. Periode.

Top figuur met dank aan /3dreams

aanbevelingen van de redactie

  • de beste versleutelde messaging-apps voor iOS en Android
  • beste goedkope VPN-deals voor februari 2021
  • hoe kunt u voorkomen dat uw e-mails worden gevolgd en uw privacy behouden
  • hoe beschermt u uw smartphone tegen hackers en indringers
  • hoe kunt u uw Outlook wijzigen wachtwoord

Geef een antwoord

Het e-mailadres wordt niet gepubliceerd.