Szoftvercégek és e-mail szolgáltatók

A PGP alapértelmezett támogatása a Microsoft (Outlook.com és az Outlook levelező kliens), az Apple (alapértelmezett támogatás iOS és OSX rendszerekben), a Yahoo részéről és a Gmail. Tudatosítaniuk kell az embereket, és létre kell hozniuk egy pgp-varázslót, hogy néhány lépéssel beállítsák.

A Google meg tudja valósítani ezt, de érdekkonfliktusuk van, nagyobb, mint az Apple vagy az MS. Talán olyan megoldással tudnak előállni, amely biztonságban tartja üzleti tevékenységüket és a leveleket.

Lehetséges probléma: a terror elleni háború és azok a "banditaállamok". Az Egyesült Államokbeli vállalatok nem exportálhatnak bizonyos technológiákat ezekbe az országokba. De nem hiszem, hogy ez a valódi probléma, mivel ezek a technológiák világszerte szabadon elérhetők.

A Facebook és a Twitter ebben nem nagy párt, de tudatosságnövelő kampányokat indíthatnának, mivel az adatvédelmet előszeretettel népszerűsítik.

Országok

Úgy gondolom, hogy ezt országoknak kellene támogatniuk. Az egyetlen elég nagy "ország", amelyet a közeljövőben látok csinálni, az EU, bár Németország jó kezdet lehet. De ehhez több idő kell.

Mit tehetünk

Magunk telepítsük a PGP-t és kezdjük el használni. Néha arra használom, hogy postázzak magamnak dolgokat vagy a munkahelyemet, már csak azért is, hogy megszokjam.

Készítsen kézikönyveket és telepítési módszereket, és mutassa meg, hogyan használható gond nélkül. Tehát anya és apa számára alapértelmezés szerint működnie kell, amikor e-mailt küldenek azoknak az embereknek, akik használják (ami valószínűleg azt jelenti, hogy ezeket a címeket PGP-vel kell megjelölni), például te és én. Még nekik is működnie kellene, anélkül, hogy jelszót kellene megadnia. Ez azt jelentené, hogy a levelet bárki megnyithatja az adott számítógépen. Az OSX rendszeren be kell jelentkeznie a kulcs feloldásához, és nem tudom, hogy működik ez a Windows rendszeren, de remélem, hogy hasonló lesz.

Amatőröm vállalja ezt

Technikailag röviden azt gondolom, hogy a kriptográfiát könnyebbé kell tenni. Ez akkor történhet meg, ha olyan vállalatok, mint a Google, a Microsoft, a Yahoo, a Facebook stb. Kriptográfiát valósítanak meg webalapú e-mailjükön. Bár a titkosítást már nagyon egyszerűvé tették (vannak olyan Firefox kiterjesztések / kiegészítők, amelyek megkönnyítik), még könnyebben használhatónak kell lennie. Talán jó első lépés lenne, ha a Google megvalósítana egy titkosítási / visszafejtési gombot a Gmailben. Ezután később mindent automatikusan elindíthatnak. Úgy gondolom, hogy ennek a folyamatnak egy kis nyom és hibának kell lennie ahhoz, hogy kiderüljön, mit akarnak és képesek az emberek. Természetesen van mit gondolni itt. Az e-maileket titkosított formában tárolják a Google szerverein? Ha igen, hogyan tudja a Google célzott hirdetéseket eljuttatni Önhöz?

Társadalmi szempontból Azt hiszem, először meg kell győznie az embereket arról, hogy szükség van a titkosításra. Az az érzésem, hogy az átlagos Joe valamilyen szinten egyszerűen nem törődik az e-mail titkosításával. Lehet, hogy csalódott a kormány általi kémkedés miatt, de nem is igazán érdekli, hogy átvészelje az e-mailek titkosítását. És itt személy szerint én személy szerint nem érzem (még) valódi igényt a szokásos e-mailjeim titkosítására. Ha azt írom a nagymamámnak, hogy meséljek neki az imént kapott új aranyos macskáról, nem bánom, ha mondjuk a kormány képes meghallgatni (jobban aggódom más hackerek miatt). Nincs mit rejtegetnem. Ha azt akarja, hogy titkosítsam az e-mailjeimet, akkor mindenképpen meg kell könnyítenie a dolgomat. Igyekszem itt egy kicsit ördög szószóló lenni, de azt gondolom, hogy sokan gondolkodnak így. Ez csak a valóság. Lehet, hogy meg van győződve arról, hogy titkosítania kell az összes e-mailt, de az átlagember nem. Ezért szerettem volna erről amatőr véleményemet adni. Tehát, még egyszer, talán, ha meg tudja győzni a nagyvállalatokat a kriptográfia bevezetéséről, hogy az automatikusan megtörténjen, ez segítene.

Fentebb megemlíti az exportkorlátozásokat, és nem tudom, mekkora üzletről van szó. De lehet, hogy a vállalatok csak különböző termékeket kínálnak különböző közönség számára.

Miután (vagy annak oldalán) létrehozta a titkosítási vágyat, valószínűleg meg kell tanítania az embereket a kriptográfiára.

És ha be akarja vonni a nagyvállalatokat, akkor nekik is vissza kell állítaniuk a közvélemény iránti bizalmat. Miután tudomásul vették, hogy ezek a vállalatok együttműködnek a kormánnyal, azt hiszem, sokan nem hajlandók bízni abban, hogy a Google mondjuk nem fogja megőrizni a jelszavának / titkos kulcsának másolatát. De talán az embereket ez sem érdekli?

Ha csak e-mailes titkosítást szeretne, akkor valószínűleg elegendő lenne, ha a nagyobb levelező szolgáltatók S / MIME tanúsítványt adnának minden egyes e-mail címhez, és alapértelmezés szerint a webes felületükön használnák, és megkönnyítenék a szokásos levelező kliensek használatát. / p>

De ha valódi biztonságra vágysz, és nem csak titkosításra, akkor valahol máshol kell kezdened. A fő probléma nem a titkosítási rész, hanem a megbízhatósági rész, pl. valóban e levél feladója az, akit állít. Bár vannak S / MIME és PGP-vel rendelkező megbízható modelljei, ezek nem elegendőek a szükséges bizalom biztosításához, mert ez nem biztosítja, hogy a tanúsítvány vagy a PGP-kulcs jelenlegi tulajdonosa valóban az, akit a tanúsítvány / kulcs állít:

• Milyen ellenőrzéseket végzett az S / MIME tanúsítvány aláírója a kért személyazonosság igazolására? Mennyire megbízhatóak azok a társak, akik aláírták a kulcsot a PGP megbízhatósági webén? Ha személyesen megkapta a tanúsítványt / kulcsot a tulajdonostól, sokkal jobb, de milyen gyakran van ez így?
• Hogyan lehet biztos abban, hogy a tanúsítványt / kulcsot nem veszélyeztették és most valaki más visszaél a személyazonossággal. A visszavonáshoz szükség van arra, hogy a tulajdonos valóban ismerje a kompromisszumot, és működnie is kell, ami még a PKI sokkal egyszerűbb felépítésével sem érvényes, amelyet a https-hez használunk.

I valójában tetszik a ZRTP (VoIP titkosítás) ötlete, ahol kölcsönös bizalmat hoz létre az eszközspecifikus kulcsok cseréjével és a bizalom ellenőrzésével egy másik csatornán (jelen esetben: hangon) keresztül. Használata egyszerű és jól működik, amíg a társak már eléggé ismerik egymást (így meg lehet különböztetni a társ hangját a középső ember hangjától), és a készüléket nem lopják el, vagy más módon nem veszélyeztetik.

Lehet, hogy hasonló sémákat lehet létrehozni a levelek számára, de a ZRTP-hez hasonlóan ez is kudarcot vall, ha nem ismeri elég jól a társat. Ebben az esetben ismét meghatalmazókat kell használnia, amelyek biztosítják a társ megbízhatóságát, pl. vissza az S / MIME vagy a PGP oldalra :(

Összefoglalva: mindez megbízhatóságba torkollik, ami könnyű, ha személyesen ismeri a kortársat, és nehéz, ha megbízni kell a meghatalmazottakban a megfelelő bizalmi döntések meghozatalához. Ez nem a levelezés, az internet vagy bármi más probléma, mert a valós életben is ugyanaz a probléma.

Lépjünk hátra. Ha hozzáadunk valamilyen TLS-t, amely lehetővé teszi az "On The Fly" kulcscserét, mint az SSL-webhelyekkel, ez már nagy előrelépés lenne.

Igen, a PGP és a kapcsolódó technológiák, amelyek az e-mailek megtartása a kíváncsi internetszolgáltatóktól is még jobb előrelépés, az SSL / TLS stílusú alagút használata az adatok postakiszolgálók közötti mozgatásához lehetővé tenné a forráskiszolgáló hitelesítését (azaz: Biztosan tudja, hogy Yahoo szerver volt, amely átment Ön az üzenetet).

Mennyit kap SPAM egy személy egy nap egy hamis forrásforrás címmel? Ez segít megakadályozni ennek nagy részét (mindezeknek kisebb tartományoknak kell lenniük, amelyek nem rendelkeznek tanúsítvánnyal).

Tehát adjon hozzá egy új kézrázást az SMTP protokollhoz, amely lehetővé tenné a küldő szervernek a ossza meg nyilvános kulcsát az üzenettel együtt. Ezután a fogadó ellenőrizheti, hogy a kulcsot a megfelelő tartományhoz adták-e ki egy kulcshatóságnál / letéteményesnél (megbízás stb.) Keresztül.

A szállítás közbeni biztonság problémájával a legkevésbé foglalkoznak, és az e-mail rendszereknek a felhasználóknak meg kell SENKI, hogy megvalósuljon.

Persze, ez nem címzi az e-maileket, miközben nyugalmi állapotban van a forráskiszolgálón (így a Google továbbra is el tudja olvasni és bemutathatja a hirdetéseket), de legalábbis most csak Ön és az internetszolgáltatója, és nem az egész világ. Ráadásul, ha a tetejére szeretné futtatni a PGP-t, akkor is megteheti.

Egy kis biztonság még mindig jobb, mint egyik sem, különösen, ha a biztosítottaknak nem kell árat fizetniük érte.

A mások által javasoltak mellett itt van egy alapvető kérdés: az emberi oldal . Ez nem szerszám vagy matematikai háttér kérdése. Ezek már megvannak. Amire szükségünk van, ki kell használnunk

Ahhoz, hogy az e-mailek titkosítása mainstream legyen, a legkisebb ellenállás útjának kell lennie . Mint in - titkosítás alapértelmezés szerint, átláthatóan, hacsak a felhasználó nem kifejezetten a visszafejtés mellett dönt.

Ugyanez az argumentum a HTTP és a HTTPS esetében. Valaki azt írta (sajnálom, hogy már nem találom a linket!), Hogy ne tartsuk a HTTPS-t a HTTP "biztonságos" verziójának. Ehelyett a HTTP a HTTPS "nem biztonságos verziója". Finom, de nagyon fontos különbség.

Természetesen ez áthelyezi a problématerületet a szerszámokról (amiben mi jók vagyunk) a pszichológiára és az emberekkel való foglalkozásra (amiben nem vagyunk túl jók, főleg egy majom számára). Ráadásul átlátszó, biztonságos és megbízható réteget igényel mindennek tetején. Például

• Web mail: JavaScript kód, amely titkosítja az ügyféloldalt és átláthatóan elvégzi az összes kulcsellenőrzést.
• Felhasználói hitelesítés: ha automatikus titkosítás lesz, akkor nyilvános kulccsal történik. Hogyan tudja biztonságban tartani a sajátját? A fenti böngésző-forgatókönyv szerint ez hogyan működne?
• Tanúsítványok, visszavonási listák és minden olyan rendetlenség, amire még nem jöttünk rá, hogyan kezeljük megfelelően.
• Hibaüzenetek és a tartalék törlése . Ha nagymamám OpenSSL tanúsítványhibát lát, mit gondol, mit fog tenni? Inkább kerülöm az emberi beavatkozást, és nem feltételezem, hogy a végfelhasználó a legbölcsebb.

Biztonságos e-mail LOL.

A rejtjelezéshez kulcsok szükségesek, és lényegében az átlagember túl hülye ahhoz, hogy megfelelően használja őket. Amíg nem áll rendelkezésünkre olyan technológia, hogy felépítsünk egy olyan átterjedő rendszert, ahol valahogy te vagy a kulcs, és bármilyen számítógépet használsz "üzenetek", e-mail, szöveg, hang, videó, stb., következetesen felismerhet titkosítási kulcsként, a titkosítás csak nem fog menni.

Rengeteg vállalat mondja el, hogy megoldotta ezt a problémát, de nem mond igazat, megpróbálnak eladni neked valamit. Vegyük például a webmailt. Tegyük fel, hogy S / MIME-t fog használni, ezért vásárol egy személyes igazolást, amely megköveteli, hogy azonosítsa magát a való világban, aki állítólag felelős - például egy banktiszt.

Ez a tanúsítvány tartalmazza egy nyilvános / privát kulcspár. A nyilvános kulcs megy (amint azt a név is magában foglalja) egy nyilvános szerver. A privát részt azonban titokban kell tartani . Olvassa el újra. Titokban kell tartani . Szóval, hol tárolja ezt a webmail rendszerében? A webmail szolgáltató szupertitkos magántárhelyén, ahol gyakorlatilag bárki, aki bármilyen szerepet játszik a bűnüldözésben vagy a szövetségi kormányban, az Ön tudta nélkül, egyszerűen megkérheti? Vagy bárki, aki meggyőzően képes kinézni egy kormánytisztviselőnek?

Ja, de azt mondod, hogy a privát kulcs jelszóval van lezárva. Igen, lefogadom, hogy ez akadályozza az NSA-t, a kábítószer-kartellt, vagy gyakorlatilag bárkit, aki valóban akarja. Lehet, hogy hajlandó fogadni rá, de én nem.

A privát kulcsot titokban kell tartani, kivéve azokat a pillanatokat, amikor a levelező program valóban aláírja vagy visszafejt egy üzenetet. Ellenkező esetben offline állapotban kell lennie, valamilyen kényelmes tárolóban, amelyet a boldog felhasználó azonnal elfelejt, elveszít, eldob, összetör, eldob egy italt, WC-t, vagy a parkolóban, vagy ... megkapja a ötlet. Ja, és próbáld meg ezt az egész magánkulcsot végrehajtani egy hüvelykujj-meghajtó trükkel a webmail segítségével. Igen, ez remekül fog működni.

Tehát alapvetően a biztonságos, titkosított e-mail a jelenlegi állapotában is jól működik. Ha elég okos vagy ahhoz, hogy használhasd, és elég szervezett ahhoz, hogy nyomon követhesd a biztonságos magánkulcsodat. És mint kiderült, mind a 3 srác nem érdekli.