Электронная почта — самый распространенный способ общения в Интернете — возможно, даже на планете. Он встроен практически во все: от телефонов и планшетов до традиционных компьютеров и игровых устройств — черт возьми, даже подключенная бытовая техника и автомобили могут отправлять электронную почту. Что еще более важно, быть «в Интернете» означает иметь адрес электронной почты (или десятки адресов); это наши идентификаторы, то, как мы подписываемся на что-то, как получаем уведомления и иногда даже общаемся друг с другом. Электронная почта — это оригинальное «приложение-убийца».
Но электронная почта не была разработана с учетом любой конфиденциальность или безопасность в виду. Было предпринято много усилий, чтобы сделать электронную почту более безопасной, но недавнее закрытие широко разрекламированных служб безопасной электронной почты, таких как Лавабит (по сообщениям, использовался лидером АНБ Эдвардом Сноуденом) и Тихий круг После правительственных программ наблюдения подчеркивают трудности. Отсутствие безопасности электронной почты также имеет неожиданный побочный ущерб, например, объявленное закрытие уважаемого блога по программному обеспечению и праву.
ГрокЛо.Рекомендуемые видео
Безнадежна ли безопасность электронной почты? Ждём ли мы конец убийственного приложения Интернета?
Почему электронная почта небезопасна?
Электронная почта небезопасна, поскольку она никогда не задумывалась как центр нашей цифровой жизни. Он был разработан, когда Интернет был гораздо меньшим местом для стандартизации простого обмена сообщениями с промежуточным хранением между людьми, использующими разные типы компьютеров. Вся электронная почта передавалась полностью открыто — все было доступно для чтения любому, кто мог следить за сетевым трафиком или получать доступ к учетным записям (первоначально даже пароли не были зашифрованы). Удивительно, но электронная почта, отправленная с использованием этих широко открытых методов, все еще (в основном) работает.
Сегодня существует четыре основных места, где электронная почта большинства людей может быть скомпрометирована:
- На вашем устройстве(ах)
- В сетях
- На сервере(ах)
- На устройстве(-ах) вашего получателя
Первое и последнее места – устройства – понятны. Если кто-то может сесть за ваш компьютер, взять ваш телефон или просмотреть ваш планшет, скорее всего, ваша электронная почта окажется прямо здесь, и он сможет ее прочитать – вы делать используйте экран блокировки или пароль на своих устройствах, верно? То же самое касается устройств ваших получателей. Но даже пароли и экраны блокировки иногда не особо помогают. Хотя некоторые почтовые программы шифруют сообщения электронной почты, которые они хранят на устройстве, большинство из них этого не делают. Это означает, что любой (или любая программа), которая имеет доступ к внутренней памяти устройства, вероятно, также сможет читать электронную почту и получать доступ к вложенным файлам. Звучит надуманно? Это не обязательно должен быть человек; перелистывание электронной почты — одно из наиболее распространенных действий вредоносного ПО.
Сети немного сложнее понять, и они охватывают три основных звена:
- Ваше соединение с вашим провайдером электронной почты (будь то ваш интернет-провайдер, Google, Outlook, Yahoo, Apple или кто-то другой)
- Любые сетевые подключения между ваш провайдер электронной почты и ваш получатель
- Сетевое соединение вашего получателя с его провайдером электронной почты.
Если вы отправляете электронное письмо кому-то с помощью той же службы, которую используете (скажем, Outlook.com), у вас есть как минимум первый и третьи потенциальные уязвимости сети: ваше подключение к Outlook.com и подключение вашего получателя к Outlook.com. Если адрес электронной почты вашего получателя находится где-то еще (скажем, в компании или школе), то у вас есть как минимум еще один: соединение между Outlook.com и поставщиком электронной почты вашего получателя. Реальность сетевой топографии означает, что каждое из этих соединений включает в себя ряд маршрутизаторов и коммутаторов (возможно, дюжину или более), вероятно, принадлежащих и управляемых разными организациями. Если одно соединение защищено, нет никаких гарантий другой соединение в последовательности безопасно. И если вас беспокоят такие вещи, как программа наблюдения PRISM АНБ, на данный момент есть признаки того, что некоторые из них происходят в этих промежуточных сетевых точках.
Электронная почта не была разработана с любой конфиденциальность или безопасность в виду.
Серверы — это машины вашего провайдера электронной почты или интернет-провайдера, на которых физически хранится ваша электронная почта. Если кто-то взломает (или угадает, или украдет) ваш пароль электронной почты, ваши устройства, вероятно, ему не понадобятся; они могут войти в систему вашего провайдера электронной почты напрямую и прочитать любую электронную почту, хранящуюся там. Это может быть всего несколько сообщений, но это могут быть электронные письма на недели, месяцы или годы, включая, по крайней мере, некоторые сообщения, которые вы удалили. Но это не единственный риск. Большинство почтовых служб хранят ваши сообщения в виде обычного текста. Таким образом, любой злоумышленник, который может получить доступ к этим серверам (скажем, через брешь в безопасности или украв пароль администратора), может легко получить доступ ко всей сохраненной электронной почте и вложениям. Почему провайдеры не защищают сохраненную электронную почту? Частично из-за связанных с этим накладных расходов, но хранение электронной почты в незашифрованном виде позволяет людям искать свои сообщения (вы предпочитаете искать ваш адрес электронной почты, верно?) и позволяет таким сервисам, как Gmail, автоматически сканировать почту на предмет ключевых слов для продажи рекламы (а вам нравится реклама, верно?).
Шифрование спешит на помощь!
Лучший способ защитить коммуникации — это зашифровать их: по сути, шифруя данные сложными математические преобразования, поэтому их можно понять только при использовании правильного пароля или других учетных данных. Распространенной формой шифрования является криптография с открытым ключом, когда люди (или интернет-провайдеры, или компании) выдают открытый ключ, который может получить каждый. используются для шифрования данных, предназначенных для них, но могут быть декодированы только с использованием закрытого ключа, который хранится у человека (или интернет-провайдера, или компании). секрет.
Криптография с открытым ключом лежит в основе двух основных способов защиты электронной почты:
- Шифрование сообщений
- Шифрование сетевых подключений
Шифрование сообщений
Идея зашифрованных сообщений проста: вместо отправки простого текста, который может прочитать каждый, вы отправляете зашифрованную тарабарщину, которую может прочитать только предполагаемый получатель. Общие инструменты для шифрования электронной почты включают в себя ПГП (теперь это коммерческий продукт от Symantec), а также многочисленные популярные приложения и инструменты, поддерживающие OpenGPG с открытым исходным кодом и S/MIME.
Шифрование сообщений — простая идея, но у этого подхода есть плюсы и минусы. Положительным моментом является то, что зашифрованные сообщения защищены как в сетях, так и на серверах, даже если они взломаны или хранятся в виде обычного текста. (Однако эта болтовня может заставить Gmail показывать странную рекламу!) Сообщение, вероятно, также зашифровано. на вашем устройстве и устройствах получателя (пока они его не декодируют), что обеспечивает дополнительную защиту. Это все хорошо.
Теперь минусы. Шифрование отдельных сообщений — это боль. У вас должен быть открытый ключ каждый с которым вы хотите безопасно общаться. Для одного-двух человек это неплохо, но у большинства людей десятки (или сотни) контактов. Запустить их все и запустить с помощью криптографии с открытым ключом будет непросто.
Далее всем желающим отправить ты безопасной электронной почте нужен ваш открытый ключ! Вы можете отправить его им по электронной почте… но оно не будет зашифровано, поэтому небезопасно. То же самое с публикацией в блоге, страницей Facebook, службами сервера ключей или любым другим небезопасным каналом. Единственный действительно безопасный способ обмена открытыми ключами — это личный контакт или какой-либо другой способ обмена. действительно уверен, что вы получаете правильный ключ от нужного человека. Это может быть совершенно непрактично. Некоторые люди, которые отправляют вам конфиденциальные электронные письма, например, банки, компании-эмитенты кредитных карт, больницы, школы или местная клиника по лечению бесплодия – вероятно, не будет (или не будет знать, как) использовать ваш открытый ключ, даже если у них есть это. В итоге не многие из ваших сообщений электронной почты будут зашифрованы, поэтому шифрование сообщений не является общим решением для обеспечения безопасности электронной почты.
Но ждать! У шифрования сообщений есть и другие недостатки. Только сообщение содержание (и вложения, если таковые имеются) шифруются. Информация заголовка (включая ваш адрес, адрес получателя, тему, дату и т. д.) по-прежнему представляет собой обычный текст, который может прочитать каждый. Эта информация может быть просто метаданными, но со временем она может нарисовать удивительно подробную картину вашей онлайн-активности. (Только спроси в АНБ!) Хотите еще один минус? Попробуйте войти в свою веб-почту и найти в зашифрованной почте номер телефона или адрес.
Шифрование соединений
Проблемы с зашифрованными сообщениями означают, что при обеспечении безопасности электронной почты основное внимание уделяется шифрованию сетевых подключений. Основная идея та же, что и при использовании защищенного веб-сайта, такого как ваш банк или Amazon.com. Когда вы подключаетесь к своему провайдеру электронной почты, ваше программное обеспечение использует Transport Layer Security (TLS, также более известный как SSL) для шифрования соединения между вашим устройством и службой. Он даже заботится об обмене ключами: сегодня большинство устройств поставляются с предустановленными ключами центров сертификации, откуда их можно загрузить. аутентифицированные ключи для сайтов и сервисов, не беспокоя пользователей: никакой суеты, никакой суеты, никаких полетов в Австралию для обмена открытыми ключами с кто-то. Базовая технология работала в электронной коммерции почти два десятилетия.
Эта информация может быть просто метаданными, но со временем она может нарисовать удивительно подробную картину вашей онлайн-активности.
Шифрование соединения между вами и вашим провайдером электронной почты означает, что никто в сети между ними не сможет просматривать сообщения электронной почты, которые вы отправляете или получаете: это все чушь. Это защитит вас от проникновения в местную сеть Wi-Fi и даже от секретных правительственных прослушиваний в дата-центре где-нибудь по пути.
Однако как только сообщение дойдет до вашего провайдера электронной почты, все ставки сделаны. Большую часть времени ваш провайдер электронной почты хранит данные сообщения в виде обычного текста (см. выше), хотя есть исключения, например, в Канаде. Хушмейл. А если ваш получатель пользуется услугами другого поставщика электронной почты или интернет-провайдера, ваше сообщение может быть (и, вероятно, так и есть!) передано ему через Интернет в виде обычного текстового электронного письма старой школы. Все большее число почтовых служб используют TLS для шифрования соединений между собой, но огромный Большинство почтовых серверов в мире по-прежнему обмениваются сообщениями без шифрования, и вы не можете об этом узнать. Кроме того, неизвестно, будет ли ваш получатель использовать защищенное соединение для получения вашего электронного письма или ответа на него. Вы могли бы защитить сам от ползания в общедоступной сети Wi-Fi, а это сделал ваш врач или бухгалтер? Возможно, нет.
Электронная почта обречена?
Электронная почта не исчезнет в ближайшее время. Это слишком полезно, и его почти универсальный статус практически на каждом устройстве и сервисе гарантирует, что электронная почта будет с нами в течение многих лет.
Но безопасный электронная почта? Суть в том, что электронная почта, какой мы ее знаем сегодня, имеет никогда были безопасными, а множество способов отправки, получения, хранения и использования сообщений электронной почты делают полную защиту электронной почты очень трудная проблема. В лучшем случае.
Мы можем изобрести новые службы безопасных сообщений, которые смогут заменить электронную почту. Это то что Тихий круг сделала со своей службой зашифрованной связи, и, возможно, именно то же самое сделала BlackBerry с BBM и то, что Apple, возможно, сделала с iMessage. Тем не менее, эти услуги подлежат запросам о раскрытии информации со стороны правительств – хотя Silent Circle делает интересный шаг, имея возможность ответить практически ничем. Что еще более важно, ни один из них, вероятно, не будет иметь такого широкого распространения и почти повсеместного охвата электронной почты в любой момент в среднесрочной или даже долгосрочной перспективе. Будем надеяться, что эта сложность не остановит людей от попыток – и Mega Кима Доткома уже бросает шляпу на ринг.
Однако в обозримом будущем пользователи Интернета не смогут ожидать, что электронная почта будет защищена от посторонних глаз или перехвата. Период.
Верхнее изображение предоставлено Шаттерсток/3 мечты
