Finnest det sikker kryptert e-mail?

27. april 2016

Hallo alle sammen, satt og lurte på om jeg skulle gå til innkjøp av en SIKKER e-mail tjeneste. Ikke at jeg har bruk for det nå, men det er kjekt å ha.

Ser hushmail har komt opp en del steder når det snakkes om sikkerhet, så er dette ett av hovedvilkårene:
"I understand that Hushmail is not suitable for illegal activity and that the providers of Hushmail will cooperate fully with authorities pursuing evidence via valid legal channels."

Ikke at jeg noen gang kommer til å gjøre noe så ulovlig at det kommer til å bli ett problem, men skal jeg betale 50$ for en tjeneste bør den være så sikker at ikke engang Decepticons ville klart å knekke krypteringen. Helst i en serverbank ner jordens indre i ett tykt hvelv av Andamantium og Mithril.

-utepaanordnes

vidarlo

Trigonoceps occipita

27.682 31.077

27. april 2016

Altså.

Lar du tredjepart oppbevare nøklane dine må du stole på tredjeparten. Eit langt betre alternativ er å installere t.d. Thunderbird og gpg-plugin på ein PC, eller oppbevare nøkkelen på ein kryptert minnepenn og bruke Tails.

Då treng du ikkje kjøpe nokon ting, og kan bruke t.d. gmail.

Ja, god opsec er vanskeleg. Men det koster ikkje spesielt mykje penger. Kun tid.

Du ser forøvrig ut til å ha interesse for sikkerhet, men du mangler grunnkonsepta og systemforståelse. Godt tips er å prøve å skaffe den, og forstå kva som gjer kryptering trygt. Inntil du forstår det vil du gjere dårlege val.

Sist endret av vidarlo; 27. april 2016 kl. 16:42.

uninvited

14 4

27. april 2016

ProtonMail kan være verdt å sjekke ut.

sptz

Ministry of Love

2.269 299

28. april 2016

Du kan bruke neomailbox med dine egene pgp nøkler, men resten av tjenesten er ikke like bra. Bla har de ikke serverside sortering av mail utenom det som evt skjer i webklienten når du logger inn med den. (!) Jeg brukte dem riktig nok i 2år før jeg byttet til fastmail.com.

Det kommer litt an på hva formålet ditt er med mailløsningen. Om det bare er å kommunisere tror jeg du vil ha mer nytte av signal eller lignende applikasjoner. [1]
Om du faktisk trenger mail, så er fortsatt det beste løsningen PGP på en eller annen måte. Men det er litt mer stress for vanlige brukere, og derfor også mindre sikkert (du bruker det ikke, eller bruker det feil) en chate appen i linken.

[1] https://www.eff.org/secure-messaging-scorecard

Deezire

Tastaturkriger

5.280 2.050

28. april 2016

Problemet med e-post er at det er en kommunikasjon mellom to eller flere parter, og du har ingen kontroll på hvordan mottaker oppbevarer dataen. Det er heller ingen forward secrecy, så hvis du eller mottaker mister nøklene en gang i fremtiden så vil det være mulig å dekryptere alt. Det er ganske mange protokoller som implementerer dette, bl.a. iMessage og FaceTime fra Apple. Av (delvis) åpne alternativer har du TextSecure og Telegram.

sptz

Ministry of Love

2.269 299

28. april 2016

Jeg kan ikke anbefale Telegram, om du ikke bruker "Telegram secret chat" så blir(ble?) alle meldingene lagret i plaintext på serveren deres.

TextSecure og og Signal er samme app (TS ble slått sammen med RedPhone og ble Signal). Om man må ha et alternativ til Signal kan man evt bruke ChatSecure lar deg gjøre OTR over XMPP. Litt mindre praktisk nå som facebook har droppet XMPP støtten, men var lenge en av mine favoritter.

Signal har nå også en chrome app som desktop klient i public beta, som endelig lar deg bruke 10 fingre til å kommunisere

Dessverre kan den foreløpig bare kobles mot android telefoner.

Forøvrig om du ikke ønsker at Decepticons skal kunne knekke krypteringen din bør du benytte McEliece eller tilsvarende krypteringssystemer da Decepticons definitivt har tilgang til kraftige kvantedatamaskiner, som derfor vil kunne knekke RSA og til og med ECC systemer

Sist endret av sptz; 28. april 2016 kl. 21:53. Grunn: Automatisk sammenslåing med etterfølgende innlegg.

Pochahontas

40 8

29. april 2016

Det er jo endel grunnleggende ting som må være på plass før du kan bruke din nye og sikre e-post på en fornuftig måte.

Det hjelper f.eks. ikke at du sender ut kryptert post om ikke mottakeren din kan lese den.
Ergo må du ha behov for å kommunisere med en eller flere bestemte personer via e-mail på fast basis og dere bør i prinsippet sitte på samme programvare og ha delt en "nøkkel" som gjør dere begge i stand til å "låse eller låse opp" (kryptere og dekryptere) innholdet i e-mailen.

vidarlo

Trigonoceps occipita

27.682 31.077

29. april 2016

Sitat av Pochahontas

Ergo må du ha behov for å kommunisere med en eller flere bestemte personer via e-mail på fast basis og dere bør i prinsippet sitte på samme programvare og ha delt en "nøkkel" som gjør dere begge i stand til å "låse eller låse opp" (kryptere og dekryptere) innholdet i e-mailen.

Vis hele sitatet...

For det første finst det protokoller for kommunikasjon, slik at val av programvare er uviktig. For GPG/PGP så finst det fleire implementasjoner, frå Android til Windows.

For det andre har vi funne opp asymetrisk krypto, som gjer at du ikkje har ein delt nøkkel. Du har ein offentleg og privat nøkkel, der du krypterer til den offentlege nøkkelen til mottakaren. Og mottakaren bruker den private nøkkelen sin for å dekryptere meldinga.

et eller annet

1.585 349

29. april 2016

Countermail.com - Mange store saker i Norge hvor det har vist seg at politiet ikke får innsyn av leverandør, ingen nøkler blir levert, og de klarer ikke knekke krypteringen. DOG er den ikke mye trygg om personene som bruker den ikke sletter internett cache og andre diverse ting som lagrer epostene på pcen.

Twofish

13 3

5. mai 2016

Som det blir nevnt tidligere her så er det smarteste å lagre eposten lokalt på egen pc og kryptere dette. F.eks lagre alt i en truecrypt container er et alternativ. Da har du naturligvis kun tilgang til eposten fra denne pcen.
Sender du epost i klartekst, vil denne naturligvis komme til mottaker som klartekst selv om mailservere på veien krypterer trafikken seg i mellom.
Skal du sende kryptert epost må du og mottaker på forhånd være enig om dette enten via pgpnøkler eller bruke samme tjeneste som f.eks protonmail.

infexxion

79 5

9. mai 2016

Hvordan er det å sende en låst PDF fil? Er denne for lett å brute force åpne?

vidarlo

Trigonoceps occipita

27.682 31.077

9. mai 2016

Sitat av infexxion

Hvordan er det å sende en låst PDF fil? Er denne for lett å brute force åpne?

Vis hele sitatet...

...men du må kommunisere passordet på ein trygg måte.

Med gpg/pgp kan du sende nøkkelen i klartekst, og verifisere signaturen over ein autentisert, men avlytta kanal.

Seriøst. Ikkje prøv å koke opp smarte ideer. Det er utmerka måte å skyte seg sjøl i foten på. Bruk anerkjente protokoller, og tenk opsec i praktisk bruk.

▼ ... over en uke senere ... ▼

liselottepotte

12 0

20. mai 2016

OpenPGP er en fin løsning, evt. GPC keychain. (tror jeg, husker ikke akkurat nå)

▼ ... over en uke senere ... ▼

Zylla

Andreas

19 13

30. mai 2016

Hvis du vil være så sikker så mulig, så unngå å gi tillit til en tredjepart og oppbevar nøklene selv. (assymetrisk kryptografi).
100% sikkerhet vil du aldri oppnå.