Poskytovatelé e-mailu mohou udělat více pro ochranu svých uživatelů. Zde je návod
E-mail je jednou z nejcitlivějších částí naší online identity. Všechny naše účty – Amazon, PayPal, Facebook atd. – jsou propojeny s naší e-mailovou adresou. Díky tomu je e-mail hlavním cílem hackerů. Zeptali jsme se Matthiase Pfaua, zakladatele společnosti secure pošta služby Tutanota, co musí poskytovatelé e-mailu a uživatelé udělat pro ochranu svých e-mailových účtů. Podle něj je možná čas nechat Gmail a Yahoo za sebou.
Q:E-mail je jedním z nejdůležitějších online nástrojů. Každý má svůj e-mailový účet a většina z nás má v e-mailech uložené nějaké informace, které nechceme, aby ostatní viděli. Jak je možné, že může docházet k masivním hackům hesel, jako je hack Yahoo?
A:Hlavním problémem jsou poskytovatelé e-mailu. Mnoho poskytovatelů nezabezpečuje hesla svých uživatelů tak dobře, jak by měli. Hack Yahoo je bohužel velmi dobrým příkladem. V letech 2013 a 2014 získali útočníci se zlými úmysly přístup ke 3 miliardám hesel Yahoo a společnost ani neupozornil své uživatele .
Proto e-mailové služby zaměřené na bezpečnost, jako je Tutanota, nabírají na síle . Chápeme, že jako vývojáři se musíme ujistit, že hackování hesel není možné. E-mailové služby by nikdy neměly mít přístup k heslům svých uživatelů. Důvod je jednoduchý: Pokud nemáme přístup k heslu, zákeřní útočníci nám heslo nemohou ukrást. Při správném nastavení zabezpečení není nutné k přihlášení lidí do jejich poštovních schránek skutečně ukládat prosté heslo na serveru. Stačí do hesla uložit hash – kus kódu, který odemkne správnou poštovní schránku – který nelze zpětně vypočítat. Kdo by hash ukradl, skončil by s prázdnýma rukama. Většina e-mailových služeb také umožňuje svým uživatelům přihlásit se pomocí slabých hesel, která lze snadno prolomit útoky hrubou silou. Běžný uživatel nechce přemýšlet nad bezpečností a jak jí dosáhnout. E-mailová služba se o to musí postarat za ně a to je to, co my v Tutanotě již děláme.
Q:Ve společnosti Tutanota nejenže nemáte přístup k heslům uživatelů, ale ani nemáte přístup k obsahu poštovních schránek uživatelů. Všechna data jsou šifrována. Proč si myslíte, že je důležité šifrovat všechny e-maily?
A:Zabezpečení e-mailu je ze své podstaty narušeno. Díky otevřenému designu e-mailu je velmi úspěšný. Kdokoli může poslat e-mail komukoli, bez ohledu na to, kde jsou e-maily umístěny. Je to velmi snadný nástroj, jak kontaktovat kohokoli na světě. Otevřený design však prakticky znemožňuje adekvátní zabezpečení e-mailů.
Všechny e-maily by měly být chráněny šifrováním SSL. Každá e-mailová služba by měla mít velmi dobré hodnocení SSL, například na SSLLabs nebo na securityheaders.io . Bez SSL může kdokoli kopírovat a číst všechny vaše e-maily. Nejen tajná služba, ale jakýkoli škodlivý útočník, který dokáže zkopírovat veškerý e-mailový provoz osoby. Poté v datech naskenují slova jako „kreditní karta“. Opravdu je to tak snadné.
Pro dostatečné zabezpečení e-mailů však potřebujeme šifrování typu end-to-end, protože šifrování SSL pouze vytváří tunel, přes který jsou e-maily odesílány. Bohužel šifrovací standardy jako PGP nebo S/MIME jsou pro mnohé příliš složité, takže se nikdy nestaly příliš populárními. To je důvod, proč jsme se ve společnosti Tutanota rozhodli přebudovat e-mail od nuly, včetně automatického end-to-end šifrování. Díky vestavěnému šifrování Tutanota si můžete být naprosto jisti, že vaše e-maily nemůže číst nikdo kromě zamýšleného příjemce. Ke klíči pro otevření e-mailu máte přístup pouze vy a příjemce. Běžní poskytovatelé e-mailu, jako je Gmail a Yahoo, nemají automatické end-to-end šifrování.
Q:V zásadě říkáte, že e-mailové služby musí chránit e-mailové účty svých uživatelů mnohem lépe než většina z nich. Kdykoli se však objeví zprávy o hacknutí hesel, uživatelé jsou informováni, že musí své účty správně zabezpečit. Uživatel nemůže nic dělat?
A:Ve skutečnosti je toho hodně. Ale co jsem chtěl poukázat je, že je to také naše zodpovědnost jako vývojářů. Musíme vytvořit e-mailovou službu, kterou lze snadno používat a zabezpečit – službu, která zajišťuje zabezpečení za uživatele.
Když tak učiníte, existuje několik jednoduchých kroků, které mohou a měli by uživatelé podniknout k zabezpečení svých online účtů:
- Vytvářejte silná hesla . Nepřihlašujte se hesly jako „123456“. „123456“ je v současnosti nejběžnějším heslem . To musí skončit, protože lidé ani nepotřebují hrubou sílu, aby zjistili takové heslo. Kdokoli to může uhodnout – váš soused, váš zaměstnavatel – a pak si přečíst všechny vaše e-maily.
- Povolit 2FA. Nejlepší možností pro dvoufaktorovou autentizaci je U2F, což je fyzické zařízení potřebné k přihlášení k vašemu účtu. Dvoufaktorová autentizace chrání váš e-mailový účet i ve scénáři podobném Yahoo, kde útočníci kradou hesla všech uživatelů.
- Při používání veřejného počítače buďte opatrní. Vždy se odhlašte a nikdy neukládejte své přihlašovací údaje do prohlížeče.
- Chraňte svou e-mailovou adresu. Nezveřejňujte svou e-mailovou adresu v komentářích na blogu nebo na sociálních sítích.
- Používejte aliasy. Aliasové e-mailové adresy jsou velmi užitečné, pokud chcete zachovat svou hlavní e-mailovou adresu skrytou. Používejte aliasy pro přihlášení k odběru newsletterů atd. Pokud je tato e-mailová adresa zneužita spammery, můžete ji snadno smazat, aniž byste museli přepínat svou hlavní e-mailovou adresu.
- Pozor na phishing. Většinu času phishingové e-maily jsou snadno rozpoznatelné . Vždy vás požádají, abyste klikli na odkaz a zadali své přihlašovací údaje. Nikdy to nedělej.
- Použijte šifrování. Zprávy obsahující citlivé informace před odesláním zašifrujte.
- Vyberte si tu správnou službu. Všech sedm zde uvedených kroků je k ničemu, pokud váš poskytovatel e-mailu nezajistí, že váš e-mailový účet je nastaven bezpečným způsobem. V tomto jsem zaujatý, ale doporučuji Tutanota .
“ SPAM ze staré školy “ od GM s licencí pod CC BY 2.0
