Google - Google je sporočil, da se je delež elektronske pošte, ki v nabiralnike uporabnikov Gmaila prispe prek varnih, šifriranih povezav, v zadnjem mesecu povečal za 25 odstotkov, kar pripisujejo izrecnemu opozarjanju, kdaj je povezava nezaščitena. V Googlu si želijo, da bi bila sčasoma vsa elektronska pošta šifrirana od pošiljatelja do prejemnika (end-to-end), do česar nas loči še precej časa (tehnologija, kot je PGP, seveda že obstaja, a jo uporablja bolj malo ljudi).
Ko si si zamislili elektronsko pošto, je bil svet popolnoma drugačen - po tedanjem ARPANET-u so prvo elektronsko sporočilo poslali daljnega leta 1971 - in šifriranje tedaj ni bilo pomembno. Toda nešifrirana elektronska pošta je ekvivalent pošiljanja informacij na poštni razglednici, zato jo šifriramo na različne načine. Uporaba protokola TLS za komunikacijo med strežniki poskrbi, da nihče ne more prebrati pošte med potovanjem od enega strežnika do drugega. Seveda jo lahko vidijo upravljavci poštnih strežnikov, a s tem odženemo vsaj najprimitivnejše napadalce.
Google v celoti uporablja TLS in šifrira tudi komunikacijo med svojimi strežniki, nič pa nam to ne pomaga, če je pošiljateljev ali prejemnikov strežnik gluh za TLS - tedaj tudi Googlov strežnik nima druge izbire kakor sporočilo prejeti oziroma poslati nešifrirano. Zato je Google minuli mesec v spletnem vmesniku začel prikazovati opozorilo, če prejemnikov oziroma pošiljateljev e-poštni strežnik ne podpira šifriranja. S tem so želeli prek uporabnikov pritisniti nanje, da bi čim več skrbnikov strežnikov podprlo TLS.
To jim je tudi dobro uspelo, saj se je delež e-pošte po šifriranih povezavah povečal za 25 odstotkov. Trenutno je 83 odstotkov Gmailove poslane e-pošte in 73 odstotkov prejete e-pošte šifrirane.
V nadaljevanju pa je Google s partnerji (Microsoft, Yahoo in drugimi) vložil predloge novega standarda IETF (SMTP Strict Transport Security), ki bi zagotavljal, da se bo pošta dostavljala le še šifrirano. Poleg tega so spremenili opozorilo, ki ga prikažejo, kadar nek e-poštni predal napadejo vladni hekerji, ter dodali Safe Browsing v Gmail, tako da ljudje ne bodo mogli z enim klikom odpreti povezav do nevarnih strani.
Poleg tega so spremenili opozorilo, ki ga prikažejo, kadar nek e-poštni predal napadejo vladni hekerji
Google v boju zoper 'vladne hekerje'? Podjetje, znano po sodelovanju z vladnimi agencijami ZDA, zdaj v boju zoper 'vladne hekerje'? Kot razkriva WikiLeaks, je Google leta 2012 vladi (konkretno: Killary Clinton) samoiniciativno ponudil pomoč pri rušenju sirskega predsednika. Morda pa zato zdaj opozarja na šifriranje e-pošte, namreč Googlovo udinjanje vladi je moč razbrati ravno iz nešifrirane e-pošte Killary.
V Googlu si želijo, da bi bila sčasoma vsa elektronska pošta šifrirana od pošiljatelja do prejemnika (end-to-end)
Te izjave v originalni novici nisem zasledil. Glede na to, da je Gmail največji ponudnik pošte na svetu, Google pa ima tudi najbolj popularen brskalnik na svetu, bi lahko Google že zdavnaj implementiral client-to-client enkripcijo kar v webmail, pa jim to očitno ni v interesu.
Men je tole: "V Googlu si želijo, da bi bila sčasoma vsa elektronska pošta šifrirana od pošiljatelja do prejemnika (end-to-end)" v rahlem protislovju z: "Seveda jo lahko vidijo upravljavci poštnih strežnikov" Edini + učinek je to: "a s tem odženemo vsaj najprimitivnejše napadalce."
Men je tole: "V Googlu si želijo, da bi bila sčasoma vsa elektronska pošta šifrirana od pošiljatelja do prejemnika (end-to-end)" v rahlem protislovju z: "Seveda jo lahko vidijo upravljavci poštnih strežnikov"
Tako pac sttvar deluje - kot ce bi pricakoval, da komunikacijski operater ne bi imel moznosti spremljati vsebine komunikacije ...
Ce te to moti, kriptiraj vsebino sporocil (in se dogovori z drugo stranjo, da bo pocela isto).
"V Googlu si želijo, da bi bila sčasoma vsa elektronska pošta šifrirana od pošiljatelja do prejemnika (end-to-end)..."
Kje pa je avtor članka našel ta podatek, da si Google želi end-to-end širiranja? Google si ne želi end-to-end, ker potem Google nima dostopa do VSEBINE e-pošte. To pa je vitalen interes Googla, da ima čim širši nabor podatkov o uporabnikih, da jim uspe čim bolje servirati raznorazne storitve (kar ni vedno slabo).
End-to-end šifriranje bi bilo preveč komplicirano za vsaj 99% uporabnikov e-pošte. PGP ključi itd, je preprosto gnavaža...
Dejansko kaj Google sporoča je sledeče, recimo, da želi uporabnik Gmaila poslati e-mail uporabniku na Yahoo-mail. 1. pošiljatelj e-pošte --> ponudnik interneta 2. ponudnik interneta --> eden ali veš vmesnih mrežnih strežnikov interneta 3. eden ali veš vmesnih mrežnih strežnikov interneta --> gmail 4. gmail --> eden ali več vmesnih strežnikov interneta 5. eden ali več vmesnih strežnikov interneta --> yahoo mail 6. yahoo mail --> eden ali več vmesnih strežnikov interneta 7. eden ali več vmesnih strežnikov interneta --> ponudnik interneta 8. ponudnik interneta --> prejemnik e-pošte
Od točke 1 do 3 ni težava, ker Google že sedaj v spletnem brskalniku šifrira podatke. Od točke 6 do 8 ni težava, ker Yahoo že sedaj poskrbel za šifriranje v brskalniku.
Google sedaj promovira korake od 4 do 5, da bi se šifriral mrežni promet. Za to ni potrebno nobeno znanje uporabnikov (npr. PGP), ampak upravljalci e-pošte omogočijo šifriranje.
Če pa strežnik prejemnika e-pošte ne uvede šifriranja podatka v tranzitu, potem so vsi korakti od 4 do 8 nešifrirani.
Po uvedbi takšnega sistema imajo dostop do vsebine e-pošte sledeči: 1. pošiljatelj e-pošte 2. Google 3. ponudnik prejemnika e-pošte (npr. Yahoo) 4. prejemnik e-pošte
Kar je precej bolje, kot pa da je povsem celoten tranzit nešifriran. V takšnem primeru: 1. pošiljatelj e-pošte 2. ponudnik interneta 3. vsi upravljavci internetne infrastrukture 4. ponudnik prejemnika e-pošte (npr. Yahoo) 5. vsi upravljavci internetne infrastrukture 6. prejemnik e-pošte Pa seveda vsi tisti, ki se potencialno lahko priklopijo na takšno mrežo. Na primer, če se e-pošta pošlje preko javnega Wi-Fi priključka, npr. v kakšni restavraciji, lahko to izkoristi še kdo, ki je vmes na poti.
Dodatno, kar je korist šifriranja mrežnega prometa, je tudi avtentikacija. Torej da je uporabnik lahko prepričan, da je e-pošta resnično prišla od pošiljatelja in ne od nekoga, ki poneverja e-pošto (pošlje v "imenu" pošiljatelja e-pošte).
Moje skromno mnenje, da je to velik korak naprej za zanesljivost in zasebnost e-pošte. Vsekakor pa ni popoln, za to je potrebno precej več (end-to-end), kar je za veliko večino uporabnikov preprosto preveč komplicirano (PGP ključi itd).
Vsekakor pa se težko strinjam, da je interes Googla end-to-end šifriranje podatkov, ker bi to pomenilo, da lahko vsebino e-pošte vidi: 1. pošiljatelj e-pošte 2. prejemnik e-pošte in nihče drug, tudi Google ne. Zakaj bi Google imel interes pošiljanja e-pošte v takšni obliki.
Če bi end-to-end e-pošto želeli narediti tako, da bi ji uporabniki zaupali, bi to nujno pomenilo dodatek (add-in) za spletni brskalnik ali pač ekvivalent e-poštnega programa (Mozilla Thunderbird z dodatkom PGP, Microsoft Outlook itd).
Ne vem, če je res zasluga googla, je je porasla uporaba end-to-end (server to server) enkripcije. Če je...so jim spammerji lahko hvaležni, saj s tem ubijajo različne senzorje, ki zaznavajo spam pošto v tranzitu. Spammerji so tega vsekakor veseli.
V praksi je bilo tako, da mi je spam padel za 95%, ko sem pred kakšnimi dvemi leti vklopil TLS enkripcijo kot preferred način prenosa mailov. Večina spam sourcev očitno ni znala komunicirati, čim se je bilo treba dogovarjati, ali bi mail šel skozi v kriptirani obliki ali ne, posledično spam ni bil dostavljen.
Ta učinek je danes praktično izničen. Hvala Google! (če gre zasluga tebi)
Ponudniki antispam storitev imajo različne senzorje postavljene na backbone-ih in tako zaznavajo spam, ki se distribuira, kalkulirajo reputacijo različnim izvorom maila in domenam. Več maila, ki leti preko backbone povezav kriptiranega, manj zmorejo senzorji zaznavati kaj je spam. Tako se premika zaznavanje z backbone senzorjev na endpointe, ki so opremljeni z rešitvami posameznega ponudnika. S tem se zajema bistveno manjši vzorec maila in zaznvanje spama postaja manj učinkovito.
Seveda je server to server enkripcija nekaj pozitivnega za legitimno pošto. Ampak kaj ko se šifrira tudi nelegitimn pošta. Kot sem rekel: včasih si vklopil TLS enkripcijo, pa je spam padel na razmeroma nizek nivo. Danes ga vklopiš, pa samo ugotoviš, da tudi spammerji že podpirajo TLS enkripcijo.
Tako da daleč od tega, da zadeve nebi imele nobene povezave med seboj.
