Perché nessuno utilizza messaggi e-mail crittografati
Con tanta preoccupazione per la sorveglianza governativa, lo spionaggio aziendale e il furto di identità quotidiana, può sembrare sorprendente che così poche persone utilizzino messaggi di posta elettronica crittografati. Prova a utilizzare l'e-mail crittografata e troverai che sia difficile e complicato da usare.
Le e-mail crittografate sono un mal di testa da affrontare. Potresti essere in grado di gestire la complessità, ma anche le persone con cui vuoi comunicare devono gestirle.
Crittografia dei propri messaggi di posta elettronica e servizi di posta elettronica crittografati
Qui facciamo una distinzione tra due tipi di crittografia e-mail. Ci sono alcuni servizi che pretendono di offrire una facile e-mail crittografata. Gestiranno la crittografia per te dalla loro parte, prendendo tutto il fastidio di gestire le chiavi di crittografia dalle tue mani. Se si inviano e-mail crittografate tra due account che utilizzano lo stesso servizio, i messaggi e-mail crittografati rimarranno sicuri nel servizio stesso.
Questo sembra allettante, ma sta aprendo una grande debolezza. Ti stai affidando al servizio per gestire la crittografia e servizi come Lavabit sono stati forzati dai governi a consentire l'accesso ai messaggi e-mail crittografati dei loro clienti. Il governo degli Stati Uniti ha persino chiesto le chiavi private di Lavabit, consentendo loro l'accesso a tutte le e-mail crittografate dei clienti.
Se vuoi veramente comunicare in modo privato e sicuro, ti consigliamo di gestire da solo la crittografia dell'email. Ciò significa generare le proprie chiavi di crittografia e salvaguardarle invece di memorizzarle con un servizio di posta elettronica crittografato.
Come funziona la crittografia e-mail
Generalmente pensiamo alla crittografia PGP quando pensiamo all'e-mail crittografata, ma esistono altri standard come la funzione di crittografia S / MIME incorporata in Microsoft Outlook. Quando usi PGP, hai una chiave pubblica e una chiave privata. Dai la chiave pubblica alle persone che vogliono inviarti email. Usano la chiave pubblica per crittografare la loro e-mail, e puoi decrittografare la loro e-mail con la tua chiave privata. Pertanto, per utilizzare PGP, è necessario generare una coppia di chiavi pubblica / privata, proteggere la chiave privata e fornire la chiave pubblica a chiunque desideri inviarti tramite posta elettronica. La persona con cui stai comunicando dovrà anche capire come crittografare, inviare, ricevere e decodificare i messaggi di posta elettronica crittografati e avrà bisogno della propria coppia di chiavi.
Il contenuto dell'e-mail appare come casuale senza senso, proprio come i contenuti di un file crittografato appaiono come dati privi di senso, senza significato finché il file non viene decodificato.
Si noti che gran parte di un'e-mail non è sicura anche se si utilizza l'e-mail crittografata. I campi Oggetto, A e Da sono generalmente inviati in modo non criptato, quindi le agenzie di sorveglianza che monitorano il traffico Internet possono monitorare chi sta comunicando con chi e persino vedere l'oggetto di ogni messaggio. La crittografia e-mail è una patch su un sistema non crittografato, che crittografa solo il corpo del messaggio.
In che modo utilizzeresti effettivamente l'e-mail crittografata
Non importa la teoria. Ecco come faresti effettivamente a utilizzare l'e-mail crittografata.
La maggior parte delle persone tende a utilizzare servizi di posta elettronica basati sul Web come Gmail, Outlook.com e Yahoo! Mail. Questi servizi non hanno questa funzione integrata (anche se si dice che Google stia lavorando sull'integrazione della crittografia PGP in Gmail). Dovrai usare un'estensione per il browser per farlo. Mailvelope sembra funzionare, offrendo supporto PGP che funziona su siti webmail come Gmail. Ne avrai bisogno installato nel tuo browser web per utilizzare la crittografia e-mail.
Questa funzione inoltre non è integrata nelle app mobili associate. Certo, puoi accedere a quel messaggio e-mail crittografato nel tuo browser web con un'estensione, ma come lo leggi sul tuo smartphone? Avrai bisogno di un'app dedicata per farlo - non puoi semplicemente utilizzare l'app Gmail o l'app Mail standard inclusa con il tuo telefono. K-9 Mail offre supporto PGP su Android se, ad esempio, è installato anche APG.
Le cose sono complicate anche quando si tratta di client di posta elettronica desktop che dovrebbero essere in grado di integrarlo meglio. Ad esempio, Microsoft Outlook ha una funzionalità integrata per firmare e crittografare le e-mail in modo digitale, ma utilizza S / MIME e non è compatibile con PGP.
L'utilità più comune per crittografare le e-mail è l'estensione Enigmail per Mozilla Thunderbird. Mozilla ha smesso di sviluppare Thunderbird e potrebbe interromperlo un giorno, quindi non è certo una soluzione ideale. L'estensione Enigmail integra OpenPGP nel client di posta elettronica desktop di Thunderbird, fornendo le opzioni di generazione, crittografia e decrittografia delle chiavi necessarie. Dovrai installare il software GNU Privacy Guard (GnuPG) separatamente.
Sarai in grado di utilizzare solo e-mail crittografate in un client che supporta PGP. Anche quando usi Thunderbird, devi considerare cosa farai se devi accedere a queste email in un browser web, sullo smartphone, sul tablet o su qualsiasi sistema senza la tua chiave privata.
I problemi con e-mail crittografate
Ecco un breve riepilogo di ciò che sperimenterai quando utilizzi l'e-mail crittografata:
- Devi capire come funziona la crittografia a chiave pubblica-privata, generare una coppia di chiavi e fornire la tua chiave pubblica alla persona con cui vuoi comunicare.
- Anche le altre persone con cui vuoi comunicare devono capire e fare tutte queste cose.
- Entrambe le persone hanno bisogno di tenere le proprie chiavi private al sicuro in modo che non vengano compromesse o perse - nel qual caso si perderebbe l'accesso alle e-mail. È inoltre necessario conservare il certificato di revoca in quanto può invalidare la chiave pubblica se si perde la chiave privata.
- Le chiavi private devono essere crittografate con una passphrase sicura da ricordare, che è separata dalla password dell'account e-mail.
- Devi assicurarti di utilizzare lo stesso standard di crittografia email, sia esso PGP o S / MIME o qualche altro standard.
- È necessario utilizzare una soluzione di terze parti - un'estensione per browser, un'app per smartphone o un plug-in per client di posta elettronica. Se si opta per l'opzione meglio supportata, è necessario installare separatamente un client e-mail, un'estensione e un pacchetto software di crittografia.
- Hai bisogno di un mix di diverse app per smartphone e soluzioni desktop se desideri accedere alle tue e-mail su tutti i tuoi dispositivi.
- Anche se fai tutte queste cose, le persone saranno comunque in grado di vedere con chi stai comunicando e quali sono i soggetti dei tuoi messaggi.
Con tutta questa complessità - e così tante informazioni che fuoriescono anche se usi correttamente PGP - non c'è da meravigliarsi se l'e-mail criptata viene usata così poco. Inoltre, non sorprende che le persone scelgano di utilizzare servizi come Lavabit che sembrano un modo conveniente di rendere la crittografia facile da usare, ma in realtà sono molto meno affidabili rispetto alla crittografia delle proprie e-mail.
