Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book
Gmail wprowadza szyfrowanie poczty end2end. Na razie w wersji beta.
Szyfrowanie e-maili możemy rozważać w dwóch perspektywach:
- Szyfrowanie w trakcie transportu – uniemożliwia to odczytanie wiadomości postronnym osobom, które podsłuchiwałyby ruch w Internecie. Mechanizm podobny jest do znanego nam ze świata webowego HTTPS i jest w zasadzie standardem.
- Szyfrowanie w spoczynku. Tutaj jest gorzej, bo mało osób używa tego typu szyfrowania w kontekście poczty. Czyli jeśli ktoś przejął skrzynkę pocztową ofiary (hello: poufna rozmowa), to bez problemu może czytać wszystkie historyczne (i nowe) wiadomości.
W tym przypadku mamy praktycznie dwa standardy: PGP oraz S/MIME. Google niedawno ogłosił, że idzie w ten drugi mechanizm:
With Gmail client-side encryption beta, you can send and receive encrypted emails within your domain and outside of your domain.
Warto zaznaczyć, że tego typu szyfrowanie oznacza, że nawet Google (przynajmniej w teorii) nie będzie widziało, co znajduje się w tego typu szyfrowanych wiadomościach.
~ms
Co do wiedzy googla – zalezy gdzie te szyfrowanie bedzie mialo miejsce.
Jesli bedzie wykonywac go kod od googla to bedzie miala dostep ( np Chrome, Android etc )
A czy któryś z dużych konkurentów ma to już zaimplementowane? Typu Outlook czy onet?
GPG (S/MIME zresztą też) możesz używać z każdym providerem poczty (kwestia ogarnięcia tego po stronie klienta – np. Thunderbird)
Płatne certy musisz odnawiać co jest trochę upierdliwe.
Protonmail ma zaimplementowane PGP out of the box, no ale on chyba nie jest duży (pytałeś tylko o dużych?)
mailbox.org tez ma zaimplementowane PGP
Robocza nazwa to CIAInTheMiddle lub End2CIA :D
Co to znaczy?
Wyśmienite :D
Szkoda ze certy S/MIME sa takie drogie, a te darmowe maja klucze prywatne generowane po stronie wystawcy.
centrum ma CSR, robisz go sam i wklejasz na stronie – s/mime masz za 50pln
certum ma CSR, robisz go sam i wklejasz na stronie – s/mime masz za 50pln
Będzie możliwość wgrania na gmaila kluczy „samoróbek”?
github.com/HPeTBD/smime/blob/main/funkcje.md
Moglibyście przetestować działanie tego programu?
Nie wiem, ale zgaduję ,że nie ponieważ nie będą zaufane(?).
Przeciez to jest self signed, warty tyle samo co self signed na stronie www. Chyba tylko ostatni osiol bedzie wchodzil na jakas strone zeby pobrac certy i dodac je u siebie tylko po to aby „zweryfikowac” nadawce :D Caly mechanizm brzmi jak slynny albanski wirus komputerowy.
Wesołe. Niektórzy znowu potraktują to poważnie. Po czym wklepią hasło w Chromie.
Kolega od End2CIA już to wyjaśnił, ale jak widać dla niektórych już na tym etapie było zbyt trudno ;)
Do kolegów od End2CIA – zamiast schizować zawsze lepiej zawężać krąg potencjalnych odbiorców. Dla poczty przychodzącej interfejs Gmail i tak musi wyrenderować zdeszyfrowaną treść, a dla wysyłanej i tak maila wprowadzasz cleartextem, natomiast odbiorca (niekoniecznie na Gmailu) zdeszyfruje sobie go dopiero na swojej końcówce. a Root CA można sobie wygenerować tylko pod kątem Least privilege po prostu.
A tym co nie będzie wystarczać Hosted S/MIME Google (chyba) nadal nie będzie zabraniało uzywać S/MIME po stronie końcówki
Śmieszniejszego artykułu o google chyba nie czytałem. Jak google czy facebook wprowadzają coś co istnieje już pare dobrych lat to znaczy że zostało to rozpracowane albo istnieje już lepsza metoda na inwigilacje. Poza tym zgodnie z rozporządzeniem UE szyfrowanie e2e ma być umyślnie osłabiane/uszkadzane w celu łatwiejszego szpiegowania. Więc tak czy siak lepiej szyfrować pierw u siebie w systemie a dopiero potem używać google, wiem to bo raz zaszyfrowałem backup i wrzuciłem na google drive to mi konto zablokowali bo nie mogli sie dostać do contentu niby takie geniusze i w dodatku posiadający superszybki komputer a z GPG mieli problem XD. Zresztą ktoś komu zależy na super tajnej komunikacji nie będzie używał serwisów, platform etc tylko swoich narzędzi aby tylko nie zostawić śladów.