E-mail-biztonság

Az e-mail alapértelmezés szerint nem biztonságos kommunikációs forma. Az e-mailek biztonsága javítható például OpenPGP-vel, amely végpontok közötti titkosítást adhat az üzenetekhez, de az OpenPGP-nek továbbra is több hátránya van a modern üzenetküldő alkalmazások titkosításához képest.

Ezért az e-mailt elsősorban az online szolgáltatásoktól érkező tranzakciós üzenetek — például értesítések, ellenőrző e-mailek és jelszó-visszaállítások — fogadására érdemes használni, nem pedig más emberekkel folytatott érzékeny kommunikációra.

Az e-mail-titkosítás áttekintése

Különböző e-mail-szolgáltatók között az OpenPGP a szabványos módszer a végpontok közötti titkosítás hozzáadására. Az OpenPGP szabványnak több megvalósítása létezik; a legelterjedtebbek közé tartozik a GnuPG és az OpenPGP.js.

Az OpenPGP nem támogatja az előremenő titkosságot (forward secrecy). Ez azt jelenti, hogy ha a te vagy az üzenet címzettjének privát kulcsát valamikor ellopják, az azzal korábban titkosított összes üzenet visszafejthetővé válhat. Emiatt személyek közötti kommunikációhoz, amikor csak lehetséges, az e-mail helyett előremenő titkosságot megvalósító azonnali üzenetküldőket javaslunk.

Az üzleti környezetben egy másik elterjedt szabvány az S/MIME, amelyhez azonban hitelesítésszolgáltató (Certificate Authority) által kiadott tanúsítvány szükséges. Nem minden hitelesítésszolgáltató ad ki S/MIME-tanúsítványt, és gyakran évente fizetni kell érte. Bizonyos esetekben könnyebben használható, mint a PGP, mert olyan népszerű e-mail-alkalmazások is támogatják, mint az Apple Mail, a Google Workspace és az Outlook. Az S/MIME azonban szintén nem oldja meg az előremenő titkosság hiányát, és önmagában nem számottevően biztonságosabb a PGP-nél.

Mi az a Web Key Directory szabvány?

A Web Key Directory (WKD) szabvány lehetővé teszi, hogy az e-mail-kliensek más postafiókok OpenPGP-kulcsát automatikusan megtalálják, akkor is, ha azok más szolgáltatónál vannak. A WKD-t támogató kliens a címzett e-mail-címének domainje alapján kér kulcsot a címzett szerverétől. Ha például a jonah@privacyguides.org címre írnál, az e-mail-kliensed a privacyguides.org szervertől kérné Jonah OpenPGP-kulcsát; ha a domain közzétett kulcsot ehhez a fiókhoz, az üzeneted automatikusan titkosítható lenne.

A WKD-t támogató általunk ajánlott e-mail-kliensek mellett egyes webmail-szolgáltatók is támogatják a WKD-t. Az, hogy a saját kulcsodat mások számára közzéteszik-e WKD-n keresztül, a domained beállításaitól függ. Ha WKD-t támogató e-mail-szolgáltatót, például Proton Mailt vagy Mailbox Mailt használsz, a szolgáltató a saját domainjén közzéteheti helyetted az OpenPGP-kulcsodat.

Saját egyéni domain használatakor a WKD-t külön kell beállítanod. Ha te rendelkezel a domain fölött, ezt az e-mail-szolgáltatódtól függetlenül megteheted. Egyszerű lehetőség a keys.openpgp.org szerver „WKD as a Service” funkciója: hozz létre CNAME rekordot a domained openpgpkey aldomainjén, amely a wkd.keys.openpgp.org címre mutat, majd töltsd fel a kulcsodat a keys.openpgp.org oldalra. Alternatívaként saját webszerveren is üzemeltethetsz WKD-t.

Ha olyan szolgáltató megosztott domainjét használod, amely nem támogatja a WKD-t — például @gmail.com —, ezen a módon nem tudod megosztani az OpenPGP-kulcsodat másokkal.

Mely e-mail-kliensek támogatják a végpontok közötti titkosítást?

Az olyan e-mail-szolgáltatók, amelyek szabványos hozzáférési protokollokat, például IMAP-ot és SMTP-t biztosítanak, bármelyik általunk ajánlott e-mail-klienssel használhatók. A hitelesítési módtól függően ez csökkentheti a biztonságot, ha sem a szolgáltató, sem az e-mail-kliens nem támogatja az OAuthot vagy valamilyen bridge alkalmazást, mert egyszerű jelszavas hitelesítés mellett nem használható megfelelően a többtényezős hitelesítés.

Hogyan védjem a privát kulcsaimat?

Egy intelligens kártya — például YubiKey vagy Nitrokey — úgy használható, hogy az e-mail- vagy webmail-klienssel futó eszköz (telefon, táblagép, számítógép stb.) elküldi neki a titkosított e-mailt. A kártya visszafejti az üzenetet, majd a dekódolt tartalmat visszaküldi az eszköznek.

Előnyös, ha a visszafejtés magán az intelligens kártyán történik, mert így a privát kulcs nem kerülhet olyan könnyen egy esetleg kompromittált eszközre.

Az e-mail-metaadatok áttekintése

Az e-mail metaadatai az üzenet fejlécében találhatók. Ide tartoznak az olyan látható mezők, mint a To, From, Cc, Date és Subject. Számos e-mail-kliens és szolgáltató emellett rejtett fejléceket is hozzáad, amelyek további információkat fedhetnek fel a fiókodról.

A kliensprogram a metaadatokat például arra használhatja, hogy megmutassa, kitől érkezett egy üzenet és mikor kaptad meg. A szerverek ezek alapján állapíthatják meg többek között azt is, merre kell továbbítaniuk az e-mailt; a felhasználás egyéb céljai nem mindig átláthatók.

Ki láthatja az e-mail metaadatait?

Az e-mail-metaadatokat a külső megfigyelők elől opportunista TLS védi, de továbbra is láthatja őket az e-mail-kliensed vagy webmail-felületed, valamint minden olyan szerver, amely rajtad és a címzetten kívül továbbítja az üzenetet — beleértve az e-mail-szolgáltatódat is. Az e-mail-szerverek néha külső spamvédelmi szolgáltatásokat használnak, amelyek általában szintén hozzáférhetnek az üzenetekhez.

Miért nem lehet a metaadatokat is végpontok között titkosítani?

Az e-mail metaadatai a rendszer legalapvetőbb működéséhez szükségesek: meg kell állapítani, honnan jött egy üzenet és hová kell eljutnia. A végpontok közötti titkosítás eredetileg nem volt része a szabványos e-mail-protokolloknak; ehhez kiegészítő megoldásokra, például OpenPGP-re van szükség. Mivel az OpenPGP-üzeneteknek továbbra is együtt kell működniük a hagyományos e-mail-szolgáltatókkal, nem tudják titkosítani a kommunikáló felek azonosításához szükséges metaadatok egy részét. Ez azt jelenti, hogy még OpenPGP használatakor is sok információ látható maradhat az üzenetekről, például hogy kinek írsz és mikor.

A Magánszféra Kalauz a Privacy Guides nem hivatalos magyar változata. Tartalmi eltérés esetén az angol eredeti az irányadó. Eredeti Privacy Guides