Inviare messaggi segreti – ProtonMail – parte 4

Inviare messaggi segreti con ProtonMail.

Quanti di noi hanno segreti, conversazioni delicate, private o d’affari, che vogliamo evitare cadano in mani sbagliate? Beh, lasciatemelo dire, penso proprio tutti.

E comunque anche chi dovesse dire “io non ho nulla da nascondere!” farebbe bene a leggere questo articolo.

Infatti è ormai chiaro che anche dalle semplici mail inviate e ricevute è possibile risalire alle attitudini o ai comportamenti di ognuno di noi, dati che fanno gola ai colossi della rete.

ProtonMail è un servizio di invio e ricezione posta elettronica fornito da Proton AG, un’azienda con sede in Svizzera. La società è stata fondata nel 2013 da un gruppo di scienziati e ingegneri che si sono incontrati al CERN  e hanno condiviso una visione della rete web più sicura e privata.

Proton Ag dalla nascita si è quindi specializzata nell’offrire un servizio di mail sicura, risultando dal 2014 il primo servizio di posta elettronica al mondo in grado di proteggere i dati con la crittografia end-to-end.

Il servizio è offerto via web e via applicazioni IOS e Android.

Offre anche un servizio di VPN (Virtual Private Network) per garantire sicurezza nell’accesso alla rete internet.

Cosa distingue ProtonMail dagli altri provider di posta elettronica.

Ho raccolto una serie di informazioni che ho cercato di raccogliere in più punti. La lettura potrebbe sembrare lunga e noiosa, ma vi garantisco che arrivando fino alla fine potrete capire molte e molte più cose riguardo alla vostra sicurezza.

• Solo tu puoi leggere le tue e-mail

ProtonMail utilizza la Zero-Access Encryption, il che significa che è tecnicamente impossibile per il fornitore del servizio decifrare i tuoi messaggi.

Quando invii messaggi da Facebook o Google, questi avranno accesso alle tue informazioni. Il recente scandalo di Cambridge Analytica ha portato alla luce quanto poco sanno gli utenti di Facebook su chi ha accesso ai propri dati e su come vengono utilizzati..

In altre parole, con la Zero-Access Encryption se un utente malintenzionato pensa di rubare informazioni dagli account Protonmail, deve sapere che decrittografare i messaggi non sarà cosa facile.

IMPORTANTE: La crittografia Zero-Access si applica a TUTTI i messaggi nella tua casella di posta, compresi i messaggi che NON provengono da altri utenti di ProtonMail. Niente male, che ne dite!

• Nessun tracciamento e registrazione

Google, tanto per fare un esempio a tutti noto,  registra letteralmente ogni azione eseguita dai suoi utenti. Questo include il tuo indirizzo IP, ogni ricerca che fai, quali email apri, quali siti web visiti e molto altro.

ProtonMail ha un approccio opposto e, per impostazione predefinita, non monitora nè registra l’attività dell’utente, nemmeno gli indirizzi IP.

• Crittografia end-to-end per i messaggi in transito

Oltre alla sicurezza Zero Access di cui ho parlato sopra, e che riguarda le email giacenti nella vostra casella di posta elettronica, ProtonMail offre anche la crittografia end-to-end.

In termini semplici, la crittografia end-to-end significa che i messaggi vengono crittografati sul dispositivo del mittente (prima che lascino il computer o il cellulare) e vengono decriptati dal destinatario sul proprio dispositivo.

Ciò significa che nessuna terza parte che trasmette o intercetta l’e-mail tra il mittente e il destinatario (ad esempio i fornitori di servizi Internet, l’NSA o persino ProtonMail come operatore del server di posta), può decodificare o visualizzare il messaggio.

Questa potente protezione è possibile perché ProtonMail è dotato di crittografia e-mail PGP integrata.

La crittografia end-to-end viene eseguita automaticamente senza interazione dell’utente ogni volta che vengono scambiati messaggi tra utenti di ProtonMail.

Per un’azienda che utilizza ProtonMail per il proprio hosting di posta elettronica, ciò significa che tutte le comunicazioni tra i dipendenti vengono automaticamente protette con la crittografia end-to-end.

ProtonMail può anche supportare l’invio/ricezione di messaggi crittografati end-to-end con destinatari che non utilizzano ProtonMail.

• ProtonMail non concede accessi ad altri servizi

Cosa significa esattamente?. Avete presente quando devi registrarti ad servizio e ti viene chiesto se vuoi creare un nuovo account oppure accedere con un account Google o Facebook (i più noti..)

bene quando accettate di accedere con un account Facebook o Google in realtà state concedendo al fornitore del servizio al quale vis tate iscrivendo, l’accesso ai dati di Google o Facebook.

Di contro, Google e Facebook concedono l’accesso ai dati perché tu lo hai richiesto. Ma questa è un’arma a doppio taglio. Infatti i dati contenuti da Google e Facebook potrebbero essere trafugati dal “Cavallo di Troia” che è il fornitore del servizio al quale vi siete registrati.

Tutto chiaro?. Bene, questo in ProtonMail non è possibile. Proton AG fornisce servizi di posta elettronica e VPN, e quindi il tuo account Proton non sarà mai connesso ad altri servizi. Quindi, rispetto a Google e Facebook, Proton sarà meno vulnerabile.

• Autenticazione a due fattori

ProtonMail utilizza Secure Remote Password per proteggere le credenziali dell’utente. Ciò rende difficile condurre un attacco di forza bruta per ottenere le credenziali dell’utente, anche se l’attaccante ha il controllo sulla rete della vittima. ProtonMail supporta l’autenticazione a due fattori (2FA), che fornisce un ulteriore livello di sicurezza richiedendo l’immissione di un codice univoco su ciascun accesso (il codice viene generalmente generato su un dispositivo hardware separato). Tuttavia, ProtonMail fa un ulteriore passo avanti usando solo metodi forti 2FA, e non consentendo metodi più deboli come 2FA su SMS.

• Protetto dalle leggi sulla privacy svizzere ed europee

ProtonMail ha la sede legale e i server ubicati in territorio svizzero, edè sottoposta alla legislazione elvetica per quanto riguarda la privacy.

La Svizzera, tuttavia, NON fa parte dell’UE, e non rientra nella giurisdizione delle leggi statunitensi (come la Foreign Intelligence Surveillance Act) e non può essere costretto a lavorare per la NSA.

La crittografia ad accesso zero significa che anche se viene presentata una richiesta di accesso ai dati da parte di un giudice elvetico, Proton consegnerà i dati nello stato in cui si trovano, ovvero criptati.

Inoltre, la legge federale svizzera sulla sorveglianza del traffico postale e delle telecomunicazioni stabilisce l’obbligo di fornire i mezzi tecnici per l’intercettazione solo agli ISP (Internet Service Provider).

ProtonMail, come semplice provider di applicazioni Internet, è completamente esente dall’ambito di applicazione di SPTT. Ciò significa che, secondo la legge svizzera, ProtonMail non può essere costretta a fare “backdoor”.

Questa combinazione di fattori significa che una situazione simile al caso “Lavabit” non può verificarsi con ProtonMail. Tuttavia, ProtonMail ha fatto un ulteriore passo avanti rispetto al caso Lavabit, in quanto realmente non possiede le chiavi necessarie per decrittografare i dati dell’utente. Anche se ProtonMail venisse costretta a girare tutti gli archivi informatici, i contenuti delle email continuerebbero a rimanere crittografati.

• Email anonima

Non è necessaria alcuna informazione personale per creare il suo account di posta elettronica sicura. Per impostazione predefinita non viene conservato alcun log IP che possa essere collegato al tuo account email anonimo.

• Sicurezza fisica

La sicurezza per Proton AG è anche sicurezza fisica. Il Datacenter è sorvegliato ed è situato sotto 1000 metri di roccia, in un bunker che può sopravvivere anche ad un attacco nucleare. Rubare fisicamente i dati o accedere al Datacenter è quanto mai difficile.

• Messaggi autodistruggenti

È possibile impostare un tempo di scadenza opzionale sulle email crittografate di ProtonMail, in modo che vengano automaticamente eliminate dalla posta in arrivo del destinatario una volta scaduto il tempo.

Questa tecnologia funziona sia per le e-mail inviate ad altri utenti di ProtonMail, sia per le e-mail crittografate inviate a indirizzi e-mail NON ProtonMail.

È un sistema simile a SnapChat (leggi qui il mio articolo su Snapchat).

• Connessioni protette SSL

Manco a dirlo che le comunicazioni sono protette con sicurezza SSL tra il server ProtonMail e il tuo computer/smartphone, al fine di garantire che la pagina web caricata dal tuo browser non venga manomessa da terzi in grado così di intercettare il tuo traffico in un attacco MITM (Man in the middle).

• Comunicare in modo sicuro con altri provider di posta elettronica

Anche le tue comunicazioni con utenti non ProtonMail possono essere sicure

ProtonMail garantisce sicurezza anche quando scrivete messaggi ad utenti non ProtonMail. Quando inviate un messaggio crittografato a un utente non ProtonMail, il destinatario riceverà un collegamento con il quale caricherà il messaggio crittografato sul proprio browser. Il messaggio verrà decrittografato utilizzando una passphrase che gli avrai fornito. Puoi anche inviare messaggi non crittografati a Gmail, Yahoo, Outlook e altri, proprio come una normale email.

• Facile da usare

ProtonMail è molto facile da usare. Non c’è nulla da installare e nessuna chiave di crittografia da gestire. Se puoi usare Gmail, Thunderbird o Outlook, puoi usare tranquillamente anche ProtonMail.

• Sicurezza rubrica contatti

Con la versione 3.12 ProtonMail ha rafforzato anche la sicurezza del suo Contact Manager, ProtonMail Contacts, al fine di proteggere ulteriormente i contatti salvati in rubrica dai propri utenti.

La rubrica sicura di ProtonMail permette di salvare i contatti e-mail utilizzando la crittografia e la firma digitale; questo assicura che solo l’utente potrà accedere a tali informazioni, con un netto aumento della protezione contro gli attacchi hacker.

• Rete TOR

Dal 2017, ProtonMail per i suoi utenti ha agevolato l’utilizzo della rete TOR (acronimo di The Onion Router) attraverso il collegamento a un indirizzo «onion».

• Conclusioni

Forse ti ho annoiato ma ti assicuro che più cercavo di capire cosa facesse Proton per la sicurezza, e più sono rimasto affascinato dalle accortezze utilizzate nell’implementare questo servizio.

Vi assicuro che non esiste la formula magica per conservare i dati in maniera sicura, ma il mix di tecniche e tecnologie adottate da Proton eleva di molto il grado di sicurezza delle nostre comunicazioni.

Se questo articolo vi è piaciuto vi invito a leggere gli altri articoli del blog qui sotto

Mettete un like e seguitemi sui miei account social.

grazie.