Freitag, 13. Februar 2015

Anonyme E-Mail Provider

Update:
Nach interessanten Konversationen habe ich die Bewertung angepasst. ------------------------------------------------------------------------------------------------------------

Auswertung


Erläuterung


Anonymität

Name nicht notwendig

Für die Anmeldung sind keine Angaben bezüglich des Names notwendig.

Anschrift nicht notwendig

Für die Anmeldung sind keine Angaben bezüglich der Anschrift notwendig.

Erreichbar mit Tor

Der Provider ist über das Tor Netzwerk erreichbar, einige Dienste sperren oder erschweren  einen solchen Zugriff z.B. mit CloudFlare.

Tor (Hidden Service)

Der Provider bietet einen eigenen Hidden Service an. https://www.torproject.org/docs/hidden-services.html.en

Verschlüsselungs-Gateway

S/MIME

Das Gateway unterstütze S/MIME (Secure / Multipurpose Internet Mail Extensions), dies hat zum Vorteil dass einige E-Mail Programm und Smartphone dies nativ unterstützen.

SelfSigned S/MIME

Um ein hohes Maß an Anonymität zu gewährleisten kann es sinnvoll sein ein solches Zertifikat selber auszustellen.

PGP

Das Gateway unterstütze (PGP) Pretty Good Privacy.

PGP Inline

mailbox.org hängt den verschlüsselten Content als Anlage an, posteo.de mach dies Inline.
http://de.wikipedia.org/wiki/PGP/INLINE

mailbox.org

posteo.de

Anhänge PGP Inline

Auch Anhänge werden mit PGP Inline verschlüsselt.

Funktioniert mit Sammeldiensten

Abgerufende Emails werden auch verschlüsselt.

Weiterleitung (verschlüsselt) nach Gateway

Können eingegangene Emails nach dem Verschlüsseln weitergeleitet werden.

Verschlüsselter Content

Postfach

Verschlüsselung von Metadaten, wer wann mit wem.

Adressbuch

Verschlüsselung des Adressbuches.

Kalender

Verschlüsselung des Kalenders.

SSL Labs Score

Webportal

posteo.de
https://www.ssllabs.com/ssltest/analyze.html?d=posteo.de
mailbox.org
https://www.ssllabs.com/ssltest/analyze.html?d=mailbox.org


dogado.de
https://www.ssllabs.com/ssltest/analyze.html?d=hex2013.com

Bezahlmethoden

BitCoin

Kann mit BitCoin bezahlt werden.

Bar

Kann Bar bezahlt werden.

Zwei-Faktor-Authentifizierung 

TOTP bzw. OATH

Wiki:
Time-based One-time Password Algorithm (TOTP) is an algorithm that computes a one-time password from a shared secret key and the current time.

U2F-Standard

Wiki:
Universal 2nd Factor (U2F) is an open authentication standard[1] that strengthens[2] and simplifies[3] two-factor authentication using specialized USB or NFC devices[4] based on similar security technology found in smart cards.[5] While initially developed by Google, the standard is now hosted by the FIDO Alliance.[3][6]

Transparenzbericht

Es wird jährlich (oder andere Turnus) ein Transparenzbericht veröffentlicht.

Verschlüsselter Versand

Dane only

Die Vorraussetzung für die Vebindung mit einem anderen Mailserver ist die Unterstützung von Dane.

Wiki:
DNS-based Authentication of Named Entities (DANE) ist ein Netzwerkprotokoll, das dazu dient, den Datenverkehr abzusichern. Das Protokoll erweitert die verbreitete Transportwegverschlüsselung SSL/TLS in der Weise, dass die verwendeten Zertifikate nicht unbemerkt ausgewechselt werden können und erhöht so die Sicherheit beim verschlüsselten Transport von E-Mails und beim Zugriff auf Webseite

SSL/TLS only

Die Vorraussetzung für die Vebindung mit einem anderen Mailserver ist die Unterstützung von SSL/TLS.

Beispiel

Bei mailbox.org kann man das Verhalten genau festlegen.

Erklärung von mailbox.org:
Echte Mailserver-Profis können im Verwaltungsmenü nicht nur den normalen sicheren Mail-Alias aktivieren, sondern darüber hinaus auch eine sogenannte TLS-Policy festlegen. Wenn Ihnen “einfach so” verschlüsselte SSL/TLS-Verbidungen nicht ausreichen, können Sie hier weitergehende Sicherheitsstufen festlegen:
  • encrypt: Die Mail muß mindestens ganz normal mit SSL/TLS-verschlüsselt sein. Lediglich normale Plaintext-Übertragungen sind verboten.
  • dane-only: Eine einfache SSL/TLS-Verbindung reicht nicht aus, das SSL-Zertifikat der Gegenstelle muß mittels DANE verifizierbar sein.
  • verify: Versendet E-Mails nur an die Provider, deren SSL-Zertifikat wir besonders gespeichert haben.


Web-Frontend


S/MIME im Browser entschlüsseln

PGP im Browser entschlüsseln

Mit dem Plugin Mailvelope https://www.mailvelope.com/ kann man bei Posteo.de und mailbox.org mit PGP verschlüsselten Mails arbeiten. (verschlüsseln, entschlüsseln, signieren)

Funktioniert ohne JavaScript

Der Zugang funktioniert auch ohne Javascript. Negativ ist leider mailbox.org aufgefallen, mit deaktivierten JS hat man nach dem Anmelden nur eine weiße Seite angezeigt bekommen. Posteo weißt einem zumindest daraufhin, dass JS benötigt wird.

optional only Web-Frontend 

Man kann den Zugang über das Web-Frontend einschränken.

Verschiedenes

Serverstandort Deutschland

Anwendungspasswörter

Man kann für Clients separate Passwörter (meist generiert) vergeben. So ist auch die Verschlüsselung vom Postfach, Adressbuch, Kalender gesichert.

z.B. Google  https://support.google.com/accounts/answer/185833?hl=de
z.B. Microsoft http://windows.microsoft.com/de-de/windows/app-passwords-two-step-verification
z.B. Facebook https://de-de.facebook.com/help/249378535085386



Sonntag, 8. Februar 2015

Anonymes und verschlüsseltes Emailkonto mit S/MIME Gateway und Tor

Der Emailhoster Posteo https://posteo.de/de hat ein neues Feature vorgestellt.

Posteo bietet jetzt ein S/MIME und PGP Gateway an!

Dies hat den großen Vorteil, dass sich eingehende Emails nur in verschlüsselter Form auf dem Emailhoster Server landen. D.h. sobald eine E-Mail eingeht, wird diese mit dem hinterlegten öffentlichen Schlüssel (PGP oder S/MIME) verschlüsselt. Mein Focus liegt hier bei S/MIME.

Ich habe heute nicht so viel Zeit, wenn Klärungsbedarf besteht, weil ich nicht alles bis ins Detail erkläre, schreibt einfach in die Kommentare.

Wieso Posteo?

  1.  Posteo bietet
    1.  Zwei-Faktor-Authentifizierung
    2. Zusätzlicher Postfachschutz für Webmail-Nutzer
    3. Bis zu 20 E-Mail-Aliase
    4. E-Mail-Sammeldienste
    5. gelebte Datensparsamkeit
      1. Zur Anmeldung sind keinerlei personenbezogene Daten notwendig
      2. siehe https://posteo.de/site/bezahlung
      3. siehe https://posteo.de/site/verschluesselung
      4. siehe https://posteo.de/site/datenschutz
      5. siehe https://posteo.de/site/transparenzbericht_2013
    6. Adressbuch- und Kalenderverschlüsselung
    7.  Eingangs-Verschlüsselung 
      1. Diese S/MIME Gateway werde ich hier behandeln
    8. Günstig mit 1€/Monat
  2. Posteo bietet nicht
    1. Tor Hidden Service
    2. (noch nicht) eine Postfach-Verschlüsselung
    3. Mechanismus um Metadaten zu verschlüsseln/verschleiern (Wer wann mit wem)
    4. App (am besten in Kombination mit Tor ö.ä.)
    5. Exchange Kompatibilität (Sync von Kontakten, Terminen und Aufgaben) 
Wenn ihr auch andere Hoster kennt, die ein solchen Funktionsumfang haben, bittet scrhreibt das in die Kommentare.
Mein bisheriger Email-Hoster Dogado https://www.dogado.de/ ist leider nicht so stark aufgestellt, was S/MIME Gateway und Verschlüsselung angeht. Ich kann leider nicht bewerten, wie viel davon technisch mit Exchange Server möglich wäre. Aber S/MIME Gateway zählt auf jeden Fall zu den Möglichkeiten.

Einleitung


Einstellung auf der Webfrontend Seite von posteo:


Nun kann man die EMails auch weiterhin im Browser anschauen, dazu ist das Plugin Mailvelope notwendig


Aber man kann auch weiterhin Outlook


oder Thunderbird benutzen


Ansätze S/MIME Zertifikat beziehen

Selbst erstellen

Im Kontext anonym zu sein, ist dies der empfehlenswerte Weg. Wenn man dieses Beitrag umsetzen möchte, aber auf die anonyme Komponente verzichten möchte, weil einem in erster Linie die Privatephäre zu sichern ausreicht, kann auch ein S/MIME Zertifikat gekauft werden.

Um die Zertifikate selber zu erstellen, habe ich unten ein kleines PowerShell Script angehangen.

Kaufen

Ist auf jeden Fall einfacher in der Handhabung, da alle Parameter richtig eingestellt sind und die Client diesem auch Vertrauen.


Los geht's

  1. Software beschaffen
    1. Tor Browser https://www.torproject.org/projects/torbrowser.html.en
    2. Portable Thunderbird
      1. mit TorBirdy Plugin https://addons.mozilla.org/en-us/thunderbird/addon/torbirdy/
  2. Portable Thunderbird in einem verschlüsselten Ordner ablegen (BitLocker, TrueCrypt, etc.)
  3. Mit dem Tor Browser ein Konto bei Posteo eröffnen https://posteo.de/de
    1. Kostet dich 1€/Monat, kann Bar bezahlt werden. Man hat dazu 6 Wochen Zeit. Mehr Infos über das anonyme bezahlen bei Posteo: https://posteo.de/site/bezahlung
    2. Je nach dem wie wichtig einem Anonymität ist empfehle ich 
      1. das Konto mit einer GUID zu benennen z.B. bd469f2e-89c5-4de7-84c3-3dc11b5a3929@posteo.de (PowerShell [System.Guid]::NewGuid()) und dann
      2. zwei (kostenlose) Aliase vergeben mit einer kleineren GUID z.B. 5a2c6050@posteo.ch. So gibt es keine Rückschlüsse über den Namen der Emailadresse. Und die Aliase kann man in gewissen Zeitabständen auswechseln.
  4.  Mit dem Portable Thunderbird mit TorBirdy die Adresse einrichten
    1. Wenn auch gesendet werden soll, einen Alias unter SMTP hinterlegen
    2. SMTP und POP natürlich über SSL/TLS ansprechen
    3. Unter Einstellungen -> Erweitert -> Zertifikate
      1. Das Zertifikat importieren, wenn das Zertifikat mit dem Script s.u. erstellt wurden ist, auch die CA importieren und vertrauen.
    4. Je nach dem wie wichtig einem Anonymität ist empfehle ich 
      1. POP einzurichten und EMails nach dem Empfang vom Server zu löschen
  5. In der Posteo Weboberfläche erhält man unter dem Menü Punkt Einstellungen -> Verschlüsselung -> Eingangs-Verschlüsselung eine private Adresse sehen. z.B: Key+XYZ@posteo.de
    1. An diese Adresse senden wir nun eine signierte Email
    2. Danach kann in der Weboberfläche die Eingangverschlüsselung aktiviert werden.
  6. Zusätzlich kann man noch folgendes machen
    1. Weboberfläche Einstellung -> Passwort und Sicherheit die Zwei-Faktor-Authentifizierung aktivieren. Natürlich auf dem Handy nicht die Emailadresse erwähnen.
    2. Bei anderen Freemailern ein Konto mit dem TorBrowser erstellen und dadurch die Emails weiterleiten. z.B. Posteo -> GoogleMail -> GMX -> XYZ. Da es sich ja um eine Message-Secruity handelt können die "Hops" die Emails nichts lesen.

Folgende Punkte sind noch zu klären

  1. Wie kann man ein selbst signiertes Zertifikat im Outllook verwenden um eine EMail zu verschlüsseln (entschlüsseln funktioniert einwandfrei) ggf. interessant http://blogs.technet.com/b/pki/archive/2008/12/17/outlook-s-mime-certificate-selection.aspx
  2. Was passiert wenn ich eine verschlüsselte Nachricht an einen Alias sende, wird diese Nachricht nochmal verschlüsselt? (IMHO, wahrscheinlich nicht, siehe S/MIME Beschränkung)
  3. Wenn ich eine signierte Email an Posteo sende, wird diese bei Posteo trotzdem verschlüsselt. Ist die Signierung nach außen hin sichtbar? (IMHO, wahrscheinlich nicht)

PowerShell Script um die Zertifikate selber zu erstellen



Über mich