Qual è il servizio di posta elettronica più sicuro?
Crittografia completa, assenza di tracciamento, open source: sono molti i fattori che rendono Tutanota il provider di e-mail più sicuro al mondo.
Quando verificate la sicurezza e la privacy di un servizio online, ponetevi sempre le seguenti domande:
- Chi lo paga? Gli utenti o gli inserzionisti? Se la risposta è “gli inserzionisti”, il servizio non potrà mai offrire una soluzione veramente sicura e privata. La sua priorità assoluta è la felicità degli inserzionisti, di solito offrendo loro l’accesso ai profili degli utenti. La protezione della privacy degli utenti deve essere sempre al secondo posto in un modello di business di questo tipo.
- Chi controlla lo stack tecnologico? Si tratta di una domanda molto tecnica, ma comunque di importanza cruciale. Se un servizio utilizza “tecnologia” di terze parti, come il reCaptcha di Google o il servizio di notifica push di Google, si può sapere con certezza che la sicurezza e la privacy non possono essere la sua priorità principale, in quanto il fornitore fa trapelare consapevolmente informazioni a Google, senza avvisare gli utenti.
- Quali dati sono crittografati Ende-zu-Ende? Molti provider di e-mail affermano che i dati memorizzati presso di loro sono “crittografati”. Ciò che rende questa domanda così importante è come vengono crittografati i dati. Perché solo quando i dati sono crittografati Ende-zu-Ende, sono veramente inaccessibili al servizio online e a terzi. Ecco perché la semplice “crittografia” dei dati non è sufficiente: i dati devono essere crittografati Ende-zu-Ende.
Ora che sappiamo che cosa cercare nel servizio di posta elettronica più sicuro, diamo un’occhiata a chi ha tutte le carte in regola!
Cosa rende un provider di e-mail “il più sicuro”?
Sulla base delle domande discusse in precedenza, ci sono molti fattori che devono essere considerati quando si decide se un servizio di posta elettronica è il più sicuro o meno.
Fattori che definiscono il livello di sicurezza
- Controllo dello stack software
- Crittografia di tutti i dati
- Protezione della privacy
- Attenzione all’open source
- Migliore protezione del login
- Protezione del protocollo e-mail
- Calendario a conoscenza zero
- Crittografia sicura post-quantistica
1. Controllo dello stack software
Molti servizi di posta elettronica utilizzano tecnologie di terze parti per costruire il proprio servizio.
Ogni volta che un servizio cosiddetto sicuro utilizza applicazioni di terze parti, diventa più difficile proteggere tale servizio.
Naturalmente, nemmeno noi di Tutanota possiamo reinventare la ruota. Ma abbiamo costruito da soli tutti i nostri clienti - web, Android, iOS e tutti i client desktop.
Verificate qui perché vi consigliamo di scegliere i nostri client desktop sicuri per Linux, Windows e macOS e perché è così importante che abbiamo costruito il nostro captcha open source.
Per assicurarci che anche gli strumenti open source di terze parti utilizzati da Tutanota siano sicuri, iniziamo regolarmente le revisioni di sicurezza di questi strumenti e dei nostri client, ad esempio quando abbiamo fatto uscire i nostri client desktop dalla fase beta.
Solo con l’open source - sia dei nostri clienti che del software da cui Tutanota dipende - persone esperte di tecnologia possono controllare il codice e verificare che Tutanota stia facendo ciò che promettiamo: proteggere al massimo le vostre e-mail private.
2. Crittografia di tutti i dati
Tutanota è il servizio di posta elettronica più sicuro al mondo perché proteggiamo i vostri dati a tutti i livelli. Sia sui nostri server che sui vostri dispositivi: In Tutanota tutti i dati sono sempre criptati Ende-zu-Ende.
Quando si offre un servizio sicuro, le persone si fidano del fatto che la sicurezza sia fatta bene. Per noi, questo significa che non ci possono mai essere compromessi quando si tratta di sicurezza.
La sicurezza deve essere integrata nel codice, in modo da potervi aggiungere facilmente l’usabilità, non il contrario.
Questo concetto di “sicurezza prima di tutto” ha portato a diverse decisioni di sviluppo che oggi garantiscono la massima sicurezza di Tutanota:
- Non usiamo PGP, ma un’implementazione leggermente diversa di AES e RSA, che ci permette di criptare molti più dati (righe di oggetto) e di criptare tutte le altre funzioni che aggiungiamo a Tutanota, come i contatti e i calendari, che sono entrambi criptati al 100%.
- Non cerchiamo i vostri dati sul server perché sono criptati. Tutanota costruisce invece un indice di ricerca criptato, che viene memorizzato localmente e cercato lì. Questo permette a Tutanota di cercare l’intera posta elettronica (mittente, destinatario, oggetto, corpo, allegato) a livello locale, proteggendo la vostra privacy.
- Non offriamo IMAP perché funzionerebbe solo se inviassimo i dati decifrati al vostro dispositivo. Abbiamo invece creato i nostri client desktop open source, che memorizzano i dati crittografati. I client desktop sono anche firmati, in modo che tutti possano verificare che il client esegue esattamente lo stesso codice pubblicato su GitHub.
Crittografia Ende-zu-Ende
Fin dall’inizio, Tutanota ha integrato la crittografia Ende-zu-Ende nel codice. Tutanota è stato il primo provider di posta elettronica con crittografia Ende-zu-Ende al mondo e, a tutt’oggi, è il servizio di posta elettronica che cripta più dati di qualsiasi altro.
È possibile verificare qui tutti i dati che Tutanota cripta:
- messaggi di posta elettronica, compresi l’oggetto e gli allegati
- Voci del calendario, anche i metadati come le persone che vi partecipano
- L’intera rubrica, non solo alcune parti dei contatti.
Tutanota cripta automaticamente tutte le e-mail tra gli utenti Tutanota Ende-zu-Ende, il che fa una grande differenza per la sicurezza online nel suo complesso. Tutanota consente anche di inviare e-mail crittografate Ende-zu-Ende a chiunque.
Non inviamo mai dati non criptati
Ogni volta che comunicate con Tutanota - ricevete una notifica di una nuova e-mail, eseguite una ricerca, inserite una voce nel calendario, aggiungete un nuovo contatto alla vostra rubrica - i vostri dati vengono sempre inviati in modo criptato Ende-zu-Ende. Non inviamo mai dati non crittografati tramite le notifiche e non permettiamo che i dati non crittografati vengano memorizzati sul vostro dispositivo.
Anche quando si effettua una ricerca nella casella di posta elettronica crittografata in Tutanota, l’indice di ricerca viene crittografato e memorizzato localmente prima di poter effettuare una ricerca sicura dei dati.
3. Protezione della privacy
Posta elettronica anonima
Il nostro modello di business è diverso dalla maggior parte dei servizi di posta elettronica: Grazie alla crittografia, non possiamo scansionare le vostre e-mail e non vi tracciamo. Non inviamo pubblicità mirata alla vostra casella di posta elettronica.
Per impostazione predefinita, Tutanota non registra gli indirizzi IP quando si effettua il login o quando si invia un’e-mail. Al momento della registrazione non è necessario fornire alcun dato personale (ad esempio, quando si registra un account e-mail non è richiesto alcun numero di telefono), anche quando ci si registra tramite Tor.
Tutanota elimina gli indirizzi IP delle e-mail inviate dalle intestazioni dei messaggi, in modo che la vostra posizione rimanga sconosciuta.
Nessun tracciamento consentito
Ovviamente, Tutanota stesso non vi traccia quando utilizzate Tutanota.
Inoltre, Tutanota blocca il tracciamento non caricando automaticamente le immagini. Questo è importante perché l’e-mail è lo strumento preferito dai marketer che vogliono tracciare tutto ciò che fate online.
Le e-mail consentono ai marketer di tracciarvi includendo pixel di tracciamento che mostrano al mittente chi ha aperto un’e-mail, quando, se ha cliccato sui link contenuti e altro ancora. Questi pixel di tracciamento sono contenuti esterni a un’e-mail, che devono essere caricati.
Se un client di posta elettronica carica automaticamente contenuti esterni come le immagini, anche questi pixel di tracciamento vengono caricati. Tutanota blocca questo fenomeno per assicurarsi che il contenuto esterno venga caricato solo quando l’utente accetta attivamente di essere tracciato dal mittente.
4. Concentrarsi sull’open source
Abbiamo pubblicato tutti i client di posta elettronica come open source, in modo che gli esperti di sicurezza possano verificare il codice.
In questo modo ci assicuriamo che non ci sia mai una backdoor di crittografia in Tutanota.
Oltre a questa attenzione all’open source, non utilizziamo alcun servizio di Google, come Google Push (FCM) o Google reCaptcha, per assicurarci che il gigante della Silicon Valley non possa tracciarvi mentre controllate la vostra casella di posta elettronica protetta o il vostro calendario criptato.
5. La migliore protezione del login
Tutanota vi permette di creare la password più sicura, consentendovi di scegliere una password lunga quanto volete.
Non trasmettiamo mai la password al server, ma ne inviamo solo un hash. Poiché è impossibile ricavare la password vera e propria da questo hash, non potremo mai entrare in possesso della vostra password.
Inoltre, consentiamo a tutti gli utenti di attivare l’autenticazione a due fattori (2FA) con un token hardware (U2F) o con un’app di autenticazione (TOTP).
Per quanto riguarda la reimpostazione delle password, Tutanota ha scelto il metodo più sicuro: Solo gli utenti possono reimpostare le loro password con i loro codici di recupero. Questo è fondamentale perché altri metodi di reimpostazione delle password, come ad esempio l’invio di un’e-mail di reimpostazione della password, sono soggetti ad attacchi mirati che consentirebbero a terzi di appropriarsi degli account in modo malevolo. In quanto servizio di posta elettronica sicuro, dobbiamo assicurarci che gli account dei nostri utenti non possano essere rubati con metodi così semplici.
Verificate qui perché il nostro sistema è l’opzione di reimpostazione della password più sicura. Per massimizzare la protezione del vostro login, vi consigliamo anche di leggere la nostra guida alla sicurezza delle e-mail.
Raccomandiamo inoltre di utilizzare un gestore di password per essere sicuri di non perdere mai la password e il codice di recupero.
6. Protezione del protocollo di posta elettronica
Quando si inviano e-mail con Tutanota, si è chiaramente scelta l’opzione più sicura, poiché Tutanota consente di crittografare automaticamente le e-mail Ende-zu-Ende.
Tuttavia, a volte è necessario inviare e ricevere e-mail non crittografate. È molto più difficile proteggere queste e-mail, perché in questo caso il provider di e-mail può crittografare solo la trasmissione, non i dati stessi. Inoltre, nel processo di invio sono coinvolti altri servizi che devono assicurarsi che la trasmissione sia completata in modo sicuro, ad esempio il provider di ricezione.
Per proteggere al meglio le e-mail non crittografate, ci atteniamo agli standard più elevati del protocollo e-mail SMTP.
Tutanota supporta MTA-STS. Questo standard dovrebbe essere ormai supportato da tutti i servizi di posta elettronica, perché rappresenta per un’e-mail ciò che HTTPS rigoroso rappresenta per un sito web: Applica la crittografia del trasporto (TLS) ogni volta che TLS è possibile.
Tutanota supporta anche SPF, DKIM e DMARC. Questi tre protocolli sono necessari per rafforzare l’infrastruttura contro le intrusioni di e-mail di phishing e spam.
Tutanota aggiunge un ulteriore livello di protezione consentendo agli utenti di segnalare le e-mail di phishing. Questa funzione di segnalazione funziona anche a conoscenza zero:
Quando un’e-mail viene segnalata, creiamo delle firme (hash di diversi campi). Quando un altro utente si collega, queste firme vengono scaricate. Quando si apre un’e-mail, Tutanota calcola gli hash dei diversi campi dell’e-mail e li confronta con quelli scaricati che sono stati segnalati. Questo avviene localmente sul client. Se le corrispondenze sono sufficienti, l’e-mail viene considerata di phishing e contrassegnata di conseguenza.
Come si può vedere da questo esempio: Prendiamo sul serio la vostra privacy in ogni fase, anche quando segnaliamo potenziali e-mail di phishing. Non vogliamo nemmeno vedere queste e-mail in chiaro, perché la segnalazione potrebbe essere avvenuta accidentalmente.
7. Calendario a conoscenza zero
Abbiamo costruito il primo calendario crittografato Ende-zu-Ende. Il calendario Tutanota cripta tutti i dati, anche i partecipanti a un evento sono memorizzati in modo criptato.
Il calendario è l’unico calendario a conoscenza zero, perché anche quando si riceve una notifica push per un evento imminente, abbiamo costruito questo servizio di promemoria in modo tale che i nostri server non vedano mai la notifica. In questo modo i nostri server non solo non sanno quale evento avete, ma anche quando si svolgono i vostri eventi.
Qualsiasi calendario con notifiche via e-mail, anche se criptato, non può essere considerato a conoscenza zero. Ecco perché ci siamo impegnati a fondo per inviare le notifiche criptate direttamente ai clienti Tutanota, ad esempio alle nostre applicazioni desktop e mobili. Il grande vantaggio delle applicazioni mobili è che si ricevono questi promemoria anche quando non si utilizza attivamente l’applicazione.
Consultate il nostro post sul primo rilascio del calendario per capire perché le notifiche criptate sono così importanti per proteggere la vostra privacy.
8. Crittografia sicura post-quantistica
Tutanota non è solo il servizio di posta elettronica più sicuro al momento, ma abbiamo anche intenzione di rimanere il più sicuro in futuro.
Per questo abbiamo già iniziato a lavorare sulla crittografia sicura post-quantistica. Abbiamo lanciato il progetto PQ Mail nel 2020 e ora abbiamo un prototipo funzionante che ci consente di crittografare le e-mail con un protocollo ibrido che combina i nostri collaudati algoritmi di crittografia con algoritmi sicuri post quantistici.
In questo post spieghiamo perché abbiamo bisogno di una crittografia resistente ai quanti ora. Un piccolo suggerimento: è necessario per stare davanti alla NSA e ad altri che vogliono usare i computer quantistici per decriptare le comunicazioni passate.
Lotta per il diritto alla privacy
Noi di Tutanota ci impegniamo a combattere per il vostro diritto alla privacy con la tecnologia. Vogliamo assicurarci che la sorveglianza di massa e il capitalismo della sorveglianza diventino impossibili applicando la crittografia Ende-zu-Ende a tutti i dati possibili.
Approfittate del provider di posta elettronica più sicuro, Tutanota, iscrivendovi ora.
Insieme renderemo Internet più sicuro.