Criptografado

Caixa postal criptografada

Toda a caixa de correio - emails, agendas e livro de endereços - são armazenados criptografados de ponta a ponta no Tuta. Os únicos dados não criptografados são endereços de emails de usuários, bem como de remetentes e destinatários de emails. Ao introduzir as suas credenciais de acesso, a sua caixa de correio é automaticamente descriptografada localmente no seu dispositivo.

Dados que Tuta criptografa de ponta a ponta:

• Emails, incluindo linhas de assunto e todos os anexos
• agendas inteiras, até metadados como notificações de eventos
• Livro de endereços completos, não apenas partes dos contactos
• Regras / filtros da caixa de entrada
• E todo o índice de pesquisa.

Tuta criptografa automaticamente de ponta a ponta todos os emails entre usuários Tuta , o que faz uma grande diferença para a segurança online como um todo. Tuta permite até enviar emails criptografados de ponta a ponta para qualquer pessoa independentemente do provedor de email que utilizam.

Emails criptografados para qualquer um

O Tuta utiliza a encriptação simétrica (AES 256) e assimétrica (RSA 2048 ou ECC (x25519) e Kyber-1024 como algoritmos quantum-safe) para encriptar os e-mails de ponta a ponta. Quando ambas as partes utilizam o Tuta, todas as mensagens de correio eletrónico são automaticamente encriptadas de ponta a ponta (encriptação assimétrica). Para uma mensagem de correio eletrónico encriptada para um destinatário externo, é necessário trocar uma vez uma palavra-passe para encriptar e desencriptar a mensagem de correio eletrónico (encriptação simétrica). Pode então utilizar a mesma palavra-passe para qualquer conversa com esse contacto específico: Com o Tuta, não precisa de definir uma nova palavra-passe para cada e-mail enviado para o mesmo contacto.

A encriptação automática do Tuta funciona facilmente em todos os dispositivos móveis e de secretária. A chave de encriptação nunca é partilhada com mais ninguém, incluindo o Tuta. Assim, mesmo que um atacante malicioso intercepte a mensagem de correio eletrónico, não conseguirá ler o seu conteúdo ou anexos.

Calendário criptografado

Tuta é a primeira agenda criptografada de ponta a ponta já desenvolvida. A agenda Tuta criptografa todos os dados, mesmo os participantes de um evento são armazenados criptografados.

A agendaTuta é a única agenda de conhecimento zero lá fora, porque mesmo quando se recebe uma notificação para um evento próximo, implementamos este serviço de notificação de tal forma que os nossos servidores nunca acessam a notificação. Isto irá manter os nossos servidores no escuro não só sobre que eventos estão para acontecer, mas também quando os seus eventos acontecerão.

Qualquer agenda que utilize notificações por email não pode ser considerado de conhecimento zero, mesmo que as notificações por email sejam criptografadas, porque o envio da própria notificação já envolve o servidor que vaza informação. É por isso que nos esforçamos ao máximo para enviar notificações criptografadas diretamente aos clientes Tuta, por exemplo, para as nossas aplicações desktop e móveis, e tratar estas notificações localmente no seu próprio dispositivo - não no nosso servidor. A grande vantagem das aplicações móveis é que você também recebe estes avisos quando não está utilizando ativamente o aplicativo.

Verifique o nosso post sobre o nosso primeiro lançamento da agenda para saber porque é que as notificações criptografadas são tão importantes para proteger sua privacidade.

Como a senha é protegida no Tuta?

Como a senha do usuário é fundamental para a segurança dos dados criptografados armazenados na caixa de correio do Tuta, temos de nos certificar de que a senha está sempre segura. O Tuta nunca envia a senha para o servidor em texto simples para autenticar o usuário.

Para proteger a senha de início de sessão, o Tuta utiliza Argon2 e SHA256. Assim, a senha de início de sessão só é utilizada indiretamente para autenticar o utilizador no servidor e para criptografar/decodificar a chave privada.

Isto é demonstrado pela imagem seguinte e explicado no texto abaixo:

O Argon2 modifica a palavra-passe para que esta se torne a "chave de senha AES". Esta chave de senha AES é utilizada para criptografar a chave RSA privada (embora através de uma indireção com a "chave de grupo de utilizadores AES" simétrica privada).

No entanto, a própria chave de palavra-passe AES não é utilizada para autenticar o utilizador no servidor, mas é transformada em hash para se tornar o "verificador de senha".

Este verificador de senha é então transmitido ao servidor para autenticar o usuário. O próprio servidor apenas armazena o verificador de senha como outro hash ("hashed verifier"), pelo que é impossível utilizar os dados persistentes no servidor para iniciar sessão.

O verificador de senha é criptograficamente independente da chave de senha, pelo que o verificador de senha não pode ser utilizado para descodificar quaisquer dados. O verificador da senha é transmitido ao servidor Tuta protegido por encriptação TLS.

Se uma terceira pessoa obtiver acesso ao verificador da senha através de uma vulnerabilidade TLS, não poderá ter acesso à chave privada nem aos dados criptografados de extremo a extremo armazenados na caixa de correio Tuta criptografada.

O processo de descodificação ocorre localmente no dispositivo do utilizador, depois de este ter sido autenticado no servidor.

Ao criptografar a chave privada com a senha do usuário, o Tuta pode automatizar todo o processo de criptografia sem nunca ter acesso à sua chave privada.

Por que o Tuta Mail não utiliza PGP?

O Tuta utiliza algoritmos padrão também utilizados pelo PGP (AES e RSA ou ECC) para encriptar toda a caixa de correio. Além disso, o Tuta Mail já usa criptografia pós-quântica (Kyber) para contas quânticas seguras, o que ainda é um trabalho em andamento para o PGP. Além disso, o Tuta não usa uma implementação do PGP porque o PGP carece de requisitos importantes que temos para o Tuta:

• O PGP não encripta a linha de assunto (já conseguida no Tuta),

• Os algoritmos do PGP não podem ser facilmente actualizados, por exemplo

• O PGP não tem a opção de Perfect Forward Secrecy (já conseguido em Tuta num protótipo).

Em Tuta podemos atualizar facilmente os algoritmos e planeamos substituir os algoritmos actuais por um protocolo híbrido quântico seguro num futuro próximo. A flexibilidade do Tuta permite-nos integrar um calendário encriptado, armazenamento encriptado na nuvem e muitas outras funcionalidades de forma muito mais fácil e rápida do que seria possível com uma implementação do PGP.

Por que Tuta não oferece suporte a S/Mime

Outro protocolo de criptografia de email utilizado pelas empresas como soluções de email é S/Mime.

Para S/MIME é necessário instalar um certificado nos clientes de email do destinatário e do remetente. Quando um email é enviado, o remetente criptografa o email utilizando a chave pública do destinatário e este descriptografa o email utilizando a chave privada.

Contudo, em Maio de 2018, a Electronic Frontier Foundation (EFF) anunciou vulnerabilidades críticas em S/MIME, juntamente com uma forma obsoleta de OpenPGP que ainda é utilizada em muitos clientes de email. Apellidado EFAIL, o bug exigiu um esforço coordenado significativo por muitos vendedores de clientes de email para corrigir esta vulnerabilidade. Contudo, até à data, não é claro se todos os serviços de email corrigiram de fato o problema ou não.

Segurança pós criptografia quântica

Tuta não é apenas o serviço de e-mail mais seguro no momento, mas também continuará a ser o mais seguro no futuro.

É por isso que somos o primeiro provedor de e-mail a desenvolver um protocolo para criptografia segura pós-quântica. Estamos a introduzir este protocolo, inicialmente para novas contas e, em última análise, para todas as contas Tuta, desde março de 2024. Isto permite-nos encriptar os e-mails com uma abordagem híbrida que combina os nossos algoritmos de encriptação comprovados com algoritmos seguros pós-quânticos.

Mantemo-nos à frente do jogo actualizando para criptografia pós-quântica e garantimos que os seus dados permanecem seguros, mesmo quando os computadores quânticos forem capazes de quebrar os algoritmos de encriptação atualmente utilizados.

Agenda

A agenda Tuta é a única e verdadeira agenda de conhecimento zero porque os nossos servidores não sabem nada sobre os seus eventos criptografados. Todos os dados que armazenam na agenda são criptografados: A "descrição", o "término", a "localização", o "início", o "resumo", o "uid" (o ID do evento), os "alarmes Informativos" (que são os lembretes que pode definir para ser notificado sobre os próximos eventos), e a "Regra de repetição" (que é a regra para definir em que intervalo e até que data o evento deve ser repetido).

A agenda Tuta também criptografa notificações, o que é uma abordagem muito inovadora. Os alarmes criptografados do Tuta são armazenados localmente nos seus dispositivos para os esconder completamente dos nossos servidores. Isto significa que não sabemos nada sobre os seus eventos da agenda, nem mesmo quando um evento está para acontecer.

Em contraste com isso, normas atuais como o iCal não criptografam quaisquer dados. Se guardar os seus eventos com um serviço online para fácil acesso e sincronização, pode ter a certeza de que outra pessoa está a ver todos os seus eventos da agenda.

Na agenda Tuta de conhecimento zero todos os seus dados são sempre criptografados para que ninguém, nem mesmo nós como desenvolvedores, possamos ver os seus compromissos privados.

Contatos

Os Contatos Tuta são inteiramente criptografados, tal como a Agenda Tuta. Você pode guardar todos os seus dados de contatos no Tuta sabendo que ninguém, a não ser você mesmo, pode ter acesso a estas informações muito pessoais dos seus familiares, amigos ou contatos comerciais.

Tuta criptografa automaticamente o "aniversárioISO", o "comentário", a "empresa", o "nome", o "sobrenome", o "apelido", o "papel", o "título", os "endereços", os "endereços de email", os "números de telefone", e as "Identidades sociais".

Espere mais

O Tuta oferece mais do que apenas uma fácil criptografia de email. O Tuta assegura-se de que todos os seus dados são sempre criptografados e só podem ser acessados por uma única pessoa: Você.

Tuta criptografa automaticamente todos os seus emails, agendas e contatos.

Tuta traz a criptografia automática à todos os seus dispositivos. Quer você esteja em casa, no trabalho ou em viagem, criptografar todos os seus dados nunca foi tão fácil.