Email seguro feito para você

Segurança e privacidade andam de mãos dadas

Ao avaliar a segurança e a privacidade de qualquer serviço online, faça-se sempre as seguintes perguntas:

1. Quem paga por isso? Os usuários ou os anunciantes? Se a resposta for "os anunciantes", o serviço nunca poderá oferecer uma solução verdadeiramente segura e privada. A sua prioridade máxima é o interesse dos anunciantes, ajudando-os a identificar audiências alvo com base nos dados dos usuários e apresentar-lhes anúncios. A proteção da privacidade dos usuários vem sempre em segundo lugar com um tal modelo de negócio.

2. Quem controla a pilha de tecnologia? Esta é uma questão muito técnica mas crucialmente importante. Se um serviço utiliza 'tecnologia' de terceiros, como o Dovecot, Roundcube, Google reCaptcha ou Google Push, você sabe, com certeza, que a segurança e a privacidade não podem ser a sua principal prioridade, uma vez que o fornecedor vaza, conscientemente, informação para outros - sem avisar os usuários sobre isso. Esta é outra razão pela qual você deve escolher um serviço que seja de código aberto e não dependa de integrações com software de código fechado.

3. Que dados são criptografados de ponta a ponta (E2E)? Muitos provedores afirmam que o seu serviço fornece email seguro e que os dados armazenados com eles são "criptografados". O que torna esta questão tão importante é como são os dados criptografados? Porque só quando os dados são criptografados de ponta a ponta é que são verdadeiramente inacessíveis ao serviço online, bem como a outros terceiros. Só então o serviço pode ser considerado como oferecendo mail seguro. É por isso que a simples "criptografia" de dados não é suficiente, os dados devem ser criptografados de ponta a ponta.

Controle da pilha(stack) de software

Muitos serviços de email, mesmo seguros, utilizam tecnologia de terceiros como Dovecot, Roundcube e outros para construir os seus próprios produtos. Cada vez que um serviço, assim chamado seguro, utiliza aplicações de terceiros, torna-se mais difícil assegurar esse serviço. A razão é simples: Cada serviço incluído no código executa o código. A segurança de qualquer serviço não pode ser melhor do que a das suas dependências. Todas as dependências do código de terceiros devem ser mantidas e as atualizações de segurança devem ser aplicadas imediatamente. Além disso, cada serviço de terceiros pode potencialmente rastrear os usuários, enviar dados para os seus próprios servidores, etc. É por isso que nós, no Tuta, só usamos código fonte aberto que nós próprios nos certificamos antes de o utilizarmos. Desta forma, asseguramo-nos de que as ferramentas de código aberto que o Tuta utiliza são seguras: Executamos regularmente revisões de segurança destas ferramentas, bem como dos nossos próprios clientes, por exemplo quando testamos os nossos clientes desktop a partir do beta.

Claro que nós no Tuta também não podemos reinventar a roda. Mas construímos integralmente todos os nossos clientes - web, Android, iOS, e todos os clientes de ambiente de trabalho por conta própria. Além disso, temos um forte enfoque na segurança em todo o nosso fluxo de trabalho de desenvolvimento. Todos os programadores compartilham o mesmo DNA: privacidade e segurança primeiro.

Uma das principais diferenças do Tuta é que nós mesmos construímos todas as partes principais do Tuta, mesmo fora da funcionalidade central do email, como o nosso captcha, o nosso serviço de notificação de acionamento no Android e mais.

Apenas com código aberto - dos nossos próprios clientes e do software do qual o Tuta depende - as pessoas com conhecimentos técnicos podem auditar o código e verificar que o Tuta está cumprindo o que promete: proteger ao máximo os seus emails privados.

Verifique aqui porque recomendamos escolher os nossos clientes desktop seguros para Linux, Windows e macOS e porque é tão importante que tenhamos construído o nosso próprio captcha de código aberto assim como uma alternativa ao Google Push no Android.

Segurança

Seguimos o conceito de "segurança em primeiro lugar".

Ao oferecer um serviço de correio eletrónico seguro, as pessoas confiam que a sua segurança é à prova de bala. Para nós, isto significa que nunca pode haver um compromisso no que respeita à segurança. A segurança deve ser incorporada no código, de modo a que se possa adicionar facilmente a facilidade de utilização, e não o contrário.

Este conceito de "segurança em primeiro lugar" levou a várias decisões de desenvolvimento que hoje garantem a segurança de alto nível do Tuta:

• Não usamos PGP, mas uma implementação ligeiramente diferente (inicialmente baseada em AES 256 e RSA 2048), que nos permite encriptar muito mais dados (linhas de assunto), bem como encriptar todas as outras funcionalidades que adicionamos ao Tuta, tais como contactos e calendários - que são todos 100% encriptados. Substituímos o RSA pelo ECDH (x25519) Kyber-1024 para disponibilizar criptografia quântica segura a todos os utilizadores do Tuta. No futuro, planeamos também suportar o sigilo de encaminhamento.

• Nós não pesquisamos os seus dados no servidor porque eles estão encriptados lá. Em vez disso, a Tuta constrói um índice de pesquisa encriptado, que é armazenado localmente no seu dispositivo ou no seu navegador e pesquisado lá. Isto permite-lhe pesquisar todos os seus e-mails (remetente, destinatário, linha de assunto, corpo, anexo) localmente enquanto protege a sua privacidade.

• Não oferecemos IMAP porque só funcionaria se enviássemos dados desencriptados para o seu dispositivo. Em vez disso, criámos os nossos próprios clientes de ambiente de trabalho de código aberto, que armazenam os seus dados encriptados. Os clientes de desktop também são assinados para que todos possam verificar que o cliente está executando exatamente o mesmo código que o código publicado no GitHub.

Quando você cria um endereço de e-mail seguro com Tuta, você pode ter certeza de que seus dados são mantidos seguros.

criptografia TLS

Protegendo o protocolo de email

Ao enviar emails com Tuta, você escolheu claramente a opção mais segura, uma vez que o Tuta permite criptografar automaticamente emails de ponta a ponta.

No entanto, por vezes você pode querer enviar e receber e-mails não criptografados de e para contatos que não utilizam Tuta, quando compartilhar uma senha com eles seria inconveniente. É muito mais difícil proteger estes emails porque, nesse caso, o provedor de email só pode criptografar a transmissão - não os dados em si. Além disso, estão envolvidos outros serviços, como o provedor de email do destinatário, que precisa se certificar de que a transmissão é concluída em segurança.

Para assegurar, o melhor possível, a segurança do email não criptografado, aderimos aos padrões mais elevados possíveis do protocolo de email SMTP.

Tuta suporta MTA-STS. Este padrão deveria ser suportado por todos os serviços de email porque é para um email o que o HTTPS rigoroso é para um website: Faz cumprir a criptografia de transporte (TLS) sempre que TLS é possível.

Tuta também suporta SPF, DKIM e DMARC. Estes três protocolos são necessários para endurecer a infra estrutura contra a intrusão de emails de phishing e spam.

Tuta utiliza CSP (Content Security Policy) rigoroso, um higienizador HTML para mostrar conteúdo desconhecido (em emails) para prevenir ataques XSS, e, por padrão, não carrega conteúdo externo de outros servidores (imagens e vídeos em emails). O usuário pode optar por ter o conteúdo externo mostrado com um único clique ou toque, se confiar no remetente.

Verifique aqui para saber como Tuta pontua em Securityheaders.io.

Proteção máxima de login

O Tuta nunca transmite as suas senhas para o servidor.

Quando inicia sessão na sua caixa de correio segura, o Tuta faz um hash e salga a sua palavra-passe antes de transmitir o hash para os nossos servidores. É impossível obter a palavra-passe real a partir deste hash, pelo que ninguém pode saber a sua palavra-passe, nem mesmo nós na Tuta. Para proteger sua senha, usamos Argon2 e SHA256.

O Tuta também fornece autenticação de dois fatores (2FA) para adicionar uma camada extra de segurança. Para proteger suas credenciais de login, você pode usar TOTP ou U2F. Recomendamos a utilização do U2F com um dispositivo de segurança, uma vez que esta é a forma mais segura de autenticação de dois factores. Isto garante que apenas o utilizador autorizado pode aceder à sua conta.

Verifique o nosso guia de segurança online sobre como manter os seus e-mails a salvo de hackers.

Arquitetura zero conhecimento

Tuta utiliza uma arquitetura de conhecimento zero, o que significa que os dados do usuário nunca são armazenados em texto simples nos servidores do Tuta. Os servidores do Tuta apenas armazenam os dados criptografados, e a chave de descriptografia só está disponível para o usuário. Isto assegura que mesmo que os servidores do Tuta sejam invadidos, os dados permanecem seguros.

Compatível com GDPR

O GDPR europeu exige que as empresas protejam os emails contendo dados sensíveis dos cidadãos da UE.

As empresas são obrigadas a salvaguardar os dados pessoais, mesmo quando em trânsito. Poupe tempo e dinheiro hospedando todas as suas mensagens de email corporativos criptografados nos servidores seguros da Tuta. Com Tuta não há necessidade de utilizar um plugin ou um complicado software de criptografia em cima de uma solução inchada de email corporativo que há uma década atrás se adaptava bem às empresas.

A criptografia de emails garante o cumprimento da GDPR, e a Dinamarca foi o primeiro país da UE a declarar oficialmente que as empresas devem proteger os dados pessoais sensíveis em email com criptografia ponta a ponta adequada por causa da GDPR. Tuta oferece a solução de email mais segura para empresas com total conformidade com a GDPR.

Tuta segue os princípios de minimização de dados & privacidade por projeto.

Somos responsáveis pela proteção dos seus dados pessoais, e levamos esta responsabilidade muito a sério. Portanto:

• Tuta baseia-se nos princípios de privacidade de dados de "minimização de dados" e "privacidade por projeto".

• Todos os dados do usuário são armazenados criptografados de ponta a ponta em Tuta (exceto os metadados, tais como endereços de email de remetentes e destinatários de email, uma vez que esta informação é necessária pelo protocolo de email para entregar o email no endereço correto).

• Dispomos de medidas técnicas e organizacionais aplicadas que protegem os seus dados ao máximo.

• Tuta permite-lhe colocar um formulário de contato codificado - Secure Connect - no seu website para que as pessoas interessadas na sua empresa possam facilmente entrar em contato com você E2E criptografado.

• Tuta fornece um Contrato de Processamento de Encomendas com garantias de proteção de dados legalmente vinculadas para o ajudar a demonstrar a sua conformidade com a GDPR.

Por favor leia a nossa declaração de privacidade completa para mais detalhes.

A nossa criptografia integrada e o fato de lhe permitir enviar um e-mail criptografado para qualquer destinatário no mundo fazem do Tuta um ajuste perfeito quando buscando o melhor email seguro para o seu negócio . Tuta ajuda-o a facilmente enviar dados pessoais sensíveis criptografados de ponta a ponta, certificando-se assim de que a sua empresa está em conformidade com a GDPR.

Leia o nosso blog para saber como Tuta pode ajudar a sua empresa a atingir conformidade com GDPR.

Privacidade feita na Alemanha

Alemanha tem uma das mais rigorosas leis de proteção de dados.

Os regulamentos de privacidade de dados na União Europeia (UE) estão entre os mais rigorosos do mundo, e entre todos os estados membros europeus, a Alemanha tem uma das políticas mais fortes: a Lei Federal de Proteção de Dados (Bundesdatenschutzgesetz). O Regulamento Geral de Proteção de Dados da UE (GDPR) foi em grande parte concebido com base na Lei Federal Alemã de Proteção de Dados.

Esta lei protege os usuários de serviços de Internet. Coloca o usuário a cargo do que deve ser feito com os seus dados: As empresas (= nós) não estão autorizadas a coletar qualquer informação pessoal sem autorização expressa de um indivíduo (=você), (por exemplo, nome, data de nascimento, endereço IP).

Além disso, na Alemanha não existe nenhuma lei que nos possa obrigar a submeter-nos a uma ordem de mordaça ou a implementar um acesso oculto.

Pode encontrar detalhes sobre proteção de dados alemã leis no nosso blog e no nosso Relatório de Transparência.

Dados armazenados na Alemanha

Tuta armazena todos os dados criptografados em centros de dados altamente seguros na Alemanha.

Todos os dados no Tuta são armazenados criptografados de ponta a ponta nos nossos próprios servidores em centros de dados certificados ISO 27001 na Alemanha.

Ninguém tem acesso aos nossos servidores, exceto os nossos administradores permanentes, que precisam passar por autenticação de fatores múltiplos antes de obterem acesso. Todos os sistemas produtivos são monitorizados 24/7 para acesso não autorizado e atividade extraordinária.

Serviço de email anônimo: Sem rastreamento, sem anúncios

Tuta é um serviço email anônimo que não o rastreia.

O nosso modelo de negócio é diferente da maioria dos serviços de email: Devido à criptografia, não podemos digitalizar as suas mensagens de email. Não o rastreamos. Não enviamos anúncios direcionados para a sua caixa de correio. Isto significa que os seus dados não são utilizados para qualquer outro fim que não seja o de fornecer serviços de email e agenda. Isto assegura que os seus dados nunca são compartilhados com anunciantes terceiros ou outras entidades, o que poderia comprometer a sua privacidade.

Por padrão, a Tuta não registra endereços IP quando faz o login ou quando envia um email. Após o registro não precisa fornecer quaisquer dados pessoais (por exemplo, não é necessário qualquer número de telefone), mesmo quando se registra através do navegador Tor. O Tuta retira os endereços IP dos emails enviados a partir dos cabeçalhos de email para que a sua localização permaneça desconhecida. Apesar de todas estas proteções, poderá ainda querer manter o seu endereço IP escondido mesmo de nós, razão pela qual nunca adicionaremos uma VPN ou um navegador à nossa oferta. A oferta de uma VPN não faz qualquer sentido porque, se o fizéssemos, nós, como provedores de email, ainda seríamos capazes de descobrir os endereços IP originais dos usuários se estes se ligassem através desta VPN. Por razões de privacidade, é melhor manter tais serviços separados.

Funcionalidades de privacidade aperfeiçoadas

Tuta é um serviço de email construído com privacidade no seu coração.

As empresas adoram o email para campanhas de marketing. Porque o email por padrão não respeita a sua privacidade. Quando recebe um boletim de notícias de marketing, o email carrega, normalmente, conteúdo externo (por exemplo, imagens, vídeos). Neste caso, você está sendo rastreado: endereço IP, navegador que está usando, e mais informação está sendo transmitida ao remetente.

Tuta oferece um serviço de email que protege automaticamente desses métodos de rastreamento:

• Tuta bloqueia imagens por padrão. Nenhum conteúdo externo é carregado quando se abre um e-mail, a menos que o permita conscientemente.

• Tuta retira todas as informações de cabeçalho (endereço IP) dos emails enviados para proteger a sua privacidade.

• Tuta avisa-o quando o remetente técnico difere do remetente. Falsificar o remetente é um método típico utilizado em ataques de phishing. No nosso blog você pode encontrar mais dicas sobre como prevenir email phishing.

Monitorar e fechar sessões remotamente

Verifique se alguém acessou sua caixa de correio criptografada Tuta.

Tuta permite-lhe verificar as sessões ativas e fechadas como uma funcionalidade opcional. Isto permite-lhe verificar que ninguém a não ser você próprio entrou na sua conta. As sessões fechadas são automaticamente apagadas após uma semana. O tratamento das sessões do Tuta também lhe permite encerrar as sessões remotamente. Quando perde o seu celular e ainda está conectado ao aplicativo Tuta, você pode encerrar esta sessão a partir de qualquer outro dispositivo. Ao fechar a sessão remotamente, assegura-se de que ninguém pode acessar seus emails seguros no celular perdido.

Os endereços IP das sessões abertas e fechadas são sempre armazenados criptografados e automaticamente apagados após uma semana. Devido à criptografia, só você poderá acessar esta informação. Nós no Tuta não temos absolutamente nenhum acesso a esta informação.

Compromisso com código aberto

Emails gratuitos e de código aberto para todos.

Tuta foca na segurança e privacidade. Para nós, o código aberto é essencial para alcançar ambos. Publicamos o cliente web Tuta, os clientes desktop Tuta, bem como os aplicativos Android e iOS como software de código aberto em GitHub.

Desta forma, todos podem verificar o código e verificar que não existem bugs ou vulnerabilidades de segurança na base de código. Por serem potenciais problemas de código aberto, podem ser notados e corrigidos muito mais rapidamente do que no caso das aplicações de código fechado.