Объяснение недавних DDoS-атак и причин, по которым мы не используем третьих лиц для их предотвращения.
Защита от DDoS-атак является неотъемлемой частью нашей инженерной практики, и мы проектируем и создаем наши системы таким образом, чтобы свести к минимуму площадь атаки.
Почему мы должны сами бороться с атаками
Хотя мы сотрудничаем с партнерами для борьбы с атаками, направленными на пропускную способность, такими как крупномасштабные атаки на отражение, мы делаем это таким образом, что сохраняем полный контроль над данными наших пользователей. Это отличается от того, что делают большинство наших конкурентов, и гораздо больше способствует сохранению конфиденциальности :
Смягчить последствия DDoS-атак гораздо проще, если мы позволим третьим сторонам расшифровывать и проверять наш трафик на своих серверах в так называемом центре скруббинга. В качестве альтернативы некоторые наши конкуренты направляют расшифрованный трафик в закрытые устройства сторонних производителей (черные ящики). Но оба метода означают потерю контроля над данными клиентов.
Для нас в Tuta это не вариант: Вы доверяете нам конфиденциальность своих данных, и поэтому мы вынуждены отражать DDoS-атаки без помощи сторонних устройств. Речь идет об очень чувствительных данных, таких как IP-адреса и маркеры доступа , которые позволили бы третьей стороне выдавать себя за пользователей и даже удалять их данные. Это также позволит третьей стороне отслеживать привязки IP-адресов к идентификаторам пользователей - другими словами, третьи лица будут знать, какой IP-адрес принадлежит какому адресу электронной почты .
Поэтому, поскольку мы в Tuta ставим на первое место конфиденциальность ваших данных при любых обстоятельствах, использование сторонних устройств невозможно.
Что произошло
В Tuta мы самостоятельно устраняем последствия DDoS-атак, чтобы как можно лучше защитить данные наших пользователей. Но за сохранение высокого уровня конфиденциальности и безопасности приходится платить. Мы вынуждены самостоятельно бороться с DDoS-атаками, а также тратить значительное количество своего рабочего времени на внедрение средств защиты от DDoS-атак . Нас атакуют очень часто, и обычно наши пользователи не замечают, что мы подверглись нападению, поскольку почти все атаки мы устраняем с нулевым временем простоя .
Так было в начале декабря. В общей сложности мы пострадали от простоя в 2,5 часа в течение пяти дней . Самое продолжительное время простоя составило 80 минут. Мы очень сожалеем об этих неудобствах. Мы понимаем, что это неприемлемо, поэтому в течение этих пяти дней мы были сосредоточены не только на устранении последствий атак, но и на улучшении наших мер по их устранению.
Мы обнаружили, что две недели назад была обнаружена ошибка. Эта ошибка была причиной того, что автоматические средства защиты работали не так гладко, как раньше, и была сразу же исправлена. Мы также радикально улучшили два других средства защиты от DDoS-атак со стороны крупномасштабных ботнетов. Мы сделали это таким образом, что теперь обнаруживаем и блокируем эти бот-сети в течение нескольких секунд. На самом деле, мы сами даже не заметили последние пару волн атак на наши собственные серверы, поскольку средства защиты сработали настолько хорошо, что даже нагрузка на сервер оставалась в совершенно нормальном диапазоне. Это также означает, что вы - наши пользователи - тоже не заметили этих атак. Так и должно быть, и мы очень рады этому достижению!
Благодаря всем этим улучшениям мы теперь имеем очень хорошие меры и блокируем все виды атак - от объемного отражения до распределенных ботнет-атак .
Значит ли это, что Tuta больше не подвержена DDoS-атакам? К сожалению, ответ отрицательный. Мы хотим быть предельно честными: Мы делаем многое, чтобы не только создать самый безопасный сервис электронной почты и календаря с квантово-безопасным шифрованием, но и вкладываем много средств в поддержание архитектуры нулевого знания и владение всем нашим технологическим стеком. Поскольку, сохраняя полный контроль над нашими серверами, инфраструктурой и используемым программным обеспечением, мы можем наилучшим образом защитить ваши данные и вашу конфиденциальность - включая ваш IP-адрес. Как уже объяснялось, это усложняет работу нам, но значительно улучшает защиту данных для вас. Несмотря на то, что сейчас наши системы хорошо защищены от всех видов атак, всегда есть вероятность, что в будущем злоумышленники придумают новые векторы атак.
Но даже если это произойдет, мы знаем, что способны быстро и адекватно улучшить наши средства защиты .
Большая благодарность сообществу
Мы в Tuta очень благодарны нашей замечательной команде, которая заботится о защите от DDoS-атак. И мы еще больше благодарны нашему замечательному сообществу, которое поддерживает нас и даже говорит об этом на Reddit.
Как всегда, мы должны сказать: Без вас нас бы здесь не было, и ваша поддержка значит для нас очень много! Вместе с вашей поддержкой мы выйдем из этого еще сильнее, чем раньше! 💪💪💪
❤️ Спасибо вам большое, большое спасибо! Если вы хотите выразить нам свою любовь в это трудное время, не стесняйтесь пожертвовать или обновить свой аккаунт. ❤️
Даже если кто-то не хочет, чтобы вы пользовались безопасной и частной электронной почтой, мы будем продолжать бороться за ваше право на конфиденциальность.
Здесь мы также хотим ответить на самые частые вопросы, задаваемые нам в социальных сетях и по электронной почте:
Защищены ли мои данные?
Да, все данные в Tuta надежно зашифрованы и не могут быть доступны никому - даже нам.
Что случилось с моими письмами во время DDoS?
Письма, полученные во время DDoS-атак, были поставлены в очередь и доставлены позже.
Кто-то взломал Tuta?
Нет, злоумышленники не взламывали серверы Tuta и не получали доступ к каким-либо данным, хранящимся на наших серверах. Никакие данные не были нарушены.
Нужно ли мне менять пароль?
Нет, менять пароль не обязательно. Tuta хранит хэши паролей. Из этого хэша невозможно извлечь настоящий пароль. Таким образом, никто не может узнать ваш пароль, даже мы в Tuta. Для защиты вашего пароля мы используем Argon2.
Доступность в автономном режиме
Доступ к Tuta Mail и Tuta Calendar можно получить в автономном режиме, если вы являетесь пользователем одного из наших платных тарифных планов, в мобильных приложениях Tuta на Android и iOS, а также в настольных клиентах для Linux, Windows и macOS. Мы также планируем включить доступ к записи в автономном режиме, чтобы вы могли составлять сообщения для последующей отправки, когда у вас нет доступа к интернету. Поскольку мы уже сейчас планируем нашу дорожную карту на 2025 год, мы обязательно сделаем доступ к записи в автономном режиме одним из приоритетов.
