Защищённая почта, сделанная для Вас

Безопасность и конфиденциальность идут рука об руку

Оценивая безопасность и конфиденциальность любой службы в Интернете, всегда задавайте себе следующие вопросы:

1. Кто за это платит? Пользователи или рекламодатели? Если ответ "рекламодатели", то служба никогда не сможет предложить действительно защищенное и конфиденциальное обслуживание. Ее главным приоритетом являются интересы рекламодателей и она помогает им определять целевую аудиторию на основе данных пользователей и подавать им рекламу. Защита частной жизни пользователей при такой модели бизнеса всегда стоит на втором месте.

2. Кто контролирует технологический пакет? Это очень технический, но очень важный вопрос. Если служба использует сторонние "технологии", такие как Dovecot, Roundcube, Google reCaptcha или Google Push, вы точно знаете, что безопасность и конфиденциальность не могут быть ее основным приоритетом, поскольку поставщик сознательно передает информацию другим, не предупреждая об этом пользователей. Это еще одна причина, по которой вы должны выбрать службу с открытым исходным кодом и не полагаться на интеграцию с программным обеспечением с закрытым исходным кодом.

3. Какие данные шифруются из конца в конец (сквозное шифрование)? Многие поставщики услуг утверждают, что их служба обеспечивает защищенность электронной почты и что данные, хранящиеся у них, "зашифрованы". Важным в этом вопросе является как шифруются данные? Ведь только когда данные шифруются из конца в конец, они действительно недоступны как для службы, так и для третьих лиц. Только в этом случае служба может считаться предлагающей защищенную электронную почту. Вот почему простого "шифрования" данных недостаточно, данные должны быть зашифрованы из конца в конец.

Управление пакетом программного обеспечения

Многие службы электронной почты, даже защищенные, используют сторонние технологии, такие как Dovecot, Roundcube и другие, для создания своих собственных продуктов. Каждый раз, когда так называемая защищенная служба использует сторонние приложения, становится все труднее обеспечить защищенность этой службы. Причина проста: каждая служба, включенная в код, исполняет код. Безопасность любой службы не может быть лучше, чем безопасность того, от чего она зависит. Каждая зависимость от стороннего кода должна поддерживаться, а обновления безопасности должны применяться незамедлительно. Кроме того, каждая сторонняя служба потенциально может отслеживать пользователей, отправлять данные на собственные серверы и т.д. Именно поэтому мы в Tuta используем только тот открытый код, который мы сами проверили перед использованием. Таким образом, мы убеждаемся, что инструменты с открытым исходным кодом, которые использует Tuta являются защищенными: мы регулярно проводим проверки безопасности этих инструментов, а также наших собственных клиентов, например, когда мы вывели наши настольные клиенты из бета-версии.

Конечно, мы в Tuta тоже не можем заново изобретать колесо. Но мы создали все наши клиенты, для веб, Android, iOS и для настольных компьютеров, самостоятельно. Кроме того, мы уделяем большое внимание безопасности на протяжении всего нашего процесса разработки. У всех разработчиков общие ценности: приватность и безопасность превыше всего.

Одна из главных отличительных особенностей Tuta заключается в том, что мы сами разрабатываем все основные компоненты Tuta даже за пределами основной функциональности электронной почты, такие как капча, служба push-уведомлений на Android и т.д..

Только с открытым исходным кодом наших собственных клиентов и программного обеспечения, от которого зависит Tuta, технически грамотные люди могут провести проверку кода и убедиться, что Tuta делает то, что обещает: максимально защищает вашу личную электронную почту.

Посмотрите здесь почему мы рекомендуем выбирать наши защищенные настольные клиенты для Linux, Windows и macOS и почему так важно, что мы создали собственную капчу с открытым исходным кодом, а также альтернативу Google Push на Android.

Безопасность

Мы придерживаемся концепции "безопасность превыше всего".

Предлагая защищенную почтовую службу, люди верят, что ваша безопасность пуленепробиваема. Для нас это означает, что в вопросах безопасности никогда не должно быть компромиссов. Безопасность должна быть заложена в коде так, чтобы вы могли легко добавить удобство использования, а не наоборот.

Эта концепция "безопасность превыше всего" привела к нескольким разработкам, которые сегодня гарантируют первоклассную безопасность Tuta:

• Мы используем не PGP, а немного другую реализацию (изначально основанную на AES 256 и RSA 2048), которая позволяет нам шифровать гораздо больше данных (строки темы), а также шифровать все другие функции, которые мы добавляем в Tuta, такие как контакты и календари - все они зашифрованы на 100%. Мы заменили RSA на ECDH (x25519) Kyber-1024, чтобы предоставить квантово-защищенную криптографию всем пользователям Tuta. В будущем мы планируем также поддерживать прямую секретность.

• Мы не ищем ваши данные на сервере, потому что они там зашифрованы. Вместо этого Tuta создает зашифрованный поисковый индекс, который хранится локально на вашем устройстве или в вашем браузере, а поиск осуществляется в нем. Это позволяет вам искать по всей электронной почте (отправитель, получатель, тема, тело, вложения) локально, защищая вашу приватность.

• Мы не предлагаем IMAP, поскольку он будет работать только в том случае, если мы отправим дешифрованные данные на ваше устройство. Вместо этого мы создали собственные клиенты для настольных компьютеров с открытым исходным кодом, которые хранят ваши данные в зашифрованном виде. Клиенты для настольных компьютеров также подписаны, чтобы каждый мог проверить, что клиент выполняет точно такой же код, как и код, опубликованный на GitHub.

Создавая защищенный адрес электронной почты с помощью Tuta, вы можете быть уверены, что ваши данные находятся в безопасности.

Шифрование TLS

Защита протокола электронной почты

Отправляя электронные письма с помощью Tuta, вы, несомненно, выбрали наиболее безопасный вариант, поскольку Tuta позволяет автоматически шифровать письма из конца в конец.

Однако иногда вы можете захотеть отправлять и получать незашифрованные письма контактам, которые не используют Tuta, а также от них, в тех случаях, когда сообщать им пароль было бы неудобно. Защитить такие письма гораздо сложнее, поскольку в этом случае поставщик услуг электронной почты может зашифровать только передачу, но не сами данные. Кроме того, в процесс вовлечены и другие службы, например, поставщик услуг электронной почты получателя, которые должны убедиться, что передача завершена безопасно.

Чтобы максимально обезопасить незашифрованные электронные письма, мы придерживаемся самых высоких стандартов почтового протокола SMTP.

Tuta поддерживает MTA-STS. Этот стандарт уже должен поддерживаться всеми почтовыми службами, потому что он является для электронной почты тем же, чем строгий HTTPS является для веб-сайта: Он обеспечивает шифрование передачи данных (TLS) везде, где это возможно..

Tuta также поддерживает SPF, DKIM и DMARC. Эти три протокола необходимы для защиты инфраструктуры от проникновения фишинговых писем и спама.

Tuta использует строгую CSP (Content Security Policy), HTML-санитайзер для показа неизвестного содержимого (в электронных письмах) для предотвращения XSS-атак, и по умолчанию не загружает внешнее содержимое с других серверов (картинки и видео в электронных письмах). Пользователь может выбрать показ внешнего содержимого одним нажатием, если он доверяет отправителю.

Посмотрите здесь, чтобы узнать, насколько хорошо Tuta оценивает Securityheaders.io.

Максимальная защита входа в систему

Тута никогда не передает ваш пароль на сервер.

Когда вы входите в свой защищенный почтовый ящик, Тута хэширует и солит ваш пароль перед передачей хэша на наши серверы. Из этого хэша невозможно извлечь настоящий пароль, поэтому никто не может узнать ваш пароль, даже мы в Туте. Для защиты вашего пароля мы используем алгоритмы Argon2 и SHA256.

Tuta также предоставляет двухфакторную аутентификацию (2FA), чтобы добавить дополнительный уровень безопасности. Чтобы защитить свои учетные данные, вы можете использовать TOTP или U2F. Мы рекомендуем использовать U2F с устройством безопасности, так как это самая надежная форма двухфакторной аутентификации. Это гарантирует, что только авторизованный пользователь сможет получить доступ к своей учетной записи.

Ознакомьтесь с нашим онлайн-руководством по безопасности о том, как уберечь свою электронную почту от хакеров.

Архитектура с нулевым знанием

Tuta использует архитектуру нулевого знания, это означает, что данные пользователя никогда не хранятся в открытом виде на серверах Tuta. На серверах Tuta хранятся только зашифрованные данные, а ключ для расшифровки доступен только пользователю. Это гарантирует, что даже если серверы Tuta будут взломаны, данные останутся в безопасности.

GDPR совместимость

Европейский GDPR требует от компаний обеспечивать безопасность электронной почты, содержащей конфиденциальные данные граждан ЕС. Компании обязаны защищать персональные данные даже при их передаче.︎

Теперь вы можете сэкономить время и деньги, размещая всю свою деловую электронную почту в зашифрованном виде на защищенных серверах Тута. С Тута нет необходимости использовать плагин или сложное программное обеспечение для шифрования поверх раздутой корпоративной электронной почты, которая подходила для предприятий десять лет назад.︎

Шифрование электронной почты гарантирует соответствие GDPR, и Тута предлагает максимально защищенную электронную почту для предприятий с полным соответствием GDPR.︎

Тута следует принципам минимизации данных и приватности по своей сути.
︎
Мы несем ответственность за защиту ваших персональных данных и относимся к этой ответственности очень серьезно. Поэтому:︎

• Тута основана на принципах конфиденциальности данных "минимизация данных" и " приватности по своей сути".︎︎

• Все данные пользователя, которые хранятся в Тута, зашированы сквозгым щифовагием (за исключением таких метаданных, как электронные адреса отправителей и получателей писем, поскольку эта информация необходима почтовому протоколу для доставки письма по нужному адресу).︎

• У нас действуют технические и организационные меры, обеспечивающие максимальную защиту ваших данных.︎

• Тута предоставляет Соглашение об обработке заказов с юридически обязательными гарантиями защиты данных, чтобы помочь вам продемонстрировать свое соответствие GDPR.︎

Пожалуйста, прочитайте наше полное заявление о конфиденциальности для получения подробной информации.︎

Встроенное шифрование и возможность отправки зашифрованного электронного письма любому получателю в мире делают Тута идеальным вариантом при поиске лучшей защищенной электронной почты для вашего бизнеса. Тута поможет вам легко отправлять конфиденциальные личные данные, зашифрованные сквозным шифрованием, тем самым обеспечивая соответствие вашей компании требованиям GDPR.

Читайте в нашем блоге о том, как Тута может помочь вашему бизнесу достичь соответствия требованиям GDPR.

Приватность, сделанная в Германии

В Германии действует один из самых строгих законов о защите данных.

Правила защиты данных в Европейском союзе (ЕС) являются одними из самых строгих в мире, а среди всех европейских стран-членов ЕС Германия имеет один из самых строгих законов: Федеральный закон о защите данных (Bundesdatenschutzgesetz). Общий регламент ЕС по защите данных (GDPR) во многом был разработан на основе немецкого Федерального закона о защите данных.

Этот закон защищает пользователей интернет-услуг. Он возлагает на пользователя ответственность за то, что следует делать с его данными: Компании (=мы) не имеют права собирать любую личную информацию без специального разрешения человека (=вас), (например, имя, дату рождения, IP-адрес).

Кроме того, в Германии не существует закона, который мог бы заставить нас подчиниться приказу о запрете или внедрить бэкдор.

Подробную информацию о законах о защите данных в Германии вы можете найти в нашем блоге и в нашем Отчете о прозрачности.

Данные хранятся в Германии

Tuta хранит все данные в зашифрованном виде в высокозащищенных центрах обработки данных в Германии..

Все данные, которые хранятся в Tuta, на наших собственных серверах в сертифицированных по ISO 27001 центрах обработки данных в Германии, защищены сквозным шифрованием.

Никто не имеет доступа к нашим серверам, кроме наших постоянных администраторов, которые должны пройти многофакторную аутентификацию перед получением доступа. Все технологические системы круглосуточно контролируются на предмет несанкционированного доступа и необычной активности.

Анонимная служба электронной почты: никакой слежки, никакой рекламы

Tuta - это служба анонимной электронной почты, которая не отслеживает вас..

Наша бизнес-модель отличается от большинства почтовых служб: Благодаря шифрованию, мы не можем сканировать ваши письма. Мы не отслеживаем вас. Мы не отправляем целевую рекламу на ваш почтовый ящик. Это означает, что ваши данные не используются ни для каких других целей, кроме как для предоставления услуг электронной почты и календаря. Это гарантирует, что ваши данные никогда не будут переданы сторонним рекламодателям или другим организациям, что может поставить под угрозу вашу приватность.

По умолчанию Tuta не регистрирует IP-адреса при входе в систему или при отправке электронной почты. При регистрации вам не нужно предоставлять никаких личных данных (например, не требуется номер телефона), даже если вы регистрируетесь через браузер Tor. Tuta удаляет IP-адреса отправленных электронных писем из заголовков почты, чтобы ваше местоположение оставалось неизвестным. Несмотря на все эти меры защиты, вы можете захотеть скрыть свой IP-адрес даже от нас, поэтому мы никогда не будем добавлять VPN или браузер к нашему предложению. В частности, предлагать VPN не имеет смысла, потому что в этом случае мы, как провайдер электронной почты, все равно сможем узнать исходный IP-адрес пользователей, если они подключатся через эту VPN. По соображениям приватности лучше разделить эти услуги.

Расширенные функции приватности

Tuta - это служба электронной почты, созданная приватной по своей сути..

Компании любят использовать электронную почту для проведения маркетинговых кампаний. Потому что электронная почта по умолчанию не уважает вашу конфиденциальность. Когда вы получаете маркетинговую рассылку, электронное письмо обычно загружает внешнее содержимое (например, изображения, видео). В этом случае за вами ведется слежка: IP-адрес, используемый вами браузер и другая информация передается отправителю.

Tuta предлагает службу электронной почты, которая автоматически защищает от этих методов отслеживания:

• Tuta по умолчанию блокирует изображения. Никакое внешнее содержимое не загружается, когда вы открываете электронное письмо, если вы сами этого не разрешите.

• Tuta удаляет всю информацию о заголовках (IP-адрес) из отправляемых писем, чтобы защитить вашу конфиденциальность.

• Tuta предупреждает вас, когда технический отправитель отличается от отправителя в поле "от". Подделка имени отправителя - типичный метод, используемый в фишинговых атаках. В нашем блоге вы можете найти больше советов о том, как предотвратить фишинг электронной почты.

Контролируйте и закрывайте сеансы удаленно

Проверьте, получил ли кто-нибудь доступ к вашему зашифрованному почтовому ящику Tuta..

Tuta позволяет вам проверять активные и закрытые сессии в качестве дополнительной функции. Это позволяет вам убедиться, что никто, кроме вас, не входил в ваш аккаунт. Закрытые сессии автоматически удаляются через неделю. Обработка сессий в Tuta также позволяет закрывать сессии удаленно. Если вы потеряли свой мобильный телефон, но все еще зарегистрированы в приложении Tuta, вы можете закрыть эту сессию с любого другого устройства. Закрывая сессию удаленно, вы гарантируете, что никто не сможет получить доступ к вашей защищенной электронной почте на потерянном телефоне.

IP-адреса открытых и закрытых сессий всегда хранятся в зашифрованном виде и автоматически удаляются через неделю. Благодаря шифрованию только вы можете получить доступ к этой информации. Мы в Tuta не имеем абсолютно никакого доступа к этой информации.

Приверженность открытому исходному коду

Бесплатная электронная почта с открытым исходным кодом для всех..

Tuta сосредоточена на безопасности и конфиденциальности. Мы считаем, что открытый исходный код необходим для достижения этих целей. Мы опубликовали веб-клиент Tuta, клиенты Tuta для настольных компьютеров, а также приложения для Android и iOS как программное обеспечение с открытым исходным кодом на GitHub.

Таким образом, каждый может проверить код и убедиться, что в базе кода нет ошибок или уязвимостей безопасности. Благодаря открытому исходному коду потенциальные проблемы могут быть замечены и исправлены гораздо быстрее, чем в случае с приложениями с закрытым исходным кодом.