Duitse providers schakelen SSL voor e-mail in
Om internetgebruikers deels tegen afluisteren te beschermen laten verschillende Duitse internetproviders het e-mailverkeer van hun abonnees via SSL-encryptie lopen. Het programma heet "E-mail Made in Germany" en is een initiatief van Deutsche Telekom en United Internet. E-mail die tussen deze partijen wordt uitgewisseld zal via SSL worden verstuurd en afgeleverd.
"Duitsers zijn zeer verontrust door de laatste berichten over het potentieel onderscheppen van communicatiegegevens. Ons initiatief is ontwikkeld om deze zorgen tegen te gaan en e-mailcommunicatie in Duitsland in het algemeen veiliger te maken", zegt René Obermann, CEO van Deutsche Telekom.
Abonnees van GMX en Web.de, die onderdeel van United Internet zijn, en T-Online E-Mail hoeven geen maatregelen te nemen om de encryptie in te schakelen Dit wordt geheel door de providers gedaan. Volgens Deutsche Telekom, dat T-Online E-Mail aanbiedt, gaat het om "automatische encryptie van gegevens over alle transmissiepaden".
Duitse datacentra
Alle gegevens worden daarnaast in Duitse datacentra opgeslagen. Verder kunnen gebruikers zien wie van de geadresseerden naar wie ze willen e-mailen ook een "veilig e-mailadres" gebruikt. "En dus voldoet aan de veiligheidsstandaarden van het initiatief", aldus de Duitse provider.
Voor e-mails die vanaf smartphones worden verstuurd maakten de providers al gebruik van SSL-encryptie. Vanaf 2014 zullen de deelnemers aan het initiatief alleen nog maar SSL-versleutelde e-mail transporteren, om ervoor te zorgen dat hun dataverkeer over alle transmissiepaden veilig is.
Encryptie
Wat in de aankondiging niet goed duidelijk wordt gemaakt is dat de e-mail van abonnees nog steeds voor de providers inzichtelijk is. In tegenstelling tot bijvoorbeeld PGP of Enigmail voor Thunderbird, waarbij de inhoud van de berichten alleen voor de afzender en ontvanger inzichtelijk zijn, kan de Duitse overheid bij Email Made in Germany nog steeds meekijken.
Wat ik niet snap is dat de gebruikers niets hoeven te doen. Als zij in hun mail programma geen ssl instellen dan werkt het toch niet? Zelf stuur ik alles via Ziggo en zij ondersteunen al weer enige tijd ssl voor ontvangst als voor verzenden. (Ook al gebruiken de voorbeeld instellingen voor ontvangst geen ssl)
Het beste lijkt me dat een regelmatige controle wordt uitgevoerd door een consumenten organisatie.
Mijn vertrouwen in internet en politiek zitten op 0 % .
Wat ik niet snap is dat de gebruikers niets hoeven te doen. Als zij in hun mail programma geen ssl instellen dan werkt het toch niet? Zelf stuur ik alles via Ziggo en zij ondersteunen al weer enige tijd ssl voor ontvangst als voor verzenden. (Ook al gebruiken de voorbeeld instellingen voor ontvangst geen ssl)
Het zwakke punt is dat de ontvangende server tegen de zendende moet zeggen dat hij dit support, en dan moet de
zendende server proberen dit in te schakelen.
Als de geheime dienst niet alleen aftapt maar ook tussen de verbinding zit, dan kan hij simpelweg dit verkeer zo modificeren
dat de verbinding niet encrypted wordt.
Zolang de verzender dan niet de mail blokkeert dan heb je nog niks bereikt eigenlijk.
Ook wordt er weliswaar gewerkt met certificaten, maar wordt de geldigheid daarvan meestal niet gecontroleerd.
Dus een afluisterdienst die halfweg zit met eigen certificaten die wordt ook meestal niet opgemerkt.
Om dat te verbeteren zal er nog heel wat gesleuteld en geconfigureerd moeten worden!
Alles wordt doorgelust naar mijn gmail.
Bij mijn gmail heb ik zoveel mogelijk dingen uitgezet,zodat het alleen voor mij zichtbaar is.
De email wordt leesbaar opgeslagen bij de provider en bij het versturen/ontvangen naar andere providers en is dus prima leesbaar voor wie daar toegang toe heeft (en dat zijn er meer dan wij weten).
Duitse providers hebben zich aan de wet te houden met betrekken tot het geven van inzage in opgeslagen email, net zoals de Nederlandse providers. Als Google echt de NSA sockpuppet is die Snowden beweert dat het is, is opgeslagen mail bij Google net zo veilig als wanneer je de NSA altijd een CCtje stuurt.
Providers onderling gebruiken heel vaak TLS. (Het broertje van SSL.) Mijn logfiles zeggen 90% ofzo.
Als je met een boogje om gmail, hotmail, yahoo enzovoort heenloopt is mail best redelijk veilig te doen.
En zelfs dan, zoals pe0mot zegt, de overheid kan bepaalde toegang gewoon opeisen tegenwoordig, dus hoe lang blijft de benaming `versleuteld` nog van toepassing hier?
In principe kan het voor pop3 toepassingen relatief interessant zijn, dan krijgen we voortaan pop3 / smtp servers die alleen nog versleuteld versturen. Grappig.
Dat is nu juist wat de Duitse providers beweren dat ze gaan doen. Maar dat is gewoon een kwestie van TLS aanzetten op de mailservers. Dat wordt door bijna alle providers al standaard gedaan. Het probleem is dat Duitse bedrijven dat echter niet als veilig accepteren.
Wij doen zaken met een Duits bedrijf en ze willen dat de inhoud wordt versleuteld. Terwijl de mail rechstreeks van onze mailserver naar die van hen gaat, zonder tussenkomst van een provider. Zij hebben dus geen vertrouwen in TLS.
Hmm, het is wel zo dat ze op dat gebied geadviseerd worden door een grote Amerikaanse computerleverancier. Die adviseert een centrale PGP-server die alle langskomende mail ver- en ontsleuteld, zodat het uiteindelijk toch onversleuteld op de server staat.
Peter
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
