Kijk alweer zo'n toko die criminelen beschermt onder het mom van privacy.
Doet de FBI eens iets om afpersers op te sporen en dan komt dit soort zelfbenoemde privacybeschermers in actie
om dat onmogelijk te maken.
De hele status van privacy wordt kapot gemaakt door dit soort acties.

Dat staat in het niet als je de massasurveillance bekijkt die de NSA uitgevoerd heeft, en waarbij elke mail van elke niet-criminele burger bij hun langs kwam. Is het dan logisch dat bedrijven hun mails beveiligen? Ik begrijp het wel.

Hoop commentaar voor iemand die zelf liever anoniem blijft.
Daarbij, voor 2 personen de privacy van de rest opgeven is natuurlijk wel een erg zwaar middel

Kun je ook zeggen bij fysieke huiszoekingen.
De privacy van de gemeenschap is gediend door het uitsluiten van de criminelen (per definitie tegen die gemeenscha) middels handhaving. Als je die vraag niet weet op te lossen ga je enkel in een polariserende escalatie met slechts vele verliezers geen winnaars.

rofl +1 voor rico80.

De privacy van de goedwillende klanten was hier niet in het geding. Bij deze twee mensen is er netjes via een rechter toestemming gevraagd. De rechter zal geoordeeld hebben dat de privacy van deze twee opgeofferd mag worden in het algemeen belang.

Als samenleving zijn we er juist van gediend dat we de rotte appels kunnen aanspreken op hun gedrag. In dit geval ging het om twee personen die doelbewust hun medemens schade hebben berokkend.

Door deze actie wordt de wereld dus weer een stukje minder veilig.

Nee, om twee redenen.

1) Als het waar zou zijn dat Riseup, door opgeslagen mailboxes van haar klanten te versleutelen, de inhoud (of delen daarvan) niet meer aan de FBI zou kunnen geven, zouden haar medewerkers, third parties en succesvolle digitale inbrekers daar ook niet meer zomaar bij kunnen. Net zoals ik tegen de voorgenomen aftapwet ben, denk ik ook dat in zo'n geval de voordelen (beschermen van onschuldigen) op zouden wegen tegen de nadelen.

2) Maar het gaat hier om een reclameboodschap. Als een derde partij (een cloudboer zoals Riseup) versleutelde data van jou bewaart, die zij moet ontsleutelen voordat jij daarbij kunt (d.w.z. de door jou gebruikte software, in dit geval webmail en/of IMAP), zul jij die derde partij (in het veiligste geval elke keer dat je die data wilt benaderen) de sleutel moeten geven, en hopen dat zij die meteen daarna "vergeten". Criminelen maar ook onterecht verdachten kunnen natuurlijk hopen dat de FBI dit niet zal inzien...

Zoals ik al zo vaak geschreven heb, versleuteling is zinloos als je niet weet wie de sleutel hebben (of in handen kunnen krijgen).

Aanvulling: IMAP ondersteunt (voor zover ik weet) geen versleutelde data (wel versleutelde verbindingen), dus zul je de sleutel aan Riseup moeten geven als je IMAP gebruikt. Echter in het geval van webmail is het denkbaar dat je de sleutel niet aan Riseup zelf geeft, maar aan van Riseup afkomstige code in jouw webbrowser - en dat die sleutel binnen jouw webbrowser blijft. Aangezien het hierbij om dynamische code van een Riseup webmailserver gaat, is het wellicht een goed idee om deze elke keer te inspecteren (of deze de sleutel niet verzendt) vóórdat je jouw sleutel invoert. In theorie is webmail dus iets veiliger dan IMAP in deze situatie...

Als je wilt versleutelen is er volgens mij maar 1 manier : PGP (PGP / OpenPGP / GnuPG of wat voor varianten er nog meer zijn) en de sleutels op je eigen computer bewaren.

@Rinjani: heb ik gelezen en begrepen. Probleem blijft dat bedrijven "encryption" roepen en daarmee suggereren dat dit zin heeft tegen opvragen (of massale interceptie zoals bij Yahoo! plaatvond) door o.a. de FBI; dat is ordinaire volksverlakkerij.

En dat Riseup het e-mail end-to-end encryption varkentje binnenkort wel even zal wassen, waar alle andere pogingen daartoe tot nu toe gefaald hebben, geloof ik (om fundamentele redenen) ook niet.

Ben ik de enige die hieruit concludeert dat nieuwe e-mailaccounts voortaan worden versleuteld met een algoritme met als input het e-mail wachtwoord? (eventueel in combinatie met email(login)naam)

Wauw... een echt "endot-endsysteem"? Is er al patent op aangevraagd? ;-))

Nee.

Ik neem aan dat je hiermee bedoelt dat een kort wachtwoord (zoals een pincode van 4 cijfers voor een bankpas) voldoet voor toegangscontrole mits er een degelijk account-lock-out systeem wordt toegepast, maar natuurlijk een lachertje is als brute force mogelijk is (wat het geval zou zijn als Riseup een versleutelde mailbox aan de FBI zou overhandigen, evt. in combinatie met de wachtwoordhash, salt en toegepast wachtwoordverhaspelingalgoritme).

Wat m.i. een non-issue is zodra de FBI Riseup dwingt om ook jouw wachtwoord erbij op te leveren. Hetgeen doodsimpel is de eerstvolgende keer dat jij IMAP gebruikt, en (alleen als versleutelen en ontsleutelen in de browser plaatsvinden) een eenmalige aanpassing van de naar jouw webbrowser gestuurde code vereist. Overigens, mocht Riseup een "betere PGP" uitvinden, geïmplementeerd middels een tool op jouw PC (of smartphone), dan is het nog steeds een Amerikaans bedrijf dat gedwongen kan worden om een permanente backdoor in te bouwen - of jou persoonlijk een update te sturen met zo'n achterdeurtje.

Nb. als je niet wilt dat geheime diensten jouw mail lezen (omdat je een crimineel bent, omdat je mogelijk een verdachte bent of omdat geheime diensten al jouw mails willen lezen om daaruit af te kunnen leiden dat jij een verdachte bent en/of daar fun or profit voordelen mee te behalen - voor hun land of privé), dan lijkt het mij niet verstandig om bestanden te versleutelen met software van hetzelfde bedrijf waar die versleutelde bestanden worden opgeslagen. Wellicht is het een goed idee om de wetgeving en trends (Trump?) ook een rol te laten spelen bij dit soort keuzes. Hint: "grappig" in dit kader is wellicht dat Microsoft, in haar nieuwe privacy statement van deze maand, nog steeds verwijst (onderaan) naar het hartstikke dode "Safe Harbor" verdrag met de EU [1].

Of bedoel je iets anders (dat ik niet uit jouw bijdrage opmaak)?

[1] https://privacy.microsoft.com/en-us/privacystatement

Ja, u sprak namenlijk in de posts vooraf steeds over "sleutels bewaren"
Dat klinkt wat zot en misschien onbegrijpelijk voor leespubliek als u daamee eigenlijk de logincredentials (het inlog wachtwoord, eventueel gecombineerd met inlognaam) bedoelt.
Riseup zou deze inlogcredentials eventueel nog kunnen verfuzzelen met een algoritme (vaak: SHA1) en daarmee AES-encryptie kunnen toepassen op uwen mailaccount bij Rise-up.
Maar zoals u het vertelt klinkt het wat moeilijk met sleutels en zo.
In geval van end-to-end encryption vind ik het wel terecht om over sleutels te spreken, maar in geval van mailbestandsencryptie klinkt het mij wat zot. Verstaat ge?

Ben daarbij geen crimineel of verdachte , zoals ge lijkt te suggereren in:
"omdat je een crimineel bent, omdat je mogelijk een verdachte bent of omdat geheime diensten al jouw mails willen lezen om daaruit af te kunnen leiden dat jij een verdachte bent en/of daar fun or profit voordelen mee te behalen - voor hun land of privé".
Men hoeft geen crimineel te zijn om een encrypted e-mail account te waarderen.
Immers ook als het hackers lukt om bij Rise-up binnen te komen wordt het er moeilijker van om mailberichten te lezen.
Verder welbedankt voor uwen reactie.

Met alle respect, maar in geen van mijn bijdragen hierboven heb ik het woord "bewaren" gebruikt. En het is heel goed mogelijk dat Riseup goede intenties heeft en geen plain-text sleutels zal bewaren - tenzij zij daar middels een gag-order toe gedwongen wordt, en dat is mijn zorg.

In [1] beschrijft Riseup hoe de huidige versleuteling werkt, en dat begint met: Daarna volgt een technisch verhaal hoe het IMAP toegangswachtwoord tevens wordt gebruikt om toegang te krijgen tot versleutelde e-mails, maar dat lijkt mij niet van belang in deze discussie.

Mijn zorg is dat Riseup, net zoals Yahoo! destijds, gedwongen wordt (door de FBI bijvoorbeeld) om ook van klanten die niet onder ernstige verdenking staan (bijv. alle niet-Amerikaanse staatsburgers en/of Moslims), een kopietje van het wachtwoord bij stap 1 hierboven, aan de spooks over te dragen. Maar kwaadwillende Riseup sysadmins kunnen hier natuurlijk ook bij.

De overgrote meerderheid van e-mail gebruikers valt ongetwijfeld (door mij) in de laatste categorie. Door de bijdrage van Briolet was ik echter wat cynisch en daarom noemde ik eerst criminelen en verdachten.

Daar ben ik het volstrekt mee eens. Alleen heeft versleuteling nagenoeg geen zin als je, elke keer als je mail wilt lezen, de sleutel uit handen moet geven aan een potentieel (gedwongen) onbetrouwbare partij. En, zoals Rinjani aangaf, Riseup schrijft zelf ook dat dit geen goede oplossing is. Wat er dan nog overblijft van de kop van het redactie-artikel, "Riseup gaat e-mails gebruikers versleuteld opslaan wegens FBI", ontgaat mij.

[1] https://0xacab.org/riseuplabs/trees

Daar is een gerechterlijk bevel voor nodig waarbij dat bevel aan het slachtoffer bekend gemaakt moet worden. Dit is geheim en zonder verdere controle.

Peter