Vlákno názorů ke zprávičce Mailpile: nový web mail slibující bezpečnost od Jarda_P - Nejak mi nedochazi, proc bych si chtel instalovat...

Nejak mi nedochazi, proc bych si chtel instalovat nejakeho weboveho klienta treba na svuj netbook. V cem by to jako melo byt lepsi, nez pouziti treba Claws Mail, ktery ted pouzivam? Budou ty maily tahat domu nejak jinak, nez pres POP ci IMAP se SSL?

Tohle asi míří na BFU, kteří nic nechtějí řešit – jen kdekoli zadat jméno a heslo a mít svůj webmail. Trochu to může pomoci, ale tam je zase riziko, že jim stát podstrčí svoji CA* a pak odposlechne heslo nebo bude falšovat komunikaci – obyčejný MITM mezi uživatelem a webmailem – nic naplat, že všechno dál už je šifrované. No, aspoň to trochu zvyšuje šanci na odhalení šmíráků a pořád je lepší taková decentralizace než velké webmaily typu GMail.

Spíš by to chtělo nějakou sofistikovanější správu certifikátů a CA v prohlížečích a dalších programech. Abys mohl např. určit, že ta státní CA může vydávat jen certifikáty pro vyjmenované domény (což sice ve standardu je, ale chce to nějaké GUI a možnost, aby si omezení mohl přidat i uživatel sám, aby nemusela být uvedena v původním certifikátu).

*) např. bude její instalace nutná pro přístup do datové schránky nebo na nějaký úřední web

Pokud mu to poběží na localhostu, pak tohle nehrozí. Je to prostě jen klasický klient, který se zobrazuje přes webové rozhraní. Instalovat se to bude na tři kliknutí a bude to fungovat stejně, jako „velké freemaily“. Z uživatelského hlediska ideální, z bezpečnostního vlastně taky.

Na localhostu takový MITM odposlech sice nehrozí, ale zase se to bude instalovat stejně nebo hůř než e-mailový klient (a ve většině distribucí už nějaký je, takže ani není potřeba ho instalovat). U prohlížeče je větší riziko phishingu a různé další útoky (XSS, XSRF…), proto je IMHO lepší když to běží jako samostatná aplikace. Uživatele prostě klikne na ikonu „E-mail“ a je to.

Nojo, ale znáš uživatele. Ti neradi dělají cokoliv jinak (a nejel BFU, viz diskuse na Rootu). Takže je pro ně lepší ve známém prostředí místo seznam.cz napsat mail a je to. Ve zbytku se orientují. Mně se to líbí.

Hm, ja radsi instaluji na jeden apt-get clawsmail.

>>Abys mohl např. určit, že ta státní CA může vydávat jen certifikáty pro vyjmenované domény

Na to ma byt DANE: http://www.root.cz/clanky/protokol-dane-aneb-z-kroceni-zlych-certifikacnich-autorit/

DANE ale slouží k něčemu jinému*. Mně šlo o to, aby si uživatel mohl přidat CA mezi důvěryhodné a říct programu např. „tahle CA je důvěryhodná, ale smí vystavovat certifikáty jen pro subdomény v gov.cz, certifikátům pro jiné domény od ní nevěřím“.

Tahle podmínka může být už dnes v certifikátu, X.509 to podporuje, ale hodilo by se, aby takové omezení mohl doplnit i dodatečně uživatel.

Hodně by to pomohlo a mohly by být takto omezené různé firemní CA (Google, Microsoft) jen na domény dané firmy, nebo různé lokální CA – na domény daného státu, nebo na státní subdoménu (např. ten gov.cz).

*) funguje jako dodatečná pojistka (za předpokladu, že uživatel má potřebný SW) pro provozovatele serveru, který může říct např. „pro moji doménu smí certifikáty vydávat jen tahle CA“. Ale uživatel do toho nemá co mluvit, ten si jen tohle pravidlo stáhne přes DNS(SEC) a řídí se jím – ale nemůže si vytvářet pravidla vlastní a omezovat působnost CA, které má mezi důvěryhodnými. V podstatě to z DNS systému dělá takovou paralelní CA.