Культовий поштовий сервіс Lavabit, закритий у 2013 році під тиском влади США, повертається в онлайн. Зі ще більшою кількістю сек’юрних фішок.
Lavabit — легендарний сервіс безпечної електронної пошти — увійде в історію IT-індустрії, як засіб спілкування втікача Едварда Сноудена з журналістами. Саме зі свого ящика на Lavabit Сноуден зливав у ЗМІ безцінні відомості про те, як ЦРУ і АНБ шпигують за користувачами у всьому світі.
У 2013 році творець сервісу Ладар Левісон зволів закрити Lavabit, а не виконувати вимогу американських правоохоронців про стеження за своїми користувачами.
Знадобилося кілька років, щоб знайти лазівку, яка дозволить Lavabit існувати в правовому полі США і при цьому не жертвувати приватністю користувачів. Левісон вважає, що знайшов ідеальний варіант, який до того ж дозволить зробити сервіс ще більш безпечним.
Тому Lavabit знову розпочав свою роботу. За іронією долі це сталося в день інавгурації нового президента США Дональда Трампа, якого багато хто називає борцем зі свободою слова.
Безпечна електронна пошта
Едварда Сноудена деякі називають головним «стукачем» сучасності. Інші вважають його героєм, оскільки він відкрив громадськості очі на жахливу правду про тотальне стеження, яке спецслужби різних країн ведуть за сотнями мільйонів користувачів у всьому світі.
Методи, якими користувався сам Сноуден для забезпечення своєї безпеки в мережі в період, коли американська влада почала на нього полювання, стали своєрідним фетишем для фанатів.
Відомо, що Сноуден віддає перевагу операційній системі Tails, заснованій на Linux, що завантажується з флешки. Також відомо, що він уникає смартфонів. А його улюбленим поштовим сервісом був Lavabit.
Саме зі свого ящика в цьому поштовому сервісі Сноуден вів листування з журналістами, яким він зливав відомості про світового Великого брата.
Уряд США зажадав від творця Lavabit Ладара Левісона передати ключ шифрування за протоколом SSL, який використовувався для криптографічного захисту даних на серверах Lavabit.
За допомогою цього ключа влада могла б прочитати листування Сноудена. І, звичайно ж, інших користувачів Lavabit.
Левісон відмовився зробити це, а коли йому пригрозили судовим переслідуванням, прийняв рішення закрити Lavabit.
У своїй колонці для видання The Guardian Левісон вказував, що федеральні агенти вимагали від нього розкрити ключі шифрування і надати паролі користувачів. Піти їм назустріч означало б підвести понад 400 тис. користувачів, які повірили Левісону. І він зволив відмовитися від свого дітища.
Едвард Сноуден тоді заявив, що закриття Lavabit — серйозний удар по цифровій свободі, оскільки це був чи не єдиний спосіб вести листування в інтернеті, знаючи, що його ніхто не прочитає.
Сьогодні Левісон стверджує, що йому вдалося воскресити Lavabit за допомогою нової програмної архітектури, яка фізично перешкоджає компанії передати кому-небудь ключ шифрування SSL.
Сервіс вже запущений.
На цей момент скористатися послугами Lavabit можуть лише ті користувачі, які були раніше зареєстровані у сервісі. Вони не можуть отримати доступ до своїх старих листів, але можуть використовувати свої старі поштові адреси.
Незабаром Lavabit планує відкрити реєстрацію нових користувачів. Їм будуть запропоновані три рівні безпеки — довірчий, обережний і параноїдальний.
У першому випадку пошта буде шифруватися на серверах компанії. Обережний рівень передбачає шифрування листів у відправника і отримувача за допомогою ключа, який генерується на спеціальному програмному забезпеченні у відправника і одержувача.
У цьому випадку ключ шифрування все одно зберігається на серверах Lavabit. Враховуючи той факт, що деяким користувачам це може здатися недостатньо безпечним методом, буде існувати Параноїдальний рівень.
Він передбачає, що ключ шифрування буде зберігатися тільки на пристроях користувачів. Компанія не буде мати до нього доступу. Втрата цього ключа користувачем передбачає втрату листування — відновити його буде неможливо.
Ключ зберігається в сховищі, яке неможливо зламати. Сервіс автоматично генерує довгу кодову фразу, яку представники компанії не в змозі переглянути, ключ передається в сховище, а кодова фраза безслідно зникає.
Один з розробників сервісу пояснив в інтерв’ю виданню The Intercept, що після того, як ключ розміщується в сховище, компанія вже не може витягти його звідти.
Крім, того Lavabit пропонує також функцію Dark Mail, яка шифрує метадані кожного листа. Це завадить інтернет-провайдеру відправника знати адресата листа, а інтернет-провайдеру одержувача — адресу відправника листа.
Представники компанії поки не говорять про те, коли буде відкрита реєстрація для всіх бажаючих. Але попередню заявку на реєстрацію безпечної електронної пошти можна залишити вже сьогодні.
Інші варіанти
За час поки Lavabit був відсутній на світовому криптографічному небосхилі, робилися й інші спроби створення безпечних сервісів електронної пошти.
Найбільшу популярність отримав створений вченими з Європейського центру ядерних досліджень CERN сервіс ProtonMail. Фінансування розробки здійснювалося за рахунок краудфандингу, вихідний код відкритий, а повідомлення шифруються таким чином, що розшифрувати їх може тільки одержувач.
Сама компанія не має доступу до листування користувачів. Є опція шифрування листів для відправки адресатам інших поштових сервісів.
Свого часу американський журнал Forbes назвав ProtonMail «єдиним способом відправити електронну пошту, щоб її не прочитали в АНБ». Тим не менше, ряд експертів висловлюють сумніви в безпеці сервісу.
Сторонньому спостерігачеві розшифрувати листування буде практично неможливо, зазначають вони, але сама компанія в деяких випадках може мати доступ до ключа шифрування.
Є й інші сек’юрні сервіси електронної пошти. Але до більшості з них у експертів є питання. Наприклад, менше людей стали довіряти німецькому сервісу Tutanota після того, як стало відомо про масштабну співпрацю німецьких спецслужб з АНБ.
НВ
