Dersom du bruker Googles e-posttjeneste, Gmail, via det vanlige webgrensesnittet, har du sikkert lagt merke til at all trafikk mellom nettleseren og Googles servere sendes via en sikker HTTPS-forbindelse. Forbindelsen benytter den kryptografiske hash-funksjonen SHA-1, som interessant nok ble utviklet av NSA (National Security Agency) i 1995. Forbindelsen må likevel regnes som relativt sikker.
Dersom det stemmer at NSA har direkte tilgang til blant annet Googles interne systemer, er det sannsynligvis enklere for etterretningstjenesten å lese dataene direkte derfra. Google krypterer nå noen av brukerdataene som selskapet har lagret på sine harddisker. Men dette hører med til unntakene. Gmail-dataene er ikke krypterte på Googles harddisker. Det er mange årsaker til dette, men Googles forretningsmodell basert på rettet annonsering er blant disse.
Det er likevel ikke mye som tyder på at situasjonen er annerledes hos konkurrerende e-posttjenester.
Likevel er nok ikke Googles harddisker det stedet som det er aller enklest å avlytte trafikken til og fra en brukers Gmail-konto. I alle fall dersom e-posten sendes til eller kommer fra en annen ekstern e-postserver. Mye tyder nemlig på at denne trafikken i stor grad skjer uten noen form for kryptering, noe som gjør den relativt enkel å avlytte.
CNET News skrev tidligere i sommer at Gmail har støtte for SMTP (Simple Mail Transfer Protocol) med TLS (Transport Layer Security), både mot klienter og andre servere, men skal dette ha noen effekt, må også motparten støtte dette. CNET News' undersøkelser tyder på at det ikke er noen selvfølge at tilbydere av e-posttilbydere støtter dette server-til-server. Microsoft bekrefter at Outlook.com ikke har slik støtte, mens det tilbys for betalende kunder, for eksempel via Office 365. Situasjonen for flere andre er nevnt i CNETs artikkel.
Informasjonssikkerhetsrådgiveren Per Thorsheim har tidligere i år laget en oversikt over hvilke sikkerhetsteknologier som støttes av ulike e-posttjenester. Den finner du her.
Men det finnes løsninger som i alle fall kan vanskeliggjøre avlyttingen. At de i tillegg hindrer Google i å indeksere skanne e-posten, vil nok en del mene at ikke er noen ulempe. Det dreier seg selvfølgelig om ende-til-ende-kryptering.
Tradisjonelt kan dette være ganske krevende å få til for en helt ordinær e-postbruker. Men nylig har det kommet en løsning som er såre enkel, ikke minst fordi den ikke krever at man bruker en separat e-postklient. Det hele skjer i nettleseren, vel å merke Google Chrome.
Selskapet Rewardly, som i utgangspunktet tilbyr den Gmail-baserte CRM-løsningen Streak, kom tidligere i sommer med en nettleserutvidelse til Chrome som heter Secure Gmail by Streak. Løsningen er også tilgjengelig som åpen kildekode under navnet StreakSecureGmail.
Det nettleserutvidelsen gjør, er å sette inn en ny knapp i det webbaserte Gmail-grensesnittet, ved siden av knappen man trykker for å opprette en ny e-post. Ved å trykke på den nye knappen, ber man om at det opprettes en sikker e-post i stedet.
Man skriver den sikre e-posten på stort sett samme måte som ellers, men i det man trykker på Send-knappen, blir man bedt om å oppgi et passord. Man kan også oppgi passord-hint, dersom man ønsker det. Deretter krypteres selve meldingsteksten – men ikke emnet eller adressedataene, direkte i nettleseren. Dette skjer uten noen form for kontakt med Googles servere. Det blir heller ikke utført noen mellomlagring av meldingen mens den skrives.
Først når meldingsteksten har blitt kryptert, blir e-posten sendt til Gmail-serverne og videre til mottakeren.
Mottakeren behøver ikke å ha noen spesiell programvare for å motta meldingen. I meldingen opplyses det at den har blitt kryptert av avsenderen og at den kan dekrypteres ved hjelp av Secure Gmail-utvidelsen. Meldingsteksten inneholder dessuten den krypterte teksten, samt passord-hintet, dersom dette er oppgitt.
Selve krypteringen av meldingen gjøres ved hjelp av Stanford Javascript Crypto Library. Dette er basert på AES-algoritmen.
For å dekryptere meldingen, må mottakeren åpne e-posten i Gmail-grensesnittet med Chome, og taste inn det samme passordet som ble brukt av avsenderen da meldingen ble kryptert. Det kreves selvfølgelig at Secure Gmail by Streak-utvidelsen til Chrome er installert.
Avsender og mottaker må på ett eller annet vis ha utvekslet passordet – helst på en måte som ikke enkelt kan avlyttes. Eventuelt kan passordet forstås ut fra det eventuelle passord-hintet. Dette bør i så fall være noe ingen andre kan gjette, og passordet bør ikke være for kort eller enkelt.
En egen gjennomgang av hvordan Chrome-utvidelsen fungerer, finnes her.
Hvor sikker Secure Gmail by Streak faktisk er, gjenstår å se. Det har fått relativt gode tilbakemeldinger.
Det finnes en rekke andre løsninger for ende-til-ende-kryptering, men ikke mange er like enkle å forstå eller å komme i gang med som den fra Streak.
Et lignende, men mer avansert og krevende alternativ, er Mailvelope. Denne støtter ikke bare Gmail, men også tjenester som Outlook.com og Yahoo Mail. Dessuten er en utvidelse til Firefox under utvikling.
Det finnes også egne tjenester for sikker e-post, selv om et par har blitt lagt ned i det siste, trolig etter press fra NSA. PGP-baserte Hushmail tilbys derimot fortsatt. Denne har også støtte for mobiltelefoner og separate e-postklienter.
- Oppdatert 17.08.2013 kl. 08.55: Lagt til lenke til blogginnlegg av Per Thorsheim.
Les også:
- [04.06.2014] Bekrefter PGP-kryptering for Gmail
- [14.05.2014] Færre mottar e-posten din ukryptert
- [22.04.2014] – Google planlegger PGP-støtte i Gmail
- [15.04.2014] Google: Vi skanner e-posten din
- [22.11.2013] Office 365 får støtte for kryptert e-post
- [10.09.2013] Går til massesøksmål mot Google
- [12.08.2013] Ny eposttjeneste stenges etter press
