Arhitektura: IMAP prijenos → lokalna pohrana → analiza

GravesMail koristi IMAP server vašeg dobavljača e-pošte isključivo kao prijenosni sloj. Poruke za prikaz nikada ne čitam s IMAP-a — to bi bilo sporo i nepouzdano. Umjesto toga, događa se sljedeće:

1. Preuzimanje s IMAP-a — Poruke se preuzimaju sa servera vašeg dobavljača preko šifrovane veze.
2. Privremeni smještaj u DMZ — Nove poruke dospijevaju u lokalni privremeni prostor (SQLite) prije nego što ih vidite.
3. Sigurnosna analiza u 7 slojeva — Svaka poruka i svaki prilog prolaze kroz svih sedam Slojeva zaštite na vašem računaru, uključujući YARA skeniranje na zlonamjerni softver.
4. Filtriranje Brzim pravilima — Poruke koje odgovaraju vašim ličnim Brzim pravilima automatski se razvrstavaju po vašem pravilu: odlažu se u Zamku za spam radi pregleda, premještaju ili brišu.
5. Premještanje u Prijemno sanduče, Spam ili Zlonamjerni softver — Čiste poruke stižu u vaše Prijemno sanduče. Spam ide u Spam. Poruke u kojima je pronađen zlonamjerni softver idu u zaseban folder Zlonamjerni softver, pri čemu se opasni prilozi uklanjaju i zadržavaju.
6. Brisanje sa servera (neobavezno) — Ako ste uključili „Brisanje sa servera“, poruka se uklanja kod vašeg dobavljača.

SQLite je jedini izvor istine. Sve što vidite u interfejsu dolazi iz vaše lokalne baze podataka, a ne s IMAP-a.

Sinhronizacija u dvije faze za velike poštanske sandučiće

Kada prvi put povežete račun — posebno onaj s hiljadama poruka — GravesMail koristi pristup u dvije faze:

Faza 1 (Brzi početak): Prvo se preuzima 500 najnovijih poruka po folderu, obično za manje od minute. Odmah možete početi čitati i raditi.

Faza 2 (Sinhronizacija u pozadini): Preostale poruke preuzimaju se tiho u pozadini. Indikator napretka u statusnoj traci prikazuje procenat završenosti i procijenjeno preostalo vrijeme. Možete pauzirati, nastaviti ili zaustaviti u bilo kojem trenutku. Napredak se čuva ako zatvorite aplikaciju.

Sedam Slojeva zaštite

Svaka dolazna poruka i njeni prilozi prolaze kroz sedam nezavisnih Slojeva zaštite. Svaki sloj traži drugu vrstu problema i odlučuje samostalno. Ako bilo koji pojedinačni sloj digne uzbunu, poruka se tretira kao spam — nema prosjeka i nema zbirne ocjene koju treba dostići. Jedna uzbuna je dovoljna. To je model „7 slojeva, ILI“.

Pošteno izvještavanje — bez lažne sigurnosti

Otvorite Svojstva bilo koje poruke da vidite pregled po slojevima: ocjenu svakog sloja, prag na kojem diže uzbunu i njegovo stanje — Uzbuna, Čisto ili Nije dostupno. Kada skener nije mogao raditi, GravesMail prijavljuje „Nije dostupno“. Nikada se ne prikazuje kao „Čisto“. Antivirus koji se ne uspije pokrenuti, a zatim ipak prijavi da je sve čisto, najgora je vrsta sigurnosnog alata, jer vjerujete presudi koja zapravo nikada nije donesena.

Ekran Sigurnosni mehanizam (Alati → Sigurnosni mehanizam, ili Postavke → Sigurnosni mehanizam na mobilnim uređajima) omogućava vam da svaki od sedam slojeva podesite zasebno klizačem osjetljivosti od 0 do 100% — 0% isključuje sloj, a 100% je najosjetljivije. Nema jedne globalne kontrole; slojeve podešavate pojedinačno. Isti ekran prikazuje status skenera zlonamjernog softvera uživo, uređivač pravila za zemlje i popis svih detektora, samo za čitanje, s težinom koju svaki nosi.

Geolokacija bez upita

Heuristički sloj uzima u obzir odakle poruka potiče. Taj upit je isključivo lokalan. GravesMail se isporučuje s ugrađenom tabelom koja zemlje povezuje s rasponima IP adresa i provjerava je na vašem uređaju — nema DNS upita, nema poziva vanjskim API-jima i nema usluge treće strane na tom putu. Metapodaci vaših poruka nikada ne napuštaju vaš uređaj radi geolokacije.

Vi odlučujete šta rezultat znači. Na ekranu Sigurnosni mehanizam zemlje možete označiti kao Sigurno (bez dodatnog signala za spam) ili Prijetnja (jak signal). Obje liste su na početku prazne, pa se obična međunarodna pošta nikada ne kažnjava dok vi ne odaberete pravila.

Podaci o IP geolokaciji: DB-IP (db-ip.com), pod licencom CC BY 4.0.

Blokiranje vanjskih slika i uklanjanje piksela za praćenje

Kada primite e-poruku, pošiljaoci u nju mogu ugraditi vanjske slike koje se učitavaju s njihovih servera. Kada se slika učita, pošiljalac saznaje vašu IP adresu, da ste otvorili poruku, kada ste je otvorili i koji ste uređaj koristili.

GravesMail zadano blokira vanjske slike. Odvojeno od toga, otkriva i uklanja nevidljive piksele za praćenje (slike veličine 1×1 koje služe isključivo za praćenje čitanja). To su nezavisne kontrole — možete učitati slike bez učitavanja piksela za praćenje, ili obrnuto.

Šifrovanje s kraja na kraj (OpenPGP)

GravesMail podržava OpenPGP — otvoreni, interoperabilni standard za e-poštu šifrovanu s kraja na kraj i potpisanu. Privatnu poštu možete razmjenjivati sa svakim ko koristi PGP, na bilo kojem sistemu pošte (Proton Mail, Thunderbird, gpg i drugi), a ne samo s drugim korisnicima programa GravesMail. Ovo je pravi PGP/MIME, a ne dijalekt programa GravesMail.

Ključevi

Generišite ključ u Upravitelju PGP ključeva — preporučuje se Ed25519/Curve25519, a RSA-4096 je dostupan radi kompatibilnosti sa starijim PGP softverom. Izvezite svoj javni ključ da bi vam drugi mogli pisati i uvezite njihove da biste vi mogli pisati njima. Nakon uvoza GravesMail prikazuje otisak ključa; potvrdite ga s tom osobom drugim kanalom — pozivom ili lično — i označite ključ kao provjeren. Neprovjeren ključ i dalje radi, ali ostaje označen kao neprovjeren, jer ta oznaka znači tačno jedno: još niste potvrdili da ovaj ključ zaista pripada toj osobi.

Ključevi se prepoznaju po otisku, a ne po adresi e-pošte. Dva ključa za jednu adresu su normalna stvar — stari i novi, ili RSA i Ed25519 ključ jedan pored drugog — pa svaka radnja djeluje na ključ koji ste odabrali, a ne na prvi koji se slučajno podudara s adresom.

Ključ možete povezati s kontaktom, tako da šifrovanje za tu osobu jednostavno radi, bez traženja po Upravitelju ključeva. Povezivanje ključa ne uključuje šifrovanje; i dalje ga birate za svaku poruku posebno.

Slanje i čitanje

Prozor Nova poruka ima kontrolu Sigurnost s tri načina — Potpiši, Šifruj ili Potpiši + šifruj (preporučeno za privatnu poštu). Zadano je isključena, pa obična pošta ostaje nepromijenjena. Šifrovana pošta koju primite dešifruje se automatski i prikazuje zatvoren katanac 🔒; potpisana pošta prikazuje status potpisa, a neispravan potpis prikazuje se upadljivo, a ne neprimjetno. Poruka šifrovana za ključ koji nemate na tom uređaju to izričito kaže, umjesto da vam prikaže prazno tijelo poruke.

Kada šaljete šifrovanu poštu, GravesMail je šifruje i za vaš vlastiti ključ, tako da kopiju u folderu Poslano i dalje možete čitati. Bez toga vlastitu sačuvanu kopiju ne biste mogli dešifrovati. Ovo je uvijek uključeno.

Pravilo od kojeg se ne odstupa

Ako odaberete šifrovanje, a neki primalac nema upotrebljiv ključ, slanje se blokira. GravesMail staje i pita: otkazati ili izričito odabrati slanje bez šifrovanja — što je svjesna druga radnja u kojoj se navode ugroženi primaoci, nikada zadana vrijednost i nikada automatski. Ne postoji put u kodu na kojem izbor šifrovanja neprimjetno dovodi do slanja u običnom tekstu. To se provodi u samom mehanizmu, a ne samo u interfejsu, i pokriveno je automatizovanim testom.

Šta PGP štiti, a šta ne

PGP šifruje tijelo poruke i priloge. On ne skriva predmet, polja Za/Od/Cc niti vrijeme slanja poruke — to putuje nešifrovano. Isto ograničenje ima svaki PGP/MIME sistem, uključujući Proton; to nije nedostatak programa GravesMail, ali trebate to znati prije nego što se na njega oslonite.

PGP štiti vašu poštu na putu — od presretanja i od vašeg dobavljača e-pošte. On nije alat protiv forenzike: nakon dešifrovanja pošta se kešira u lokalnoj šifrovanoj bazi podataka programa GravesMail kako biste je mogli pretraživati i čitati bez mreže.

Još dva ograničenja, rečena otvoreno: GravesMail ne radi automatsko traženje ključeva na serverima ključeva ni putem WKD-a i nema mrežu povjerenja (web of trust) — ključeve uvozite sami i otiske provjeravate sami, što je svjestan izbor kako se ne bi vjerovalo mrežnoj usluzi o tome ko je ko. A poruke s ugrađenim čitljivim potpisom (inline clearsigned) prikazuju se kao čitljiv tekst bez provjere potpisa; GravesMail ih prikazuje, umjesto da tvrdi da postoji potpis koji zapravo nije provjerio.

Interoperabilnost

PGP u programu GravesMail provjeren je dvosmjerno u odnosu na GnuPG — referentnu implementaciju OpenPGP-a — s ključevima generisanim u programu GravesMail, i za Ed25519 i za RSA-4096: GravesMail šifruje, a gpg dešifruje, gpg šifruje, a GravesMail dešifruje, i potpisi se provjeravaju u oba smjera. To je automatizovan skup testova, a ne jednokratna ručna provjera.

Potvrđen je i Proton Mail — ručno, a ne automatizovanim testom. Stvarna šifrovana pošta poslana je i pročitana u oba smjera između programa GravesMail i aktivnog Proton računa. Upravo je to testiranje usput pronašlo i ispravilo tri stvarna nedostatka: Protonova stroga provjera ključeva odbijala je Ed25519 ključeve programa GravesMail, grešku s istekom ključa i priloge koji su pri dešifrovanju neprimjetno ispadali iz šifrovane pošte. Sva tri su ispravljena i interoperabilnost s Protonom radi u oba smjera.

Thunderbird nisam testirao posebno za PGP, pa to ovdje neću ni tvrditi. To je standardni OpenPGP klijent i trebao bi raditi, ali „trebao bi“ nije isto što i provjereno, a radije ću vam reći šta je zaista provjereno.

E-pošta zaštićena lozinkom (ključ nije potreban)

PGP je pravi alat kada i vaš sagovornik koristi PGP. Kada ga ne koristi — a većina ljudi ga ne koristi — upotrijebite umjesto njega opciju zaštite lozinkom opisanu u nastavku.

Ponekad trebate poslati nešto privatno nekome ko nema ključeve za šifrovanje ni poseban softver — samo običan račun e-pošte. Opcija Zaštiti lozinkom (ključ nije potreban) u programu GravesMail zatvara vašu poruku i sve priloge u pravi, standardni ZIP šifrovan algoritmom AES-256, koji primalac otvara besplatnim, običnim softverom na bilo kojoj platformi.

Ovdje se koristi industrijski standardni format WinZip AES-256 (AE-2) — isto jako šifrovanje koje 7-Zip, Keka i mobilne aplikacije za arhive već razumiju. To nije kontejner koji radi samo u programu GravesMail i nije slabi, provaljivi „ZipCrypto“ koji su koristili stariji ZIP alati. Interoperabilnost je dokazana sa stvarnim standardnim softverom za arhive, a AE-2 format šifrovanja arhive fiksiran je automatizovanim testom — tako da ono što izlazi jeste zaista standardna datoteka, a ne nešto što samo naizgled radi između dvije kopije iste aplikacije.

Ono što se zaista šalje jeste jedan prilog, protected-message.zip. Vaša stvarna poruka i svaki prilog šifrovani su unutar njega; vidljivo tijelo e-poruke sadrži samo uputstva za otvaranje, napisana jednostavnim jezikom. Nazivi priloga unutar arhive zamjenjuju se neutralnim oznakama, a stvarni nazivi čuvaju se u šifrovanom manifestu koji se pojavljuje kada primalac unese lozinku — pa ne cure ni nazivi datoteka.

Pri slanju GravesMail traži da postavite jaku lozinku (najmanje 12 znakova, s velikim i malim slovima, dvije cifre i dva simbola), uz kontrolnu listu koja se ažurira uživo i polje za potvrdu, tako da greška u kucanju nikada ne može primaocu onemogućiti pristup. Nakon toga lozinku prikazuje jednom, s dugmetom Kopiraj, i podsjeća vas da je prenesete drugim kanalom — telefonom, SMS-om ili porukom u chatu. GravesMail nikada ne nudi slanje lozinke e-poštom i nikada je nigdje ne čuva niti prenosi. GravesMail može i otvoriti zaštićene poruke koje primi, na licu mjesta, na svakoj platformi.

Brza pravila: vaše lično razvrstavanje e-pošte

Brza pravila omogućavaju vam da kreirate pravila za razvrstavanje jednim klikom za određene pošiljaoce, domene ili obrasce u predmetu. Svako pravilo dobija vlastito dugme na alatnoj traci. Kada pravilo primijenite na poruku, pošiljalac se automatski dodaje na listu podudaranja tog pravila — pravilo postaje pametnije kako ga koristite.

Pravilo može poštu koja mu odgovara poslati u Zamku za spam, gdje se odlaže radi pregleda, premjestiti je u folder, izbrisati je ili je automatski izbrisati nakon određenog broja dana. Pravila se mogu podesiti da se automatski primjenjuju tokom sinhronizacije, tako da poruke koje im odgovaraju nikada ne stignu u vaše Prijemno sanduče, a cijele foldere možete skenirati za nekoliko sekundi da odjednom uhvatite staru poštu. Sve što je pravilo uhvatilo može se u bilo kojem trenutku pregledati, vratiti ili trajno ukloniti.

Vaša pravila imaju prednost nad filterom za spam. Poruku koja odgovara nekom od vaših pravila razvrstava vaše pravilo prije nego što je filter za spam može preusmjeriti — pa pošiljalac za kojeg ste napisali pravilo neće greškom završiti u Spamu. Filter i dalje radi i i dalje ocjenjuje poruku, a njegovu presudu možete vidjeti u Svojstvima; on samo ne poništava vaše pravilo. Jedini izuzetak je zlonamjerni softver: skeniranje na zlonamjerni softver uvijek pobjeđuje, pa pravilo nikada ne može isporučiti opasan prilog u vaše Prijemno sanduče.

Lista Filtrirano prikazuje sve što su uhvatila sva vaša pravila unutar pomičnog vremenskog prozora (od 1 do 96 sati na desktopu, zadano 24). Svaka lista za pregled — Pravila, Filtrirano i Spam — ima vlastito polje za pretragu.

Otvorite uhvaćenu poruku i prva kartica je Sigurni pregled: poruka prikazana onako kako bi izgledala u oknu za čitanje, ali s onesposobljenim skriptama, blokiranim pikselima za praćenje i udaljenim slikama koje se učitavaju samo za pouzdane pošiljaoce. Ima dugmad Odgovori, Odgovori svima i Proslijedi, pa na uhvaćenu poruku možete odgovoriti a da je prethodno ne vraćate u Prijemno sanduče — poruka ostaje gdje jeste, a vaš odgovor odlazi kao obična poruka.

Zadržani prilozi

Kada YARA ili vaš sistemski antivirus otkrije zlonamjerni softver u prilogu, GravesMail automatski preduzima sljedeće radnje:

• Poruka se odlaže — premješta se u poseban folder Zlonamjerni softver, odvojen od Spama.
• Prilog se uklanja — opasna datoteka uklanja se iz poruke. Tijelo poruke se zadržava kako biste vidjeli ko ju je poslao.
• Podaci su sačuvani — bajtovi priloga čuvaju se lokalno. Svaku zadržanu stavku možete pregledati, vidjeti zašto je zadržana, sačuvati je na disk ako joj vjerujete ili je trajno izbrisati, i to u prozoru Zadržani prilozi. Zadržane stavke čuvaju se dok ne odlučite; nikada se ne gube bez obavještenja.
• Potpuno objašnjenje — svojstva poruke tačno pokazuju koje se YARA pravilo ili antivirusni mehanizam aktivirao, koja je datoteka bila pogođena i koja je radnja poduzeta.

Također možete u bilo kojem trenutku desnim klikom kliknuti na bilo koji prilog i odabrati Skeniraj na zlonamjerni softver da pokrenete skeniranje na zahtjev. YARA pravila mogu se ažurirati ručno u Postavkama ili automatski, po sedmičnom rasporedu.

Automatske šifrovane sigurnosne kopije

GravesMail automatski pravi šifrovane sigurnosne kopije vašeg cijelog profila — ne samo baze podataka pošte, nego i kontakata, kalendara, pravila, lista pouzdanih i blokiranih pošiljalaca, podešenih pragova, reputacije pošiljalaca, obučenog filtera za spam, PGP privjeska ključeva i sačuvanih vjerodajnica računa. (Datoteke koje se isporučuju s aplikacijom i zamjenjuju pri ažuriranju, kao što su tabela za geografsko pretraživanje i osnovni model spama, namjerno su izostavljene.)

• Potpune sigurnosne kopije — kompletna kopija profila, šifrovana algoritmom AES-256
• Diferencijalne sigurnosne kopije — samo ono što se promijenilo od posljednje potpune kopije; pri vraćanju jedne takve kopije automatski se prolazi unazad kroz cijeli lanac
• Snimci stanja prije operacije — prije svake destruktivne operacije (skeniranje brzim pravilima, čišćenje, pražnjenje smeća)

Rasporedom upravljate iz Upravitelja sigurnosnih kopija: ili interval (isključeno, dnevno, sedmično ili prilagođen broj sati, s potpunom kopijom svakih N dana) ili sedmična mreža u kojoj je svaki dan postavljen na Nema, Potpuna ili Diferencijalna. Ograničenja čuvanja za potpune kopije, diferencijalne kopije i snimke stanja mogu se podesiti i nikada ne uklanjaju vašu jedinu kopiju.

Kako se ove sigurnosne kopije šifruju

Zakazane i ručne sigurnosne kopije koje pravi sam GravesMail zapečaćene su Glavnim ključem za rezervne kopije, koji aplikacija generiše i kojim upravlja umjesto vas. Sam ključ se nikada ne zapisuje na disk u otvorenom obliku — čuvaju se samo omotane kopije, a omotan je na dva načina:

• Sigurno spremište ključeva vašeg uređaja — tako da se redovne sigurnosne kopije prave tiho, bez upita za lozinku, uvijek.
• Vaša pristupna fraza za oporavak — koja odmotava isti ključ na bilo kojem računaru, bez ikakvog spremišta ključeva.

Upravo taj drugi omot čini ove sigurnosne kopije neovisnim o uređaju. Ranije verzije vezale su automatske sigurnosne kopije za jedan fizički računar; sada se više ne mogu vratiti samo tamo gdje su napravljene.

Pristupnu frazu za oporavak postavljate jednom, kada prvi put pravite sigurnosnu kopiju. Ona je obavezna i ne može se preskočiti — sigurnosna kopija se neće dovršiti dok fraza nije postavljena, upravo zato da nikada ne ostanete sa sigurnosnim kopijama koje ne možete vratiti. Nakon toga se sigurnosne kopije prave bez daljnjih upita. Možete je promijeniti u bilo kojem trenutku iz Upravitelja sigurnosnih kopija, a nakon promjene sve postojeće sigurnosne kopije i dalje se mogu vratiti.

Upravitelj sigurnosnih kopija omogućava da pregledate sadržaj bilo koje sigurnosne kopije, pretražujete sve kopije, uporedite ih s trenutnom bazom podataka i selektivno vratite pojedinačne poruke. Vraćanje provjerava da li je sigurnosna kopija potpuna i neoštećena prije nego što dirne vaš trenutni profil — skraćena ili oštećena kopija se odbija, a vaši postojeći podaci ostaju netaknuti — a kada završi, pokazuje vam šta je vraćeno, skup po skup podataka.

Evidencija brisanja i vraćanje

Svaka izbrisana poruka bilježi se u lokalnoj evidenciji brisanja s cijelim sadržajem. Izbrisane poruke možete pregledati, pretraživati i vratiti jednim klikom do 90 dana (može se podesiti). Nije potrebna datoteka sigurnosne kopije — vraćanje iz evidencije brisanja je trenutno.