Ukratko

GravesMail je klijent e-pošte kojem su lokalni podaci na prvom mjestu. Vaša e-pošta se preuzima na vaš računar i tamo ostaje. Ne upravljam serverima koji pohranjuju, čitaju ili obrađuju vašu e-poštu. Ne prikupljam lične podatke. Ne prikazujem oglase. Ne prodajem podatke. Ništa o vašoj e-pošti ne napušta vaš računar; server e-pošte koristi se samo za preuzimanje i slanje vaše e-pošte.

Koje podatke GravesMail pohranjuje

Svi podaci pohranjeni su lokalno u vašem korisničkom profilu — u %LocalAppData%\GravesMail u Windowsu ili na odgovarajućem mjestu na platformama macOS, Linux, iOS i Android. Evo šta se čuva i zašto:

Šifrovana baza podataka. Vaša pošta i gotovo svi vaši prateći podaci nalaze se u jednom spremištu u kojem je šifrovana cijela baza podataka: svaka poruka, predmet, pošiljalac i prilog, kao i vaši kontakti, kalendar, potpisi, brza pravila i napredna pravila, liste pouzdanih i blokiranih pošiljalaca, reputacija pošiljalaca, obuka filtera za spam, podešeni pragovi i sigurnosne postavke. Ranije su to bile zasebne datoteke pored baze podataka; objedinjene su u nju, čime je njihova zaštita ojačana. Nisu premještene s vašeg uređaja — ništa se nije promijenilo u tome gdje se vaši podaci nalaze, nego samo u tome kako se lokalno pohranjuju.

Datoteke koje ostaju izvan baze podataka, jer su potrebne prije nego što se ona može otvoriti ili moraju preživjeti njen gubitak:

• Ključ baze podataka — čuva se u vlastitom sigurnom spremištu ključeva vašeg uređaja (DPAPI u Windowsu, Keychain na macOS-u/iOS-u, Keystore na Androidu, sistemsko spremište tajni na Linuxu). Ne može se nalaziti unutar baze podataka koju otključava.
• Sačuvane vjerodajnice računa — vaše IMAP/SMTP lozinke i OAuth2 tokeni, šifrovani ključem vašeg uređaja i namjerno držani odvojeno od baze podataka pošte.
• bmk.wrap — omotane kopije vašeg Glavnog ključa za rezervne kopije. Nalazi se uz vaše sigurnosne kopije, a ne u bazi podataka, upravo zato što sigurnosna kopija postoji da bi preživjela gubitak te baze.
• Vaš PGP privjesak ključeva — čuva se u svom standardnom formatu na disku, a privjesak privatnih ključeva pod vlastitim ključem za omotavanje.
• backups/ — šifrovane datoteke sigurnosnih kopija (.gravesmail-backup), AES-256 pod Glavnim ključem za rezervne kopije
• Katalog sigurnosnih kopija — lokalni indeks metapodataka za trenutno pregledanje sadržaja sigurnosnih kopija (nikada se ne šalje)
• Evidencija brisanja — sadržaj izbrisanih poruka radi vraćanja (čuvanje se može podesiti: 30–365 dana)

Datoteke koje se isporučuju s aplikacijom — osnovni model spama, osnovna YARA pravila i tabela za geografsko pretraživanje — resursi su programa, a ne vaši podaci. Zamjenjuju se pri ažuriranju i isključene su iz sigurnosnih kopija.

Nikakvi podaci se ne pohranjuju izvan ovog direktorija. Nikakvi podaci se ne pohranjuju na udaljenim serverima.

Koje podatke GravesMail nikada ne prikuplja

• Adrese e-pošte — ni vaše ni bilo koga ko vam piše
• Sadržaj e-pošte — ni predmete, ni tijela poruka, ni priloge
• Podatke o pošiljaocu ili primaocu
• Lozinke ili vjerodajnice
• Liste kontakata
• Događaje iz kalendara
• IP adrese
• Vaše ime, lokaciju ili bilo koje podatke koji vas identifikuju
• Obrasce korištenja — ne pratim koliko često otvarate aplikaciju, koje e-poruke čitate ni šta radite s porukama
• Izvještaje o padu ili dijagnostiku — ništa se nikada ne šalje automatski
• Podatke o instalaciji ili registraciji — nema računa koji treba otvoriti

Privatnost sigurnosnih kopija

GravesMail pravi šifrovane sigurnosne kopije vašeg cijelog lokalnog profila:

• Zakazane i ručne sigurnosne kopije lokalne za uređaj (potpune i diferencijalne) šifrovane su algoritmom AES-256 pod Glavnim ključem za rezervne kopije, koji GravesMail generiše i kojim upravlja. Ključ se nikada ne pohranjuje u otvorenom obliku — čuvaju se samo omotane kopije, omotane i sigurnim spremištem ključeva vašeg uređaja (pa za redovne sigurnosne kopije nije potrebna lozinka) i pristupnom frazom za oporavak koju postavljate jednom. Pristupna fraza za oporavak je obavezna, a ne neobavezna, i upravo ona omogućava da se ove sigurnosne kopije vrate na novom ili zamijenjenom uređaju. Ja nikada ne dobijam ni ključ ni pristupnu frazu i ne mogu vam vratiti ni jedno ni drugo.
• Prenosiva sigurnosna kopija s lozinkom (Datoteka → Prenosiva sigurnosna kopija s lozinkom…) zapečaćena je lozinkom koju sami odaberete, uz rastezanje ključa PBKDF2-SHA256 sa 600.000 iteracija. Ako tu lozinku izgubite, sigurnosna kopija se ne može otvoriti — tako je zamišljeno i ne može je otvoriti niko, pa ni ja.
• Katalozi metapodataka sigurnosnih kopija pohranjuju se lokalno i nikada se ne šalju. Omogućavaju trenutno pregledanje sadržaja sigurnosne kopije bez dešifrovanja cijele kopije.
• Snimci stanja prije operacije prave se prije destruktivnih operacija (skeniranja brzim pravilima, čišćenja, pražnjenje smeća) kao sigurnosna mreža.

Sve datoteke sigurnosnih kopija ostaju na vašem računaru, osim ako ih sami ne kopirate drugdje. Prenosiva sigurnosna kopija s lozinkom sadrži vaš cijeli profil — uključujući sačuvane lozinke računa i ključeve koji otključavaju vašu poštu — a štiti je samo lozinka koju ste odabrali, zato datoteku čuvajte na sigurnom mjestu.

Privatnost brzih pravila

Podaci brzih pravila pohranjeni su u vašoj lokalnoj šifrovanoj bazi podataka. Poruke koje vaša pravila odlože u Zamku za spam, njihove liste podudaranja i same definicije pravila nikada ne napuštaju vaš računar. Kada izbrišete pravilo ili očistite ono što je uhvatilo, podaci se trajno uklanjaju iz vaše lokalne baze podataka.

Kako se pohranjuju vaše vjerodajnice

GravesMail svu vašu poštu i lične podatke drži šifrovane u mirovanju na svakom uređaju. Ključ za šifrovanje čuva se u vlastitom sigurnom spremištu ključeva vašeg uređaja — DPAPI u Windowsu, Keychain na macOS-u i iOS-u, Keystore na Androidu i sistemsko spremište tajni na Linuxu — pa su podaci čitljivi samo na vašem uređaju. Ako sačuvate svoje vjerodajnice za e-poštu, one se šifruju na isti način i može ih dešifrovati samo isti korisnik koji ih je sačuvao, na istom računaru.

GravesMail nikada ne šalje vaše vjerodajnice nijednom serveru osim serveru e-pošte vašeg pružaoca, i to radi prijave.

Za Microsoft/Outlook račune koji koriste OAuth2 autentifikaciju GravesMail koristi standardni tok platforme Microsoft Identity Platform. Tokeni za autentifikaciju pohranjuju se lokalno, uz isto šifrovanje. GravesMail nema pristup lozinci vašeg Microsoft računa.

Geolokacija je lokalna

GravesMail utvrđuje geografsko porijeklo dolazne pošte kao jedan od signala za spam. To pretraživanje se u potpunosti odvija na vašem uređaju, u tabeli zemalja i IP raspona ugrađenoj u aplikaciju. Nema DNS upita, nema poziva vanjskim API-jima i nema usluge treće strane za pretraživanje. Metapodaci vaših poruka nikada se nikamo ne šalju radi geolokacije.

Podaci o IP geolokaciji: DB-IP (db-ip.com), pod licencom CC BY 4.0.

Blokiranje vanjskih slika i zaštita od piksela za praćenje

Vanjske slike su po zadanim postavkama blokirane kako pošiljaoci ne bi saznali vašu IP adresu, to da ste otvorili njihovu e-poruku, kada i s kojeg uređaja.

Pikseli za praćenje (nevidljive slike veličine 1×1 koje služe isključivo za praćenje putem potvrda o čitanju) otkrivaju se i uklanjaju zasebno. To su nezavisne kontrole — slike možete učitati bez učitavanja piksela za praćenje.

Šifrovanje s kraja na kraj (OpenPGP)

GravesMail podržava standardni OpenPGP za poštu šifrovanu s kraja na kraj i potpisanu. Sve se odvija na vašem uređaju: ključevi se generišu lokalno, vaš tajni ključ nikada ne napušta vaš računar, a šifrovanje i dešifrovanje obavlja aplikacija. Nema deponovanja ključeva, nema otpremanja na server ključeva i na tom putu nema nijedne moje usluge — nemam kopiju vaših ključeva i ne mogu čitati vašu šifrovanu poštu.

Šta PGP skriva: tijelo poruke i priloge.

Šta PGP ne skriva: predmet poruke, polja Za/Od/Cc i vrijeme slanja poruke. To putuje u otvorenom obliku i ostaje vidljivo infrastrukturi e-pošte, uključujući vašeg pružaoca. To je ograničenje samog PGP/MIME-a, zajedničko svakom klijentu koji ga implementira, uključujući Proton — nije nešto što GravesMail može popraviti i neću nagovještavati da je drugačije.

PGP štiti poštu u prenosu — od presretanja i od vašeg pružaoca e-pošte. On nije antiforenzički alat. Nakon što se poruka dešifruje, kešira se u lokalnoj šifrovanoj bazi podataka GravesMaila da biste je mogli pretraživati i čitati van mreže, što znači da je na disku štiti šifrovanje vašeg uređaja, a ne PGP.

Ako izgubite tajni ključ, pošta šifrovana tim ključem trajno je nepovratna. Ja je ne mogu vratiti umjesto vas — nema deponovane kopije, a ta ista odluka u dizajnu znači i da niko drugi ne može čitati vašu poštu.

E-pošta zaštićena lozinkom

Kada poruku šaljete s opcijom Zaštiti lozinkom (ključ nije potreban), tijelo poruke i svaki prilog šifruju se na vašem uređaju u standardni AES-256 ZIP prije nego što poruka ode. Pečaćenje se obavlja lokalno — ništa se ne otprema ni meni ni bilo kojoj usluzi da bi se to obavilo i na tom putu nema servera.

Lozinka je samo vaša. GravesMail vam je prikazuje jednom, nikada je ne šalje e-poštom, nikada je ne pohranjuje i nikada je ne prenosi. Nemam njenu kopiju i nemam načina da otvorim ono što ste poslali. Primaocu je saopćavate drugim kanalom — telefonom, SMS porukom ili šifrovanim chatom.

Zaštita je lozinka i ništa drugo. Nema isteka ni opoziva na daljinu, jer bi oboje zahtijevalo server koji namjerno ne držim. Kao kod svake e-pošte, predmet poruke, polja Za/Od i vrijeme slanja i dalje putuju u otvorenom obliku.

Još jedno ograničenje, rečeno otvoreno jer ga trebate čuti od mene, a ne otkriti sami: ZIP format šifruje sadržaj datoteka, a ne strukturu arhive. Svako ko presretne poruku i dalje može vidjeti koliko je datoteka unutra te njihove približne veličine i vremenske oznake — ali ne i njihove nazive, koji su zamijenjeni neutralnim oznakama, niti njihov sadržaj. Ako bi sami ti metapodaci nekome otkrili nešto što mora ostati privatno, ova funkcija nije pravi alat za tu poruku.

Izdanja za pet platformi

• Windows — izdanje iz trgovine Microsoft Store potpisuje Microsoft
• Linux — uskoro
• macOS — uskoro
• iOS — uskoro
• Android — uskoro

Svih pet platformi ima identične karakteristike privatnosti. Nijedna platforma ne šalje podatke proizvođaču niti se u pogledu privatnosti ponaša drugačije. Jedna mogućnost se zaista razlikuje po platformi, a riječ je o ograničenju otkrivanja, a ne privatnosti: sloj zaštite Sistemski antivirus koristi vaš instalirani antivirus u Windowsu i nije dostupan na macOS-u, Linuxu ni na mobilnim uređajima, gdje prijavljuje „nije dostupno“ umjesto da nagovještava skeniranje koje nikada nije obavljeno.

Usluge trećih strana

GravesMail se povezuje samo s vašim pružaocem e-pošte (putem šifrovanih TLS/SSL veza) i, za Microsoft račune, s platformom Microsoft Identity Platform radi OAuth2 autentifikacije. GravesMail ne koristi nikakve oglašivačke mreže, analitičke usluge, usluge za prijavu padova ni platforme za praćenje.

Kupovine

Kupovine GravesMaila putem trgovine Microsoft Store obrađuje Microsoft. GravesWare, LLC ne prima i ne pohranjuje podatke o platnim karticama.

Otvoreno za uvid

Vaša baza podataka, datoteke sigurnosnih kopija i evidencija brisanja obične su lokalne datoteke pod vašom kontrolom — na vašem disku, u vašem korisničkom profilu, gdje ih možete vidjeti, kopirati ili izbrisati. Ništa nije skriveno u usluzi u koju nemate uvid i ništa se ne javlja proizvođaču.

Privatnost djece

GravesMail svjesno ne prikuplja nikakve podatke ni od koga, uključujući djecu mlađu od 13 godina. Budući da GravesMail po zadanim postavkama ne prikuplja lične podatke, ne predstavlja poseban rizik za privatnost djece.

Izmjene ovih pravila

Ako se ova pravila o privatnosti ažuriraju, izmjene će biti objavljene na ovoj stranici s novim datumom uz „Posljednje ažuriranje“. Budući da GravesMail ne prikuplja adrese e-pošte ni kontakt-podatke, ne mogu vas direktno obavijestiti o izmjenama. Preporučujem da povremeno provjerite ovu stranicu.

Kontakt

Sažetak