Arkkitehtuuri: IMAP-siirto → paikallinen tallennus → analyysi

GravesMail käyttää sähköpostipalvelusi IMAP-palvelinta pelkkänä siirtokerroksena. En koskaan lue viestejä IMAPista näyttääkseni ne – se olisi hidasta ja epäluotettavaa. Sen sijaan tapahtuu näin:

1. Haku IMAPista – Viestit ladataan palveluntarjoajasi palvelimelta salatun yhteyden yli.
2. Välivarastointi DMZ-alueelle – Uudet viestit päätyvät paikalliseen välivarastoon (SQLite) ennen kuin näet ne.
3. 7-kerroksinen suojausanalyysi – Jokainen viesti ja liite käy koneellasi läpi kaikki seitsemän suojauskerrosta, YARA-haittaohjelmatarkistus mukaan lukien.
4. Suodatus pikasäännöillä – Henkilökohtaisia pikasääntöjäsi vastaavat viestit käsitellään automaattisesti sääntösi mukaan: siirretään roskapostiloukkuun tarkistettavaksi, siirretään kansioon tai poistetaan.
5. Siirto Saapuneet-, Roskaposti- tai Haittaohjelmat-kansioon – Puhtaat viestit päätyvät Saapuneet-kansioon. Roskaposti menee Roskaposti-kansioon. Haittaohjelmia sisältävät viestit menevät erilliseen Haittaohjelmat-kansioon, ja vaaralliset liitteet irrotetaan ja pidätetään.
6. Poisto palvelimelta (valinnainen) – Jos olet ottanut käyttöön asetuksen ”Poista palvelimelta”, viesti poistetaan palveluntarjoajaltasi.

SQLite on ainoa totuuden lähde. Kaikki, mitä käyttöliittymässä näet, tulee paikallisesta tietokannastasi, ei IMAPista.

Kaksivaiheinen synkronointi suurille postilaatikoille

Kun yhdistät tilin ensimmäisen kerran – etenkin sellaisen, jossa on tuhansia viestejä – GravesMail toimii kahdessa vaiheessa:

Vaihe 1 (Pikakäynnistys): Ensin haetaan kunkin kansion 500 uusinta viestiä, yleensä alle minuutissa. Voit aloittaa lukemisen ja työskentelyn heti.

Vaihe 2 (Taustasynkronointi): Loput viestit latautuvat hiljaa taustalla. Tilarivin edistymisilmaisin näyttää valmiusprosentin ja arvioidun jäljellä olevan ajan. Voit keskeyttää, jatkaa tai pysäyttää milloin tahansa. Edistyminen tallennetaan, jos suljet sovelluksen.

Seitsemän suojauskerrosta

Jokainen saapuva viesti liitteineen kulkee seitsemän itsenäisen suojauskerroksen läpi. Kukin kerros etsii erilaista ongelmaa ja tekee päätöksensä itse. Jos yksikin kerros hälyttää, viesti käsitellään roskapostina – keskiarvoa ei lasketa eikä ole yhdistettyä pistemäärää, joka pitäisi saavuttaa. Yksi hälytys riittää. Tämä on ”7 kerrosta, TAI” -malli.

Rehellinen raportointi – ei väärää varmuutta

Avaa minkä tahansa viestin Ominaisuudet, niin näet kerroskohtaisen erittelyn: kunkin kerroksen pisteet, kynnysarvon, jolla se hälyttää, ja sen tilan – Hälyttänyt, Puhdas tai Ei käytettävissä. Kun tarkistinta ei voitu ajaa, GravesMail ilmoittaa ”Ei käytettävissä”. Sitä ei koskaan näytetä tilassa ”Puhdas”. Virustorjunta, joka ei käynnisty ja ilmoittaa silti puhdasta, on pahinta lajia oleva tietoturvatyökalu, koska luotat tuomioon, jota ei koskaan oikeasti annettu.

Suojausmoottori-näkymässä (Työkalut → Suojausmoottori tai mobiilissa Asetukset → Suojausmoottori) voit säätää kutakin seitsemästä kerroksesta erikseen herkkyysliukusäätimellä 0–100 % – 0 % kytkee kerroksen pois, 100 % on herkin. Yhtä yleistä säädintä ei ole; kerrokset säädetään yksitellen. Samassa näkymässä näkyvät haittaohjelmatarkistimien reaaliaikainen tila, maakäytännön muokkain ja vain luku -luettelo jokaisesta tunnistimesta ja sen painoarvosta.

Maantieteellinen paikannus ilman hakua

Heuristinen kerros ottaa huomioon, mistä viesti on peräisin. Tämä haku on täysin paikallinen. GravesMailin mukana toimitetaan upotettu taulukko maiden IP-osoitealueista, ja sitä käytetään laitteellasi – ei DNS-kyselyjä, ei ulkoisia API-kutsuja eikä kolmannen osapuolen palvelua välissä. Viestisi metatiedot eivät koskaan poistu laitteeltasi paikannusta varten.

Sinä päätät, mitä tulos tarkoittaa. Suojausmoottori-näkymässä voit merkitä maita arvolla Turvallinen (ei ylimääräistä roskapostisignaalia) tai Uhka (vahva signaali). Molemmat luettelot ovat aluksi tyhjiä, joten tavallista kansainvälistä postia ei koskaan rangaista ennen kuin valitset käytännön.

IP-paikannustiedot: DB-IP (db-ip.com), lisenssi CC BY 4.0.

Ulkoisten kuvien esto ja seurantapikselien poisto

Lähettäjä voi upottaa sähköpostiin ulkoisia kuvia, jotka latautuvat lähettäjän palvelimilta. Kun kuva latautuu, lähettäjä saa tietää IP-osoitteesi, sen, että avasit viestin, milloin avasit sen ja millä laitteella.

GravesMail estää ulkoiset kuvat oletuksena. Lisäksi se tunnistaa ja poistaa näkymättömät seurantapikselit (1×1-kuvat, joita käytetään pelkästään lukukuittausten seurantaan). Nämä ovat toisistaan riippumattomia asetuksia – voit ladata kuvat lataamatta seuraimia tai päinvastoin.

Päästä päähän -salaus (OpenPGP)

GravesMail tukee OpenPGP:tä – avointa, yhteentoimivaa standardia päästä päähän salatulle ja allekirjoitetulle sähköpostille. Voit vaihtaa yksityistä postia kenen tahansa PGP:tä käyttävän kanssa missä tahansa sähköpostijärjestelmässä (Proton Mail, Thunderbird, gpg ja muut), et vain muiden GravesMail-käyttäjien kanssa. Tämä on oikeaa PGP/MIMEä, ei GravesMailin omaa murretta.

Avaimet

Luo avain PGP-avainten hallinnassa – suositus on Ed25519/Curve25519, ja RSA-4096 on käytettävissä yhteensopivuuden vuoksi vanhempien PGP-ohjelmien kanssa. Vie julkinen avaimesi, jotta muut voivat kirjoittaa sinulle, ja tuo heidän avaimensa, jotta voit kirjoittaa heille. Tuonnin jälkeen GravesMail näyttää avaimen sormenjäljen; varmista se kyseiseltä henkilöltä toista kanavaa pitkin – puhelimitse tai kasvotusten – ja merkitse avain vahvistetuksi. Vahvistamaton avain toimii silti, mutta pysyy merkittynä vahvistamattomaksi, koska merkintä tarkoittaa täsmälleen yhtä asiaa: et ole vielä varmistanut, että avain todella kuuluu kyseiselle henkilölle.

Avaimet tunnistetaan sormenjäljestä, ei sähköpostiosoitteesta. On tavallista, että yhdellä osoitteella on kaksi avainta – vanha ja uusi tai RSA- ja Ed25519-avain rinnakkain – joten jokainen toiminto kohdistuu valitsemaasi avaimeen, ei ensimmäiseen, joka sattuu vastaamaan osoitetta.

Voit linkittää avaimen yhteystietoon, jolloin salaaminen kyseiselle henkilölle toimii suoraan ilman etsimistä avainten hallinnasta. Avaimen linkittäminen ei kytke salausta päälle; valitset sen edelleen viestikohtaisesti.

Lähettäminen ja lukeminen

Viestin kirjoitusikkunassa on Suojaus-valinta, jossa on kolme tilaa – Allekirjoita, Salaa tai Allekirjoita + salaa (suositus yksityiselle postille). Oletuksena se on pois päältä, joten tavallinen posti pysyy ennallaan. Vastaanottamasi salattu posti puretaan automaattisesti, ja siinä näkyy suljettu riippulukko 🔒; allekirjoitetussa postissa näkyy allekirjoituksen tila, ja virheellinen allekirjoitus näytetään näkyvästi eikä vaivihkaa. Viesti, joka on salattu avaimelle, jota sinulla ei ole kyseisellä laitteella, kertoo sen suoraan sen sijaan, että näyttäisi tyhjän viestirungon.

Kun lähetät salattua postia, GravesMail salaa sen myös omalle avaimellesi, jotta Lähetetyt-kansiossa oleva kopio pysyy sinun luettavissasi. Muuten et pystyisi purkamaan omaa tallessa olevaa kopiotasi. Tämä on aina päällä.

Sääntö, joka ei jousta

Jos valitset salauksen eikä vastaanottajalla ole käyttökelpoista avainta, lähetys estetään. GravesMail pysähtyy ja kysyy: peruuta tai valitse nimenomaisesti lähettäminen salaamattomana – tietoinen toinen toimenpide, joka nimeää vaarassa olevat vastaanottajat; se ei ole koskaan oletus eikä koskaan automaattinen. Ei ole koodipolkua, jossa salauksen valitseminen tuottaisi huomaamatta selväkielisen lähetyksen. Tämä on pakotettu itse moottorissa, ei vain käyttöliittymässä, ja sen kattaa automaattinen testi.

Mitä PGP suojaa ja mitä ei

PGP salaa viestin rungon ja liitteet. Se ei piilota aiheriviä, vastaanottajaa, lähettäjää eikä kopion saajia (To/From/Cc) eikä sitä, milloin viesti lähetettiin – ne kulkevat selväkielisinä. Sama rajoitus on jokaisessa PGP/MIME-järjestelmässä, myös Protonissa; se ei ole GravesMailin puute, mutta sinun on hyvä tietää se ennen kuin luotat siihen.

PGP suojaa postisi matkalla – sieppaukselta ja sähköpostipalveluntarjoajaltasi. Se ei ole forensiikan vastainen työkalu: purkamisen jälkeen posti tallennetaan GravesMailin paikalliseen salattuun tietokantaan, jotta voit hakea ja lukea sitä offline-tilassa.

Vielä kaksi rajoitusta suoraan sanottuna: GravesMail ei tee automaattisia avainpalvelin- tai WKD-hakuja, eikä siinä ole luottamusverkkoa (web of trust) – tuot avaimet itse ja varmistat sormenjäljet itse, mikä on tietoinen valinta, jotta ei tarvitse luottaa verkkopalveluun siinä, kuka joku on. Lisäksi viestin sisään selväkielisinä allekirjoitetut (inline clearsigned) viestit näytetään luettavana tekstinä ilman allekirjoituksen varmennusta; GravesMail näyttää ne eikä väitä allekirjoitusta varmennetuksi, kun se ei ole sitä oikeasti tarkistanut.

Yhteentoimivuus

GravesMailin PGP on varmennettu molempiin suuntiin GnuPG:tä vasten – joka on OpenPGP:n viitetoteutus – GravesMailin luomilla avaimilla sekä Ed25519:llä että RSA-4096:lla: GravesMail salaa ja gpg purkaa, gpg salaa ja GravesMail purkaa, ja allekirjoitukset varmentuvat molempiin suuntiin. Kyseessä on automaattinen testisarja, ei yksittäinen käsin tehty tarkistus.

Myös Proton Mail on varmistettu – käsin eikä automaattisella testillä. Oikeaa salattua postia on lähetetty ja luettu molempiin suuntiin GravesMailin ja käytössä olevan Proton-tilin välillä. Sama testaus myös löysi kolme todellista vikaa, jotka korjattiin: Protonin tiukka avainten validointi hylkäsi GravesMailin Ed25519-avaimet, avaimen vanhenemiseen liittyi virhe, ja liitteet putosivat salatusta postista huomaamatta pois purkamisen yhteydessä. Kaikki kolme on korjattu, ja yhteentoimivuus Protonin kanssa toimii molempiin suuntiin.

Thunderbirdiä en ole testannut nimenomaan PGP:n osalta, joten en väitä siitä tässä mitään. Se on tavallinen OpenPGP-ohjelma, ja sen pitäisi toimia, mutta ”pitäisi” ei ole sama kuin varmennettu, ja kerron mieluummin, mitä on oikeasti tarkistettu.

Salasanalla suojattu sähköposti (avainta ei tarvita)

PGP on oikea työkalu, kun myös kirjeenvaihtokumppanisi käyttää PGP:tä. Kun hän ei käytä – ja useimmat eivät käytä – käytä sen sijaan alla kuvattua salasanasuojausta.

Joskus on lähetettävä jotakin yksityistä henkilölle, jolla ei ole salausavaimia eikä erikoisohjelmia – vain tavallinen sähköpostitili. GravesMailin Suojaa salasanalla (avainta ei tarvita) -valinta sulkee viestisi ja mahdolliset liitteet oikeaan, standardinmukaiseen AES-256-salattuun ZIP-tiedostoon, jonka vastaanottaja avaa ilmaisella, tavallisella ohjelmalla millä tahansa alustalla.

Tässä käytetään alan standardia WinZip AES-256 (AE-2) -muotoa – samaa vahvaa salausta, jota 7-Zip, Keka ja mobiililaitteiden pakkaussovellukset jo ymmärtävät. Se ei ole vain GravesMailissa toimiva säiliö, eikä se ole heikko, murrettavissa oleva ”ZipCrypto”, jota vanhemmat ZIP-työkalut käyttivät. Yhteentoimivuus on osoitettu oikeita, tavallisia pakkausohjelmia vasten, ja arkiston AE-2-salausmuoto on lukittu automaattisella testillä – joten ulos lähtee aidosti standardinmukainen tiedosto, ei jotakin, mikä vain näyttää toimivan saman sovelluksen kahden kopion välillä.

Ulos lähtee käytännössä yksi liite, protected-message.zip. Varsinainen viestisi ja jokainen liite on salattu sen sisään; näkyvässä viestirungossa on vain selkokieliset ohjeet sen avaamiseen. Arkiston sisällä liitteiden nimet korvataan neutraaleilla paikkamerkeillä, ja oikeat nimet ovat salatussa luettelotiedostossa, joka tulee näkyviin, kun vastaanottaja antaa salasanan – joten tiedostonimetkään eivät vuoda.

Lähettäessäsi GravesMail pyytää asettamaan vahvan salasanan (vähintään 12 merkkiä, isoja ja pieniä kirjaimia, kaksi numeroa ja kaksi erikoismerkkiä). Mukana on reaaliaikainen tarkistuslista ja vahvistuskenttä, jotta kirjoitusvirhe ei voi koskaan lukita vastaanottajaa ulos. Sen jälkeen se näyttää salasanan kerran Kopioi-painikkeen kera ja muistuttaa välittämään sen toista kanavaa pitkin – puhelimitse, tekstiviestillä tai pikaviestillä. GravesMail ei koskaan tarjoudu lähettämään salasanaa sähköpostitse eikä koskaan tallenna tai lähetä sitä minnekään. GravesMail osaa myös avata vastaanottamansa suojatut viestit suoraan paikallaan kaikilla alustoilla.

Pikasäännöt: henkilökohtainen sähköpostin lajittelusi

Pikasäännöillä luot yhden napsautuksen lajittelusääntöjä tietyille lähettäjille, toimialueille tai aiherivin kuvioille. Jokainen sääntö saa oman työkalurivipainikkeensa. Kun käytät sääntöä viestiin, lähettäjä lisätään automaattisesti säännön vastaavuusluetteloon – sääntö viisastuu käytön myötä.

Sääntö voi lähettää vastaavan postin roskapostiloukkuun tarkistettavaksi, siirtää sen kansioon, poistaa sen tai poistaa sen automaattisesti valitun päivien määrän kuluttua. Säännöt voi asettaa toimimaan automaattisesti synkronoinnin aikana, jolloin vastaavat viestit eivät koskaan päädy Saapuneet-kansioon, ja voit tarkistaa kokonaisia kansioita sekunneissa saadaksesi vanhan postin kiinni kerralla. Kaiken, minkä sääntö on saanut kiinni, voi milloin tahansa tarkistaa, palauttaa tai poistaa pysyvästi.

Sääntösi menevät roskapostisuodattimen edelle. Viesti, jota jokin sääntösi vastaa, käsitellään sinun sääntösi mukaan ennen kuin roskapostisuodatin ehtii ohjata sen muualle – joten lähettäjää, jolle olet kirjoittanut säännön, ei lähetetä virheellisesti Roskaposti-kansioon. Suodatin toimii silti ja pisteyttää viestin, ja näet sen tuomion Ominaisuuksista; se ei vain ohita sääntöäsi. Ainoa poikkeus ovat haittaohjelmat: haittaohjelmatarkistus voittaa aina, joten sääntö ei voi koskaan toimittaa vaarallista liitettä Saapuneet-kansioosi.

Suodatetut-luettelo näyttää kaiken, minkä säännöt ovat yhteensä saaneet kiinni liukuvan aikaikkunan sisällä (työpöytäversiossa 1–96 tuntia, oletuksena 24). Jokaisella tarkistusluettelolla – Säännöt, Suodatetut ja Roskaposti – on oma hakukenttänsä.

Kun avaat kiinni jääneen viestin, ensimmäinen välilehti on Turvallinen esikatselu: viesti näytetään sellaisena kuin se näkyisi lukuruudussa, mutta komentosarjat on tehty vaarattomiksi, seurantapikselit estetty ja etäkuvat ladataan vain luotetuilta lähettäjiltä. Siinä on painikkeet Vastaa, Vastaa kaikille ja Lähetä edelleen, joten voit vastata kiinni jääneeseen viestiin palauttamatta sitä ensin Saapuneet-kansioon – viesti pysyy paikallaan ja vastauksesi lähtee tavallisena viestinä.

Pidätetyt liitteet

Kun YARA tai järjestelmäsi virustorjunta havaitsee liitteessä haittaohjelman, GravesMail tekee automaattisesti seuraavat toimet:

• Viesti siirretään syrjään – erilliseen Haittaohjelmat-kansioon, erilleen roskapostista.
• Liite irrotetaan – vaarallinen tiedosto poistetaan viestistä. Viestin runko säilytetään, jotta näet, kuka sen lähetti.
• Tiedot säilyvät – liitteen tavut säilytetään paikallisesti. Voit tarkastella jokaista pidätettyä kohdetta, nähdä pidättämisen syyn, tallentaa kohteen levylle, jos luotat siihen, tai poistaa sen pysyvästi kohdassa Pidätetyt liitteet. Pidätetyt kohteet säilytetään, kunnes päätät niistä itse; mitään ei koskaan katoa huomaamatta.
• Täydellinen selitys – viestin ominaisuuksista näkyy tarkalleen, mikä YARA-sääntö tai virustorjuntamoottori laukesi, mitä tiedostoa asia koski ja mihin toimeen ryhdyttiin.

Voit myös milloin tahansa napsauttaa mitä tahansa liitettä hiiren kakkospainikkeella ja valita Etsi haittaohjelmia, jolloin tarkistus tehdään heti. YARA-säännöt voi päivittää käsin asetuksista tai automaattisesti viikoittain.

Automaattiset salatut varmuuskopiot

GravesMail luo automaattisesti salattuja varmuuskopioita koko profiilistasi – ei pelkästään postitietokannasta vaan myös yhteystiedoista, kalenterista, säännöistä, turvallisten ja estettyjen luetteloista, säädetyistä kynnysarvoista, lähettäjien maineesta, opetetusta roskapostisuodattimesta, PGP-avainrenkaasta ja tallennetuista tilien tunnistetiedoista. (Sovelluksen mukana toimitettavat ja päivityksessä korvattavat tiedostot, kuten maantieteellinen hakutaulukko ja roskapostin perusmalli, jätetään tarkoituksella pois.)

• Täydet varmuuskopiot – täydellinen kopio profiilista, AES-256-salattu
• Erotusvarmuuskopiot – vain se, mikä on muuttunut edellisen täyden varmuuskopion jälkeen; palautus käy ketjun automaattisesti läpi taaksepäin
• Tilannevedokset ennen toimintoa – ennen jokaista tietoja hävittävää toimintoa (pikasääntötarkistus, tyhjennys, roskakorin tyhjennys)

Aikataulua hallitaan Varmuuskopioiden hallinnassa: käytössä on joko väli (pois, päivittäin, viikoittain tai mukautettu tuntimäärä, ja täysi varmuuskopio N päivän välein) tai viikkoruudukko, jossa kullekin päivälle valitaan Ei mitään, Täysi tai Erotus. Täysien varmuuskopioiden, erotusvarmuuskopioiden ja tilannevedosten säilytysrajat ovat määritettävissä, eikä karsinta koskaan poista ainoaa kopiotasi.

Miten nämä varmuuskopiot salataan

GravesMailin omat ajastetut ja manuaaliset varmuuskopiot sinetöidään varmuuskopioiden pääavaimella, jonka sovellus luo ja jota se hallitsee puolestasi. Itse avainta ei koskaan kirjoiteta levylle salaamattomana – vain käärityt kopiot tallennetaan, ja avain kääritään kahdella tavalla:

• Laitteesi suojattu avainsäilö – joten tavalliset varmuuskopiot tehdään huomaamatta, eikä salasanaa kysytä koskaan.
• Palautussalalauseesi – joka avaa saman avaimen millä tahansa koneella ilman avainsäilöä.

Juuri tämä toinen kääre tekee varmuuskopioista laitteesta riippumattomia. Aiemmat versiot sitoivat automaattiset varmuuskopiot yhteen fyysiseen koneeseen; enää niitä ei voi palauttaa vain siellä, missä ne tehtiin.

Palautussalalause asetetaan kerran, kun teet ensimmäisen varmuuskopion. Se on pakollinen, eikä sitä voi ohittaa – varmuuskopio ei valmistu ennen kuin salalause on asetettu, nimenomaan siksi, ettei käsiisi voi koskaan jäädä varmuuskopioita, joita et pysty palauttamaan. Sen jälkeen varmuuskopiot tehdään kysymättä mitään. Voit vaihtaa salalauseen milloin tahansa Varmuuskopioiden hallinnassa, ja vaihdon jälkeenkin kaikki nykyiset varmuuskopiot ovat palautettavissa.

Varmuuskopioiden hallinnassa voit selata minkä tahansa varmuuskopion sisältöä, hakea kaikista varmuuskopioista, verrata varmuuskopiota nykyiseen tietokantaan ja palauttaa valikoiden yksittäisiä viestejä. Palautus varmistaa varmuuskopion täydellisyyden ja eheyden ennen kuin se koskee nykyiseen profiiliisi – katkennut tai vioittunut varmuuskopio hylätään, ja nykyiset tietosi jäävät koskemattomiksi. Kun palautus on valmis, näet tietojoukko kerrallaan, mitä palautui.

Poistoloki ja palautus

Jokainen poistettu viesti tallentuu paikalliseen poistolokiin koko sisältöineen. Voit selata ja hakea poistettuja viestejä ja palauttaa niitä yhdellä napsautuksella 90 päivän ajan (aika on määritettävissä). Varmuuskopiotiedostoa ei tarvita – palautus poistolokista tapahtuu välittömästi.