Lyhyesti

GravesMail on paikallisuus edellä toimiva sähköpostiohjelma. Sähköpostisi ladataan tietokoneellesi, ja se pysyy siellä. En ylläpidä palvelimia, jotka tallentavat, lukevat tai käsittelevät sähköpostiasi. En kerää henkilötietoja. En näytä mainoksia. En myy tietoja. Postistasi ei lähde mitään tietokoneeltasi; postipalvelinta käytetään vain postisi noutamiseen ja lähettämiseen.

Mitä tietoja GravesMail tallentaa

Kaikki tiedot tallennetaan paikallisesti käyttäjäprofiiliisi – Windowsissa kansioon %LocalAppData%\GravesMail tai vastaavaan sijaintiin macOS:ssä, Linuxissa, iOS:ssä ja Androidissa. Tässä on, mitä säilytetään ja miksi:

Salattu tietokanta. Postisi ja lähes kaikki siihen liittyvät tietosi ovat yhdessä kokonaan salatussa tietokannassa: jokainen viesti, aihe, lähettäjä ja liite sekä yhteystietosi, kalenterisi, allekirjoituksesi, pikasääntösi ja lisäsääntösi, turvallisten ja estettyjen luettelosi, lähettäjien maine, roskapostisuodattimen opetus, säädetyt kynnysarvot ja suojausasetukset. Nämä olivat aiemmin irrallisia tiedostoja tietokannan rinnalla; ne yhdistettiin tietokantaan, mikä vahvisti niiden suojausta. Ne eivät siirtyneet pois laitteeltasi – mikään ei muuttunut siinä, missä tietosi sijaitsevat, ainoastaan siinä, miten ne tallennetaan paikallisesti.

Tiedostot, jotka pysyvät tietokannan ulkopuolella, koska niitä tarvitaan ennen kuin tietokanta voidaan avata tai koska niiden on säilyttävä, vaikka tietokanta menetettäisiin:

• Tietokannan avain – säilytetään laitteesi omassa suojatussa avainsäilössä (Windowsissa DPAPI, macOS:ssä ja iOS:ssä Keychain, Androidissa Keystore, Linuxissa järjestelmän salaisuussäilö). Se ei voi sijaita tietokannassa, jonka se avaa.
• Tallennetut tilien tunnistetiedot – IMAP/SMTP-salasanasi ja OAuth2-tunnisteesi, salattuina laitteesi avaimella ja tarkoituksella erillään postitietokannasta.
• bmk.wrap – varmuuskopioiden pääavaimesi käärityt kopiot. Tiedosto on varmuuskopioidesi yhteydessä eikä tietokannassa, nimenomaan siksi, että varmuuskopion tarkoitus on säilyä, vaikka tuo tietokanta menetettäisiin.
• PGP-avainrenkaasi – säilytetään vakiomuodossaan levyllä, ja yksityinen avainrengas on suojattu omalla käärintäavaimellaan.
• backups/ – salatut varmuuskopiotiedostot (.gravesmail-backup), AES-256-salattu varmuuskopioiden pääavaimella
• Varmuuskopioluettelo – paikallinen metatietohakemisto varmuuskopioiden sisällön välitöntä selaamista varten (ei koskaan lähetetä minnekään)
• Poistoloki – poistettujen viestien sisältö palautusta varten (säilytysaika määritettävissä: 30–365 päivää)

Sovelluksen mukana toimitettavat tiedostot – roskapostin perusmalli, YARA-perussäännöt ja maantieteellinen hakutaulukko – ovat ohjelman resursseja, eivät sinun tietojasi. Ne korvataan päivityksen yhteydessä, eikä niitä sisällytetä varmuuskopioihin.

Tietoja ei tallenneta tämän hakemiston ulkopuolelle. Tietoja ei tallenneta etäpalvelimille.

Mitä tietoja GravesMail ei koskaan kerää

• Sähköpostiosoitteet – eivät sinun eivätkä kenenkään sinulle kirjoittavan
• Sähköpostien sisältö – ei aiherivejä, leipätekstejä eikä liitteitä
• Lähettäjä- tai vastaanottajatiedot
• Salasanat tai tunnistetiedot
• Yhteystietoluettelot
• Kalenteritapahtumat
• IP-osoitteet
• Nimesi, sijaintisi tai mitkään tunnistavat tiedot
• Käyttötavat – en seuraa, kuinka usein avaat sovelluksen, mitä sähköposteja luet tai miten käsittelet viestejä
• Kaatumisraportit tai diagnostiikka – mitään ei koskaan lähetetä automaattisesti
• Asennus- tai rekisteröintitiedot – luotavaa tiliä ei ole

Varmuuskopioiden tietosuoja

GravesMail luo salattuja varmuuskopioita koko paikallisesta profiilistasi:

• Ajastetut ja manuaaliset laitekohtaiset varmuuskopiot (täydet ja erotusvarmuuskopiot) salataan AES-256:lla varmuuskopioiden pääavaimella, jonka GravesMail luo ja jota se hallitsee. Avainta ei koskaan tallenneta salaamattomana – vain käärityt kopiot säilytetään, käärittyinä sekä laitteesi suojatulla avainsäilöllä (joten tavalliset varmuuskopiot eivät tarvitse salasanaa) että kerran asettamallasi palautussalalauseella. Palautussalalause on pakollinen, ei valinnainen, ja juuri sen ansiosta nämä varmuuskopiot voidaan palauttaa uudelle tai vaihdetulle laitteelle. En koskaan saa avainta enkä salalausetta, enkä voi palauttaa kumpaakaan puolestasi.
• Siirrettävä salasanavarmuuskopio (Tiedosto → Siirrettävä salasanavarmuuskopio…) sinetöidään valitsemallasi salasanalla käyttäen PBKDF2-SHA256-avaimenvenytystä 600 000 iteraatiolla. Jos kadotat tuon salasanan, varmuuskopiota ei voi avata – tämä on tarkoituksellista, eikä sitä voi avata kukaan, en minäkään.
• Varmuuskopioiden metatietoluettelot tallennetaan paikallisesti, eikä niitä koskaan lähetetä minnekään. Niiden avulla varmuuskopioiden sisältöä voi selata välittömästi purkamatta koko varmuuskopion salausta.
• Tilannevedokset ennen toimintoa luodaan turvaverkoksi ennen tietoja hävittäviä toimintoja (pikasääntötarkistukset, tyhjennykset, roskakorin tyhjennys).

Kaikki varmuuskopiotiedostot pysyvät tietokoneellasi, ellet itse kopioi niitä muualle. Siirrettävä salasanavarmuuskopio sisältää koko profiilisi – myös tallennetut tilien salasanat ja avaimet, jotka avaavat postisi – ja sitä suojaa vain valitsemasi salasana, joten säilytä tiedosto turvallisessa paikassa.

Pikasääntöjen tietosuoja

Pikasääntöjen tiedot tallennetaan paikalliseen salattuun tietokantaasi. Viestit, jotka sääntösi siirtävät sivuun roskapostiloukkuun, sääntöjen vastaavuusluettelot ja itse sääntömääritykset eivät koskaan lähde tietokoneeltasi. Kun poistat säännön tai tyhjennät sen pysäyttämät viestit, tiedot poistetaan pysyvästi paikallisesta tietokannastasi.

Miten tunnistetietosi tallennetaan

GravesMail pitää kaiken postisi ja henkilökohtaiset tietosi salattuina levossa jokaisella laitteella. Salausavain säilytetään laitteesi omassa suojatussa avainsäilössä – Windowsissa DPAPI, macOS:ssä ja iOS:ssä Keychain, Androidissa Keystore ja Linuxissa järjestelmän salaisuussäilö – joten tiedot ovat luettavissa vain sinun laitteellasi. Jos tallennat sähköpostisi tunnistetiedot, ne salataan samalla tavalla, ja niiden salauksen voi purkaa vain samalla tietokoneella sama käyttäjä, joka ne tallensi.

GravesMail ei koskaan lähetä tunnistetietojasi millekään muulle palvelimelle kuin sähköpostipalvelusi postipalvelimelle sisäänkirjautumista varten.

Microsoft-/Outlook-tileillä, jotka käyttävät OAuth2-todennusta, GravesMail käyttää Microsoft Identity Platformin vakiomenettelyä. Todennustunnisteet tallennetaan paikallisesti samalla salauksella. GravesMaililla ei ole pääsyä Microsoft-tilisi salasanaan.

Sijaintitarkistus on paikallinen

GravesMail selvittää saapuvan postin maantieteellisen alkuperän yhtenä roskapostisignaaleistaan. Haku tehdään kokonaan laitteellasi sovellukseen sisällytetystä taulukosta, joka yhdistää maat IP-osoitealueisiin. DNS-kyselyjä, ulkoisia API-kutsuja tai kolmannen osapuolen hakupalvelua ei ole. Viestiesi metatietoja ei koskaan lähetetä minnekään paikannettaviksi.

IP-paikannustiedot: DB-IP (db-ip.com), lisenssi CC BY 4.0.

Ulkoisten kuvien esto ja suojaus seurantapikseleiltä

Ulkoiset kuvat estetään oletuksena, jotta lähettäjät eivät saa selville IP-osoitettasi, sitä, että avasit heidän sähköpostinsa, milloin avasit sen ja millä laitteella.

Seurantapikselit (näkymättömät 1×1-kuvat, joita käytetään yksinomaan lukukuittauksiin perustuvaan seurantaan) tunnistetaan ja poistetaan erikseen. Asetukset ovat toisistaan riippumattomat – voit ladata kuvat lataamatta seuraimia.

Päästä päähän -salaus (OpenPGP)

GravesMail tukee standardinmukaista OpenPGP:tä päästä päähän salattua ja allekirjoitettua postia varten. Kaikki tapahtuu laitteellasi: avaimet luodaan paikallisesti, salainen avaimesi ei koskaan lähde koneeltasi, ja salauksen ja sen purkamisen tekee sovellus. Avainten talletusta (escrow) ei ole, avaimia ei ladata avainpalvelimelle, eikä välissä ole mitään minun palveluani – minulla ei ole kopiota avaimistasi, enkä voi lukea salattua postiasi.

Mitä PGP piilottaa: viestin leipätekstin ja liitteet.

Mitä PGP ei piilota: aiheriviä, vastaanottaja-, lähettäjä- ja kopiokenttiä eikä sitä, milloin viesti lähetettiin. Ne kulkevat salaamattomina ja pysyvät näkyvissä postin infrastruktuurille, myös palveluntarjoajallesi. Tämä on itse PGP/MIMEn rajoitus, joka koskee jokaista sitä toteuttavaa ohjelmaa, Proton mukaan lukien – GravesMail ei voi korjata sitä, enkä aio antaa ymmärtää muuta.

PGP suojaa postia matkalla – sieppaukselta ja sähköpostipalvelultasi. Se ei ole väline forensisen tutkinnan estämiseen. Kun viestin salaus on purettu, viesti tallennetaan GravesMailin paikalliseen salattuun tietokantaan, jotta voit hakea ja lukea sitä ilman verkkoyhteyttä; levyllä sitä suojaa siis laitteesi salaus eikä PGP.

Jos menetät salaisen avaimesi, sille salattu posti on pysyvästi palauttamattomissa. En voi palauttaa sitä puolestasi – talletettua kopiota ei ole, ja sama suunnitteluratkaisu tarkoittaa, ettei kukaan muukaan voi lukea postiasi.

Salasanalla suojattu sähköposti

Kun lähetät viestin valinnalla Suojaa salasanalla (avainta ei tarvita), viestin leipäteksti ja jokainen liite salataan laitteellasi tavalliseen AES-256-ZIP-tiedostoon ennen kuin viesti lähtee. Sinetöinti tapahtuu paikallisesti – mitään ei ladata minulle tai millekään palvelulle sen tekemiseksi, eikä välissä ole palvelinta.

Salasana on yksin sinun. GravesMail näyttää sen sinulle kerran, ei koskaan lähetä sitä sähköpostilla, ei koskaan tallenna sitä eikä koskaan välitä sitä minnekään. Minulla ei ole siitä kopiota eikä mitään keinoa avata lähettämääsi. Kerrot sen vastaanottajallesi muuta kanavaa pitkin – puhelimitse, tekstiviestillä tai salatussa keskustelussa.

Suojana on salasana eikä mikään muu. Vanhenemista tai etäperuutusta ei ole, koska kumpikin vaatisi palvelimen, jota en tarkoituksella ylläpidä. Kuten missä tahansa sähköpostissa, viestin aihe, vastaanottaja- ja lähettäjätiedot sekä ajankohta kulkevat edelleen salaamattomina.

Vielä yksi rajoitus, sanottuna suoraan, koska sinun kuuluu kuulla se minulta eikä huomata itse: ZIP-muoto salaa tiedostojen sisällön, ei arkiston rakennetta. Viestin sieppaaja näkee silti, montako tiedostoa sisällä on, sekä niiden likimääräiset koot ja aikaleimat – mutta ei niiden nimiä, jotka korvataan neutraaleilla paikkamerkeillä, eikä niiden sisältöä. Jos jo nämä metatiedot kertoisivat jollekulle jotain, minkä sinun on pidettävä yksityisenä, tämä toiminto ei ole oikea työkalu kyseiselle viestille.

Viiden alustan versiot

• Windows – Microsoft Store -version on allekirjoittanut Microsoft
• Linux – tulossa pian
• macOS – tulossa pian
• iOS – tulossa pian
• Android – tulossa pian

Kaikkien viiden alustan tietosuojaominaisuudet ovat identtiset. Mikään alusta ei lähetä tietoja kotiin eikä toimi tietosuojan kannalta eri tavalla. Yksi ominaisuus eroaa aidosti alustoittain, ja se on tunnistuksen rajoitus eikä tietosuojan: Järjestelmän virustorjunta -suojauskerros käyttää Windowsissa asennettua virustorjuntaasi eikä ole käytettävissä macOS:ssä, Linuxissa eikä mobiilissa, joissa se ilmoittaa ”ei käytettävissä” sen sijaan, että antaisi ymmärtää tehneensä tarkistuksen, jota se ei koskaan tehnyt.

Kolmansien osapuolten palvelut

GravesMail muodostaa yhteyden vain sähköpostipalveluusi (salattujen TLS/SSL-yhteyksien kautta) ja Microsoft-tilien osalta Microsoft Identity Platformiin OAuth2-todennusta varten. GravesMail ei käytä mitään mainosverkostoja, analytiikkapalveluja, kaatumisraportointipalveluja tai seuranta-alustoja.

Ostot

Microsoft Storen kautta tehdyt GravesMail-ostot käsittelee Microsoft. GravesWare, LLC ei vastaanota eikä tallenna maksukorttitietoja.

Avoin tarkastettavaksi

Tietokantasi, varmuuskopiotiedostosi ja poistolokisi ovat kaikki tavallisia paikallisia tiedostoja, jotka ovat sinun hallinnassasi – levylläsi, käyttäjäprofiilissasi, jossa voit nähdä, kopioida tai poistaa ne. Mitään ei ole piilotettu palveluun, jota et voi tarkastaa, eikä mikään soita kotiin.

Lasten tietosuoja

GravesMail ei tietoisesti kerää mitään tietoja keneltäkään, ei myöskään alle 13-vuotiailta lapsilta. Koska GravesMail ei oletuksena kerää henkilötietoja, siitä ei aiheudu erityisiä riskejä lasten tietosuojalle.

Muutokset tähän käytäntöön

Jos tätä tietosuojakäytäntöä päivitetään, muutokset julkaistaan tällä sivulla uudella ”Päivitetty viimeksi” -päivämäärällä. Koska GravesMail ei kerää sähköpostiosoitteita tai yhteystietoja, en voi ilmoittaa muutoksista sinulle suoraan. Kehotan tarkistamaan tämän sivun ajoittain.

Yhteystiedot

Yhteenveto