Arhitektura: IMAP prijenos → lokalna pohrana → analiza

GravesMail IMAP poslužitelj vašeg davatelja usluge e-pošte koristi isključivo kao prijenosni sloj. Poruke za prikaz nikada ne čitam s IMAP-a — to bi bilo sporo i nepouzdano. Umjesto toga događa se sljedeće:

1. Dohvaćanje s IMAP-a — Poruke se preuzimaju s poslužitelja vašeg davatelja usluge putem šifrirane veze.
2. Privremeni smještaj u DMZ — Nove poruke dolaze u lokalno prihvatno područje (SQLite) prije nego što ih vidite.
3. Sigurnosna analiza u 7 slojeva — Svaka poruka i svaki privitak prolaze kroz svih sedam Slojeva zaštite na vašem računalu, uključujući YARA skeniranje zlonamjernog softvera.
4. Filtriranje brzim pravilima — Poruke koje odgovaraju vašim osobnim brzim pravilima automatski se razvrstavaju prema vašem pravilu: odlažu se u Zamku za spam radi pregleda, premještaju ili brišu.
5. Prebacivanje u Ulaznu poštu, Spam ili Zlonamjerni softver — Čiste poruke stižu u Ulaznu poštu. Spam ide u Spam. Poruke u kojima je pronađen zlonamjerni softver idu u zasebnu mapu Zlonamjerni softver, a opasni privici uklanjaju se i zadržavaju.
6. Brisanje s poslužitelja (neobavezno) — Ako ste omogućili „Brisanje s poslužitelja“, poruka se uklanja kod vašeg davatelja usluge.

SQLite je jedini izvor istine. Sve što vidite u sučelju dolazi iz vaše lokalne baze podataka, a ne s IMAP-a.

Sinkronizacija u dvije faze za velike poštanske sandučiće

Kad prvi put povežete račun — osobito onaj s tisućama poruka — GravesMail koristi pristup u dvije faze:

Faza 1 (Brzi početak): Najprije se dohvaća 500 najnovijih poruka po mapi, obično za manje od minute. Odmah možete početi čitati i raditi.

Faza 2 (Sinkronizacija u pozadini): Preostale poruke tiho se preuzimaju u pozadini. Pokazatelj napretka na traci stanja prikazuje postotak dovršenosti i procijenjeno preostalo vrijeme. U bilo kojem trenutku možete pauzirati, nastaviti ili zaustaviti. Napredak se sprema ako zatvorite aplikaciju.

Sedam Slojeva zaštite

Svaka dolazna poruka i njezini privici prolaze kroz sedam neovisnih Slojeva zaštite. Svaki sloj traži drugu vrstu problema i odlučuje samostalno. Ako ijedan sloj podigne uzbunu, poruka se tretira kao spam — nema prosjeka ni zajedničke ocjene koju treba dosegnuti. Jedna je uzbuna dovoljna. To je model „7 slojeva, logika ILI“.

Pošteno izvještavanje — bez lažne sigurnosti

Otvorite Svojstva bilo koje poruke da biste vidjeli raščlambu po slojevima: ocjenu svakog sloja, prag na kojem diže uzbunu i njegovo stanje — Uzbuna, Čisto ili Nije dostupno. Kad se skener nije mogao pokrenuti, GravesMail prijavljuje „Nije dostupno“. Nikada se ne prikazuje kao „Čisto“. Antivirusni program koji se ne uspije pokrenuti, a zatim svejedno prijavi da je sve čisto, najgora je vrsta sigurnosnog alata jer vjerujete presudi koja zapravo nikada nije donesena.

Na zaslonu Sigurnosni mehanizam (Alati → Sigurnosni mehanizam ili, na mobilnim uređajima, Postavke → Sigurnosni mehanizam) svaki od sedam slojeva možete zasebno podesiti klizačem osjetljivosti od 0 do 100 % — 0 % isključuje sloj, a 100 % je najosjetljivije. Ne postoji jedna globalna kontrola; slojeve podešavate pojedinačno. Isti zaslon prikazuje stanje skenera zlonamjernog softvera uživo, uređivač pravila za zemlje i popis svih detektora, samo za čitanje, s težinom koju svaki ima.

Geolokacija bez vanjskog upita

Heuristički sloj uzima u obzir odakle poruka potječe. Ta je provjera isključivo lokalna. GravesMail se isporučuje s ugrađenom tablicom raspona IP adresa po zemljama i koristi je na vašem uređaju — nema DNS upita, nema poziva vanjskih API-ja i nema usluge treće strane na tom putu. Metapodaci vaših poruka nikada ne napuštaju vaš uređaj radi geolokacije.

Vi odlučujete što rezultat znači. Na zaslonu Sigurnosni mehanizam zemlje možete označiti kao Sigurno (bez dodatnog signala spama) ili Prijetnja (snažan signal). Oba su popisa na početku prazna, pa se obična međunarodna pošta nikada ne kažnjava dok sami ne odaberete pravila.

Podaci o IP geolokaciji: DB-IP (db-ip.com), pod licencom CC BY 4.0.

Blokiranje vanjskih slika i uklanjanje piksela za praćenje

Kad primite poruku e-pošte, pošiljatelji u nju mogu ugraditi vanjske slike koje se učitavaju s njihovih poslužitelja. Kad se slika učita, pošiljatelj doznaje vašu IP adresu, da ste poruku otvorili, kada ste je otvorili i kojim uređajem.

GravesMail prema zadanim postavkama blokira vanjske slike. Zasebno otkriva i uklanja nevidljive piksele za praćenje (slike veličine 1×1 koje služe isključivo za praćenje čitanja). To su neovisne kontrole — možete učitati slike bez učitavanja piksela za praćenje ili obrnuto.

Šifriranje s kraja na kraj (OpenPGP)

GravesMail podržava OpenPGP — otvoreni, interoperabilni standard za e-poštu šifriranu s kraja na kraj i potpisanu. Privatnu poštu možete razmjenjivati sa svakim tko koristi PGP, na bilo kojem sustavu e-pošte (Proton Mail, Thunderbird, gpg i drugi), a ne samo s drugim korisnicima programa GravesMail. To je pravi PGP/MIME, a ne GravesMailov dijalekt.

Ključevi

Generirajte ključ u Upravitelju PGP ključeva — preporučuje se Ed25519/Curve25519, a RSA-4096 dostupan je radi kompatibilnosti sa starijim PGP softverom. Izvezite svoj javni ključ da bi vam drugi mogli pisati i uvezite njihove da biste vi mogli pisati njima. Nakon uvoza GravesMail prikazuje otisak prsta ključa; potvrdite ga s tom osobom drugim kanalom — pozivom ili osobno — i označite ga kao provjeren. Neprovjeren ključ i dalje radi, ali ostaje označen kao neprovjeren jer ta oznaka znači točno jedno: još niste potvrdili da taj ključ doista pripada toj osobi.

Ključevi se prepoznaju po otisku prsta, a ne po adresi e-pošte. Normalno je imati dva ključa za jednu adresu — stari i novi ili RSA i Ed25519 ključ jedan uz drugi — pa svaka radnja djeluje na ključ koji ste odabrali, a ne na prvi koji se slučajno podudara s adresom.

Ključ možete povezati s kontaktom, pa šifriranje za tu osobu jednostavno radi, bez traženja po Upravitelju ključeva. Povezivanjem ključa šifriranje se ne uključuje; i dalje ga birate za svaku poruku.

Slanje i čitanje

Prozor Nova poruka ima kontrolu Sigurnost s tri načina — Potpiši, Šifriraj ili Potpiši + šifriraj (preporučeno za privatnu poštu). Zadano je isključena, pa se obična pošta ne mijenja. Šifrirana pošta koju primite dešifrira se automatski i prikazuje zatvoreni lokot 🔒; potpisana pošta prikazuje status potpisa, a neispravan potpis prikazuje se upadljivo, a ne diskretno. Poruka šifrirana za ključ koji nemate na tom uređaju to izričito kaže umjesto da vam prikaže prazno tijelo poruke.

Kad šaljete šifriranu poštu, GravesMail je šifrira i za vaš vlastiti ključ, pa kopiju u mapi Poslano i dalje možete čitati. Bez toga vlastitu sačuvanu kopiju ne biste mogli dešifrirati. To je uvijek uključeno.

Pravilo od kojeg se ne odstupa

Ako odaberete šifriranje, a neki primatelj nema upotrebljiv ključ, slanje se blokira. GravesMail staje i pita: odustati ili izričito odabrati slanje bez šifriranja — što je namjerna druga radnja koja poimence navodi ugrožene primatelje, nikada zadana i nikada automatska. Ne postoji put u kodu kojim bi odabir šifriranja tiho doveo do slanja običnog teksta. To se provodi u samom mehanizmu, a ne samo u sučelju, i pokriveno je automatiziranim testom.

Što PGP štiti, a što ne

PGP šifrira tijelo poruke i privitke. Ne skriva predmet, polja Prima/Šalje/Kopija ni vrijeme slanja poruke — ti podaci putuju nešifrirani. To je isto ograničenje koje ima svaki PGP/MIME sustav, uključujući Proton; nije nedostatak programa GravesMail, ali trebate to znati prije nego što se na njega oslonite.

PGP štiti vašu poštu u prijenosu — od presretanja i od vašeg davatelja usluge e-pošte. To nije alat protiv forenzike: nakon dešifriranja pošta se sprema u lokalnu šifriranu bazu podataka programa GravesMail kako biste je mogli pretraživati i čitati izvan mreže.

Još dva ograničenja, rečena otvoreno: GravesMail ne obavlja automatsko pretraživanje poslužitelja ključeva ni WKD-a i nema mrežu povjerenja — ključeve uvozite sami i otiske prsta provjeravate sami, što je namjeran izbor kako se ne bi vjerovalo mrežnoj usluzi o tome tko je tko. A poruke s ugrađenim potpisom u čistom tekstu (inline clearsigned) prikazuju se kao čitljiv tekst bez provjere potpisa; GravesMail ih prikazuje umjesto da tvrdi da postoji potpis koji zapravo nije provjerio.

Interoperabilnost

GravesMailov PGP provjeren je dvosmjerno u odnosu na GnuPG — referentnu implementaciju OpenPGP-a — s ključevima generiranima u programu GravesMail, i za Ed25519 i za RSA-4096: GravesMail šifrira, a gpg dešifrira, gpg šifrira, a GravesMail dešifrira, a potpisi se provjeravaju u oba smjera. To je automatizirani skup testova, a ne jednokratna ručna provjera.

Potvrđen je i Proton Mail — ručno, a ne automatiziranim testom. Stvarna šifrirana pošta poslana je i pročitana u oba smjera između programa GravesMail i aktivnog Proton računa. To je testiranje usput otkrilo tri stvarne pogreške, koje su ispravljene: Protonova stroga provjera ključeva odbijala je GravesMailove Ed25519 ključeve, postojala je pogreška s istekom ključa, a privici su pri dešifriranju tiho ispadali iz šifrirane pošte. Sve su tri ispravljene i interoperabilnost s Protonom radi u oba smjera.

Thunderbird nisam testirao posebno za PGP, pa to ovdje neću tvrditi. To je standardni OpenPGP klijent i trebao bi raditi, ali „trebao bi“ nije isto što i provjereno, a radije ću vam reći što je doista provjereno.

E-pošta zaštićena lozinkom (ključ nije potreban)

PGP je pravi alat kad i vaš sugovornik koristi PGP. Kad ga ne koristi — a većina ljudi ga ne koristi — upotrijebite mogućnost zaštite lozinkom opisanu u nastavku.

Ponekad trebate poslati nešto privatno nekome tko nema ključeve za šifriranje ni poseban softver — samo običan račun e-pošte. GravesMailova mogućnost Zaštiti lozinkom (ključ nije potreban) zatvara vašu poruku i sve privitke u pravi, standardni ZIP šifriran algoritmom AES-256, koji primatelj otvara besplatnim, uobičajenim softverom na bilo kojoj platformi.

Koristi se industrijski standardni format WinZip AES-256 (AE-2) — isto snažno šifriranje koje već razumiju 7-Zip, Keka i mobilne aplikacije za arhiviranje. To nije spremnik koji radi samo u programu GravesMail niti je slabi, probojni „ZipCrypto“ koji su koristili stariji ZIP alati. Interoperabilnost je dokazana sa stvarnim standardnim softverom za arhiviranje, a AE-2 format šifriranja arhive učvršćen je automatiziranim testom — pa ono što izlazi doista je standardna datoteka, a ne nešto što samo naizgled radi između dviju kopija iste aplikacije.

Ono što se zapravo šalje jedan je privitak, protected-message.zip. Vaša stvarna poruka i svaki privitak šifrirani su unutar njega; vidljivo tijelo poruke sadrži samo jednostavno napisane upute za otvaranje. Nazivi privitaka unutar arhive zamjenjuju se neutralnim zamjenskim nazivima, a stvarni se nazivi čuvaju u šifriranom manifestu koji se pojavljuje kad primatelj unese lozinku — pa ne cure ni nazivi datoteka.

Pri slanju GravesMail traži da postavite jaku lozinku (najmanje 12 znakova s velikim i malim slovima, dvije znamenke i dva simbola), uz kontrolni popis koji se ažurira uživo i polje za potvrdu, tako da tipfeler nikada ne može onemogućiti pristup primatelju. Nakon toga lozinku prikazuje jednom, s gumbom Kopiraj, i podsjeća vas da je prenesete drugim kanalom — telefonom, SMS-om ili chatom. GravesMail nikada ne nudi slanje lozinke e-poštom i nikada je nigdje ne pohranjuje niti prenosi. GravesMail također može otvoriti zaštićene poruke koje primi, na licu mjesta, na svakoj platformi.

Brza pravila: vaša osobna trijaža e-pošte

Brza pravila omogućuju izradu pravila za trijažu jednim klikom za određene pošiljatelje, domene ili obrasce u predmetu. Svako pravilo dobiva vlastiti gumb na alatnoj traci. Kad pravilo primijenite na poruku, pošiljatelj se automatski dodaje na popis podudaranja tog pravila — pravilo postaje pametnije što ga više koristite.

Pravilo može poštu koja mu odgovara poslati u Zamku za spam da bude odložena radi pregleda, premjestiti je u mapu, izbrisati je ili automatski izbrisati nakon određenog broja dana. Pravila se mogu postaviti tako da se automatski primjenjuju tijekom sinkronizacije, pa poruke koje im odgovaraju nikada ne stignu u Ulaznu poštu, a cijele mape možete skenirati u nekoliko sekundi kako biste odjednom uhvatili staru poštu. Sve što je pravilo uhvatilo može se u bilo kojem trenutku pregledati, vratiti ili trajno ukloniti.

Vaša pravila imaju prednost pred filtrom spama. Poruku koja odgovara nekom od vaših pravila razvrstava vaše pravilo prije nego što je filtar spama stigne preusmjeriti — pa pošiljatelj za kojeg ste napisali pravilo neće pogrešno završiti u Spamu. Filtar se i dalje izvršava i ocjenjuje poruku, a njegovu presudu možete vidjeti u Svojstvima; samo ne nadjačava vaše pravilo. Jedina je iznimka zlonamjerni softver: skeniranje zlonamjernog softvera uvijek pobjeđuje, pa pravilo nikada ne može isporučiti opasan privitak u vašu Ulaznu poštu.

Popis Filtrirano prikazuje sve što su uhvatila sva vaša pravila unutar pomičnog vremenskog razdoblja (od 1 do 96 sati na računalu, zadano 24). Svaki popis za pregled — Pravila, Filtrirano i Spam — ima vlastiti okvir za pretraživanje.

Otvorite uhvaćenu poruku i prva je kartica Sigurni pretpregled: poruka prikazana onako kako bi izgledala u oknu za čitanje, ali s onesposobljenim skriptama, blokiranim pikselima za praćenje i udaljenim slikama koje se učitavaju samo za pouzdane pošiljatelje. Ima gumbe Odgovori, Odgovori svima i Proslijedi, pa na uhvaćenu poruku možete odgovoriti bez prethodnog vraćanja u Ulaznu poštu — poruka ostaje gdje jest, a vaš odgovor odlazi kao obična poruka.

Zadržani privici

Kad YARA ili antivirusni program vašeg sustava otkrije zlonamjerni softver u privitku, GravesMail automatski poduzima sljedeće:

• Poruka se odlaže — premješta se u posebnu mapu Zlonamjerni softver, odvojenu od Spama.
• Privitak se uklanja — opasna datoteka uklanja se iz poruke. Tijelo poruke zadržava se kako biste vidjeli tko ju je poslao.
• Podaci su sačuvani — bajtovi privitka čuvaju se lokalno. U prozoru Zadržani privici možete pregledati svaku zadržanu stavku, vidjeti zašto je zadržana, spremiti je na disk ako joj vjerujete ili je trajno izbrisati. Zadržane stavke čuvaju se dok vi ne odlučite; nikada se ne gube bez obavijesti.
• Potpuno objašnjenje — svojstva poruke točno pokazuju koje se YARA pravilo ili koji AV mehanizam aktivirao, koja je datoteka zahvaćena i koja je radnja poduzeta.

Također u bilo kojem trenutku možete desnom tipkom miša kliknuti bilo koji privitak i odabrati Skeniraj na zlonamjerni softver da biste pokrenuli skeniranje na zahtjev. YARA pravila mogu se ažurirati ručno u Postavkama ili automatski, jednom tjedno.

Automatske šifrirane sigurnosne kopije

GravesMail automatski izrađuje šifrirane sigurnosne kopije vašeg cijelog profila — ne samo baze podataka pošte, nego i kontakata, kalendara, pravila, popisa sigurnih i blokiranih, podešenih pragova, ugleda pošiljatelja, naučenog filtra za spam, prstena PGP ključeva i spremljenih vjerodajnica računa. (Datoteke koje se isporučuju s aplikacijom i zamjenjuju pri ažuriranju, poput tablice za geografsko pretraživanje i osnovnog modela spama, namjerno su izostavljene.)

• Potpune sigurnosne kopije — cjelovita kopija profila, šifrirana algoritmom AES-256
• Diferencijalne sigurnosne kopije — samo ono što se promijenilo od posljednje potpune sigurnosne kopije; pri vraćanju se automatski prolazi unatrag kroz cijeli lanac
• Snimke prije operacije — prije svake destruktivne operacije (skeniranje brzim pravilima, čišćenje, pražnjenje smeća)

Rasporedom upravljate iz Upravitelja sigurnosnih kopija: ili interval (isključeno, dnevno, tjedno ili prilagođeni broj sati, uz potpunu sigurnosnu kopiju svakih N dana) ili tjedna mreža u kojoj se za svaki dan postavlja Nema, Potpuna ili Diferencijalna. Ograničenja čuvanja za potpune i diferencijalne sigurnosne kopije te za snimke mogu se podesiti i nikada ne uklanjaju vašu jedinu kopiju.

Kako su te sigurnosne kopije šifrirane

Vlastite zakazane i ručne sigurnosne kopije GravesMaila zapečaćene su ključem koji se zove glavni ključ sigurnosnih kopija, a aplikacija ga sama generira i njime upravlja umjesto vas. Sam ključ nikada se ne zapisuje na disk u otvorenom obliku — pohranjuju se samo omotane kopije, a omotan je na dva načina:

• Sigurnim spremištem ključeva vašeg uređaja — tako da se redovite sigurnosne kopije izrađuju tiho, bez ikakvog upita za lozinku, uvijek.
• Vašom pristupnom frazom za oporavak — koja isti ključ odmotava na bilo kojem računalu, bez ikakvog spremišta ključeva.

Upravo to drugo omatanje čini ove sigurnosne kopije neovisnima o uređaju. Ranije verzije vezale su automatske sigurnosne kopije uz jedno fizičko računalo; više se ne mogu vratiti samo ondje gdje su izrađene.

Pristupnu frazu za oporavak postavljate jednom, kad prvi put izrađujete sigurnosnu kopiju. Ona je obavezna i ne može se preskočiti — sigurnosna kopija neće se dovršiti dok je ne postavite, upravo zato da vam se nikada ne dogodi da imate sigurnosne kopije koje ne možete vratiti. Nakon toga sigurnosne kopije izrađuju se bez daljnjih upita. Možete je promijeniti u bilo kojem trenutku u Upravitelju sigurnosnih kopija, a nakon promjene sve postojeće sigurnosne kopije i dalje se mogu vratiti.

Upravitelj sigurnosnih kopija omogućuje vam pregledavanje sadržaja bilo koje sigurnosne kopije, pretraživanje svih sigurnosnih kopija, usporedbu s trenutačnom bazom podataka i selektivni oporavak pojedinačnih poruka. Vraćanje provjerava je li sigurnosna kopija potpuna i neoštećena prije nego što dirne vaš trenutačni profil — skraćena ili oštećena sigurnosna kopija odbija se, a vaši postojeći podaci ostaju netaknuti — a po završetku vam pokazuje što je vraćeno, skup po skup podataka.

Zapisnik brisanja i oporavak

Svaka izbrisana poruka bilježi se u lokalnom zapisniku brisanja s cijelim sadržajem tijela poruke. Izbrisane poruke možete pregledavati, pretraživati i jednim klikom oporaviti do 90 dana (može se podesiti). Datoteka sigurnosne kopije nije potrebna — oporavak iz zapisnika brisanja je trenutačan.