Ukratko

GravesMail je klijent e-pošte koji radi lokalno na prvom mjestu. Vaša se e-pošta preuzima na vaše računalo i ondje ostaje. Ne upravljam poslužiteljima koji pohranjuju, čitaju ili obrađuju vašu e-poštu. Ne prikupljam osobne podatke. Ne prikazujem oglase. Ne prodajem podatke. Ništa o vašoj e-pošti ne napušta vaše računalo; poslužitelj pošte koristi se samo za dohvaćanje i slanje vaše e-pošte.

Koje podatke GravesMail pohranjuje

Svi se podaci pohranjuju lokalno u vašem korisničkom profilu — u mapi %LocalAppData%\GravesMail u Windowsu ili na odgovarajućem mjestu u sustavima macOS, Linux, iOS i Android. Evo što se čuva i zašto:

Šifrirana baza podataka. Vaša pošta i gotovo svi vaši prateći podaci nalaze se u jednom spremištu u kojem je šifrirana cijela baza podataka: svaka poruka, predmet, pošiljatelj i privitak, kao i vaši kontakti, kalendar, potpisi, Brza pravila i napredna pravila, popisi sigurnih i blokiranih, ugled pošiljatelja, naučeni filtar za spam, podešeni pragovi i sigurnosne postavke. To su prije bile zasebne datoteke pokraj baze podataka; objedinjene su u njoj, čime je njihova zaštita ojačana. Nisu premještene s vašeg uređaja — ništa se nije promijenilo u tome gdje se vaši podaci nalaze, samo u tome kako se lokalno pohranjuju.

Datoteke koje ostaju izvan baze podataka, jer su potrebne prije nego što se ona može otvoriti ili moraju preživjeti njezin gubitak:

• Ključ baze podataka — čuva se u vlastitom sigurnom spremištu ključeva vašeg uređaja (DPAPI u Windowsu, Keychain u sustavima macOS/iOS, Keystore u Androidu, sustavsko spremište tajni u Linuxu). Ne može se nalaziti u bazi podataka koju otključava.
• Spremljene vjerodajnice računa — vaše IMAP/SMTP lozinke i OAuth2 tokeni, šifrirani ključem vašeg uređaja i namjerno odvojeni od baze podataka pošte.
• bmk.wrap — omotane kopije vašeg glavnog ključa sigurnosnih kopija. Nalazi se uz vaše sigurnosne kopije, a ne u bazi podataka, upravo zato što sigurnosna kopija postoji da bi preživjela gubitak te baze podataka.
• Vaš prsten PGP ključeva — čuva se u svojem standardnom formatu na disku, s time da je prsten privatnih ključeva pod vlastitim ključem za omatanje.
• backups/ — šifrirane datoteke sigurnosnih kopija (.gravesmail-backup), AES-256 pod glavnim ključem sigurnosnih kopija
• Katalog sigurnosnih kopija — lokalni indeks metapodataka za trenutačno pregledavanje sadržaja sigurnosnih kopija (nikada se ne prenosi)
• Zapisnik brisanja — sadržaj izbrisanih poruka radi oporavka (čuvanje se može podesiti: 30–365 dana)

Datoteke koje se isporučuju s aplikacijom — osnovni model spama, osnovna YARA pravila i tablica za geografsko pretraživanje — resursi su programa, a ne vaši podaci. Zamjenjuju se pri ažuriranju i izuzete su iz sigurnosnih kopija.

Nikakvi se podaci ne pohranjuju izvan ovog direktorija. Nikakvi se podaci ne pohranjuju na udaljenim poslužiteljima.

Koje podatke GravesMail nikada ne prikuplja

• Adrese e-pošte — ni vaše ni adrese onih koji vam pišu
• Sadržaj e-pošte — ni retke predmeta, ni tijela poruka, ni privitke
• Podatke o pošiljatelju ili primatelju
• Lozinke ili vjerodajnice
• Popise kontakata
• Događaje u kalendaru
• IP adrese
• Vaše ime, lokaciju ili bilo kakve identifikacijske podatke
• Obrasce upotrebe — ne pratim koliko često otvarate aplikaciju, koje poruke čitate ni kako postupate s porukama
• Izvješća o rušenju ili dijagnostiku — ništa se nikada ne šalje automatski
• Podatke o instalaciji ili registraciji — nema računa koji treba otvoriti

Privatnost sigurnosnih kopija

GravesMail izrađuje šifrirane sigurnosne kopije vašeg cijelog lokalnog profila:

• Zakazane i ručne sigurnosne kopije lokalne za uređaj (potpune i diferencijalne) šifrirane su algoritmom AES-256 pod ključem koji GravesMail generira i kojim upravlja, a zove se glavni ključ sigurnosnih kopija. Ključ se nikada ne pohranjuje u otvorenom obliku — čuvaju se samo omotane kopije, omotane i sigurnim spremištem ključeva vašeg uređaja (tako da redovite sigurnosne kopije ne trebaju lozinku) i frazom koju postavljate jednom, a zove se pristupna fraza za oporavak. Pristupna fraza za oporavak obavezna je, a ne neobavezna, i upravo ona omogućuje da se te sigurnosne kopije vrate na novom ili zamijenjenom uređaju. Ja nikada ne primam ni ključ ni pristupnu frazu i ne mogu vam vratiti ni jedno ni drugo.
• Prijenosna sigurnosna kopija s lozinkom (Datoteka → Prijenosna sigurnosna kopija s lozinkom…) zapečaćena je lozinkom koju sami odaberete, uz rastezanje ključa PBKDF2-SHA256 sa 600.000 iteracija. Ako izgubite tu lozinku, sigurnosna kopija ne može se otvoriti — tako je zamišljeno, i ne može je otvoriti nitko, uključujući mene.
• Katalozi metapodataka sigurnosnih kopija pohranjuju se lokalno i nikada se ne prenose. Omogućuju trenutačno pregledavanje sadržaja sigurnosnih kopija bez dešifriranja cijele sigurnosne kopije.
• Snimke prije operacije izrađuju se prije destruktivnih operacija (skeniranja brzim pravilima, čišćenja, pražnjenja smeća) kao sigurnosna mreža.

Sve datoteke sigurnosnih kopija ostaju na vašem računalu, osim ako ih sami ne kopirate drugamo. Prijenosna sigurnosna kopija s lozinkom sadrži vaš cijeli profil — uključujući spremljene lozinke računa i ključeve koji otključavaju vašu poštu — a štiti je samo lozinka koju ste odabrali, zato datoteku čuvajte na sigurnom mjestu.

Privatnost Brzih pravila

Podaci Brzih pravila pohranjuju se u vašoj lokalnoj šifriranoj bazi podataka. Poruke koje vaša pravila odlože u Zamku za spam, njihovi popisi podudaranja i same definicije pravila nikada ne napuštaju vaše računalo. Kad izbrišete pravilo ili očistite ono što je uhvatilo, podaci se trajno uklanjaju iz vaše lokalne baze podataka.

Kako se pohranjuju vaše vjerodajnice

GravesMail svu vašu poštu i osobne podatke drži šifriranima u mirovanju na svakom uređaju. Ključ za šifriranje čuva se u vlastitom sigurnom spremištu ključeva vašeg uređaja — DPAPI u Windowsu, Keychain u sustavima macOS i iOS, Keystore u Androidu i sustavsko spremište tajni u Linuxu — pa su podaci čitljivi samo na vašem uređaju. Ako spremite svoje vjerodajnice e-pošte, one se šifriraju na isti način i može ih dešifrirati samo isti korisnik koji ih je spremio, na istom računalu.

GravesMail nikada ne prenosi vaše vjerodajnice nijednom poslužitelju osim poslužitelju e-pošte vašeg davatelja usluge, i to radi prijave.

Za račune Microsoft/Outlook koji upotrebljavaju provjeru autentičnosti OAuth2 GravesMail upotrebljava standardni tijek platforme Microsoft Identity Platform. Tokeni za provjeru autentičnosti pohranjuju se lokalno uz isto šifriranje. GravesMail nema pristup lozinci vašeg Microsoftova računa.

Geolokacija je lokalna

GravesMail kao jedan od signala spama utvrđuje geografsko podrijetlo dolazne pošte. To se pretraživanje u cijelosti odvija na vašem uređaju, prema tablici zemalja i raspona IP adresa ugrađenoj u aplikaciju. Nema DNS upita, nema vanjskih API poziva i nema usluge pretraživanja treće strane. Metapodaci vaših poruka nikada se nikamo ne šalju radi geolokacije.

Podaci o IP geolokaciji: DB-IP (db-ip.com), pod licencom CC BY 4.0.

Blokiranje vanjskih slika i zaštita od piksela za praćenje

Vanjske slike blokirane su prema zadanim postavkama kako pošiljatelji ne bi saznali vašu IP adresu, to da ste otvorili njihovu poruku, kada i s kojeg uređaja.

Pikseli za praćenje (nevidljive slike veličine 1×1 koje služe isključivo za praćenje putem potvrda o čitanju) otkrivaju se i uklanjaju zasebno. To su neovisne kontrole — možete učitati slike bez učitavanja alata za praćenje.

Šifriranje s kraja na kraj (OpenPGP)

GravesMail podržava standardni OpenPGP za poštu šifriranu s kraja na kraj i potpisanu. Sve se događa na vašem uređaju: ključevi se generiraju lokalno, vaš tajni ključ nikada ne napušta vaše računalo, a šifriranje i dešifriranje obavlja aplikacija. Nema pologa ključeva, nema prijenosa na poslužitelj ključeva i nema nijedne moje usluge na tom putu — nemam kopiju vaših ključeva i ne mogu čitati vašu šifriranu poštu.

Što PGP skriva: tijelo poruke i privitke.

Što PGP ne skriva: redak predmeta, polja Prima/Šalje/Cc i vrijeme slanja poruke. Oni putuju u otvorenom obliku i ostaju vidljivi infrastrukturi e-pošte, uključujući vašeg davatelja usluge. To je ograničenje samog PGP/MIME-a, zajedničko svakom klijentu koji ga implementira, uključujući Proton — nije nešto što GravesMail može ispraviti i nije nešto za što ću davati naslutiti da je drukčije.

PGP štiti poštu u prijenosu — od presretanja i od vašeg davatelja usluge e-pošte. Nije alat protiv forenzike. Nakon što se poruka dešifrira, sprema se u predmemoriju u lokalnoj šifriranoj bazi podataka GravesMaila kako biste je mogli pretraživati i čitati izvan mreže, što znači da je na disku štiti šifriranje vašeg uređaja, a ne PGP.

Ako izgubite tajni ključ, pošta šifrirana za njega trajno je nepovratna. Ne mogu vam je vratiti — nema položene kopije, a to je ista projektna odluka zbog koje ni itko drugi ne može čitati vašu poštu.

E-pošta zaštićena lozinkom

Kad poruku šaljete uz Zaštiti lozinkom (ključ nije potreban), tijelo poruke i svaki privitak šifriraju se na vašem uređaju u standardnu AES-256 ZIP arhivu prije nego što poruka ode. Pečaćenje se odvija lokalno — ništa se radi toga ne prenosi ni meni ni ikakvoj usluzi i na tom putu nema poslužitelja.

Lozinka je samo vaša. GravesMail vam je prikazuje jednom, nikada je ne šalje e-poštom, nikada je ne pohranjuje i nikada je ne prenosi. Nemam njezinu kopiju i ne mogu nikako otvoriti ono što ste poslali. S primateljem je dijelite drugim kanalom — telefonom, SMS-om ili šifriranim chatom.

Zaštita je lozinka i ništa drugo. Nema isteka ni opoziva na daljinu, jer bi oboje zahtijevalo poslužitelj koji namjerno ne držim. Kao kod svake e-pošte, predmet poruke, polja Prima/Šalje i vrijeme slanja i dalje putuju u otvorenom obliku.

Još jedno ograničenje, rečeno otvoreno jer je bolje da ga čujete od mene nego da ga sami otkrijete: format ZIP šifrira sadržaj datoteka, a ne strukturu arhive. Svatko tko presretne poruku i dalje može vidjeti koliko je datoteka unutra te njihove približne veličine i vremenske oznake — ali ne i njihove nazive, koji su zamijenjeni neutralnim zamjenskim nazivima, ni njihov sadržaj. Ako bi već ti metapodaci nekome otkrili nešto što vam mora ostati privatno, ova značajka nije pravi alat za tu poruku.

Verzije za pet platformi

• Windows — verziju iz trgovine Microsoft Store potpisuje Microsoft
• Linux — uskoro
• macOS — uskoro
• iOS — uskoro
• Android — uskoro

Svih pet platformi ima jednaka svojstva privatnosti. Nijedna platforma ne šalje podatke kući niti se u pogledu privatnosti ponaša drukčije. Jedna se mogućnost doista razlikuje po platformama, a riječ je o ograničenju otkrivanja, a ne privatnosti: sloj zaštite AV sustava u Windowsu upotrebljava vaš instalirani antivirusni program, a nije dostupan u sustavima macOS i Linux ni na mobilnim uređajima, gdje prijavljuje „nije dostupno“ umjesto da daje naslutiti skeniranje koje nikada nije obavio.

Usluge trećih strana

GravesMail se povezuje samo s vašim davateljem usluge e-pošte (šifriranim TLS/SSL vezama) i, za Microsoftove račune, s platformom Microsoft Identity Platform radi provjere autentičnosti OAuth2. GravesMail ne upotrebljava nikakve oglašivačke mreže, analitičke usluge, usluge izvješćivanja o rušenju ni platforme za praćenje.

Kupnje

Kupnje GravesMaila putem trgovine Microsoft Store obrađuje Microsoft. GravesWare, LLC ne prima i ne pohranjuje podatke o platnim karticama.

Otvoreno za uvid

Vaša baza podataka, datoteke sigurnosnih kopija i zapisnik brisanja obične su lokalne datoteke pod vašom kontrolom — na vašem disku, u vašem korisničkom profilu, gdje ih možete vidjeti, kopirati ili izbrisati. Ništa nije skriveno u usluzi koju ne možete pregledati i ništa se ne javlja kući.

Privatnost djece

GravesMail svjesno ne prikuplja nikakve podatke ni od koga, uključujući djecu mlađu od 13 godina. Budući da GravesMail prema zadanim postavkama ne prikuplja osobne podatke, ne predstavlja poseban rizik za privatnost djece.

Promjene ovih pravila

Ako se ova pravila o privatnosti ažuriraju, promjene će biti objavljene na ovoj stranici s novim datumom „Zadnje ažuriranje“. Budući da GravesMail ne prikuplja adrese e-pošte ni podatke za kontakt, ne mogu vas izravno obavijestiti o promjenama. Preporučujem da povremeno provjerite ovu stranicu.

Kontakt

Sažetak