Seni Bina: Pengangkutan IMAP → Storan Setempat → Analisis

GravesMail menggunakan pelayan IMAP penyedia e-mel anda semata-mata sebagai lapisan pengangkutan. Saya tidak pernah membaca daripada IMAP untuk memaparkan mesej — itu perlahan dan tidak boleh diharap. Sebaliknya, inilah yang berlaku:

1. Ambil daripada IMAP — Mesej dimuat turun daripada pelayan penyedia anda melalui sambungan yang disulitkan.
2. Letak sementara dalam DMZ — Mesej baharu masuk ke kawasan pementasan setempat (SQLite) sebelum anda melihatnya.
3. Analisis keselamatan 7 lapisan — Setiap mesej dan lampiran melalui kesemua tujuh Lapisan Perlindungan pada komputer anda, termasuk pengimbasan perisian hasad YARA.
4. Penapisan Peraturan Pantas — Mesej yang sepadan dengan Peraturan Pantas peribadi anda difailkan oleh peraturan anda secara automatik: diasingkan dalam Perangkap Spam untuk semakan, dialihkan atau dipadam.
5. Naikkan ke Peti Masuk, Spam atau Perisian Hasad — Mesej yang bersih sampai ke Peti Masuk anda. Spam masuk ke Spam. Mesej yang positif perisian hasad masuk ke folder Perisian Hasad yang berasingan, dengan lampiran berbahaya ditanggalkan dan ditahan.
6. Padam daripada pelayan (pilihan) — Jika anda telah mendayakan “Padam daripada pelayan”, mesej itu dibuang daripada penyedia anda.

SQLite ialah satu-satunya sumber kebenaran. Semua yang anda lihat dalam antara muka datang daripada pangkalan data setempat anda, bukan daripada IMAP.

Penyegerakan Dua Fasa untuk Peti Mel Besar

Apabila anda menyambungkan akaun buat kali pertama — terutamanya akaun dengan beribu-ribu mesej — GravesMail menggunakan pendekatan dua fasa:

Fasa 1 (Mula Pantas): 500 mesej terbaharu bagi setiap folder diambil dahulu, biasanya dalam masa kurang daripada seminit. Anda boleh mula membaca dan bekerja dengan segera.

Fasa 2 (Penyegerakan Latar Belakang): Mesej yang selebihnya dimuat turun secara senyap di latar belakang. Penunjuk kemajuan dalam bar status menunjukkan peratusan siap dan anggaran baki masa. Anda boleh menjeda, menyambung semula atau menghentikannya pada bila-bila masa. Kemajuan disimpan jika anda menutup aplikasi.

Tujuh Lapisan Perlindungan

Setiap mesej masuk dan lampirannya melalui tujuh Lapisan Perlindungan yang bebas antara satu sama lain. Setiap lapisan mencari jenis masalah yang berbeza dan membuat keputusan sendiri. Jika mana-mana satu lapisan mencetuskan amaran, mesej itu dianggap sebagai spam — tiada purata dan tiada skor gabungan yang perlu dicapai. Satu amaran sudah memadai. Inilah model “OR 7 lapisan”.

Pelaporan yang jujur — tiada keyakinan palsu

Buka Sifat mana-mana mesej untuk melihat pecahan mengikut lapisan: skor setiap lapisan, ambang yang mencetuskan amarannya, dan keadaannya — Mencetuskan amaran, Bersih atau Tidak tersedia. Apabila pengimbas tidak dapat berjalan, GravesMail melaporkan “Tidak tersedia”. Ia tidak pernah ditunjukkan sebagai “Bersih”. Antivirus yang gagal dimulakan tetapi tetap melaporkan bersih ialah alat keselamatan yang paling teruk, kerana anda mempercayai keputusan yang tidak pernah benar-benar dibuat.

Skrin Enjin Keselamatan (Alatan → Enjin Keselamatan, atau Tetapan → Enjin Keselamatan pada mudah alih) membolehkan anda melaras setiap satu daripada tujuh lapisan itu secara berasingan dengan peluncur kepekaan 0–100% — 0% mematikan lapisan, 100% paling peka. Tiada satu kawalan global; anda melaras lapisan satu demi satu. Skrin yang sama menunjukkan status semasa pengimbas perisian hasad, editor dasar negara, dan inventori baca sahaja bagi setiap pengesan serta sekuat mana ia diambil kira.

Geolokasi Tanpa Carian Luar

Lapisan Heuristik mengambil kira tempat asal sesuatu mesej. Carian itu setempat sepenuhnya. GravesMail disertakan dengan jadual terbenam negara-ke-julat-IP dan merujuknya pada peranti anda — tiada pertanyaan DNS, tiada panggilan API luaran, dan tiada perkhidmatan pihak ketiga dalam laluan itu. Metadata mesej anda tidak pernah meninggalkan peranti anda untuk ditentukan geolokasinya.

Anda yang menentukan makna keputusannya. Dalam skrin Enjin Keselamatan anda boleh menandai negara sebagai Selamat (tiada isyarat spam tambahan) atau Ancaman (isyarat yang kuat). Kedua-dua senarai bermula kosong, jadi mel antarabangsa biasa tidak dikenakan penalti sehingga anda memilih dasar.

Data geolokasi IP oleh DB-IP (db-ip.com), dilesenkan di bawah CC BY 4.0.

Penyekatan Imej Luaran & Penanggalan Piksel Penjejakan

Apabila anda menerima e-mel, penghantar boleh membenamkan imej luaran yang dimuatkan daripada pelayan mereka. Apabila imej itu dimuatkan, penghantar mengetahui alamat IP anda, bahawa anda membuka e-mel itu, bila anda membukanya, dan peranti yang anda gunakan.

GravesMail menyekat imej luaran secara lalai. Secara berasingan, ia mengesan dan menanggalkan piksel penjejakan yang tidak kelihatan (imej 1×1 yang digunakan semata-mata untuk menjejak sama ada mesej dibaca). Kedua-duanya kawalan yang bebas — anda boleh memuatkan imej tanpa memuatkan penjejak, atau sebaliknya.

Penyulitan Hujung ke Hujung (OpenPGP)

GravesMail menyokong OpenPGP — standard terbuka dan saling boleh kendali untuk e-mel yang disulitkan hujung ke hujung dan ditandatangani. Anda boleh bertukar-tukar mel peribadi dengan sesiapa sahaja yang menggunakan PGP, pada mana-mana sistem mel (Proton Mail, Thunderbird, gpg dan lain-lain), bukan dengan pengguna GravesMail lain sahaja. Ini PGP/MIME sebenar, bukan dialek GravesMail.

Kunci

Jana kunci dalam Pengurus Kunci PGP — Ed25519/Curve25519 disyorkan, dengan RSA-4096 tersedia untuk keserasian dengan perisian PGP yang lebih lama. Eksport kunci awam anda supaya orang lain boleh menulis kepada anda, dan import kunci mereka untuk menulis kepada mereka. Selepas mengimport, GravesMail menunjukkan cap jari kunci itu; sahkannya dengan orang tersebut melalui saluran lain — panggilan telefon, atau secara bersemuka — dan tandai kunci itu sebagai disahkan. Kunci yang belum disahkan masih berfungsi tetapi kekal ditandai sebagai belum disahkan, kerana tanda itu bermaksud satu perkara sahaja: anda belum mengesahkan bahawa kunci ini benar-benar milik orang itu.

Kunci dikenal pasti melalui cap jari, bukan melalui alamat e-mel. Mempunyai dua kunci bagi satu alamat adalah perkara biasa — satu lama dan satu baharu, atau kunci RSA dan kunci Ed25519 bersebelahan — jadi setiap tindakan dikenakan pada kunci yang anda pilih, bukan kunci pertama yang kebetulan sepadan dengan alamat itu.

Anda boleh memautkan kunci kepada kenalan, supaya penyulitan kepada orang itu terus berfungsi tanpa perlu mencari-cari dalam Pengurus Kunci. Memautkan kunci tidak menghidupkan penyulitan; anda masih memilihnya bagi setiap mesej.

Menghantar dan membaca

Tetingkap Karang mempunyai kawalan Keselamatan dengan tiga mod — Tandatangan, Sulitkan atau Tandatangan + Sulitkan (disyorkan untuk mel peribadi). Secara lalai ia dimatikan, jadi mel biasa tidak berubah. Mel disulitkan yang anda terima dinyahsulit secara automatik dan menunjukkan mangga tertutup 🔒; mel yang ditandatangani menunjukkan status tandatangannya, dan tandatangan yang tidak sah ditunjukkan dengan ketara, bukan secara senyap. Mesej yang disulitkan kepada kunci yang tiada pada peranti itu menyatakannya dengan jelas dan tidak menunjukkan kandungan kosong kepada anda.

Apabila anda menghantar mel yang disulitkan, GravesMail turut menyulitkannya kepada kunci anda sendiri, supaya salinan dalam folder Item Dihantar kekal boleh dibaca oleh anda. Tanpa itu, salinan simpanan anda sendiri tidak dapat dinyahsulit. Ini sentiasa dihidupkan.

Peraturan yang tidak boleh dilenturkan

Jika anda memilih untuk menyulitkan dan seorang penerima tidak mempunyai kunci yang boleh digunakan, penghantaran disekat. GravesMail berhenti dan bertanya: batal, atau pilih secara jelas untuk menghantar tanpa disulitkan — tindakan kedua yang disengajakan dan menamakan penerima yang berisiko, tidak pernah menjadi pilihan lalai dan tidak pernah automatik. Tiada laluan kod yang menyebabkan pilihan penyulitan menghasilkan penghantaran teks biasa secara senyap. Perkara itu dikuatkuasakan dalam enjin itu sendiri, bukan dalam antara muka sahaja, dan diliputi oleh ujian automatik.

Apa yang PGP lindungi, dan apa yang tidak

PGP menyulitkan kandungan mesej dan lampiran. Ia tidak menyembunyikan baris subjek, medan Kepada/Daripada/SK, atau bila mesej dihantar — semua itu bergerak tanpa disulitkan. Itulah had yang sama pada setiap sistem PGP/MIME, termasuk Proton; ia bukan kelemahan GravesMail, tetapi anda patut mengetahuinya sebelum bergantung padanya.

PGP melindungi mel anda semasa dalam perjalanan — daripada pemintasan dan daripada penyedia mel anda. Ia bukan alat antiforensik: setelah dinyahsulit, mel dicache dalam pangkalan data setempat GravesMail yang disulitkan supaya anda boleh mencari dan membacanya di luar talian.

Dua lagi had, dinyatakan dengan jelas: GravesMail tidak membuat carian automatik pada pelayan kunci atau WKD dan tidak mempunyai jaringan kepercayaan (web of trust) — anda mengimport kunci sendiri dan mengesahkan cap jari sendiri, iaitu pilihan yang disengajakan supaya tidak perlu mempercayai perkhidmatan rangkaian tentang identiti seseorang. Dan mesej bertandatangan jelas sebaris (clearsigned) ditunjukkan sebagai teks yang boleh dibaca tanpa pengesahan tandatangan; GravesMail memaparkannya dan tidak mendakwa tandatangan yang belum benar-benar disemaknya.

Kesalingbolehkendalian

PGP GravesMail disahkan secara dua hala terhadap GnuPG — pelaksanaan rujukan OpenPGP — menggunakan kunci yang dijana oleh GravesMail, bagi Ed25519 dan juga RSA-4096: GravesMail menyulitkan dan gpg menyahsulit, gpg menyulitkan dan GravesMail menyahsulit, dan tandatangan disahkan dalam kedua-dua arah. Itu suit ujian automatik, bukan semakan manual sekali sahaja.

Proton Mail juga telah disahkan — secara manual, bukan melalui ujian automatik. Mel disulitkan yang sebenar telah dihantar dan dibaca dalam kedua-dua arah antara GravesMail dan akaun Proton yang aktif. Ujian itu jugalah yang menemui dan membetulkan tiga kecacatan sebenar: pengesahan kunci Proton yang ketat menolak kunci Ed25519 GravesMail, pepijat tamat tempoh kunci, dan lampiran yang digugurkan secara senyap daripada mel disulitkan semasa penyahsulitan. Ketiga-tiganya telah dibetulkan, dan saling kendali dengan Proton berfungsi dalam kedua-dua arah.

Thunderbird belum saya uji khusus untuk PGP, jadi saya tidak akan mendakwanya di sini. Ia klien OpenPGP standard dan sepatutnya berfungsi, tetapi “sepatutnya” tidak sama dengan disahkan, dan saya lebih suka memberitahu anda apa yang benar-benar telah disemak.

E-mel Dilindungi Kata Laluan (Tiada Kunci Diperlukan)

PGP ialah alat yang betul apabila pihak yang anda hubungi juga menggunakan PGP. Apabila mereka tidak menggunakannya — dan kebanyakan orang tidak — gunakan pilihan dilindungi kata laluan di bawah.

Kadangkala anda perlu menghantar sesuatu yang sulit kepada seseorang yang tidak mempunyai kunci penyulitan dan perisian khas — hanya akaun e-mel biasa. Pilihan Lindungi dengan kata laluan (tiada kunci diperlukan) dalam GravesMail mengedap mesej anda dan sebarang lampiran di dalam ZIP sebenar yang disulitkan dengan AES-256 standard, yang dibuka oleh penerima dengan perisian biasa yang percuma pada mana-mana platform.

Ini menggunakan format WinZip AES-256 (AE-2) yang menjadi standard industri — penyulitan kuat yang sama yang sudah difahami oleh 7-Zip, Keka dan aplikasi pengarkib mudah alih. Ia bukan bekas khusus GravesMail, dan ia bukan “ZipCrypto” yang lemah dan boleh dipecahkan seperti yang digunakan oleh alat ZIP lama. Kesalingbolehkendalian dibuktikan terhadap perisian pengarkib standard yang sebenar, dengan format penyulitan AE-2 arkib itu dikunci oleh ujian automatik — jadi apa yang dihantar ialah fail yang benar-benar standard, bukan sesuatu yang hanya kelihatan berfungsi antara dua salinan aplikasi yang sama.

Apa yang sebenarnya dihantar ialah satu lampiran, protected-message.zip. Mesej sebenar anda dan setiap lampiran disulitkan di dalamnya; kandungan e-mel yang kelihatan hanya membawa arahan dalam bahasa mudah untuk membukanya. Nama lampiran di dalam arkib digantikan dengan nama ganti yang neutral, manakala nama sebenar disimpan dalam manifes disulitkan yang muncul setelah penerima memasukkan kata laluan — jadi nama fail juga tidak bocor.

Apabila anda menghantar, GravesMail meminta anda menetapkan kata laluan yang kuat (sekurang-kurangnya 12 aksara dengan huruf besar dan huruf kecil, dua digit dan dua simbol), dengan senarai semak langsung dan medan pengesahan supaya kesilapan menaip tidak akan menghalang penerima daripada membukanya. Selepas itu ia menunjukkan kata laluan itu sekali, dengan butang Salin, dan mengingatkan anda supaya menyampaikannya melalui saluran lain — melalui telefon, mesej teks atau sembang. GravesMail tidak pernah menawarkan untuk menghantar kata laluan itu melalui e-mel, dan tidak pernah menyimpan atau menghantarnya ke mana-mana. GravesMail juga boleh membuka mesej dilindungi yang diterimanya, terus di tempatnya, pada setiap platform.

Peraturan Pantas: Saringan E-mel Peribadi Anda

Peraturan Pantas membolehkan anda mencipta peraturan saringan satu klik untuk penghantar, domain atau corak subjek tertentu. Setiap peraturan mendapat butang bar alatnya sendiri. Apabila anda menggunakan peraturan pada mesej, penghantarnya ditambah secara automatik ke senarai padanan peraturan itu — peraturan itu menjadi lebih bijak semasa anda menggunakannya.

Peraturan boleh menghantar mel yang sepadan ke Perangkap Spam untuk diasingkan bagi semakan, mengalihkannya ke folder, memadamnya, atau memadamnya secara automatik selepas beberapa hari. Peraturan boleh ditetapkan supaya digunakan secara automatik semasa penyegerakan, jadi mesej yang sepadan tidak pernah sampai ke Peti Masuk anda, dan anda boleh mengimbas seluruh folder dalam beberapa saat untuk menangkap mel lama secara pukal. Apa-apa yang ditangkap oleh peraturan boleh disemak, dipulihkan atau dihapuskan pada bila-bila masa.

Peraturan anda diutamakan berbanding penapis spam. Mesej yang sepadan dengan salah satu peraturan anda difailkan oleh peraturan anda sebelum penapis spam dapat melencongkannya — jadi penghantar yang telah anda tuliskan peraturan untuknya tidak akan tersalah hantar ke Spam. Penapis itu masih berjalan dan masih memberi skor kepada mesej, dan anda boleh melihat keputusannya dalam Sifat; ia cuma tidak mengatasi peraturan anda. Satu-satunya pengecualian ialah perisian hasad: imbasan perisian hasad sentiasa menang, jadi peraturan tidak sekali-kali boleh menghantar lampiran berbahaya ke Peti Masuk anda.

Senarai Ditapis menunjukkan semua yang ditangkap oleh kesemua peraturan anda dalam tetingkap masa bergulir (1 hingga 96 jam pada desktop, 24 secara lalai). Setiap senarai semakan — Peraturan, Ditapis dan Spam — mempunyai kotak cariannya sendiri.

Buka mesej yang ditangkap dan tab pertama ialah Pratonton Selamat: mesej dipaparkan seperti rupanya dalam anak tetingkap bacaan anda, tetapi dengan skrip dilumpuhkan, piksel penjejakan disekat, dan imej jauh dimuatkan hanya untuk penghantar dipercayai. Ia mempunyai butang Balas, Balas Semua dan Majukan, jadi anda boleh menjawab mesej yang ditangkap tanpa memulihkannya ke Peti Masuk anda terlebih dahulu — mesej itu kekal di tempatnya dan balasan anda dihantar sebagai mesej biasa.

Lampiran yang Ditahan

Apabila YARA atau antivirus sistem anda mengesan perisian hasad dalam lampiran, GravesMail mengambil tindakan berikut secara automatik:

• Mesej diasingkan — dialihkan ke folder Perisian Hasad yang khusus, berasingan daripada Spam.
• Lampiran ditanggalkan — fail berbahaya itu dibuang daripada mesej. Kandungan mesej dikekalkan supaya anda dapat melihat siapa yang menghantarnya.
• Data dipelihara — bait lampiran disimpan secara setempat. Anda boleh menyemak setiap item yang ditahan, melihat sebab ia ditahan, menyimpannya ke cakera jika anda mempercayainya, atau memadamnya secara kekal, melalui Lampiran yang Ditahan. Item yang ditahan disimpan sehingga anda membuat keputusan; ia tidak akan hilang secara senyap.
• Penjelasan penuh — sifat mesej menunjukkan dengan tepat peraturan YARA atau enjin AV yang tercetus, fail yang terjejas, dan tindakan yang diambil.

Anda juga boleh klik kanan mana-mana lampiran pada bila-bila masa dan memilih Imbas Perisian Hasad untuk menjalankan imbasan atas permintaan. Peraturan YARA boleh dikemas kini secara manual dalam Tetapan atau secara automatik mengikut jadual mingguan.

Sandaran Disulitkan Automatik

GravesMail mencipta sandaran disulitkan bagi keseluruhan profil anda secara automatik — bukan pangkalan data mel sahaja, tetapi juga kenalan, kalendar, peraturan, senarai selamat dan senarai sekatan, ambang yang ditala, reputasi penghantar, penapis spam yang terlatih, gelang kunci PGP, dan bukti kelayakan akaun yang disimpan. (Fail yang disertakan bersama aplikasi dan diganti semasa kemas kini, seperti jadual carian geografi dan model spam garis dasar, sengaja tidak dimasukkan.)

• Sandaran penuh — salinan profil yang lengkap, disulitkan dengan AES-256
• Sandaran pembezaan — hanya perkara yang berubah sejak sandaran penuh terakhir; pemulihannya menyusur semula rantaian secara automatik
• Syot kilat pra-operasi — sebelum sebarang operasi yang memusnahkan data (imbasan Peraturan Pantas, penghapusan, pengosongan sampah)

Anda mengawal jadual daripada Pengurus Sandaran: sama ada selang (mati, harian, mingguan, atau bilangan jam tersuai, dengan sandaran penuh setiap N hari) atau grid mingguan yang setiap harinya ditetapkan kepada Tiada, Penuh, atau Pembezaan. Had pengekalan bagi sandaran penuh, pembezaan, dan syot kilat boleh dikonfigurasi dan tidak akan memangkas satu-satunya salinan anda.

Cara Sandaran Ini Disulitkan

Sandaran berjadual dan manual GravesMail sendiri dimeterai dengan Kunci Induk Sandaran yang dijana dan diurus oleh aplikasi untuk anda. Kunci itu sendiri tidak pernah ditulis ke cakera dalam bentuk teks jelas — hanya salinan berbalut yang disimpan, dan ia dibalut dengan dua cara:

• Stor kunci selamat peranti anda — supaya sandaran rutin berjalan secara senyap, tanpa gesaan kata laluan, sama sekali.
• Frasa laluan pemulihan anda — yang membuka balutan kunci yang sama pada mana-mana mesin, tanpa melibatkan stor kunci.

Balutan kedua itulah yang menjadikan sandaran ini tidak bergantung pada peranti. Versi terdahulu mengikat sandaran automatik kepada satu mesin fizikal; kini sandaran itu tidak lagi hanya boleh dipulihkan di tempat ia dibuat.

Anda menetapkan frasa laluan pemulihan sekali sahaja, pada kali pertama anda membuat sandaran. Ia wajib, tidak boleh dilangkau — sandaran tidak akan selesai sehingga frasa laluan ditetapkan, supaya anda tidak akan sekali-kali memegang sandaran yang tidak dapat anda pulihkan. Selepas itu, sandaran berjalan tanpa gesaan lagi. Anda boleh menukarnya pada bila-bila masa daripada Pengurus Sandaran, dan penukaran itu mengekalkan setiap sandaran sedia ada boleh dipulihkan.

Pengurus Sandaran membolehkan anda menyemak imbas kandungan mana-mana sandaran, mencari merentas semua sandaran, membandingkannya dengan pangkalan data semasa anda, dan memulihkan mesej individu secara terpilih. Pemulihan mengesahkan bahawa sandaran itu lengkap dan utuh sebelum menyentuh profil semasa anda — sandaran yang terpotong atau rosak ditolak dan data sedia ada anda tidak disentuh — dan apabila selesai, ia menunjukkan perkara yang kembali, set data demi set data.

Log Pemadaman & Pemulihan

Setiap mesej yang dipadam dirakam dalam log pemadaman setempat bersama kandungan penuhnya. Anda boleh menyemak imbas, mencari, dan memulihkan mesej yang dipadam dengan satu klik sehingga 90 hari (boleh dikonfigurasi). Fail sandaran tidak diperlukan — pemulihan berlaku serta-merta daripada log pemadaman.