Architektura: transport IMAP → lokalny magazyn → analiza

GravesMail używa serwera IMAP twojego dostawcy poczty wyłącznie jako warstwy transportowej. Nigdy nie czytam z IMAP, żeby wyświetlić wiadomości — byłoby to wolne i zawodne. Zamiast tego dzieje się to:

1. Pobranie z IMAP — wiadomości są pobierane z serwera dostawcy przez szyfrowane połączenie.
2. Umieszczenie w DMZ — nowe wiadomości trafiają do lokalnego obszaru przejściowego (SQLite), zanim je zobaczysz.
3. 7-warstwowa analiza zabezpieczeń — każda wiadomość i każdy załącznik przechodzi na twoim komputerze przez wszystkie siedem warstw ochrony, w tym skanowanie YARA pod kątem złośliwego oprogramowania.
4. Filtrowanie szybkimi regułami — wiadomości pasujące do twoich osobistych szybkich reguł są automatycznie obsługiwane zgodnie z regułą: odkładane do pułapki na spam do przejrzenia, przenoszone lub usuwane.
5. Przekazanie do folderu Odebrane, Spam lub Złośliwe oprogramowanie — czyste wiadomości trafiają do Odebranych. Spam trafia do folderu Spam. Wiadomości z wykrytym złośliwym oprogramowaniem trafiają do osobnego folderu Złośliwe oprogramowanie, a niebezpieczne załączniki są z nich usuwane i wstrzymywane.
6. Usunięcie z serwera (opcjonalnie) — jeśli włączono opcję „Usuń z serwera po pobraniu”, wiadomość jest usuwana u dostawcy.

SQLite jest jedynym źródłem prawdy. Wszystko, co widzisz w interfejsie, pochodzi z lokalnej bazy danych, a nie z IMAP.

Dwufazowa synchronizacja dużych skrzynek

Gdy po raz pierwszy podłączasz konto — zwłaszcza takie z tysiącami wiadomości — GravesMail działa w dwóch fazach:

Faza 1 (Szybki start): najpierw pobieranych jest 500 najnowszych wiadomości z każdego folderu, zwykle w niecałą minutę. Możesz od razu zacząć czytać i pracować.

Faza 2 (Synchronizacja w tle): pozostałe wiadomości pobierają się po cichu w tle. Wskaźnik postępu na pasku stanu pokazuje procent ukończenia i szacowany pozostały czas. W każdej chwili możesz wstrzymać, wznowić lub zatrzymać synchronizację. Postęp jest zapisywany, jeśli zamkniesz aplikację.

Siedem warstw ochrony

Każda przychodząca wiadomość i jej załączniki przechodzą przez siedem niezależnych warstw ochrony. Każda warstwa szuka innego rodzaju problemu i decyduje samodzielnie. Jeśli choć jedna warstwa podniesie alarm, wiadomość jest traktowana jako spam — nie ma uśredniania ani łącznego wyniku, który trzeba osiągnąć. Jeden alarm wystarczy. To model „7-warstwowe OR”.

Uczciwe raportowanie — bez fałszywej pewności

Otwórz Właściwości dowolnej wiadomości, aby zobaczyć zestawienie warstwa po warstwie: jaki wynik dała każda warstwa, przy jakim progu podnosi alarm i jaki jest jej stan — Zaalarmowany, Czysty lub Niedostępne. Gdy skaner nie mógł się uruchomić, GravesMail zgłasza „Niedostępne”. Nigdy nie pokazuje wtedy stanu „Czysty”. Antywirus, który się nie uruchamia, a mimo to zgłasza, że wszystko jest czyste, to najgorszy rodzaj narzędzia zabezpieczającego, bo ufasz werdyktowi, którego w rzeczywistości nigdy nie wydano.

Ekran Silnik zabezpieczeń (Narzędzia → Silnik zabezpieczeń albo Ustawienia → Silnik zabezpieczeń na urządzeniach mobilnych) pozwala dostroić każdą z siedmiu warstw osobno suwakiem czułości 0–100% — 0% wyłącza warstwę, 100% to największa czułość. Nie ma jednego globalnego ustawienia; warstwy stroisz pojedynczo. Ten sam ekran pokazuje bieżący stan skanera złośliwego oprogramowania, edytor zasad krajów oraz przeznaczony tylko do odczytu inwentarz wszystkich detektorów z wagą każdego z nich.

Geolokalizacja bez zapytań na zewnątrz

Warstwa heurystyczna bierze pod uwagę, skąd pochodzi wiadomość. To sprawdzenie jest czysto lokalne. GravesMail zawiera wbudowaną tabelę zakresów adresów IP przypisanych do krajów i korzysta z niej na twoim urządzeniu — nie ma zapytań DNS, wywołań zewnętrznych API ani żadnej usługi innej firmy po drodze. Metadane twoich wiadomości nigdy nie opuszczają urządzenia w celu geolokalizacji.

To ty decydujesz, co oznacza wynik. Na ekranie Silnik zabezpieczeń możesz oznaczać kraje jako Bezpieczny (bez dodatkowego sygnału spamu) lub Zagrożenie (silny sygnał). Obie listy są początkowo puste, więc zwykła poczta międzynarodowa nigdy nie jest karana, dopóki nie wybierzesz zasad.

Dane geolokalizacji IP: DB-IP (db-ip.com), na licencji CC BY 4.0.

Blokowanie obrazów zewnętrznych i usuwanie pikseli śledzących

W otrzymywanej wiadomości e-mail nadawca może osadzić obrazy zewnętrzne, które wczytują się z jego serwerów. Gdy obraz się wczyta, nadawca poznaje twój adres IP oraz dowiaduje się, że wiadomość została otwarta, kiedy ją otwarto i na jakim urządzeniu.

GravesMail domyślnie blokuje obrazy zewnętrzne. Niezależnie od tego wykrywa i usuwa niewidoczne piksele śledzące (obrazy 1×1 służące wyłącznie do śledzenia odczytu). To niezależne ustawienia — możesz wczytywać obrazy bez wczytywania trackerów albo odwrotnie.

Szyfrowanie end-to-end (OpenPGP)

GravesMail obsługuje OpenPGP — otwarty, interoperacyjny standard poczty szyfrowanej end-to-end i podpisywanej. Możesz wymieniać prywatną pocztę z każdym, kto używa PGP, w dowolnym systemie pocztowym (Proton Mail, Thunderbird, gpg i inne), a nie tylko z innymi użytkownikami GravesMail. To prawdziwe PGP/MIME, a nie dialekt GravesMail.

Klucze

Wygeneruj klucz w Menedżerze kluczy PGP — zalecany jest Ed25519/Curve25519, a RSA-4096 jest dostępny dla zgodności ze starszym oprogramowaniem PGP. Wyeksportuj swój klucz publiczny, żeby inni mogli do ciebie pisać, i zaimportuj ich klucze, żeby pisać do nich. Po imporcie GravesMail pokazuje odcisk palca klucza; potwierdź go z tą osobą innym kanałem — telefonicznie albo osobiście — i oznacz klucz jako zweryfikowany. Niezweryfikowany klucz nadal działa, ale pozostaje oznaczony jako niezweryfikowany, ponieważ to oznaczenie znaczy dokładnie jedno: nie potwierdzono jeszcze, że ten klucz naprawdę należy do tej osoby.

Klucze są identyfikowane po odcisku palca, a nie po adresie e-mail. Dwa klucze dla jednego adresu to rzecz normalna — stary i nowy albo klucz RSA i Ed25519 obok siebie — więc każda czynność dotyczy wybranego klucza, a nie pierwszego, który akurat pasuje do adresu.

Klucz możesz powiązać z kontaktem, żeby szyfrowanie do tej osoby po prostu działało, bez szukania w Menedżerze kluczy. Powiązanie klucza nie włącza szyfrowania; nadal wybierasz je dla każdej wiadomości.

Wysyłanie i czytanie

Okno Napisz ma kontrolkę Zabezpieczenia z trzema trybami — Podpisz, Szyfruj lub Podpisz + szyfruj (zalecane dla prywatnej poczty). Domyślnie jest wyłączona, więc zwykła poczta pozostaje bez zmian. Zaszyfrowana poczta, którą otrzymujesz, jest odszyfrowywana automatycznie i oznaczana zamkniętą kłódką 🔒; podpisana poczta pokazuje stan podpisu, a nieprawidłowy podpis jest sygnalizowany wyraźnie, a nie dyskretnie. Wiadomość zaszyfrowana kluczem, którego nie masz na danym urządzeniu, mówi o tym wprost, zamiast pokazywać pustą treść.

Gdy wysyłasz zaszyfrowaną pocztę, GravesMail szyfruje ją także twoim własnym kluczem, żeby kopia w folderze Wysłane pozostała dla ciebie czytelna. Bez tego własnej zachowanej kopii nie dałoby się odszyfrować. To jest zawsze włączone.

Reguła, która się nie ugina

Jeśli wybierzesz szyfrowanie, a któryś odbiorca nie ma użytecznego klucza, wysyłka jest blokowana. GravesMail zatrzymuje się i pyta: anulować czy wyraźnie wybrać wysłanie bez szyfrowania — to celowa druga czynność, która wymienia zagrożonych odbiorców, nigdy ustawienie domyślne i nigdy automat. Nie istnieje ścieżka w kodzie, na której wybranie szyfrowania po cichu kończy się wysłaniem jawnego tekstu. Jest to wymuszane w samym silniku, nie tylko w interfejsie, i objęte testem automatycznym.

Co PGP chroni, a czego nie

PGP szyfruje treść wiadomości i załączniki. Nie ukrywa tematu, pól Do/Od/DW ani tego, kiedy wiadomość wysłano — te informacje podróżują jawnie. To samo ograniczenie ma każdy system PGP/MIME, w tym Proton; nie jest to wada GravesMail, ale warto o tym wiedzieć, zanim zaczniesz na tym polegać.

PGP chroni twoją pocztę w drodze — przed przechwyceniem i przed twoim dostawcą poczty. Nie jest narzędziem antyśledczym: po odszyfrowaniu poczta jest przechowywana w lokalnej zaszyfrowanej bazie danych GravesMail, żeby można ją było przeszukiwać i czytać offline.

Dwa kolejne ograniczenia, powiedziane wprost: GravesMail nie wyszukuje automatycznie kluczy na serwerach kluczy ani przez WKD i nie ma sieci zaufania — klucze importujesz samodzielnie i odciski palców weryfikujesz samodzielnie, co jest świadomym wyborem, aby nie ufać usłudze sieciowej w kwestii tego, kto jest kim. Z kolei wiadomości podpisane w treści (clearsign) są pokazywane jako czytelny tekst bez weryfikacji podpisu; GravesMail je wyświetla, zamiast deklarować podpis, którego faktycznie nie sprawdził.

Interoperacyjność

PGP w GravesMail jest weryfikowane dwukierunkowo z GnuPG — referencyjną implementacją OpenPGP — na kluczach wygenerowanych w GravesMail, zarówno Ed25519, jak i RSA-4096: GravesMail szyfruje, a gpg odszyfrowuje, gpg szyfruje, a GravesMail odszyfrowuje, a podpisy weryfikują się w obu kierunkach. To zautomatyzowany zestaw testów, a nie jednorazowe ręczne sprawdzenie.

Proton Mail też jest potwierdzony — ręcznie, a nie testem automatycznym. Prawdziwą zaszyfrowaną pocztę wysłano i odczytano w obu kierunkach między GravesMail a działającym kontem Proton. Te testy pozwoliły też przy okazji znaleźć i naprawić trzy rzeczywiste defekty: odrzucanie kluczy Ed25519 z GravesMail przez rygorystyczną walidację kluczy Proton, błąd wygasania kluczy oraz ciche gubienie załączników z zaszyfrowanej poczty przy odszyfrowywaniu. Wszystkie trzy są naprawione, a współpraca z Proton działa w obu kierunkach.

Thunderbirda nie testowałem konkretnie pod kątem PGP, więc niczego tu nie deklaruję. To standardowy klient OpenPGP i powinien działać, ale „powinien” to nie to samo co zweryfikowane, a wolę mówić, co faktycznie sprawdzono.

Poczta chroniona hasłem (klucz niepotrzebny)

PGP to właściwe narzędzie, gdy twój korespondent też używa PGP. Gdy nie używa — a większość ludzi nie używa — skorzystaj z opisanej niżej opcji ochrony hasłem.

Czasem trzeba wysłać coś prywatnego komuś, kto nie ma kluczy szyfrujących ani specjalnego oprogramowania — tylko zwykłe konto e-mail. Opcja Chroń hasłem (klucz niepotrzebny) w GravesMail zamyka wiadomość i wszystkie załączniki w prawdziwym, standardowym archiwum ZIP szyfrowanym AES-256, które odbiorca otwiera darmowym, zwykłym oprogramowaniem na dowolnej platformie.

Używany jest tu branżowy standard — format WinZip AES-256 (AE-2) — to samo mocne szyfrowanie, które rozumieją już 7-Zip, Keka i mobilne aplikacje do archiwów. Nie jest to kontener działający tylko w GravesMail ani słabe, łamliwe „ZipCrypto”, którego używały starsze narzędzia ZIP. Interoperacyjność jest potwierdzona na prawdziwym, standardowym oprogramowaniu do archiwów, a format szyfrowania AE-2 archiwum jest ustalony testem automatycznym — więc wychodzi naprawdę standardowy plik, a nie coś, co tylko sprawia wrażenie działającego między dwiema kopiami tej samej aplikacji.

W rzeczywistości wychodzi jeden załącznik, protected-message.zip. Właściwa wiadomość i wszystkie załączniki są w nim zaszyfrowane; widoczna treść e-maila zawiera tylko napisaną prostym językiem instrukcję otwarcia. Nazwy załączników w archiwum są zastępowane neutralnymi nazwami zastępczymi, a prawdziwe nazwy znajdują się w zaszyfrowanym manifeście, który pojawia się po wpisaniu hasła przez odbiorcę — więc nazwy plików też nie wyciekają.

Przy wysyłaniu GravesMail prosi o ustawienie silnego hasła (co najmniej 12 znaków, wielkie i małe litery, dwie cyfry i dwa symbole), z aktualizowaną na bieżąco listą kontrolną i polem potwierdzenia, żeby literówka nigdy nie odcięła odbiorcy od wiadomości. Potem pokazuje hasło jeden raz, z przyciskiem Kopiuj, i przypomina, żeby przekazać je innym kanałem — telefonicznie, SMS-em lub na czacie. GravesMail nigdy nie proponuje wysłania hasła e-mailem i nigdy go nigdzie nie przechowuje ani nie przesyła. GravesMail potrafi też otwierać otrzymane chronione wiadomości, na miejscu, na każdej platformie.

Szybkie reguły: twoja osobista segregacja poczty

Szybkie reguły pozwalają tworzyć reguły segregacji uruchamiane jednym kliknięciem dla konkretnych nadawców, domen lub wzorców tematu. Każda reguła dostaje własny przycisk na pasku narzędzi. Gdy zastosujesz regułę do wiadomości, nadawca jest automatycznie dodawany do listy dopasowań tej reguły — reguła staje się mądrzejsza w miarę używania.

Reguła może odłożyć pasującą pocztę do pułapki na spam do przejrzenia, przenieść ją do folderu, usunąć albo usunąć automatycznie po określonej liczbie dni. Reguły można ustawić tak, by stosowały się automatycznie podczas synchronizacji, dzięki czemu pasujące wiadomości nigdy nie trafiają do Odebranych, a całe foldery można przeskanować w kilka sekund, żeby hurtowo wyłapać starą pocztę. Wszystko, co przechwyciła reguła, można w każdej chwili przejrzeć, przywrócić lub trwale usunąć.

Twoje reguły mają pierwszeństwo przed filtrem spamu. Wiadomość dopasowana przez jedną z twoich reguł jest obsługiwana przez twoją regułę, zanim filtr spamu zdąży ją przekierować — więc nadawca, dla którego masz regułę, nie trafi omyłkowo do folderu Spam. Filtr nadal działa i nadal ocenia wiadomość, a jego werdykt widać we Właściwościach; po prostu nie ma pierwszeństwa przed twoją regułą. Jedyny wyjątek to złośliwe oprogramowanie: skanowanie pod jego kątem zawsze wygrywa, więc reguła nigdy nie dostarczy niebezpiecznego załącznika do Odebranych.

Lista Dzisiejsze przechwycenia pokazuje wszystko, co przechwyciły wszystkie twoje reguły w przesuwanym oknie czasowym (od 1 do 96 godzin na komputerze, domyślnie 24). Każda lista do przeglądu — Reguły, Dzisiejsze przechwycenia i Spam — ma własne pole wyszukiwania.

Otwórz przechwyconą wiadomość, a pierwszą kartą będzie Bezpieczny podgląd: wiadomość wyświetlona tak, jak wyglądałaby w okienku odczytu, ale z unieszkodliwionymi skryptami, zablokowanymi pikselami śledzącymi i obrazami zdalnymi wczytywanymi tylko dla zaufanych nadawców. Ma przyciski Odpowiedz, Odpowiedz wszystkim i Przekaż, więc na przechwyconą wiadomość możesz odpowiedzieć bez przywracania jej najpierw do Odebranych — wiadomość zostaje tam, gdzie jest, a odpowiedź wychodzi jako zwykła wiadomość.

Wstrzymane załączniki

Gdy YARA lub systemowy antywirus wykryje złośliwe oprogramowanie w załączniku, GravesMail automatycznie wykonuje następujące działania:

• Wiadomość odłożona — przeniesiona do wydzielonego folderu Złośliwe oprogramowanie, osobnego od folderu Spam.
• Załącznik usunięty — niebezpieczny plik jest usuwany z wiadomości. Treść wiadomości zostaje zachowana, żeby było widać, kto ją wysłał.
• Dane zachowane — bajty załącznika pozostają na twoim urządzeniu. W oknie Wstrzymane załączniki możesz przejrzeć każdy wstrzymany element, sprawdzić, dlaczego został wstrzymany, zapisać go na dysku, jeśli mu ufasz, albo trwale go usunąć. Wstrzymane elementy są przechowywane, dopóki nie zdecydujesz; nigdy nie znikają po cichu.
• Pełne wyjaśnienie — właściwości wiadomości pokazują dokładnie, która reguła YARA lub który silnik antywirusowy zadziałał, którego pliku to dotyczyło i jakie działanie podjęto.

W każdej chwili możesz też kliknąć dowolny załącznik prawym przyciskiem myszy i wybrać Skanuj w poszukiwaniu złośliwego oprogramowania, aby uruchomić skanowanie na żądanie. Reguły YARA można aktualizować ręcznie w Ustawieniach albo automatycznie, raz w tygodniu.

Automatyczne zaszyfrowane kopie zapasowe

GravesMail automatycznie tworzy zaszyfrowane kopie zapasowe całego profilu — nie tylko bazy poczty, ale też kontaktów, kalendarza, reguł, list bezpiecznych i zablokowanych nadawców, dostrojonych progów, reputacji nadawców, wytrenowanego filtra spamu, pęku kluczy PGP i zapisanych danych logowania do kont. (Pliki dostarczane z aplikacją i zastępowane przy aktualizacji, takie jak tabela wyszukiwania geograficznego i bazowy model spamu, są celowo pomijane.)

• Pełne kopie zapasowe — kompletna kopia profilu, zaszyfrowana AES-256
• Kopie różnicowe — tylko to, co zmieniło się od ostatniej pełnej kopii; przy przywracaniu program sam cofa się po łańcuchu kopii
• Migawki przed operacją — przed każdą operacją niszczącą dane (skanowanie szybkimi regułami, czyszczenie, opróżnianie kosza)

Harmonogramem sterujesz w Menedżerze kopii zapasowych: wybierasz albo interwał (wyłączone, codziennie, co tydzień lub własna liczba godzin, z pełną kopią co N dni), albo siatkę tygodniową, w której każdy dzień ma ustawienie Brak, Pełna lub Różnicowa. Limity przechowywania kopii pełnych, różnicowych i migawek można konfigurować; nigdy nie usuwają one twojej jedynej kopii.

Jak szyfrowane są te kopie zapasowe

Kopie zapasowe tworzone przez GravesMail według harmonogramu i ręcznie są zabezpieczone kluczem głównym kopii, który aplikacja sama generuje i którym sama zarządza. Sam klucz nigdy nie jest zapisywany na dysku w postaci jawnej — przechowywane są wyłącznie jego opakowane kopie, a opakowany jest na dwa sposoby:

• Bezpieczny magazyn kluczy twojego urządzenia — dzięki niemu rutynowe kopie powstają po cichu, bez pytania o hasło. Nigdy.
• Twoje hasło odzyskiwania — które rozpakowuje ten sam klucz na dowolnym komputerze, bez udziału magazynu kluczy.

To drugie opakowanie sprawia, że te kopie zapasowe są niezależne od urządzenia. Wcześniejsze wersje wiązały automatyczne kopie z jednym fizycznym komputerem; teraz można je przywrócić nie tylko tam, gdzie powstały.

Hasło odzyskiwania ustawiasz raz, przy tworzeniu pierwszej kopii zapasowej. Jest wymagane i nie da się go pominąć — kopia nie zostanie ukończona, dopóki go nie ustawisz, właśnie po to, żebyś nigdy nie został z kopiami, których nie możesz odzyskać. Potem kopie powstają już bez żadnych pytań. Hasło możesz zmienić w każdej chwili w Menedżerze kopii zapasowych, a po zmianie wszystkie istniejące kopie nadal dają się przywrócić.

Menedżer kopii zapasowych pozwala przeglądać zawartość dowolnej kopii, przeszukiwać wszystkie kopie naraz, porównywać je z bieżącą bazą danych i wybiórczo odzyskiwać pojedyncze wiadomości. Przywracanie sprawdza, czy kopia jest kompletna i nienaruszona, zanim dotknie bieżącego profilu — obcięta lub uszkodzona kopia zostaje odrzucona, a istniejące dane pozostają nietknięte — a po zakończeniu pokazuje, co wróciło, zbiór danych po zbiorze.

Dziennik usunięć i odzyskiwanie

Każda usunięta wiadomość trafia wraz z pełną treścią do lokalnego dziennika usunięć. Usunięte wiadomości możesz przeglądać, przeszukiwać i odzyskiwać jednym kliknięciem przez okres do 90 dni (można to zmienić). Plik kopii zapasowej nie jest potrzebny — odzyskiwanie z dziennika usunięć jest natychmiastowe.