Архитектура: IMAP пренос → локално складиште → анализа

GravesMail користи IMAP сервер вашег добављача е-поште искључиво као транспортни слој. Никада не читам са IMAP сервера да бих приказао поруке — то би било споро и непоуздано. Уместо тога, дешава се следеће:

1. Преузимање са IMAP сервера — Поруке се преузимају са сервера вашег добављача преко шифроване везе.
2. Смештање у DMZ зону — Нове поруке стижу у локални прихватни простор (SQLite) пре него што их видите.
3. Безбедносна анализа у 7 слојева — Свака порука и сваки прилог пролазе кроз свих седам слојева заштите на вашем рачунару, укључујући YARA скенирање на злонамерни софтвер.
4. Филтрирање брзим правилима — Поруке које одговарају вашим личним брзим правилима аутоматски се разврставају по вашем правилу: одлажу се у замку за спам ради прегледа, премештају или бришу.
5. Прослеђивање у пријемно сандуче, спам или злонамерни софтвер — Чисте поруке стижу у пријемно сандуче. Спам иде у фасциклу Спам. Поруке у којима је откривен злонамерни софтвер иду у засебну фасциклу за злонамерни софтвер, при чему се опасни прилози уклањају и задржавају.
6. Брисање са сервера (опционално) — Ако сте омогућили „Брисање са сервера“, порука се уклања код вашег добављача.

SQLite је једини извор истине. Све што видите у интерфејсу долази из ваше локалне базе података, а не са IMAP сервера.

Синхронизација у две фазе за велике поштанске сандучиће

Када први пут повежете налог — нарочито онај са хиљадама порука — GravesMail примењује приступ у две фазе:

Фаза 1 (Брзи почетак): Прво се преузима 500 најновијих порука по фасцикли, обично за мање од минута. Одмах можете да почнете да читате и радите.

Фаза 2 (Синхронизација у позадини): Преостале поруке се неприметно преузимају у позадини. Индикатор тока на статусној траци приказује проценат завршености и процењено преостало време. Можете да паузирате, наставите или зауставите у било ком тренутку. Напредак се чува ако затворите апликацију.

Седам слојева заштите

Свака долазна порука и њени прилози пролазе кроз седам независних слојева заштите. Сваки слој тражи другу врсту проблема и одлучује самостално. Ако било који слој подигне узбуну, порука се третира као спам — нема просека и нема збирног резултата који мора да се достигне. Једна узбуна је довољна. То је модел „7 слојева, OR“.

Поштено извештавање — без лажне сигурности

Отворите „Својства“ било које поруке да бисте видели преглед по слојевима: резултат сваког слоја, праг на коме слој подиже узбуну и његово стање — Узбуна, Чисто или Није доступно. Када скенер није могао да се покрене, GravesMail пријављује „Није доступно“. То се никада не приказује као „Чисто“. Антивирус који не успе да се покрене, а затим ипак пријави да је све чисто, најгора је врста безбедносног алата, јер верујете пресуди која заправо никада није донета.

Екран „Безбедносни механизам“ (Алатке → Безбедносни механизам, односно Подешавања → Безбедносни механизам на мобилним уређајима) омогућава да сваки од седам слојева подесите засебно, клизачем осетљивости од 0 до 100% — 0% искључује слој, 100% је највећа осетљивост. Не постоји једна глобална контрола; слојеве подешавате појединачно. Исти екран приказује тренутни статус скенера злонамерног софтвера, уређивач политике земаља и попис свих детектора, само за читање, са тежином коју сваки има.

Геолокација без упита

Хеуристички слој узима у обзир одакле порука потиче. Тај упит је потпуно локалан. GravesMail се испоручује са уграђеном табелом која земље повезује са IP опсезима и консултује је на вашем уређају — нема DNS упита, нема позива спољним API-јима и нема услуге треће стране на том путу. Метаподаци ваших порука никада не напуштају ваш уређај ради геолокације.

Ви одлучујете шта резултат значи. На екрану „Безбедносни механизам“ можете да означите земље као Безбедне (без додатног сигнала за спам) или као Претња (јак сигнал). Обе листе су на почетку празне, па обична међународна пошта никада није кажњена док сами не изаберете политику.

Податке о IP геолокацији обезбеђује DB-IP (db-ip.com), под лиценцом CC BY 4.0.

Блокирање спољних слика и уклањање пиксела за праћење

Када примите е-поруку, пошиљаоци у њу могу да уграде спољне слике које се учитавају са њихових сервера. Када се слика учита, пошиљалац сазнаје вашу IP адресу, да сте отворили поруку, када сте је отворили и који сте уређај користили.

GravesMail подразумевано блокира спољне слике. Независно од тога, открива и уклања невидљиве пикселе за праћење (слике величине 1×1 које служе искључиво за праћење читања). То су независне контроле — можете да учитате слике без учитавања пиксела за праћење, или обрнуто.

Шифровање с краја на крај (OpenPGP)

GravesMail подржава OpenPGP — отворени, интероперабилни стандард за е-пошту која је шифрована с краја на крај и потписана. Приватну пошту можете да размењујете са сваким ко користи PGP, на било ком систему за пошту (Proton Mail, Thunderbird, gpg и други), а не само са другим корисницима програма GravesMail. Ово је прави PGP/MIME, а не неки дијалект програма GravesMail.

Кључеви

Генеришите кључ у прозору „Менаджер PGP кључева“ — препоручује се Ed25519/Curve25519, а RSA-4096 је доступан ради компатибилности са старијим PGP софтвером. Извезите свој јавни кључ да би други могли да вам пишу и увезите њихове да бисте ви писали њима. После увоза GravesMail приказује отисак кључа; потврдите га са том особом другим каналом — позивом или лично — и означите кључ као проверен. Непроверен кључ и даље ради, али остаје означен као непроверен, јер та ознака значи тачно једно: још нисте потврдили да овај кључ заиста припада тој особи.

Кључеви се препознају по отиску, а не по адреси е-поште. Нормално је имати два кључа за једну адресу — стари и нови, или RSA и Ed25519 кључ један поред другог — па се свака радња односи на кључ који сте изабрали, а не на први који се случајно подудара са адресом.

Кључ можете да повежете са контактом, па шифровање за ту особу једноставно ради, без претраживања менаџера кључева. Повезивање кључа не укључује шифровање; и даље га бирате за сваку поруку посебно.

Слање и читање

Прозор „Нова порука“ има контролу Безбедност са три режима — Потпиши, Шифруј или Потпиши + шифруј (препоручено за приватну пошту). Подразумевано је искључена, па се обична пошта не мења. Шифрована пошта коју примите дешифрује се аутоматски и приказује затворен катанац 🔒; потписана пошта приказује статус потписа, а неважећи потпис се приказује упадљиво, а не дискретно. Порука шифрована за кључ који немате на том уређају то изричито каже, уместо да вам прикаже празно тело поруке.

Када шаљете шифровану пошту, GravesMail је шифрује и за ваш сопствени кључ, па копија у фасцикли „Послато“ остаје читљива за вас. Без тога сопствену сачувану копију не бисте могли да дешифрујете. Ово је увек укључено.

Правило од кога се не одступа

Ако изаберете шифровање, а неки прималац нема употребљив кључ, слање се блокира. GravesMail стаје и пита: отказати, или изричито изабрати слање без шифровања — то је намерна друга радња која именује угрожене примаоце, никада подразумевана и никада аутоматска. Не постоји путања у коду на којој избор шифровања неприметно доводи до слања отвореног текста. То се спроводи у самом механизму, а не само у интерфејсу, и покривено је аутоматизованим тестом.

Шта PGP штити, а шта не

PGP шифрује тело поруке и прилоге. Не скрива тему поруке, поља За/Од/Cc ни то када је порука послата — ти подаци путују нешифровани. То ограничење има сваки PGP/MIME систем, укључујући Proton; није недостатак програма GravesMail, али треба да га знате пре него што се на њега ослоните.

PGP штити вашу пошту у преносу — од пресретања и од вашег добављача поште. Он није алат против форензике: пошто се дешифрује, пошта се кешира у локалној шифрованој бази података програма GravesMail да бисте могли да је претражујете и читате ван мреже.

Још два ограничења, речена отворено: GravesMail не обавља аутоматску претрагу сервера кључева ни WKD претрагу и нема мрежу поверења — кључеве увозите сами и отиске проверавате сами, што је намеран избор да се мрежној услузи не верује на реч о томе ко је ко. А поруке са уграђеним отвореним потписом (inline clearsigned) приказују се као читљив текст без провере потписа; GravesMail их приказује, уместо да тврди да постоји потпис који заправо није проверио.

Интероперабилност

PGP у програму GravesMail проверен је двосмерно према GnuPG-у — референтној имплементацији стандарда OpenPGP — помоћу кључева генерисаних у програму GravesMail, и за Ed25519 и за RSA-4096: GravesMail шифрује, а gpg дешифрује, gpg шифрује, а GravesMail дешифрује, и потписи се проверавају у оба смера. То је аутоматизовани скуп тестова, а не једнократна ручна провера.

Потврђен је и Proton Mail — ручно, а не аутоматизованим тестом. Права шифрована пошта послата је и прочитана у оба смера између програма GravesMail и активног Proton налога. Управо то тестирање је успут открило три стварна недостатка, који су исправљени: строга Proton провера кључева одбијала је Ed25519 кључеве програма GravesMail, грешка у вези са истеком кључа и прилози који су при дешифровању неприметно испадали из шифроване поште. Сва три су исправљена и интероперабилност са услугом Proton ради у оба смера.

Thunderbird нисам тестирао посебно за PGP, па то овде нећу ни тврдити. То је стандардан OpenPGP клијент и требало би да ради, али „требало би“ није исто што и проверено, а радије ћу вам рећи шта је заиста проверено.

Е-пошта заштићена лозинком (није потребан кључ)

PGP је прави алат када и ваш саговорник користи PGP. Када га не користи — а већина људи га не користи — употребите опцију заштите лозинком описану у наставку.

Понекад морате да пошаљете нешто приватно некоме ко нема кључеве за шифровање ни посебан софтвер — само обичан налог е-поште. Опција Заштита лозинком (није потребан кључ) у програму GravesMail затвара вашу поруку и све прилоге у прави, стандардни ZIP шифрован алгоритмом AES-256, који прималац отвара бесплатним, уобичајеним софтвером на било којој платформи.

Користи се индустријски стандардни формат WinZip AES-256 (AE-2) — исто јако шифровање које 7-Zip, Keka и мобилне апликације за архивирање већ разумеју. То није контејнер који ради само у програму GravesMail, а није ни слаби „ZipCrypto“ који су користили старији ZIP алати и који може да се разбије. Интероперабилност је доказана са правим стандардним софтвером за архивирање, а AE-2 формат шифровања архиве утврђен је аутоматизованим тестом — тако да оно што излази јесте заиста стандардна датотека, а не нешто што само привидно ради између две копије исте апликације.

Оно што се заиста шаље јесте један прилог, protected-message.zip. Ваша права порука и сви прилози шифровани су у њему; видљиво тело е-поруке садржи само упутство за отварање, написано једноставним језиком. Називи прилога унутар архиве замењени су неутралним ознакама, а прави називи се чувају у шифрованом манифесту који се појављује када прималац унесе лозинку — тако да ни називи датотека не цуре.

При слању GravesMail тражи да поставите јаку лозинку (најмање 12 знакова, са великим и малим словима, две цифре и два симбола), уз контролну листу која се ажурира уживо и поље за потврду, да грешка у куцању никада не би оставила примаоца без приступа. Затим приказује лозинку једном, са дугметом „Копирај“, и подсећа вас да је пренесете другим каналом — телефоном, SMS поруком или у ћаскању. GravesMail никада не нуди да лозинку пошаље е-поштом и никада је нигде не чува нити преноси. GravesMail може и да отвара заштићене поруке које прими, на лицу места, на свакој платформи.

Брза правила: ваша лична тријажа е-поште

Брза правила омогућавају да направите правила за тријажу једним кликом за одређене пошиљаоце, домене или обрасце у теми. Свако правило добија своје дугме на траци са алаткама. Када примените правило на поруку, пошиљалац се аутоматски додаје на листу подударања тог правила — правило постаје паметније што га више користите.

Правило може да пошаље одговарајућу пошту у замку за спам, где се одлаже ради прегледа, да је премести у фасциклу, избрише или аутоматски избрише после одређеног броја дана. Правила могу да се подесе тако да се аутоматски примењују током синхронизације, па одговарајуће поруке никада не стигну у пријемно сандуче, а целе фасцикле можете да скенирате за неколико секунди да бисте одједном ухватили стару пошту. Све што је правило ухватило може у било ком тренутку да се прегледа, врати или трајно уклони.

Ваша правила имају предност над филтером за спам. Поруку која одговара неком вашем правилу разврстава ваше правило пре него што филтер за спам може да је преусмери — па пошиљалац за кога сте написали правило неће грешком завршити у фасцикли Спам. Филтер и даље ради и оцењује поруку, а његову пресуду можете да видите у прозору „Својства“; он само не надјачава ваше правило. Једини изузетак је злонамерни софтвер: скенирање на злонамерни софтвер увек побеђује, па правило никада не може да испоручи опасан прилог у пријемно сандуче.

Листа Филтрирано приказује све што су ухватила сва ваша правила у покретном временском прозору (од 1 до 96 сати на рачунару, подразумевано 24). Свака листа за преглед — Правила, Филтрирано и Спам — има сопствено поље за претрагу.

Отворите ухваћену поруку и прва картица је Безбедан преглед: порука приказана онако како би изгледала у окну за читање, али са онеспособљеним скриптама, блокираним пикселима за праћење и удаљеним сликама које се учитавају само за пошиљаоце од поверења. Ту су дугмад Одговори, Одговори свима и Проследи, па на ухваћену поруку можете да одговорите а да је претходно не враћате у пријемно сандуче — порука остаје где јесте, а ваш одговор одлази као обична порука.

Задржани прилози

Када YARA или ваш системски антивирус открије злонамерни софтвер у прилогу, GravesMail аутоматски предузима следеће радње:

• Порука се одлаже — премешта се у наменску фасциклу за злонамерни софтвер, одвојену од фасцикле Спам.
• Прилог се уклања — опасна датотека се уклања из поруке. Тело поруке се задржава да бисте видели ко ју је послао.
• Подаци су сачувани — бајтови прилога чувају се локално. Сваку задржану ставку можете да прегледате, да видите зашто је задржана, да је сачувате на диск ако јој верујете или да је трајно избришете, преко ставке Задржани прилози. Задржане ставке се чувају док ви не одлучите; никада се не губе без упозорења.
• Потпуно објашњење — својства поруке показују тачно које се YARA правило или који AV механизам активирао, која је датотека погођена и која је радња предузета.

Такође, у било ком тренутку можете да кликнете десним тастером на било који прилог и изаберете Скенирај на злонамерни софтвер да бисте покренули скенирање на захтев. YARA правила могу да се ажурирају ручно у Подешавањима или аутоматски, једном недељно.

Аутоматске шифроване резервне копије

GravesMail аутоматски прави шифроване резервне копије вашег целог профила — не само базе података поште, већ и контаката, календара, правила, листа безбедних и блокираних, подешених прагова, репутације пошиљалаца, истренираног филтера за спам, PGP привеска кључева и сачуваних акредитива налога. (Датотеке које се испоручују уз апликацију и замењују се при ажурирању, као што су табела за географско претраживање и основни модел спама, намерно су изостављене.)

• Потпуне резервне копије — комплетна копија профила, шифрована алгоритмом AES-256
• Диференцијалне резервне копије — само оно што се променило од последње потпуне резервне копије; при враћању се аутоматски пролази уназад кроз цео ланац
• Снимци пре операције — пре сваке деструктивне операције (скенирање Брзим правилима, чишћење, пражњење отпада)

Распоредом управљате из Менаджера резервних копија: то је или интервал (искључено, дневно, недељно или прилагођени број сати, уз потпуну резервну копију сваких N дана) или недељна мрежа у којој се за сваки дан бира Нема, Потпуна или Диференцијална. Ограничења задржавања за потпуне, диференцијалне и снимљене резервне копије могу да се подесе и никада не уклањају вашу једину копију.

Како се ове резервне копије шифрују

Заказане и ручне резервне копије које GravesMail сам прави запечаћене су Главним кључем резервних копија, који апликација генерише и којим управља уместо вас. Сам кључ се никада не уписује на диск у отвореном облику — чувају се само омотане копије, а кључ се омотава на два начина:

• Безбедним складиштем кључева вашег уређаја — тако да се редовне резервне копије праве нечујно, без икаквог тражења лозинке.
• Вашом приступном фразом за опоравак — која одмотава исти кључ на било ком рачунару, без икаквог складишта кључева.

Управо то друго омотавање чини ове резервне копије независним од уређаја. Раније верзије су везивале аутоматске резервне копије за један физички рачунар; оне више нису повративе само тамо где су направљене.

Приступну фразу за опоравак постављате једном, када први пут правите резервну копију. Она је обавезна и не може да се прескочи — резервна копија се неће довршити док фраза не буде постављена, управо зато да вам се никада не би десило да имате резервне копије које не можете да повратите. Након тога се резервне копије праве без даљих упита. Можете да је промените у било ком тренутку из Менаджера резервних копија, а после промене све постојеће резервне копије и даље могу да се врате.

Менаджер резервних копија вам омогућава да прегледате садржај било које резервне копије, претражујете све резервне копије, упоредите их са тренутном базом података и селективно повратите појединачне поруке. Враћање проверава да ли је резервна копија потпуна и неоштећена пре него што дотакне ваш тренутни профил — скраћена или оштећена резервна копија се одбија, а ваши постојећи подаци остају нетакнути — и по завршетку вам показује шта је враћено, скуп по скуп података.

Евиденција брисања и опоравак

Свака избрисана порука бележи се у локалној евиденцији брисања са целим садржајем тела. Избрисане поруке можете да прегледате, претражујете и повратите једним кликом до 90 дана (може да се подеси). Датотека резервне копије није потребна — опоравак из евиденције брисања је тренутан.