Arhitektura: IMAP prenos → lokalno skladište → analiza

GravesMail koristi IMAP server vašeg dobavljača e-pošte isključivo kao transportni sloj. Nikada ne čitam sa IMAP servera da bih prikazao poruke — to bi bilo sporo i nepouzdano. Umesto toga, dešava se sledeće:

1. Preuzimanje sa IMAP servera — Poruke se preuzimaju sa servera vašeg dobavljača preko šifrovane veze.
2. Smeštanje u DMZ zonu — Nove poruke stižu u lokalni prihvatni prostor (SQLite) pre nego što ih vidite.
3. Bezbednosna analiza u 7 slojeva — Svaka poruka i svaki prilog prolaze kroz svih sedam slojeva zaštite na vašem računaru, uključujući YARA skeniranje na zlonamerni softver.
4. Filtriranje brzim pravilima — Poruke koje odgovaraju vašim ličnim brzim pravilima automatski se razvrstavaju po vašem pravilu: odlažu se u zamku za spam radi pregleda, premeštaju ili brišu.
5. Prosleđivanje u prijemno sanduče, spam ili zlonamerni softver — Čiste poruke stižu u prijemno sanduče. Spam ide u fasciklu Spam. Poruke u kojima je otkriven zlonamerni softver idu u zasebnu fasciklu za zlonamerni softver, pri čemu se opasni prilozi uklanjaju i zadržavaju.
6. Brisanje sa servera (opcionalno) — Ako ste omogućili „Brisanje sa servera“, poruka se uklanja kod vašeg dobavljača.

SQLite je jedini izvor istine. Sve što vidite u interfejsu dolazi iz vaše lokalne baze podataka, a ne sa IMAP servera.

Sinhronizacija u dve faze za velike poštanske sandučiće

Kada prvi put povežete nalog — naročito onaj sa hiljadama poruka — GravesMail primenjuje pristup u dve faze:

Faza 1 (Brzi početak): Prvo se preuzima 500 najnovijih poruka po fascikli, obično za manje od minuta. Odmah možete da počnete da čitate i radite.

Faza 2 (Sinhronizacija u pozadini): Preostale poruke se neprimetno preuzimaju u pozadini. Indikator toka na statusnoj traci prikazuje procenat završenosti i procenjeno preostalo vreme. Možete da pauzirate, nastavite ili zaustavite u bilo kom trenutku. Napredak se čuva ako zatvorite aplikaciju.

Sedam slojeva zaštite

Svaka dolazna poruka i njeni prilozi prolaze kroz sedam nezavisnih slojeva zaštite. Svaki sloj traži drugu vrstu problema i odlučuje samostalno. Ako bilo koji sloj podigne uzbunu, poruka se tretira kao spam — nema proseka i nema zbirnog rezultata koji mora da se dostigne. Jedna uzbuna je dovoljna. To je model „7 slojeva, OR“.

Pošteno izveštavanje — bez lažne sigurnosti

Otvorite „Svojstva“ bilo koje poruke da biste videli pregled po slojevima: rezultat svakog sloja, prag na kome sloj podiže uzbunu i njegovo stanje — Uzbuna, Čisto ili Nije dostupno. Kada skener nije mogao da se pokrene, GravesMail prijavljuje „Nije dostupno“. To se nikada ne prikazuje kao „Čisto“. Antivirus koji ne uspe da se pokrene, a zatim ipak prijavi da je sve čisto, najgora je vrsta bezbednosnog alata, jer verujete presudi koja zapravo nikada nije doneta.

Ekran „Bezbednosni mehanizam“ (Alatke → Bezbednosni mehanizam, odnosno Podešavanja → Bezbednosni mehanizam na mobilnim uređajima) omogućava da svaki od sedam slojeva podesite zasebno, klizačem osetljivosti od 0 do 100% — 0% isključuje sloj, 100% je najveća osetljivost. Ne postoji jedna globalna kontrola; slojeve podešavate pojedinačno. Isti ekran prikazuje trenutni status skenera zlonamernog softvera, uređivač politike zemalja i popis svih detektora, samo za čitanje, sa težinom koju svaki ima.

Geolokacija bez upita

Heuristički sloj uzima u obzir odakle poruka potiče. Taj upit je potpuno lokalan. GravesMail se isporučuje sa ugrađenom tabelom koja zemlje povezuje sa IP opsezima i konsultuje je na vašem uređaju — nema DNS upita, nema poziva spoljnim API-jima i nema usluge treće strane na tom putu. Metapodaci vaših poruka nikada ne napuštaju vaš uređaj radi geolokacije.

Vi odlučujete šta rezultat znači. Na ekranu „Bezbednosni mehanizam“ možete da označite zemlje kao Bezbedne (bez dodatnog signala za spam) ili kao Pretnja (jak signal). Obe liste su na početku prazne, pa obična međunarodna pošta nikada nije kažnjena dok sami ne izaberete politiku.

Podatke o IP geolokaciji obezbeđuje DB-IP (db-ip.com), pod licencom CC BY 4.0.

Blokiranje spoljnih slika i uklanjanje piksela za praćenje

Kada primite e-poruku, pošiljaoci u nju mogu da ugrade spoljne slike koje se učitavaju sa njihovih servera. Kada se slika učita, pošiljalac saznaje vašu IP adresu, da ste otvorili poruku, kada ste je otvorili i koji ste uređaj koristili.

GravesMail podrazumevano blokira spoljne slike. Nezavisno od toga, otkriva i uklanja nevidljive piksele za praćenje (slike veličine 1×1 koje služe isključivo za praćenje čitanja). To su nezavisne kontrole — možete da učitate slike bez učitavanja piksela za praćenje, ili obrnuto.

Šifrovanje s kraja na kraj (OpenPGP)

GravesMail podržava OpenPGP — otvoreni, interoperabilni standard za e-poštu koja je šifrovana s kraja na kraj i potpisana. Privatnu poštu možete da razmenjujete sa svakim ko koristi PGP, na bilo kom sistemu za poštu (Proton Mail, Thunderbird, gpg i drugi), a ne samo sa drugim korisnicima programa GravesMail. Ovo je pravi PGP/MIME, a ne neki dijalekt programa GravesMail.

Ključevi

Generišite ključ u prozoru „Menadžer PGP ključeva“ — preporučuje se Ed25519/Curve25519, a RSA-4096 je dostupan radi kompatibilnosti sa starijim PGP softverom. Izvezite svoj javni ključ da bi drugi mogli da vam pišu i uvezite njihove da biste vi pisali njima. Posle uvoza GravesMail prikazuje otisak ključa; potvrdite ga sa tom osobom drugim kanalom — pozivom ili lično — i označite ključ kao proveren. Neproveren ključ i dalje radi, ali ostaje označen kao neproveren, jer ta oznaka znači tačno jedno: još niste potvrdili da ovaj ključ zaista pripada toj osobi.

Ključevi se prepoznaju po otisku, a ne po adresi e-pošte. Normalno je imati dva ključa za jednu adresu — stari i novi, ili RSA i Ed25519 ključ jedan pored drugog — pa se svaka radnja odnosi na ključ koji ste izabrali, a ne na prvi koji se slučajno podudara sa adresom.

Ključ možete da povežete sa kontaktom, pa šifrovanje za tu osobu jednostavno radi, bez pretraživanja menadžera ključeva. Povezivanje ključa ne uključuje šifrovanje; i dalje ga birate za svaku poruku posebno.

Slanje i čitanje

Prozor „Nova poruka“ ima kontrolu Bezbednost sa tri režima — Potpiši, Šifruj ili Potpiši + šifruj (preporučeno za privatnu poštu). Podrazumevano je isključena, pa se obična pošta ne menja. Šifrovana pošta koju primite dešifruje se automatski i prikazuje zatvoren katanac 🔒; potpisana pošta prikazuje status potpisa, a nevažeći potpis se prikazuje upadljivo, a ne diskretno. Poruka šifrovana za ključ koji nemate na tom uređaju to izričito kaže, umesto da vam prikaže prazno telo poruke.

Kada šaljete šifrovanu poštu, GravesMail je šifruje i za vaš sopstveni ključ, pa kopija u fascikli „Poslato“ ostaje čitljiva za vas. Bez toga sopstvenu sačuvanu kopiju ne biste mogli da dešifrujete. Ovo je uvek uključeno.

Pravilo od koga se ne odstupa

Ako izaberete šifrovanje, a neki primalac nema upotrebljiv ključ, slanje se blokira. GravesMail staje i pita: otkazati, ili izričito izabrati slanje bez šifrovanja — to je namerna druga radnja koja imenuje ugrožene primaoce, nikada podrazumevana i nikada automatska. Ne postoji putanja u kodu na kojoj izbor šifrovanja neprimetno dovodi do slanja otvorenog teksta. To se sprovodi u samom mehanizmu, a ne samo u interfejsu, i pokriveno je automatizovanim testom.

Šta PGP štiti, a šta ne

PGP šifruje telo poruke i priloge. Ne skriva temu poruke, polja Za/Od/Cc ni to kada je poruka poslata — ti podaci putuju nešifrovani. To ograničenje ima svaki PGP/MIME sistem, uključujući Proton; nije nedostatak programa GravesMail, ali treba da ga znate pre nego što se na njega oslonite.

PGP štiti vašu poštu u prenosu — od presretanja i od vašeg dobavljača pošte. On nije alat protiv forenzike: pošto se dešifruje, pošta se kešira u lokalnoj šifrovanoj bazi podataka programa GravesMail da biste mogli da je pretražujete i čitate van mreže.

Još dva ograničenja, rečena otvoreno: GravesMail ne obavlja automatsku pretragu servera ključeva ni WKD pretragu i nema mrežu poverenja — ključeve uvozite sami i otiske proveravate sami, što je nameran izbor da se mrežnoj usluzi ne veruje na reč o tome ko je ko. A poruke sa ugrađenim otvorenim potpisom (inline clearsigned) prikazuju se kao čitljiv tekst bez provere potpisa; GravesMail ih prikazuje, umesto da tvrdi da postoji potpis koji zapravo nije proverio.

Interoperabilnost

PGP u programu GravesMail proveren je dvosmerno prema GnuPG-u — referentnoj implementaciji standarda OpenPGP — pomoću ključeva generisanih u programu GravesMail, i za Ed25519 i za RSA-4096: GravesMail šifruje, a gpg dešifruje, gpg šifruje, a GravesMail dešifruje, i potpisi se proveravaju u oba smera. To je automatizovani skup testova, a ne jednokratna ručna provera.

Potvrđen je i Proton Mail — ručno, a ne automatizovanim testom. Prava šifrovana pošta poslata je i pročitana u oba smera između programa GravesMail i aktivnog Proton naloga. Upravo to testiranje je usput otkrilo tri stvarna nedostatka, koji su ispravljeni: stroga Proton provera ključeva odbijala je Ed25519 ključeve programa GravesMail, greška u vezi sa istekom ključa i prilozi koji su pri dešifrovanju neprimetno ispadali iz šifrovane pošte. Sva tri su ispravljena i interoperabilnost sa uslugom Proton radi u oba smera.

Thunderbird nisam testirao posebno za PGP, pa to ovde neću ni tvrditi. To je standardan OpenPGP klijent i trebalo bi da radi, ali „trebalo bi“ nije isto što i provereno, a radije ću vam reći šta je zaista provereno.

E-pošta zaštićena lozinkom (nije potreban ključ)

PGP je pravi alat kada i vaš sagovornik koristi PGP. Kada ga ne koristi — a većina ljudi ga ne koristi — upotrebite opciju zaštite lozinkom opisanu u nastavku.

Ponekad morate da pošaljete nešto privatno nekome ko nema ključeve za šifrovanje ni poseban softver — samo običan nalog e-pošte. Opcija Zaštita lozinkom (nije potreban ključ) u programu GravesMail zatvara vašu poruku i sve priloge u pravi, standardni ZIP šifrovan algoritmom AES-256, koji primalac otvara besplatnim, uobičajenim softverom na bilo kojoj platformi.

Koristi se industrijski standardni format WinZip AES-256 (AE-2) — isto jako šifrovanje koje 7-Zip, Keka i mobilne aplikacije za arhiviranje već razumeju. To nije kontejner koji radi samo u programu GravesMail, a nije ni slabi „ZipCrypto“ koji su koristili stariji ZIP alati i koji može da se razbije. Interoperabilnost je dokazana sa pravim standardnim softverom za arhiviranje, a AE-2 format šifrovanja arhive utvrđen je automatizovanim testom — tako da ono što izlazi jeste zaista standardna datoteka, a ne nešto što samo prividno radi između dve kopije iste aplikacije.

Ono što se zaista šalje jeste jedan prilog, protected-message.zip. Vaša prava poruka i svi prilozi šifrovani su u njemu; vidljivo telo e-poruke sadrži samo uputstvo za otvaranje, napisano jednostavnim jezikom. Nazivi priloga unutar arhive zamenjeni su neutralnim oznakama, a pravi nazivi se čuvaju u šifrovanom manifestu koji se pojavljuje kada primalac unese lozinku — tako da ni nazivi datoteka ne cure.

Pri slanju GravesMail traži da postavite jaku lozinku (najmanje 12 znakova, sa velikim i malim slovima, dve cifre i dva simbola), uz kontrolnu listu koja se ažurira uživo i polje za potvrdu, da greška u kucanju nikada ne bi ostavila primaoca bez pristupa. Zatim prikazuje lozinku jednom, sa dugmetom „Kopiraj“, i podseća vas da je prenesete drugim kanalom — telefonom, SMS porukom ili u ćaskanju. GravesMail nikada ne nudi da lozinku pošalje e-poštom i nikada je nigde ne čuva niti prenosi. GravesMail može i da otvara zaštićene poruke koje primi, na licu mesta, na svakoj platformi.

Brza pravila: vaša lična trijaža e-pošte

Brza pravila omogućavaju da napravite pravila za trijažu jednim klikom za određene pošiljaoce, domene ili obrasce u temi. Svako pravilo dobija svoje dugme na traci sa alatkama. Kada primenite pravilo na poruku, pošiljalac se automatski dodaje na listu podudaranja tog pravila — pravilo postaje pametnije što ga više koristite.

Pravilo može da pošalje odgovarajuću poštu u zamku za spam, gde se odlaže radi pregleda, da je premesti u fasciklu, izbriše ili automatski izbriše posle određenog broja dana. Pravila mogu da se podese tako da se automatski primenjuju tokom sinhronizacije, pa odgovarajuće poruke nikada ne stignu u prijemno sanduče, a cele fascikle možete da skenirate za nekoliko sekundi da biste odjednom uhvatili staru poštu. Sve što je pravilo uhvatilo može u bilo kom trenutku da se pregleda, vrati ili trajno ukloni.

Vaša pravila imaju prednost nad filterom za spam. Poruku koja odgovara nekom vašem pravilu razvrstava vaše pravilo pre nego što filter za spam može da je preusmeri — pa pošiljalac za koga ste napisali pravilo neće greškom završiti u fascikli Spam. Filter i dalje radi i ocenjuje poruku, a njegovu presudu možete da vidite u prozoru „Svojstva“; on samo ne nadjačava vaše pravilo. Jedini izuzetak je zlonamerni softver: skeniranje na zlonamerni softver uvek pobeđuje, pa pravilo nikada ne može da isporuči opasan prilog u prijemno sanduče.

Lista Filtrirano prikazuje sve što su uhvatila sva vaša pravila u pokretnom vremenskom prozoru (od 1 do 96 sati na računaru, podrazumevano 24). Svaka lista za pregled — Pravila, Filtrirano i Spam — ima sopstveno polje za pretragu.

Otvorite uhvaćenu poruku i prva kartica je Bezbedan pregled: poruka prikazana onako kako bi izgledala u oknu za čitanje, ali sa onesposobljenim skriptama, blokiranim pikselima za praćenje i udaljenim slikama koje se učitavaju samo za pošiljaoce od poverenja. Tu su dugmad Odgovori, Odgovori svima i Prosledi, pa na uhvaćenu poruku možete da odgovorite a da je prethodno ne vraćate u prijemno sanduče — poruka ostaje gde jeste, a vaš odgovor odlazi kao obična poruka.

Zadržani prilozi

Kada YARA ili vaš sistemski antivirus otkrije zlonamerni softver u prilogu, GravesMail automatski preduzima sledeće radnje:

• Poruka se odlaže — premešta se u namensku fasciklu za zlonamerni softver, odvojenu od fascikle Spam.
• Prilog se uklanja — opasna datoteka se uklanja iz poruke. Telo poruke se zadržava da biste videli ko ju je poslao.
• Podaci su sačuvani — bajtovi priloga čuvaju se lokalno. Svaku zadržanu stavku možete da pregledate, da vidite zašto je zadržana, da je sačuvate na disk ako joj verujete ili da je trajno izbrišete, preko stavke Zadržani prilozi. Zadržane stavke se čuvaju dok vi ne odlučite; nikada se ne gube bez upozorenja.
• Potpuno objašnjenje — svojstva poruke pokazuju tačno koje se YARA pravilo ili koji AV mehanizam aktivirao, koja je datoteka pogođena i koja je radnja preduzeta.

Takođe, u bilo kom trenutku možete da kliknete desnim tasterom na bilo koji prilog i izaberete Skeniraj na zlonamerni softver da biste pokrenuli skeniranje na zahtev. YARA pravila mogu da se ažuriraju ručno u Podešavanjima ili automatski, jednom nedeljno.

Automatske šifrovane rezervne kopije

GravesMail automatski pravi šifrovane rezervne kopije vašeg celog profila — ne samo baze podataka pošte, već i kontakata, kalendara, pravila, lista bezbednih i blokiranih, podešenih pragova, reputacije pošiljalaca, istreniranog filtera za spam, PGP priveska ključeva i sačuvanih akreditiva naloga. (Datoteke koje se isporučuju uz aplikaciju i zamenjuju se pri ažuriranju, kao što su tabela za geografsko pretraživanje i osnovni model spama, namerno su izostavljene.)

• Potpune rezervne kopije — kompletna kopija profila, šifrovana algoritmom AES-256
• Diferencijalne rezervne kopije — samo ono što se promenilo od poslednje potpune rezervne kopije; pri vraćanju se automatski prolazi unazad kroz ceo lanac
• Snimci pre operacije — pre svake destruktivne operacije (skeniranje Brzim pravilima, čišćenje, pražnjenje otpada)

Rasporedom upravljate iz Menadžera rezervnih kopija: to je ili interval (isključeno, dnevno, nedeljno ili prilagođeni broj sati, uz potpunu rezervnu kopiju svakih N dana) ili nedeljna mreža u kojoj se za svaki dan bira Nema, Potpuna ili Diferencijalna. Ograničenja zadržavanja za potpune, diferencijalne i snimljene rezervne kopije mogu da se podese i nikada ne uklanjaju vašu jedinu kopiju.

Kako se ove rezervne kopije šifruju

Zakazane i ručne rezervne kopije koje GravesMail sam pravi zapečaćene su Glavnim ključem rezervnih kopija, koji aplikacija generiše i kojim upravlja umesto vas. Sam ključ se nikada ne upisuje na disk u otvorenom obliku — čuvaju se samo omotane kopije, a ključ se omotava na dva načina:

• Bezbednim skladištem ključeva vašeg uređaja — tako da se redovne rezervne kopije prave nečujno, bez ikakvog traženja lozinke.
• Vašom pristupnom frazom za oporavak — koja odmotava isti ključ na bilo kom računaru, bez ikakvog skladišta ključeva.

Upravo to drugo omotavanje čini ove rezervne kopije nezavisnim od uređaja. Ranije verzije su vezivale automatske rezervne kopije za jedan fizički računar; one više nisu povrative samo tamo gde su napravljene.

Pristupnu frazu za oporavak postavljate jednom, kada prvi put pravite rezervnu kopiju. Ona je obavezna i ne može da se preskoči — rezervna kopija se neće dovršiti dok fraza ne bude postavljena, upravo zato da vam se nikada ne bi desilo da imate rezervne kopije koje ne možete da povratite. Nakon toga se rezervne kopije prave bez daljih upita. Možete da je promenite u bilo kom trenutku iz Menadžera rezervnih kopija, a posle promene sve postojeće rezervne kopije i dalje mogu da se vrate.

Menadžer rezervnih kopija vam omogućava da pregledate sadržaj bilo koje rezervne kopije, pretražujete sve rezervne kopije, uporedite ih sa trenutnom bazom podataka i selektivno povratite pojedinačne poruke. Vraćanje proverava da li je rezervna kopija potpuna i neoštećena pre nego što dotakne vaš trenutni profil — skraćena ili oštećena rezervna kopija se odbija, a vaši postojeći podaci ostaju netaknuti — i po završetku vam pokazuje šta je vraćeno, skup po skup podataka.

Evidencija brisanja i oporavak

Svaka izbrisana poruka beleži se u lokalnoj evidenciji brisanja sa celim sadržajem tela. Izbrisane poruke možete da pregledate, pretražujete i povratite jednim klikom do 90 dana (može da se podesi). Datoteka rezervne kopije nije potrebna — oporavak iz evidencije brisanja je trenutan.