Ukratko

GravesMail je klijent e-pošte koji radi po principu lokalno na prvom mestu. Vaša e-pošta se preuzima na vaš računar i tamo ostaje. Ne upravljam serverima koji čuvaju, čitaju ili obrađuju vašu e-poštu. Ne prikupljam lične podatke. Ne prikazujem oglase. Ne prodajem podatke. Ništa o vašoj e-pošti ne napušta vaš računar; server e-pošte se koristi samo za preuzimanje i slanje vaše e-pošte.

Koje podatke GravesMail čuva

Svi podaci se čuvaju lokalno u vašem korisničkom profilu — u %LocalAppData%\GravesMail u sistemu Windows ili na odgovarajućem mestu u sistemima macOS, Linux, iOS i Android. Evo šta se čuva i zašto:

Šifrovana baza podataka. Vaša pošta i gotovo svi prateći podaci nalaze se u jednom skladištu u kojem je šifrovana cela baza podataka: svaka poruka, tema, pošiljalac i prilog, kao i vaši kontakti, kalendar, potpisi, Brza pravila i napredna pravila, liste bezbednih i blokiranih, reputacija pošiljalaca, trening filtera za spam, podešeni pragovi i bezbednosna podešavanja. To su ranije bile zasebne datoteke pored baze podataka; objedinjene su u njoj, čime je njihova zaštita ojačana. Nisu premeštene sa vašeg uređaja — ništa se nije promenilo u pogledu toga gde se vaši podaci nalaze, već samo kako se lokalno čuvaju.

Datoteke koje ostaju van baze podataka, zato što su potrebne pre nego što ona može da se otvori ili moraju da prežive njen gubitak:

• Ključ baze podataka — čuva se u bezbednom skladištu ključeva samog uređaja (DPAPI u sistemu Windows, Keychain u sistemima macOS/iOS, Keystore u sistemu Android, sistemsko skladište tajni u sistemu Linux). Ne može da se nalazi u bazi podataka koju otključava.
• Sačuvani akreditivi naloga — vaše IMAP/SMTP lozinke i OAuth2 tokeni, šifrovani ključem vašeg uređaja i namerno odvojeni od baze podataka pošte.
• bmk.wrap — omotane kopije vašeg Glavnog ključa rezervnih kopija. Nalazi se uz rezervne kopije, a ne u bazi podataka, upravo zato što rezervna kopija postoji da bi preživela gubitak te baze.
• Vaš PGP privezak ključeva — čuva se u svom standardnom formatu na disku, a privezak privatnih ključeva je pod sopstvenim ključem za omotavanje.
• backups/ — šifrovane datoteke rezervnih kopija (.gravesmail-backup), AES-256 pod Glavnim ključem rezervnih kopija
• Katalog rezervnih kopija — lokalni indeks metapodataka za trenutno pregledanje sadržaja rezervnih kopija (nikada se ne prenosi)
• Evidencija brisanja — sadržaj izbrisanih poruka radi oporavka (zadržavanje može da se podesi: 30–365 dana)

Datoteke koje se isporučuju uz aplikaciju — osnovni model spama, osnovna YARA pravila i tabela za geografsko pretraživanje — jesu resursi programa, a ne vaši podaci. Zamenjuju se pri ažuriranju i izuzete su iz rezervnih kopija.

Nikakvi podaci se ne čuvaju van ovog direktorijuma. Nikakvi podaci se ne čuvaju na udaljenim serverima.

Koje podatke GravesMail nikada ne prikuplja

• E-adrese — ni vaše ni bilo koga ko vam piše
• Sadržaj e-pošte — ni teme, ni tela poruka, ni priloge
• Podatke o pošiljaocu ili primaocu
• Lozinke ili akreditive
• Liste kontakata
• Događaje iz kalendara
• IP adrese
• Vaše ime, lokaciju niti bilo kakve podatke koji vas identifikuju
• Obrasce korišćenja — ne pratim koliko često otvarate aplikaciju, koje e-poruke čitate ni kako postupate sa porukama
• Izveštaje o otkazivanju ili dijagnostiku — ništa se nikada ne šalje automatski
• Podatke o instalaciji ili registraciji — nema naloga koji treba otvoriti

Privatnost rezervnih kopija

GravesMail pravi šifrovane rezervne kopije vašeg celog lokalnog profila:

• Zakazane i ručne rezervne kopije na uređaju (potpune i diferencijalne) šifrovane su algoritmom AES-256 pod Glavnim ključem rezervnih kopija koji GravesMail generiše i kojim upravlja. Ključ se nikada ne čuva u otvorenom obliku — čuvaju se samo omotane kopije, omotane i bezbednim skladištem ključeva vašeg uređaja (pa za redovne rezervne kopije nije potrebna lozinka) i pristupnom frazom za oporavak koju postavljate jednom. Pristupna fraza za oporavak je obavezna, a ne opciona, i upravo ona omogućava da se ove rezervne kopije vrate na novom ili zamenjenom uređaju. Ja nikada ne dobijam ni ključ ni pristupnu frazu i ne mogu da povratim ni jedno ni drugo umesto vas.
• Prenosiva rezervna kopija sa lozinkom (Datoteka → Prenosiva rezervna kopija sa lozinkom…) zapečaćena je lozinkom koju vi izaberete, uz rastezanje ključa PBKDF2-SHA256 sa 600.000 iteracija. Ako izgubite tu lozinku, rezervna kopija ne može da se otvori — tako je zamišljeno, i ne može je otvoriti niko, uključujući i mene.
• Katalozi metapodataka rezervnih kopija čuvaju se lokalno i nikada se ne prenose. Oni omogućavaju trenutno pregledanje sadržaja rezervnih kopija bez dešifrovanja cele rezervne kopije.
• Snimci pre operacije prave se pre destruktivnih operacija (skeniranja Brzim pravilima, čišćenja, pražnjenje otpada) kao zaštitna mreža.

Sve datoteke rezervnih kopija ostaju na vašem računaru osim ako ih sami ne kopirate negde drugde. Prenosiva rezervna kopija sa lozinkom sadrži ceo vaš profil — uključujući sačuvane lozinke naloga i ključeve koji otključavaju vašu poštu — a štiti je samo lozinka koju ste izabrali, zato datoteku čuvajte na bezbednom mestu.

Privatnost Brzih pravila

Podaci Brzih pravila čuvaju se u vašoj lokalnoj šifrovanoj bazi podataka. Poruke koje vaša pravila odlože u Zamku za spam, njihove liste podudaranja i same definicije pravila nikada ne napuštaju vaš računar. Kada izbrišete pravilo ili očistite ono što je uhvatilo, podaci se trajno uklanjaju iz vaše lokalne baze podataka.

Kako se čuvaju vaši akreditivi

GravesMail svu vašu poštu i lične podatke drži šifrovane u mirovanju na svakom uređaju. Ključ za šifrovanje čuva se u bezbednom skladištu ključeva samog uređaja — DPAPI u sistemu Windows, Keychain u sistemima macOS i iOS, Keystore u sistemu Android i sistemsko skladište tajni u sistemu Linux — pa su podaci čitljivi samo na vašem uređaju. Ako sačuvate akreditive za e-poštu, oni se šifruju na isti način i mogu da se dešifruju samo na istom računaru i samo od strane istog korisnika koji ih je sačuvao.

GravesMail nikada ne prenosi vaše akreditive nijednom serveru osim serveru pošte vašeg dobavljača e-pošte, i to radi prijavljivanja.

Za Microsoft/Outlook naloge koji koriste OAuth2 autentifikaciju GravesMail koristi standardni tok platforme Microsoft Identity Platform. Tokeni za autentifikaciju čuvaju se lokalno, uz isto šifrovanje. GravesMail nema pristup lozinci vašeg Microsoft naloga.

Geolokacija je lokalna

GravesMail utvrđuje geografsko poreklo dolazne pošte kao jedan od signala za spam. To pretraživanje se u potpunosti obavlja na vašem uređaju, u tabeli koja povezuje zemlje i opsege IP adresa i koja je ugrađena u aplikaciju. Nema DNS upita, nema spoljnih API poziva i nema usluge pretraživanja treće strane. Metapodaci vaših poruka se nikada nikuda ne šalju radi geolokacije.

Podatke o IP geolokaciji obezbeđuje DB-IP (db-ip.com), pod licencom CC BY 4.0.

Blokiranje spoljnih slika i zaštita od piksela za praćenje

Spoljne slike su podrazumevano blokirane kako pošiljaoci ne bi saznali vašu IP adresu, to da ste otvorili njihovu e-poruku, kada i sa kog uređaja.

Pikseli za praćenje (nevidljive slike veličine 1×1 koje služe isključivo za praćenje putem potvrda o čitanju) otkrivaju se i uklanjaju zasebno. To su nezavisne kontrole — možete da učitate slike bez učitavanja piksela za praćenje.

Šifrovanje s kraja na kraj (OpenPGP)

GravesMail podržava standardni OpenPGP za poštu šifrovanu s kraja na kraj i potpisanu. Sve se dešava na vašem uređaju: ključevi se generišu lokalno, vaš tajni ključ nikada ne napušta vaš računar, a šifrovanje i dešifrovanje obavlja aplikacija. Nema deponovanja ključeva, nema otpremanja na server ključeva i nema moje usluge na putu — nemam kopiju vaših ključeva i ne mogu da čitam vašu šifrovanu poštu.

Šta PGP skriva: telo poruke i priloge.

Šta PGP ne skriva: temu, polja Za/Od/Cc i to kada je poruka poslata. Ti podaci putuju otvoreno i ostaju vidljivi infrastrukturi e-pošte, uključujući vašeg dobavljača. To je ograničenje samog PGP/MIME standarda, koje deli svaki klijent koji ga implementira, uključujući Proton — nije nešto što GravesMail može da popravi, niti ću nagoveštavati drugačije.

PGP štiti poštu u prenosu — od presretanja i od vašeg dobavljača e-pošte. On nije alat protiv forenzike. Kada se poruka dešifruje, kešira se u lokalnoj šifrovanoj bazi podataka programa GravesMail da biste mogli da je pretražujete i čitate van mreže, što znači da je na disku štiti šifrovanje vašeg uređaja, a ne PGP.

Ako izgubite tajni ključ, pošta šifrovana za njega je trajno nepovratna. Ne mogu da je povratim umesto vas — ne postoji deponovana kopija, a to je ista odluka u dizajnu zbog koje ni niko drugi ne može da čita vašu poštu.

E-pošta zaštićena lozinkom

Kada poruku pošaljete uz opciju Zaštita lozinkom (nije potreban ključ), telo poruke i svaki prilog šifruju se na vašem uređaju u standardnu AES-256 ZIP arhivu pre nego što poruka ode. Pečaćenje se obavlja lokalno — ništa se radi toga ne otprema ni meni ni bilo kojoj usluzi, i na putu nema servera.

Lozinka je samo vaša. GravesMail vam je prikazuje jednom, nikada je ne šalje e-poštom, nikada je ne čuva i nikada je ne prenosi. Nemam njenu kopiju i nemam način da otvorim ono što ste poslali. Sa primaocem je delite drugim kanalom — telefonom, SMS porukom ili šifrovanim ćaskanjem.

Zaštita je lozinka i ništa drugo. Nema isteka i nema opoziva na daljinu, jer bi i jedno i drugo zahtevalo server koji namerno ne držim. Kao kod svake e-poruke, tema poruke, polja Za/Od i vreme slanja i dalje putuju otvoreno.

Još jedno ograničenje, rečeno otvoreno jer treba da ga čujete od mene, a ne da ga sami otkrijete: ZIP format šifruje sadržaj datoteka, a ne strukturu arhive. Svako ko presretne poruku i dalje može da vidi koliko je datoteka unutra i njihove približne veličine i vremenske oznake — ali ne i njihova imena, koja su zamenjena neutralnim oznakama, niti njihov sadržaj. Ako bi već sami ti metapodaci nekome otkrili nešto što morate da sačuvate kao privatno, ova funkcija nije pravi alat za tu poruku.

Izdanja za pet platformi

• Windows — izdanje iz prodavnice Microsoft Store potpisuje Microsoft
• Linux — uskoro
• macOS — uskoro
• iOS — uskoro
• Android — uskoro

Svih pet platformi ima istovetna svojstva u pogledu privatnosti. Nijedna platforma ne šalje podatke kući niti se u pogledu privatnosti ponaša drugačije. Jedna mogućnost se zaista razlikuje po platformama, a reč je o ograničenju otkrivanja, ne privatnosti: Sloj zaštite Sistemski AV u sistemu Windows koristi vaš instalirani antivirus, a nije dostupan na sistemima macOS i Linux ni na mobilnim uređajima, gde prijavljuje „nije dostupno“ umesto da nagovesti skeniranje koje nikada nije obavio.

Usluge trećih strana

GravesMail se povezuje samo sa vašim dobavljačem e-pošte (preko šifrovanih TLS/SSL veza) i, za Microsoft naloge, sa platformom Microsoft Identity Platform radi OAuth2 autentifikacije. GravesMail ne koristi nikakve reklamne mreže, analitičke usluge, usluge za izveštavanje o otkazivanju ni platforme za praćenje.

Kupovine

Kupovine programa GravesMail preko prodavnice Microsoft Store obrađuje Microsoft. GravesWare, LLC ne prima i ne čuva podatke o platnim karticama.

Otvoreno za uvid

Vaša baza podataka, datoteke rezervnih kopija i evidencija brisanja su obične lokalne datoteke pod vašom kontrolom — na vašem disku, u vašem korisničkom profilu, gde možete da ih vidite, kopirate ili izbrišete. Ništa nije skriveno u usluzi u koju ne možete da zavirite i ništa se ne javlja kući.

Privatnost dece

GravesMail svesno ne prikuplja nikakve podatke ni od koga, uključujući decu mlađu od 13 godina. Pošto GravesMail podrazumevano ne prikuplja lične podatke, ne predstavlja posebne rizike za privatnost dece.

Promene ove politike

Ako se ova politika privatnosti ažurira, promene će biti objavljene na ovoj stranici sa novim datumom u stavci „Poslednje ažuriranje“. Pošto GravesMail ne prikuplja e-adrese ni podatke za kontakt, ne mogu da vas direktno obavestim o promenama. Preporučujem vam da ovu stranicu povremeno proveravate.

Kontakt

Rezime