Kiến trúc: Truyền tải qua IMAP → Lưu trữ cục bộ → Phân tích

GravesMail dùng máy chủ IMAP của nhà cung cấp email thuần túy như một lớp truyền tải. Tôi không bao giờ đọc từ IMAP để hiển thị thư — làm vậy sẽ chậm và không đáng tin cậy. Thay vào đó, đây là những gì diễn ra:

1. Tải từ IMAP — Thư được tải xuống từ máy chủ của nhà cung cấp qua một kết nối mã hóa.
2. Tạm giữ trong DMZ — Thư mới được đưa vào một khu vực tạm giữ cục bộ (SQLite) trước khi bạn nhìn thấy chúng.
3. Phân tích bảo mật 7 lớp — Mọi thư và tệp đính kèm đều đi qua cả bảy Lớp bảo vệ ngay trên máy của bạn, bao gồm quét phần mềm độc hại bằng YARA.
4. Lọc bằng Quy tắc nhanh — Thư khớp với các Quy tắc nhanh của riêng bạn được quy tắc của bạn tự động xử lý: để riêng trong Bẫy spam chờ xem lại, di chuyển, hoặc xóa.
5. Chuyển vào Hộp thư đến, Spam hoặc Phần mềm độc hại — Thư sạch đến Hộp thư đến. Spam vào Spam. Thư có phần mềm độc hại vào một thư mục Phần mềm độc hại riêng, với các tệp đính kèm nguy hiểm đã bị gỡ ra và giữ lại.
6. Xóa khỏi máy chủ (tùy chọn) — Nếu bạn đã bật “Xóa khỏi máy chủ”, thư sẽ bị xóa khỏi nhà cung cấp của bạn.

SQLite là nguồn dữ liệu chuẩn duy nhất. Mọi thứ bạn thấy trên giao diện đều đến từ cơ sở dữ liệu cục bộ của bạn, không phải từ IMAP.

Đồng bộ hai giai đoạn cho hộp thư lớn

Khi bạn kết nối một tài khoản lần đầu — nhất là tài khoản có hàng nghìn thư — GravesMail dùng cách làm hai giai đoạn:

Giai đoạn 1 (Bắt đầu nhanh): 500 thư mới nhất của mỗi thư mục được tải trước, thường trong chưa đầy một phút. Bạn có thể bắt đầu đọc và làm việc ngay.

Giai đoạn 2 (Đồng bộ nền): Các thư còn lại được tải xuống lặng lẽ ở chế độ nền. Một chỉ báo tiến độ trên thanh trạng thái hiển thị phần trăm hoàn thành và thời gian còn lại ước tính. Bạn có thể tạm dừng, tiếp tục hoặc dừng hẳn bất cứ lúc nào. Tiến độ được lưu nếu bạn đóng ứng dụng.

Bảy Lớp bảo vệ

Mọi thư đến và tệp đính kèm của nó đều đi qua bảy Lớp bảo vệ độc lập. Mỗi lớp tìm một loại vấn đề khác nhau và tự mình quyết định. Chỉ cần một lớp bất kỳ báo động, thư sẽ bị coi là spam — không lấy trung bình, và không có điểm tổng hợp nào phải đạt tới. Một báo động là đủ. Đây là mô hình “OR 7 lớp”.

Báo cáo trung thực — không có sự tự tin giả tạo

Mở Thuộc tính của bất kỳ thư nào để xem phân tích theo từng lớp: mỗi lớp chấm bao nhiêu điểm, ngưỡng mà tại đó nó báo động, và trạng thái của nó — Đã báo động, Sạch hoặc Không khả dụng. Khi một trình quét không chạy được, GravesMail báo “Không khả dụng”. Nó không bao giờ được hiển thị là “Sạch”. Một phần mềm diệt virus không khởi động được mà vẫn báo sạch là loại công cụ bảo mật tệ nhất, vì bạn tin vào một kết luận chưa bao giờ thật sự được đưa ra.

Màn hình Bộ máy bảo mật (Công cụ → Bộ máy bảo mật, hoặc Cài đặt → Bộ máy bảo mật trên di động) cho phép bạn tinh chỉnh riêng từng lớp trong bảy lớp bằng một thanh trượt độ nhạy 0–100% — 0% tắt lớp đó, 100% là nhạy nhất. Không có nút điều khiển chung nào; bạn chỉnh từng lớp một. Cũng màn hình đó hiển thị trạng thái trực tiếp của trình quét phần mềm độc hại, một trình chỉnh sửa chính sách quốc gia, và một bản kê chỉ đọc của mọi bộ phận phát hiện cùng mức độ tính điểm của từng bộ.

Định vị địa lý mà không cần tra cứu bên ngoài

Lớp Suy nghiệm xét đến nơi một thư xuất phát. Việc tra cứu đó hoàn toàn cục bộ. GravesMail đi kèm một bảng ánh xạ quốc gia với dải IP được nhúng sẵn và tra bảng đó ngay trên thiết bị của bạn — không có truy vấn DNS, không có lệnh gọi API bên ngoài, và không có dịch vụ bên thứ ba nào trên đường đi. Siêu dữ liệu thư của bạn không bao giờ rời thiết bị để được định vị địa lý.

Bạn quyết định kết quả có ý nghĩa gì. Trong màn hình Bộ máy bảo mật, bạn có thể đánh dấu các quốc gia là An toàn (không thêm tín hiệu spam) hoặc Mối đe dọa (một tín hiệu mạnh). Cả hai danh sách ban đầu đều trống, nên thư quốc tế thông thường không bao giờ bị trừ điểm cho đến khi bạn chọn một chính sách.

Dữ liệu định vị địa lý IP của DB-IP (db-ip.com), được cấp phép theo CC BY 4.0.

Chặn hình ảnh bên ngoài và gỡ pixel theo dõi

Khi bạn nhận một email, người gửi có thể nhúng hình ảnh bên ngoài được tải từ máy chủ của họ. Khi hình ảnh tải, người gửi biết địa chỉ IP của bạn, biết bạn đã mở email, mở lúc nào và dùng thiết bị gì.

GravesMail chặn hình ảnh bên ngoài theo mặc định. Riêng biệt với việc đó, nó phát hiện và gỡ bỏ các pixel theo dõi vô hình (hình ảnh 1×1 chỉ dùng để theo dõi việc đã đọc). Đây là hai nút điều khiển độc lập — bạn có thể tải hình ảnh mà không tải trình theo dõi, hoặc ngược lại.

Mã hóa đầu cuối (OpenPGP)

GravesMail hỗ trợ OpenPGP — tiêu chuẩn mở, tương tác được, dành cho email được mã hóa đầu cuối và được ký. Bạn có thể trao đổi thư riêng tư với bất kỳ ai dùng PGP, trên bất kỳ hệ thống thư nào (Proton Mail, Thunderbird, gpg và các hệ thống khác), chứ không chỉ với người dùng GravesMail khác. Đây là PGP/MIME thật, không phải một biến thể riêng của GravesMail.

Khóa

Tạo một khóa trong Trình quản lý khóa PGP — nên dùng Ed25519/Curve25519, còn RSA-4096 có sẵn để tương thích với phần mềm PGP cũ hơn. Xuất khóa công khai của bạn để người khác có thể viết cho bạn, và nhập khóa của họ để viết cho họ. Sau khi nhập, GravesMail hiển thị dấu vân tay của khóa; hãy xác nhận nó với người đó qua một kênh khác — một cuộc gọi, hoặc gặp trực tiếp — rồi đánh dấu đã xác minh. Một khóa chưa xác minh vẫn dùng được nhưng vẫn mang nhãn chưa xác minh, vì nhãn đó chỉ có đúng một nghĩa: bạn chưa xác nhận rằng khóa này thật sự thuộc về người đó.

Khóa được nhận diện bằng dấu vân tay, không phải bằng địa chỉ email. Có hai khóa cho một địa chỉ là chuyện bình thường — một khóa cũ và một khóa mới, hoặc một khóa RSA và một khóa Ed25519 song song — nên mọi thao tác đều tác động lên khóa bạn đã chọn, không phải khóa đầu tiên tình cờ khớp với địa chỉ.

Bạn có thể liên kết một khóa với một liên hệ, để việc mã hóa cho người đó cứ thế hoạt động mà không phải lục tìm trong Trình quản lý khóa. Liên kết khóa không bật mã hóa; bạn vẫn chọn mã hóa cho từng thư.

Gửi và đọc

Cửa sổ Soạn có một nút điều khiển Bảo mật với ba chế độ — Ký, Mã hóa hoặc Ký + Mã hóa (nên dùng cho thư riêng tư). Mặc định là tắt, nên thư thông thường không thay đổi gì. Thư mã hóa bạn nhận được sẽ tự động được giải mã và hiển thị một ổ khóa đóng 🔒; thư được ký hiển thị trạng thái chữ ký, và chữ ký không hợp lệ được hiển thị thật nổi bật chứ không lặng lẽ. Một thư được mã hóa cho một khóa bạn không có trên thiết bị đó sẽ nói rõ như vậy thay vì hiển thị cho bạn một nội dung trống.

Khi bạn gửi thư mã hóa, GravesMail cũng mã hóa nó cho khóa của chính bạn, để bản sao trong thư mục Đã gửi vẫn đọc được với bạn. Nếu không, chính bản sao bạn giữ lại sẽ không giải mã được. Tính năng này luôn bật.

Quy tắc không có ngoại lệ

Nếu bạn chọn mã hóa mà một người nhận không có khóa dùng được, việc gửi bị chặn. GravesMail dừng lại và hỏi: hủy, hoặc chọn rõ ràng việc gửi không mã hóa — một thao tác thứ hai có chủ ý, nêu tên những người nhận gặp rủi ro, không bao giờ là mặc định và không bao giờ tự động. Không có đường đi nào trong mã mà việc chọn mã hóa lại lặng lẽ gửi đi văn bản thuần. Điều đó được thực thi trong chính bộ máy, không chỉ trên giao diện, và được một bài kiểm thử tự động bao phủ.

PGP bảo vệ gì, và không bảo vệ gì

PGP mã hóa nội dung và tệp đính kèm của thư. Nó không che giấu dòng tiêu đề, các trường Đến/Từ/Cc, hay thời điểm thư được gửi — những thứ đó đi dưới dạng không mã hóa. Đó là giới hạn chung của mọi hệ thống PGP/MIME, kể cả Proton; nó không phải khiếm khuyết của GravesMail, nhưng bạn nên biết trước khi dựa vào nó.

PGP bảo vệ thư của bạn trên đường truyền — khỏi bị chặn bắt và khỏi nhà cung cấp thư của bạn. Nó không phải là công cụ chống điều tra số: sau khi được giải mã, thư được lưu đệm trong cơ sở dữ liệu cục bộ đã mã hóa của GravesMail để bạn có thể tìm kiếm và đọc ngoại tuyến.

Hai giới hạn nữa, nói thẳng: GravesMail không tự động tra cứu máy chủ khóa hay WKD và không có mạng lưới tin cậy (web of trust) — bạn tự nhập khóa và tự xác minh dấu vân tay, đó là lựa chọn có chủ ý để tránh phải tin một dịch vụ mạng về việc ai là ai. Và các thư ký rõ nội tuyến (inline clearsigned) được hiển thị dưới dạng văn bản đọc được mà không xác minh chữ ký; GravesMail hiển thị chúng chứ không khẳng định một chữ ký mà nó chưa thật sự kiểm tra.

Khả năng tương tác

PGP của GravesMail được kiểm chứng hai chiều với GnuPG — bản triển khai OpenPGP tham chiếu — bằng các khóa do GravesMail tạo, cho cả Ed25519 lẫn RSA-4096: GravesMail mã hóa và gpg giải mã, gpg mã hóa và GravesMail giải mã, và chữ ký được xác minh theo cả hai chiều. Đó là một bộ kiểm thử tự động, không phải một lần kiểm tra thủ công duy nhất.

Proton Mail cũng đã được xác nhận — bằng tay chứ không phải bằng kiểm thử tự động. Thư mã hóa thật đã được gửi và đọc theo cả hai chiều giữa GravesMail và một tài khoản Proton đang hoạt động. Chính đợt thử nghiệm đó cũng đã tìm ra và sửa ba lỗi thật: việc xác thực khóa nghiêm ngặt của Proton từ chối các khóa Ed25519 của GravesMail, một lỗi về thời hạn khóa, và việc tệp đính kèm bị lặng lẽ bỏ mất khỏi thư mã hóa khi giải mã. Cả ba đã được sửa, và việc tương tác với Proton hoạt động theo cả hai chiều.

Thunderbird thì tôi chưa thử nghiệm riêng cho PGP, nên tôi sẽ không khẳng định ở đây. Đó là một ứng dụng OpenPGP tiêu chuẩn và lẽ ra phải hoạt động, nhưng “lẽ ra” không giống với đã kiểm chứng, và tôi muốn cho bạn biết những gì thật sự đã được kiểm tra.

Email bảo vệ bằng mật khẩu (không cần khóa)

PGP là công cụ phù hợp khi người trao đổi thư với bạn cũng dùng PGP. Khi họ không dùng — và phần lớn mọi người không dùng — hãy dùng tùy chọn bảo vệ bằng mật khẩu dưới đây.

Đôi khi bạn cần gửi thứ gì đó riêng tư cho một người không có khóa mã hóa và không có phần mềm đặc biệt nào — chỉ có một tài khoản email bình thường. Tùy chọn Bảo vệ bằng mật khẩu (không cần khóa) của GravesMail niêm phong thư và mọi tệp đính kèm của bạn bên trong một tệp ZIP mã hóa AES-256 thật, đúng chuẩn, mà người nhận mở bằng phần mềm thông thường, miễn phí trên bất kỳ nền tảng nào.

Tùy chọn này dùng định dạng WinZip AES-256 (AE-2) theo chuẩn ngành — cùng loại mã hóa mạnh mà 7-Zip, Keka và các ứng dụng nén trên di động vốn đã hiểu. Nó không phải một định dạng chứa chỉ riêng GravesMail đọc được, và không phải “ZipCrypto” yếu, bẻ khóa được mà các công cụ ZIP cũ từng dùng. Khả năng tương tác được chứng minh với phần mềm nén tiêu chuẩn thật, và định dạng mã hóa AE-2 của tệp nén được chốt bằng kiểm thử tự động — nên thứ được gửi đi là một tệp thật sự đúng chuẩn, không phải thứ chỉ có vẻ hoạt động giữa hai bản sao của cùng một ứng dụng.

Thứ thật sự được gửi đi là một tệp đính kèm duy nhất, protected-message.zip. Thư thật của bạn và mọi tệp đính kèm được mã hóa bên trong nó; phần nội dung email nhìn thấy được chỉ chứa hướng dẫn mở tệp bằng ngôn ngữ dễ hiểu. Tên các tệp đính kèm bên trong tệp nén được thay bằng tên giữ chỗ trung tính, còn tên thật nằm trong một bản kê đã mã hóa, chỉ hiện ra khi người nhận nhập mật khẩu — nên tên tệp cũng không bị lộ.

Khi bạn gửi, GravesMail yêu cầu bạn đặt một mật khẩu mạnh (ít nhất 12 ký tự, có chữ hoa và chữ thường, hai chữ số và hai ký hiệu), kèm một danh sách kiểm tra cập nhật tức thời và một ô xác nhận để một lỗi gõ không bao giờ khiến người nhận không mở được. Sau đó nó hiển thị mật khẩu một lần, kèm nút Sao chép, và nhắc bạn chuyển mật khẩu qua một kênh khác — điện thoại, tin nhắn hoặc chat. GravesMail không bao giờ đề nghị gửi mật khẩu qua email, và không bao giờ lưu hay truyền nó đi đâu. GravesMail cũng có thể mở tại chỗ các thư được bảo vệ mà nó nhận được, trên mọi nền tảng.

Quy tắc nhanh: phân loại email theo cách của riêng bạn

Quy tắc nhanh cho phép bạn tạo các quy tắc phân loại bằng một cú nhấp cho những người gửi, miền hoặc mẫu tiêu đề cụ thể. Mỗi quy tắc có nút riêng trên thanh công cụ. Khi bạn áp dụng một quy tắc cho một thư, người gửi tự động được thêm vào danh sách khớp của quy tắc đó — quy tắc càng dùng càng thông minh.

Một quy tắc có thể đưa thư khớp vào Bẫy spam để chờ xem lại, chuyển thư vào một thư mục, xóa thư, hoặc tự động xóa sau một số ngày. Quy tắc có thể được đặt để tự động áp dụng trong khi đồng bộ, nên thư khớp không bao giờ đến Hộp thư đến của bạn, và bạn có thể quét toàn bộ thư mục trong vài giây để bắt hàng loạt thư cũ. Bất cứ thứ gì một quy tắc đã bắt đều có thể được xem lại, khôi phục hoặc xóa hẳn bất cứ lúc nào.

Quy tắc của bạn được ưu tiên hơn bộ lọc spam. Một thư khớp với một quy tắc của bạn được chính quy tắc của bạn xử lý trước khi bộ lọc spam kịp chuyển hướng nó — nên một người gửi mà bạn đã viết quy tắc sẽ không bị đưa nhầm vào Spam. Bộ lọc vẫn chạy và vẫn chấm điểm thư, và bạn có thể xem kết luận của nó trong Thuộc tính; nó chỉ không ghi đè quy tắc của bạn. Ngoại lệ duy nhất là phần mềm độc hại: việc quét phần mềm độc hại luôn thắng, nên một quy tắc không bao giờ có thể đưa một tệp đính kèm nguy hiểm vào Hộp thư đến của bạn.

Danh sách Bắt được hôm nay hiển thị mọi thứ bị tất cả các quy tắc của bạn bắt trong một khoảng thời gian trượt (1 đến 96 giờ trên máy tính, mặc định là 24). Mỗi danh sách xem lại — Quy tắc, Bắt được hôm nay và Spam — có ô tìm kiếm riêng.

Mở một thư bị bắt, thẻ đầu tiên là Xem trước an toàn: thư được hiển thị như trong ngăn đọc của bạn, nhưng script đã bị vô hiệu hóa, pixel theo dõi bị chặn, và hình ảnh từ xa chỉ được tải với người gửi đáng tin cậy. Thẻ này có các nút Trả lời, Trả lời tất cả và Chuyển tiếp, nên bạn có thể trả lời một thư bị bắt mà không cần khôi phục nó vào Hộp thư đến trước — thư vẫn ở nguyên chỗ và thư trả lời của bạn được gửi đi như một thư bình thường.

Tệp đính kèm đã giữ

Khi YARA hoặc phần mềm diệt virus hệ thống của bạn phát hiện phần mềm độc hại trong một tệp đính kèm, GravesMail tự động thực hiện các hành động sau:

• Thư được để riêng — chuyển vào một thư mục Phần mềm độc hại dành riêng, tách khỏi Spam.
• Tệp đính kèm bị gỡ — tệp nguy hiểm bị gỡ khỏi thư. Nội dung thư được giữ lại để bạn thấy ai đã gửi nó.
• Dữ liệu được giữ lại — dữ liệu của tệp đính kèm được lưu cục bộ. Trong Tệp đính kèm đã giữ, bạn có thể xem lại từng mục đã giữ, xem lý do nó bị giữ, lưu vào đĩa nếu bạn tin tưởng, hoặc xóa vĩnh viễn. Các mục đã giữ được lưu cho đến khi bạn quyết định; chúng không bao giờ lặng lẽ biến mất.
• Giải thích đầy đủ — thuộc tính thư cho biết chính xác quy tắc YARA hoặc bộ máy AV nào đã kích hoạt, tệp nào bị ảnh hưởng và hành động nào đã được thực hiện.

Bạn cũng có thể nhấp chuột phải vào bất kỳ tệp đính kèm nào, vào bất kỳ lúc nào, rồi chọn Quét phần mềm độc hại để quét theo yêu cầu. Quy tắc YARA có thể được cập nhật thủ công trong Cài đặt hoặc tự động theo lịch hằng tuần.

Sao lưu mã hóa tự động

GravesMail tự động tạo các bản sao lưu mã hóa cho toàn bộ hồ sơ của bạn — không chỉ cơ sở dữ liệu thư, mà cả liên hệ, lịch, quy tắc, danh sách an toàn và danh sách chặn, các ngưỡng đã tinh chỉnh, uy tín người gửi, bộ lọc spam đã huấn luyện, chùm khóa PGP và thông tin đăng nhập tài khoản đã lưu. (Những tệp đi kèm ứng dụng và được thay thế khi cập nhật, chẳng hạn bảng tra cứu địa lý và mô hình spam cơ sở, được chủ ý loại ra.)

• Sao lưu đầy đủ — một bản sao hoàn chỉnh của hồ sơ, mã hóa AES-256
• Sao lưu vi sai — chỉ những gì đã thay đổi kể từ bản sao lưu đầy đủ gần nhất; khi khôi phục một bản vi sai, ứng dụng tự động lần ngược lại qua chuỗi sao lưu
• Ảnh chụp nhanh trước thao tác — trước mọi thao tác có tính hủy dữ liệu (quét bằng Quy tắc nhanh, xóa sạch, xóa sọt rác)

Bạn điều khiển lịch sao lưu từ Trình quản lý sao lưu: hoặc theo khoảng thời gian (tắt, hằng ngày, hằng tuần, hoặc một số giờ tùy chỉnh, kèm một bản sao lưu đầy đủ mỗi N ngày), hoặc theo lưới hằng tuần, trong đó mỗi ngày được đặt là Không có, Đầy đủ hoặc Vi sai. Giới hạn lưu giữ cho bản sao lưu đầy đủ, vi sai và ảnh chụp nhanh đều có thể cấu hình, và không bao giờ xóa bản sao duy nhất của bạn.

Các bản sao lưu này được mã hóa như thế nào

Các bản sao lưu theo lịch và thủ công của chính GravesMail được niêm phong bằng một Khóa chính sao lưu do ứng dụng tạo ra và quản lý thay bạn. Bản thân khóa này không bao giờ được ghi xuống đĩa ở dạng rõ — chỉ các bản đã bọc mới được lưu, và khóa được bọc theo hai cách:

• Kho khóa bảo mật của thiết bị — nhờ đó các bản sao lưu thường lệ diễn ra lặng lẽ, không bao giờ hỏi mật khẩu.
• Cụm mật khẩu khôi phục của bạn — thứ mở bọc chính khóa đó trên bất kỳ máy nào, không cần đến kho khóa.

Lớp bọc thứ hai chính là điều làm cho các bản sao lưu này không phụ thuộc vào thiết bị. Các phiên bản trước gắn bản sao lưu tự động với một máy vật lý duy nhất; giờ đây chúng không còn chỉ khôi phục được ở nơi đã tạo ra chúng.

Bạn đặt cụm mật khẩu khôi phục một lần, vào lần đầu tiên bạn tạo bản sao lưu. Đây là điều bắt buộc, không thể bỏ qua — bản sao lưu sẽ không hoàn tất cho đến khi cụm mật khẩu được đặt, chính là để bạn không bao giờ rơi vào cảnh giữ những bản sao lưu mà mình không khôi phục được. Sau đó, việc sao lưu chạy mà không hỏi thêm gì. Bạn có thể đổi cụm mật khẩu bất kỳ lúc nào từ Trình quản lý sao lưu, và việc đổi vẫn giữ cho mọi bản sao lưu hiện có khôi phục được.

Trình quản lý sao lưu cho phép bạn duyệt nội dung của bất kỳ bản sao lưu nào, tìm kiếm trong tất cả các bản sao lưu, so sánh với cơ sở dữ liệu hiện tại và khôi phục chọn lọc từng thư. Việc khôi phục sẽ xác minh bản sao lưu đầy đủ và nguyên vẹn trước khi đụng đến hồ sơ hiện tại của bạn — một bản sao lưu bị cắt cụt hoặc hư hỏng sẽ bị từ chối, dữ liệu hiện có của bạn được giữ nguyên — và khi hoàn tất, nó cho bạn thấy những gì đã được khôi phục, theo từng tập dữ liệu.

Nhật ký xóa và khôi phục

Mọi thư bị xóa đều được ghi lại trong một nhật ký xóa cục bộ, kèm toàn bộ nội dung. Bạn có thể duyệt, tìm kiếm và khôi phục thư đã xóa chỉ bằng một cú nhấp trong tối đa 90 ngày (có thể cấu hình). Không cần tệp sao lưu — việc khôi phục từ nhật ký xóa diễn ra tức thì.