V dnešní době je standardem komunikovat elektronicky. Klasický dopis byl nahrazen emailem. Bohužel také stoupají případy hackerských útoků na emailové účty. V médiích se pravidelně objevují případy zveřejnění emailů nebo informací z nich z účtů politiků a populárních osobností. Ti kdo chtějí znát obsah vaší komunikace nemusí být pouze hackeři z podsvětí, ale může se jednat i o různé státní instituce (různých států). Například v Británii byl minulý týden schválen zákon, který mimo jiné legalizuje využití různých nástrojů pro odposlouchávání komunikace a hacking různými státními službami a nemá obdoby v Evropě ani ve Spojených státech.

Pokud používáte email pro komunikaci s přáteli, s obchodními partnery nebo s úřady je načase začít se zabývat zabezpečením emailů.

 

Jak funguje email

 

 

Podívejme se nejprve na zjednodušený nákres, jak email funguje.

 

1. Uživatelka Alice se rozhodne poslat email Bobovi
2. Otevře si aplikaci pro psaní a přijímání emailů. Buď se jedná o software nainstalovaný na počítači – např. Mozilla Thunderbird, Microsoft Outlook, Mail na Mac OS a mnoho dalších, nebo se jedná o webovou aplikaci, která se spouští v internetovém prohlížeči . Například Gmail od Google, Seznam email. V této aplikaci připraví obsah emailu, vloží přílohy a email odešle vybranému příjemci.
3. Aplikace kontaktuje svůj emailový server pro odchozí emaily – v nastavení bývá označen jako SMTP. Email předá serveru k odeslání.
4. SMTP server kontaktuje emailový server příjemce a email předá k doručení.
5. Uživatel Bob si spustí svou aplikaci pro psaní a přijímání emailů, ta kontaktuje emailový server pro příjem emailů – v nastavení bývá označen jako IMAP nebo POP3. Pokud jsou tam nové emaily, tak je server předá aplikaci a ta upozorní Boba, že má novou poštu.

 

Možnosti útoků na email

Útočník, který se chce dostat k obsahu emailů bude zvažovat následující možnosti:

B – Lze se dostat do počítače nebo mobilního zařízení, kde běží emailová aplikace? Jak je toto zařízení zabezpečeno? Je připojené k internetu? Lze se dostat k záloze tohoto zařízení? Lze se dostat do webové aplikace prolomením hesla, snadnou odpovědí na kontrolní otázku při obnovení hesla nebo resetem hesla přes technickou podporu?

C,D – Lze se dostat k nějakému prvku, přes který email prochází? Jak je zabezpečeno připojení včetně wifi hotspotů? Jak bezpečné jsou emailové servery předávající zprávu a další prvky síťové infrastruktury?

E – Platí to samé jako B

 

Z výše uvedeného je zřejmé, že zabezpečení emailové komunikace není otázkou nějakého přepínače v aplikaci nebo nějakého jednoduchého řešení, které emaily prostě zabezpečí. Spíše půjde o soubor bezpečnostních opatření na straně emailové aplikace, zařízení nebo prostředí, kde aplikace běží, ale v neposlední řadě i chování samotného uživatele.

 

Slabá místa

Vžijte se do role hackera, který se chce dostat k vašim emailům a zamyslete se, kde jsou slabá místa. Z jakých zařízení k emailu přistupujete a jak jsou zajištěná. Například notebook máte chráněný silným heslem, běží na něm antivir, připojujete se pouze k prověřeným sítím, nevkládáte neznámé USB disky, neklikáte na odkazy v emailech, zkrátka chováte se opatrně. Kvůli pohodlí a abyste byli neustále online, máte emailového klienta i na svém mobilu. Ten ale nezamykáte heslem, aplikace na emaily tam je od výrobce, aktualizace neprobíhají a email vám tam zprovoznil syn známého, aby to běželo, ne aby to bylo bezpečné. Na dovolenou si notebook neberete, ale email bylo třeba zkontrolovat a pro to se báječně hodil počítač v lobby hotelu, kde je internet zdarma a po kontrole emailů jste přece prohlížeč zavřeli. Nejsnažší cesta bude přes počítač v lobby – není vyloučené, že tam již nějaký keylogger nainstalovaný je a někdo jen čeká, co uloví a zda v emailovém účtu, ke kterému získá přihlašovací údaje nebude něco zajímavého. Cesta přes mobilní telefon se také jeví jako slabší článek a možný způsob průniku. Osobní počítač vypadá vcelku zajištěně a tak to bude nejméně pravděpodobný vektor útoku.

Také se zamyslete, zda je zrovna u vašeho emailu nutné zabývat se bezpečností. Možná do emailů nepíšete nic tajného nebo citlivého, ale stačí když vám tam chodí výpisy z účtu, nebo je email nastaven pro reset hesla do ostatních služeb – třeba pro jiný emailový účet, který už za kritický považujete.

 

Jak se chránit

Zde je pár doporučení, jak zvýšit bezpečnost vašeho emailu:

• Zabezpečit zařízení, z kterých k emailu přistupujete.
  1. Ochrana heslem
  2. Bezpečnostní aktualizace
  3. Opatrné používání zařízení – minimalizace rizik spouštění škodlivého kódu
• Zabezpečení webové aplikace
  1. Nastavení dvoufaktorové autentizace (kromě hesla ještě dostanete ověřovací SMS při přihlášení)
  2. Všímat si informací, které webová aplikace poskytuje – některé mají pěkně zpracované průvodce pro zvýšení zabezpečení. Některé upozorňují, kdy a odkud proběhlo poslední přihlášení.
  3. Jednou za čas změňte heslo
• Zabezpečení emailové aplikace
  1. Zapnutí šifrovaného přenosu odchozí pošty – zde se jedná o šifrování přenosu emailu. O šifrování samotného emailu bude řeč dále.
  2. Zapnutí šifrovaného přenosu příchozí pošty

Například pokud používáte Microsoft Outlook, tak se podívejte na nastavení serverů následovně:

“Soubor > Nastavení účtu > Nastavení účtu > Vyberte účet > Změnit  > Další nastavení > Upřesnit

U příchozího serveru (IMAP nebo POP3) i odchozího (SMTP) lze vybrat šifrování připojení. Většina poskytovatelů emailů šifrování podporuje a tak stačí pouze vybrat SSL, TLS nebo automatický výběr. Pokud je u SMTP port 25 a není vybráno šifrování přenosu, tak jde o vážné bezpečnostní riziko. To samé platí pro IMAP na portu 143 nebo POP3 na portu 110. Pokud má váš poskytovatel emailu speciální nastavení jako třeba nestandardní čísla portů, kontaktujte svého správce IT nebo technickou podporu poskytovatele pro přesné nastavení vašeho konkrétního klienta.

 

Podobné nastavení naleznete u všech emailových klientů včetně těch na mobilních telefonech.

 

Šifrování emailů

Dalším krokem k zvýšení bezpečnosti je použití šifrování samotných emailů. Běžně se využívá asynchronní šifrování. Princip spočívá v tom, že každý účastník komunikace má dva klíče – soukromý a veřejný. Pokud se něco zašifruje jedním klíčem, je třeba ten druhý k dešifrování.

Zde je stručný popis pro Alici a Boba:

 

1. Alice chce poslat zašifrovaný email Bobovi.
2. Nejprve si Alice i Bob navzájem pošlou své veřejné klíče.
3. Alice napíše email Bobovi. Použije Bobův veřejný klíč a obsah zašifruje. Použije svůj soukromý klíč a k emailu připojí svůj podpis.
4. Email jde klasickou cestou jako každý jiný email, jak bylo popsáno u nákresu výše. Zde je ten rozdíl, že obsah je již šifrován a pokud se kdekoliv v průběhu přenosu k němu někdo dostane, není možné bez příslušných klíčů obsah dešifrovat.
5. Bob použije Alicin veřejný klíč a ověří si podpis. Nyní si je jistý, že email přišel od Alice, protože jenom Alice se svým soukromým klíčem jej mohla podepsat.
6. Bob použije svůj soukromý klíč a dešifruje obsah. Nyní si je jistý, že nikdo jiný email nedešifroval, protože pouze Bob se svým soukromým klíčem jej může dešifrovat.

 

Pro realizaci šifrování emailů se využívají dva hlavní systémy OpenPGP nebo S/MIME (X.509). Každý systém má jinou logiku, a tedy i implementace je odlišná. Některé emailové klienty podporují oba standardy, jiné potřebují nějaký zásuvný modul nebo rozšíření pro jejich funkcionalitu. Velmi zjednodušeně lze říci, že standard OpenPGP umožňuje komukoliv, aby si vygeneroval svůj certifikát se soukromým a veřejným klíčem a veřejný klíč sdílel přímo s ostatními nebo prostřednictvím veřejných serverů k tomu určených. Takto vygenerované certifikáty jsou zdarma.

Standard S/MIME (X.509) spoléhá na systém centralizovaných certifikačních autorit, které certifikáty vydávají a ověřují. Pokud se bude jednat o certifikát vydaný kvalifikovanou certifikační autoritou (například Postsignum nebo I.CA), potom má digitální podpis stejnou váhu jako podpis ověřený notářem. Takové certifikáty jsou zpoplatněné a před jejich získáním musíte prokázat příslušné autoritě svou identitu.

 

Pokud vám tedy jde pouze o šifrování emailů a nepotřebujete ověřený digitální podpis je standard OpenPGP tou jednodušší a levnější cestou.

Ještě vysvětlení některých zkratek  – OpenPGP je standard šifrování, který původně vzniknul z proprietárního komerčního řešení PGP (Pretty Good Privacy). PGP nyní patří společnosti Symantec a je jednou z implementací OpenPGP. GPG (GNU Privacy Guard) je alternativou k PGP, jedná se také o implementaci standardu OpenPGP, ale je to řešení s otevřeným kódem.

 

Pro samotný chod OpenPGP je třeba mít nainstalovaný šifrovací systém GPG. Zde je stručný přehled realizace OpenPGP v různých operačních systémech:

 

• V Linuxu je GPG součástí většiny distribucí nebo jej lze snadno doinstalovat. Dále je třeba nakonfigurovat emailového klienta. Například pro Mozilla Thunderbird je potřeba nainstalovat rozšíření Enigmail, které umožní jednoduše šifrovat a podepisovat emaily.

 

• Pro systém Windows existuje GPG4Win. To je software, který po nainstalování umožní vygenerovat certifikát s veřejným i soukromým klíčem, spravovat ostatní klíče, šifrovat soubory a emaily a podepisovat. Součástí GPG4Win je také plugin do Outlooku GpgOL. Případně lze využít plugin třetí strany Outlook Privacy Plugin, který u mojí konfigurace Windows 10 a Outlook 2016 fungoval lépe.

 

 

• Pro systém Mac OS existuje řešení GPG Suite, které obsahuje rozšíření pro Apple Mail. Nevýhodou je, že jsou někdy pozadu s aktualizacemi operačního systému a po upgradu Mac OS nemusí fungovat korektně.

 

Bez ohledu na operační systém, implementaci OpenPGP a poštovního klienta, je nutné věnovat zvýšenou pozornost uložení soukromého klíče. Tedy dávat pozor, aby nedošlo k jeho sdílení. Většina implementací umožňuje bez problémů vyexportovat veřejný klíč a u exportu soukromého klíče zobrazuje několik upozornění a samotný klíč je ještě chráněn heslem. Soukromý klíč je dobré zálohovat na bezpečné úložiště – například si pro něj vyhradit USB flash disk a ten označit a uložit na bezpečné místo.

 

 

Existují další řešení šifrování emailové komunikace. Jedním z nich je Proton Mail. Jedná se o řešení založené také na OpenPGP a šifrování AES a RSA. Systém je provozován na zabezpečených serverech ve Švýcarsku. Řešení Proton Mail se snaží minimalizovat bezpečnostní rizika tím, že omezují možnosti uživatele udělat chybu. Uživatel nedostane k dispozici svůj soukromý klíč, a tak nemůže dojít k jeho zneužití chybou uživatele. Proton Mail se jeví jako běžný poskytovatel emailů, lze si zaregistrovat bezplatnou emailovou schránku (do 500 MB) nebo zpoplatněnou schránku s vyšším limitem a možností vlastní domény. K dispozici je rozhraní přes webový prohlížeč nebo aplikace pro Android a pro iOS. Email nelze využívat v jiných poštovních klientech například formou rozšíření. V případě, že si posílají email dva uživatelé Proton Mailu, jsou emaily šifrovány stejně jako u asymetrického šifrování za využití veřejných a soukromých klíčů. Pokud chcete poslat šifrovaný email někomu mimo Proton Mail, přijde adresátovi email s odkazem na web, kde si může vyzvednout svůj email po zadání hesla. Heslo se doporučuje předat adresátovi nějakým jiným způsobem (například přes SMS). Pokud zvolíte emaily nešifrovat fungují běžným způsobem a adresátovi dojde email s čitelným obsahem.

 

Shrnutí

Nárůst případů datových úniků nebo vydírání různými ransomware aplikacemi nasvědčuje tomu, že zabezpečení emailové komunikace je více než vhodné. Existuje mnoho přístupů, v tomto článku jsem se snažil nastínit obecnější přístup k této problematice a jak je třeba uvažovat, aby se člověk nestal zbytečně obětí. Je vhodné zamyslet se, jak email používáme a kde by mohla být slabá místa. U nich zvážit, jak minimalizovat riziko zneužití emailu. Mezi hlavní prvky ochrany patří:

• zabezpečení zařízení využívaného pro email včetně aktualizace operačního systému a antiviru
• zabezpečení klientské aplikace pro posílání emailů
• nastavení šifrovaného přenosu emailů
• šifrování obsahu emailů

 

Více informací o konkrétních nástrojích, rozšířeních a jejich použití se lze dočíst přímo na konkrétních webových stránkách těchto produktů:

 

• GPG – https://www.gnupg.org/
• Enigmail – https://www.enigmail.net/index.php/en/
• GPG4Win – https://www.gpg4win.org/
• Outlook Privacy Plugin – https://github.com/dejavusecurity/OutlookPrivacyPlugin
• GPG Suite – https://gpgtools.org/
• Proton Mail – https://protonmail.com/