Ultime notizie
Leggi il nostro blog per scoprire perché la privacy è importante. E non dimenticare di procurarti una mailbox crittografata!

Perché Tutanota è il servizio di posta elettronica più sicuro.

Crittografia totale, nessun tracciamento, open source - ci sono molti fattori che rendono Tutanota il provider di posta elettronica più sicuro al mondo.

2020-12-10
La privacy e la sicurezza stanno diventando sempre più popolari, quindi sempre più servizi cercano di promuoversi come i nuovi difensori della privacy. Tuttavia, queste affermazioni sono spesso solo affermazioni di marketing. Abbiamo raccolto i fatti e spiegato in dettaglio perché Tutanota è il servizio di posta elettronica più sicuro al mondo.

Prima di tutto: Quando controllate la sicurezza e la privacy di qualsiasi servizio online, chiedetevi sempre "quali dati sono criptati Ende-zu-Ende".

Perché è importante la crittografia Ende-zu-Ende?

Questa domanda è cruciale: perché solo quando i dati sono crittografati Ende-zu-Ende, sono veramente inaccessibili sia dal servizio online che da altre terze parti. Ecco perché criptare quanti più dati possibile deve essere il primo passo.

Dopo di che, è necessario guardare anche altre caratteristiche di sicurezza e privacy, per esempio:

  • Quanto è sicuro il design del processo di login?
  • Tutti i client sono open source?
  • Il servizio usa qualche tracciamento?

Crittografia incorporata nel codice

Tutanota è il servizio di posta elettronica più sicuro al mondo perché proteggiamo i tuoi dati a tutti i livelli. Sia sui nostri server che sui tuoi dispositivi: In Tutanota tutti i dati sono sempre criptati Ende-zu-Ende.

Quando si offre un servizio sicuro, le persone si fidano del fatto che si fa bene la sicurezza. Per noi, questo significa che non ci può mai essere un compromesso quando si tratta di sicurezza.

La sicurezza deve essere incorporata nel codice in modo da poter aggiungere facilmente l'usabilità, non il contrario.

Questo concetto di "sicurezza prima di tutto" ha portato a diverse decisioni di sviluppo che oggi garantiscono la massima sicurezza di Tutanota:

  • Non usiamo PGP, ma un'implementazione leggermente diversa di AES e RSA, che ci permette di criptare molti più dati (righe di oggetto) così come criptare tutte le altre caratteristiche che aggiungiamo a Tutanota come contatti e calendari.

  • Non cerchiamo i tuoi dati sul server perché sono criptati lì. Invece costruiamo un indice di ricerca criptato, che viene memorizzato localmente.

  • Non offriamo IMAP perché funzionerebbe solo se inviassimo dati decriptati al tuo dispositivo. Invece abbiamo costruito i nostri client desktop open source, che memorizzano i tuoi dati criptati. I client desktop sono anche firmati in modo che tutti possano verificare che il client stia eseguendo esattamente lo stesso codice di quello pubblicato su GitHub.

1. Crittografato Ende-zu-Ende

Fin dall'inizio, noi di Tutanota abbiamo inserito la crittografia Ende-zu-Ende nel codice. Tutanota è stato il primo servizio di posta elettronica con crittografia Ende-zu-Ende al mondo e, ad oggi, è il servizio di posta elettronica che cripta più dati di qualsiasi altro provider di posta elettronica sicura.

Puoi controllare qui tutti i dati che Tutanota cripta:

  • e-mail, comprese le righe dell'oggetto e gli allegati
  • voci di calendario, anche i metadati come chi sta partecipando
  • l'intera rubrica, non solo parti dei contatti

Tutanota cripta automaticamente tutte le e-mail tra gli utenti Tutanota Ende-zu-Ende, il che fa una grande differenza per la sicurezza online nel suo complesso. Tutanota consente anche di inviare e-mail crittografate Ende-zu-Ende a chiunque.

Ende-zu-Ende encrypted email in Tutanota.

2. Non inviamo mai dati non criptati

Ogni volta che comunichi con Tutanota - ricevi una notifica su una nuova email, esegui una ricerca, inserisci una voce nel calendario, aggiungi un nuovo contatto alla tua rubrica - i tuoi dati sono sempre inviati criptati Ende-zu-Ende. Non inviamo mai dati non criptati attraverso le notifiche, e non permettiamo mai che dati non criptati vengano memorizzati sul tuo dispositivo.

Anche quando cerchi la tua casella di posta cifrata in Tutanota, l'indice di ricerca viene criptato e memorizzato localmente prima di poter cercare i tuoi dati in modo sicuro.

3. Calendario a conoscenza zero

Abbiamo costruito il primo calendario crittografato Ende-zu-Ende. Il calendario cripta tutti i dati, anche i partecipanti di un evento sono memorizzati in modo criptato.

Il calendario è a conoscenza zero perché anche quando si riceve una notifica push per un evento imminente, abbiamo costruito questo servizio di promemoria in modo tale che i nostri server non vedano mai la notifica. Questo manterrà i nostri server all'oscuro non solo di quale evento tu abbia, ma anche di quando i tuoi eventi hanno luogo.

Qualsiasi calendario che abbia notifiche via e-mail - anche se crittografato - non può essere considerato a conoscenza zero. Ecco perché abbiamo fatto di tutto per spingere le notifiche crittografate direttamente ai client Tutanota, ad esempio sul desktop o sul mobile. Il grande vantaggio con le app mobili è che si ricevono questi promemoria anche quando non si sta utilizzando l'app.

Controlla il nostro post sulla nostra prima release del calendario per sapere perché le notifiche criptate sono così importanti per proteggere la tua privacy.

4. Concentrarsi sull'open source

Abbiamo pubblicato tutti i client di posta elettronica come open source in modo che gli esperti di sicurezza possano sempre controllare il codice.

In questo modo ci assicuriamo che non ci possa mai essere una backdoor di crittografia in Tutanota.

Insieme a questo focus sull'open source, non usiamo alcun servizio di Google, come Google Push o Goggle reCaptcha, per assicurarci che questo gigante della Silicon Valley non possa tracciarti mentre controlli la tua casella di posta sicura o il tuo calendario criptato.

5. La migliore protezione di login della categoria

Tutanota ti permette di creare la password più sicura permettendoti di scegliere una password lunga quanto vuoi.

Non trasmettiamo mai la tua password al server, ma solo un hash. Poiché è impossibile ricavare la password reale da questo hash, non potremo mai entrare in possesso della tua password.

Permettiamo anche a tutti gli utenti di attivare l'autenticazione a due fattori (2FA) con un token hardware (U2F) o con un'app di autenticazione (TOTP).

Two-factor authentication in Tutanota.

Quando si tratta di reimpostare le password, Tutanota ha scelto il modo più sicuro: Solo gli utenti possono resettare le loro password con i loro codici di recupero. Questo è fondamentale perché altri metodi per resettare le password, ad esempio l'invio di un'email di reset della password, sono soggetti ad attacchi mirati che permetterebbero a terzi di impossessarsi degli account in modo malevolo. Come servizio di posta elettronica sicuro, dobbiamo assicurarci che gli account dei nostri utenti non possano essere rubati con questi metodi.

Scopri perché il nostro sistema è l'opzione di reimpostazione della password più sicura. Per massimizzare la protezione del tuo login, ti consigliamo anche di leggere la nostra guida sulla sicurezza delle email.

Raccomandiamo anche vivamente di utilizzare un gestore di password per essere sicuri di non perdere mai la password e il codice di recupero.

6. Proteggere il protocollo di posta elettronica

Quando si inviano e-mail crittografate Ende-zu-Ende con Tutanota, si è chiaramente scelto l'opzione più sicura.

Tuttavia, a volte è necessario anche inviare e ricevere e-mail non crittografate. E' molto più difficile proteggere queste e-mail perché come provider di posta elettronica possiamo solo criptare la trasmissione - non i dati stessi. Oltre a questo, altri servizi fanno parte del processo di invio e devono assicurarsi che la trasmissione sia completata in modo sicuro, per esempio il provider ricevente.

Per proteggere al meglio le e-mail non crittografate, aderiamo ai più alti standard possibili del protocollo e-mail SMTP.

Tutanota supporta MTA-STS. Questo standard dovrebbe essere supportato da tutti i servizi di posta elettronica, perché è per una e-mail ciò che lo stretto HTTPS è per un sito web: Applica la crittografia del trasporto (TLS) ogni volta che TLS è possibile.

Tutanota supporta anche SPF, DKIM e DMARC. Questi tre protocolli sono necessari per irrigidire l'infrastruttura contro l'intrusione di email di phishing e spam.

Tutanota aggiunge un altro livello a questa protezione consentendo ai suoi utenti di segnalare il phishing. Questa funzione di segnalazione funziona anche con zero-knowledge:

Quando un'email viene segnalata, creiamo delle firme da essa (hash di diversi campi). Quando un altro utente accede, queste firme vengono scaricate. Quando si apre un'email, Tutanota calcola gli hash dei diversi campi dell'email e li confronta con quelli scaricati che sono stati segnalati. Questo avviene localmente sul client. Se ci sono abbastanza corrispondenze, l'email viene considerata come phishing e contrassegnata di conseguenza.

Invalid sender warning in Tutanota.

Protezione della privacy

Email anonime

Il nostro modello di business è diverso dalla maggior parte dei servizi di posta elettronica: A causa della crittografia, non possiamo scansionare le tue email e non ti tracciamo. Non inviamo pubblicità mirata alla tua casella di posta elettronica.

Per impostazione predefinita, Tutanota non registra gli indirizzi IP quando si accede o quando si invia una e-mail. Al momento della registrazione non è necessario fornire alcun dato personale (ad esempio non è richiesto alcun numero di telefono), anche quando ci si registra tramite Tor.

Tutanota rimuove gli indirizzi IP delle e-mail inviate dalle intestazioni della posta in modo che la tua posizione rimanga sconosciuta.

Nessun tracciamento consentito

Ovviamente, Tutanota stesso non ti traccia quando usi Tutanota.

Oltre a questo, Tutanota blocca il tracciamento non caricando automaticamente le immagini. Questo è importante perché l'email è lo strumento preferito dai marketer che vogliono tracciarti. Le email permettono ai marketer di tracciarti includendo pixel di tracciamento che mostrano al mittente chi ha aperto un'email, quando, se hanno cliccato i link contenuti e altro ancora.

Questi pixel di tracciamento sono contenuti esterni in un'email, che devono essere caricati. Se un client di posta carica automaticamente il contenuto esterno come le immagini, anche questi pixel di tracciamento vengono caricati. Tutanota blocca questo per fare in modo che si carichi il contenuto esterno solo quando si accetta attivamente di essere tracciati dal mittente.

Sfide future

Crittografia sicura post-quantistica

Tutanota non è solo il servizio di posta elettronica più sicuro al momento, abbiamo anche intenzione di rimanere il più sicuro in futuro.

Ecco perché abbiamo già iniziato a lavorare sulla crittografia sicura post quantistica. Abbiamo lanciato il progetto PQ Mail all'inizio di quest'anno e abbiamo già un prototipo funzionante che ci permette di criptare le email con un protocollo ibrido che combina i nostri collaudati algoritmi di crittografia con algoritmi sicuri post quantistici.

In questo post spieghiamo perché abbiamo bisogno di una crittografia quantistica resistente ora. Un piccolo suggerimento: è necessario per stare davanti alla NSA e altri che vogliono usare i computer quantistici per decifrare le comunicazioni passate.

Combattere per il tuo diritto alla privacy

A Tutanota siamo impegnati a combattere per il tuo diritto alla privacy con la tecnologia. Vogliamo fare in modo che la sorveglianza di massa diventi impossibile applicando la crittografia Ende-zu-Ende a tutti i dati possibili.

Insieme renderemo internet più sicuro!

Nessun commento disponibile