Aangezien dit Artikel registreren onlangs gepubliceerd, maken zich enkele activisten zorgen over de vraag of ProtonMail te vertrouwen is.

De CLDC heeft bedenkingen geuit dat ProtonMail is misschien niet de beste keuze voor activisten. Ondanks het verontrustende recente nieuws is ProtonMail niettemin een redelijke keuze voor versleutelde e-mail. Als een dienst die uw encryptiesleutels voor u beheert, kan ProtonMail geen zo sterk gegarandeerde beveiliging bieden als klassieke PGP/GPG versleutelde e-mail. Maar als uw groep niet de tijd, de capaciteit of de bereidheid heeft om elk lid ~90 minuten met de CLDC te besteden aan een training voor e-mailversleuteling en doorlopende ondersteuning te bieden, is ProtonMail wellicht de beste keuze voor u. Houd updates in de gaten voor https://cldc.org/protonmail in de komende weken, waarin we onze oorspronkelijke 'frosty' mening over ProtonMail wellicht wat kunnen temperen.

Voordat we recente mediaberichten ontleden, laten we duidelijk zijn: e-mail is niet langer de beste keuze voor veilige communicatie.

Allereerst, tenzij *elk* lid van je groep gebruikmaakt van dezelfde, betrouwbare e-mailprovider, ongeacht hoe sterk de e-mailversleuteling ook is, is jouw metadata (informatierijke statistieken over uw gegevens: wie u e-mailt, precies wanneer en hoe vaak, plus de onversleutelde onderwerpregel) zijn altijd breed zichtbaar voor capabele tegenstanders op internet. We zullen hier in een toekomstig artikel dieper op ingaan, maar de enige gebruiksvriendelijke versleutelde communicatie-apps die uw metadata kunnen beschermen, zijn Signal[.org] (de beste) of (de op een na beste) Wire[.com] en Keybase[.io]. Als u garanties wilt rond het beschermen van metadata, zult u zich in de details moeten verdiepen en minder gebruiksvriendelijke apps in combinatie met Tor moeten gebruiken. We laten u graag zien hoe dat moet, maar dit kan veel zijn om op te pakken. Als u er sterk van overtuigd bent dat het beschermen van de identiteit van mensen belangrijk is, alstublieft contact opnemen.

Dus, wat is het huidige ophef over ProtonMail? Het *is* slecht, maar het is niets nieuws wat we nog niet wisten. Het artikel meldt suggesties dat ProtonMail samenwerkt met autoriteiten om IP-adreslogging te bieden. Dit betekent dat ProtonMail lijkt samen te werken met de Zwitserse politie om e-mailmetadata te verzamelen en te delen. Zoals we al eerder vermeldden, is metadata de vitale informatie over uw gegevens — niet wat er wordt geschreven, maar wie er met wie communiceert, wanneer en hoe vaak. Een rijke bron van informatie, zeker. Maar het is erg moeilijk om e-mailmetadata te beschermen tegen een capabele tegenstander (voornamelijk regeringen met wereldwijde surveillancecapaciteiten en dagvaardingsmacht, of goed verbonden bedrijven).

Uw beste optie voor e-mail is een bewegingsvriendelijke e-mailprovider met een verbintenis om geen gebruikersinformatie openbaar te maken, zoals riseup.net of mayfirst.org. Het gebruik van PGP/GPG in combinatie met een betrouwbare e-mailprovider is een ideale beveiligingscultuur. Uw groep of campagne heeft maximale bescherming (data en metadata). Uw vriendelijke bewegingse-mailprovider is ook beschermd, omdat deze alleen onontcijferbare ruis zou kunnen delen. Betekenis: ze hoeven niet te sluiten of naar de gevangenis te gaan om uw communicatie te beschermen.

Natuurlijk is ProtonMail geen activistische organisatie - en het is waar dat ze standaard geen toegang hebben tot de inhoud van uw e-mailberichten of bijlagen. Maar dit geldt alleen als ze u niet actief aanvallen. Aangezien ProtonMail blijkbaar mogelijk samenwerkt met Zwitserse politie om in bepaalde gevallen metadata te delen, is het belangrijk om te weten dat ProtonMail, indien gedwongen, ook veel erger zou kunnen doen. Natuurlijk is dit veel invasiever en veel minder waarschijnlijk, maar het is technisch mogelijk.

De marketing van ProtonMail is zeer misleidend. Ze zeggen dingen als:

“We hebben niet de technische mogelijkheid om uw berichten te ontcijferen, en als gevolg daarvan, wij zijn niet in staat om uw gegevens aan derden door te geven. Met ProtonMail is privacy niet zomaar een belofte, het is wiskundig gegarandeerd.”

Niet waar. Het ProtonMail-encryptieschema, hoewel werelden beter dan Gmail en anderen, die simpelweg al uw organisatiegegevens op verzoek kunnen overhandigen, vereist nog steeds dat u hen moet vertrouwen om het juiste te doen. Specifiek, indien gemotiveerd, zou ProtonMail kunnen:

• Lever uw privésleutel (die u bezit, alleen beschermd door de sterkte van uw wachtwoordzin) in bij de autoriteiten, die dan formidabele middelen kunnen inzetten om te proberen uw wachtwoordzin te kraken met brute force-methoden (wat betekent: alle wachtwoorden proberen totdat ze geluk hebben);
• Een kwaadwillende versie van de ProtonMail webmailclient (JavaScript) serveren om de passphrase van de privésleutel te onderscheppen; of
• Versleutel je e-mailberichten zodat ze ook door een externe partij kunnen worden gelezen (technisch: versleutel je e-mail naar een publieke sleutel die wordt beheerd door een staatsagent) – dit zou waarschijnlijk ook een kwaadaardige webmailclient vereisen.

Als je ProtonMail gebruikt, zijn hier drie stappen om je sterk te verdedigen:

• Gebruik een sterk wachtwoord uw privésleutel te beschermen.
• Gebruik de ProtonMail-client (mobiele app of ProtonMail Bridge voor desktop) en log nooit in om e-mails te lezen/verzenden via de ProtonMail-website.
• Om metadata te beschermen, gebruik Tor Browser of een betrouwbare VPN (Tor is beter, wat geen expliciet vertrouwen vereist) om uw ProtonMail-account aan te maken en altijd te openen.

Als je alle drie de stappen volgt, kun je in feite een redelijke e-mailbeveiliging bereiken.

Dus, uiteindelijk, de Registreren Het artikel zegt niets technisch dat we niet al wisten: ProtonMail is erg handig en biedt een veel betere beveiliging dan Gmail etc. Echter, linkse en bevrijdingsbewegingen moeten zich bewust zijn van keuzes die veel betere beveiligingsgaranties bieden.

Op het moment houden we van Keybase.io (maar je moet ze wel vertrouwen met je metadata). Signal.org biedt de best mogelijke metadatabescherming (met een zeer gebruiksvriendelijke interface), maar je moet ze nog steeds vertrouwen dat ze je metadata niet loggen en uitleveren, indien daartoe gedwongen. Wire.com beschermt u tegen onnozele fascisten of stalkers (u hoeft uw mobiele nummer niet te geven tijdens openbare bijeenkomsten.) en het biedt uniek versleutelde conferentiegesprekken voor kleine groepen.

Stuur ons vragen en trainingsverzoeken via https://cldc.org/contact. Wij kunnen u helpen veilig te blijven, dus neem contact met ons op voordat u met uw volgende campagne naar buiten treedt!