Quote from: Sandro kensan on December 13, 2014, 03:05:54 PM

Non ho afferrato completamente il discorso sull'email ma trovo che avere l'email in chiaro che viaggia attraverso mille server in chiaro per poi arrivare al nostro server da cui scarichiamo l'email, non sia il massimo per la sicurezza. A dire la verità non ho mai capito se il fatto di accedere alle email tramite ssl o servizi analoghi per chi usa pop3/imap sia sinonimo di sicurezza in quanto l'email viaggia molto prima di arrivare da noi.

Immagino, sto trattando il tema grossolanamente sia perchè può essere complesso, sia perchè non conosco perfettamente tutti gli argomenti che alla fine si andranno forzatamente a toccare.

Dando per scontato il fatto che il server DNS collegato al dominio utilizzato nell'email legata all'account non abbia problemi di sicurezza e che i server non siano compressi, restano due problemi rilevanti (ma forse di più): chi smista o detiene le email è affidabile? (IMAP tiene tutte le email sul server di arrivo o dove sono allocate le caselle) E lo scambio avviene in modo più sicuro possibile? Yahoo, google, la maggior parte degli exchange usa tunnel SSL o TLS per le connessioni tra gli SMTP (il servizio che si occupa di inviare e ricevere la posta tra i vari domini), quindi gli unici a conoscerne il contenuto sono chi invia e chi riceve. Ma se si utilizza un provider con SMTP che non implementa i tunnel, oppure si decide di fare il forward dei messaggi ad un SMTP configurato per non implementare i tunnel, le email passeranno tutte in plain text, rendendo impossibile sapere chi ne è a conoscenza e chi no.

Quote from: Sandro kensan on December 13, 2014, 03:05:54 PM

Per questo ritengo che la cosa migliore sia la crittografia end to end che permette alla email di viaggiare sicura indipendentemente dalle scelte dei vari provider o dei vari server attraverso cui viaggia l'email: quindi responsabilità all'utente e non al servizio.

Sono d'accordo, ma anche questo sistema ha i suoi svantaggi: per esempio si necessita di una chiave privata salvata su file e di conoscere una password per accederci, cosa molto semplice da ottene attraverso trojan. Oltrettutto PGP e GPG sono veramente poco usati e non semplici da utilizzare, infatti nonostante esistano da molto tempo, sono in pochi ad usarlo. In uno smartphone poi la vedo piuttosto complicata come cosa.

Perciò a mio parere usare una mail per resettare o impostare password o confermare transazioni può non dare nessun vantaggio in sicurezza, anzi.

Pinbot

Posts

Merits