Link alla notizia: https://www.hwupgrade.it/news/web/gmail-gli-utenti-aziendali-possono-inviare-e-mail-crittografate-a-chiunque_144376.html

Google ha attivato la crittografia end-to-end in Gmail per utenti aziendali di Workspace Enterprise Plus con Assured Controls. I messaggi protetti possono essere inviati anche a destinatari esterni, che li leggono via link sicuro e account guest.

Click sul link per visualizzare la notizia.

Ah finalmente... probabilmente perchè adesso la profilazione e l'addestramento AI non si fa più mediante le sbirciatine delle email. ;)

Siamo sicuri sia veramente E2E?
Probabilmente lo è in transito, ma secondo me Google conosce comunque il contenuto della email o comunque ha tutti gli elementi per accedervi.

Attualmente le alternative sono comunque scomodissime.
Si dovrebbe creare uno standard per poter avere email crittografate E2E che sia alla portata di tutti.

Siamo sicuri sia veramente E2E?
Probabilmente lo è in transito, ma secondo me Google conosce comunque il contenuto della email o comunque ha tutti gli elementi per accedervi.

Sono d'accordo, non ci si può fidare.

Attualmente le alternative sono comunque scomodissime.
Si dovrebbe creare uno standard per poter avere email crittografate E2E che sia alla portata di tutti.

Ma non c'era PGP e relativo plughin per i maggiori client di posta ?

Ah finalmente... probabilmente perchè adesso la profilazione e l'addestramento AI non si fa più mediante le sbirciatine delle email. ;)
L'email viene criptata dal software di Google, e nulla impedisce a Google di dare una sbirciatina, subito prima di criptarla.


.

In pratica, Google mantiene l'accesso.
Quello che questa "protezione" impedirebbe, è l'attacco MITM.
Per il resto, le email non sono private tanto quanto non lo erano prima.

Sono anni che esiste il PGP, perché la gente non usa quello se ha bisogno di riservatezza? Soprattutto le aziende...

Perché è scomodo! La criptazione della e-mail dipende dal fatto che il ricevente abbia pubblicato la sua chiave e il mittente sappia dove l'ha pubblicata; pensa solo al medico che vorrebbe mandare un referto medico al proprio paziente, non può perché altrimenti tutti i server su cui passano le email possono leggerne il contenuto.

Purtroppo non essendo stata pensata per essere sicura (by design come dicono quelli bravi), adesso è difficile applicare protezioni e nessuno ha interesse a farlo.

Perché è scomodo! La criptazione della e-mail dipende dal fatto che il ricevente abbia pubblicato la sua chiave e il mittente sappia dove l'ha pubblicata; pensa solo al medico che vorrebbe mandare un referto medico al proprio paziente, non può perché altrimenti tutti i server su cui passano le email possono leggerne il contenuto.

Purtroppo non essendo stata pensata per essere sicura (by design come dicono quelli bravi), adesso è difficile applicare protezioni e nessuno ha interesse a farlo.
Ovvio che ci debba essere lo scambio delle chiavi, la crittografia e2e funziona così...
Tutti gli altri metodi non hanno riservatezza, compreso questo di Google.

Un'azienda (o anche una entità, come il medico, che vuole inviare dati riservati), o usa email con PGP, oppure lascia stare le email e usa altri sistemi più moderni (come la sanità tedesca che ha imposto l'uso di Matrix...)

Perché è scomodo! La criptazione della e-mail dipende dal fatto che il ricevente abbia pubblicato la sua chiave e il mittente sappia dove l'ha pubblicata; pensa solo al medico che vorrebbe mandare un referto medico al proprio paziente, non può perché altrimenti tutti i server su cui passano le email possono leggerne il contenuto.

Purtroppo non essendo stata pensata per essere sicura (by design come dicono quelli bravi), adesso è difficile applicare protezioni e nessuno ha interesse a farlo.

Vero, non è semplice, ma nemmeno difficile. Comunque ci sono ottime alternative per l'utente comune come proton e tuta (la prima supporta anche lo standard openPGP).

Confermate che è scomodo.
Avere la cifratura della e-mail in transito non è banale ma dovrebbe diventare uno standard.
Per quanto riguarda, invece, la cifratura at rest il problema mi sembra minore.
Restando sull'esempio del medico che deve inviare un referto se il medico ha la casella di posta "@asl.it" e il paziente la casella "@libero.it" sia paziente che medico accettano implicitamente che i due ISP abbiano accesso alla casella di posta. Possono raccontarci quello che vogliono, ma per come sono fatte le e-mail così è e così sempre sarà.

Che poi non capisco tutto questa attenzione sulla privacy quando si sono sempre inviati i referti cartacei via raccomandata... e lì hai voglia delle mani in cui passava la busta.

Confermate che è scomodo.
Avere la cifratura della e-mail in transito non è banale ma dovrebbe diventare uno standard.
Per quanto riguarda, invece, la cifratura at rest il problema mi sembra minore.
Restando sull'esempio del medico che deve inviare un referto se il medico ha la casella di posta "@asl.it" e il paziente la casella "@libero.it" sia paziente che medico accettano implicitamente che i due ISP abbiano accesso alla casella di posta. Possono raccontarci quello che vogliono, ma per come sono fatte le e-mail così è e così sempre sarà.

Non mi pare più scomodo dei mille passaggi che devi fare oggigiorno per accedere al conto bancario online...
Una volta che hai creato una chiave e l'hai consegnata al destinatario, viene immessa nel portafoglio, e d'ora in poi comunichi automaticamente in modo crittografato con quella persona.

Semplicemente, non c'è un'imposizione, non c'è vero interesse, e tanta ignoranza...
E quest'uscita di Google è semplicemente un altro esempio di "privacy washing".

Che poi non capisco tutto questa attenzione sulla privacy quando si sono sempre inviati i referti cartacei via raccomandata... e lì hai voglia delle mani in cui passava la busta.
Beh, se la busta era sigillata te n'accorgevi se qualcuno nel mezzo l'aveva visionata.
E anche se fosse, si tratta di un singolo che non credo si sarebbe messo a fare fotocopie/scansioni del referto e archiviarle.
Nel mondo digitale, invece, con poco sforzo raccogli email a rastrello e crei immensi archivi di dati...

Non mi pare più scomodo dei mille passaggi che devi fare oggigiorno per accedere al conto bancario online...
Ma è più scomodo che ricevere la busta a casa. Se fosse stato comodo non avrebbero inventato il fascicolo sanitario elettronico.
Una volta che hai creato una chiave e l'hai consegnata al destinatario, viene immessa nel portafoglio, e d'ora in poi comunichi automaticamente in modo crittografato con quella persona.
PGP funzioni esattamente al contrario (giustamente).
Usi la chiave pubblica del destinatario per cifrare il messaggio poi il destinatario lo decifra con la sua chiave privata.

E anche se fosse, si tratta di un singolo che non credo si sarebbe messo a fare fotocopie/scansioni del referto e archiviarle.
Sicuramente prima era più mirata e meno massiva la cosa, ma i soggetti in cui passava in mano la busta non erano pochi.

Confermate che è scomodo.
Avere la cifratura della e-mail in transito non è banale ma dovrebbe diventare uno standard.
Per quanto riguarda, invece, la cifratura at rest il problema mi sembra minore.
Restando sull'esempio del medico che deve inviare un referto se il medico ha la casella di posta "@asl.it" e il paziente la casella "@libero.it" sia paziente che medico accettano implicitamente che i due ISP abbiano accesso alla casella di posta. Possono raccontarci quello che vogliono, ma per come sono fatte le e-mail così è e così sempre sarà.

Che poi non capisco tutto questa attenzione sulla privacy quando si sono sempre inviati i referti cartacei via raccomandata... e lì hai voglia delle mani in cui passava la busta.

Si è più scomodo che scrivere un email tradizionale, ma a quale prezzo?
Volendo per qualunque fornitore di posta tradizionale c'è anche mailvelope (https://mailvelope.com/en) che è veramente facile da usare.

Mi state dando tutte soluzioni estemporanee per nascondere al provider di posta il contenuto delle e-mail. Finisce il supporto all'estensione cosa fai? Oppure non supportano più il programma cosa fai? Thunderbird ha integrato PGP da anni.


O questa cosa di non poter accedere al contenuto delle e-mail viene imposta dall'UE (e comunque ti devi fidare perché non esiste che google o chicchssia ti faccia vedere che non può accedere alle tue e-mail) oppure te lo tieni così, la tecnologia è nata così, si è diffusa così e non è possibile cambiarla.
Se vuoi un provider che non ti guardi le e-mail ti devi fidare di quelli che dicono di non farlo.

Mi state dando tutte soluzioni estemporanee per nascondere al provider di posta il contenuto delle e-mail. Finisce il supporto all'estensione cosa fai? Oppure non supportano più il programma cosa fai? Thunderbird ha integrato PGP da anni.


O questa cosa di non poter accedere al contenuto delle e-mail viene imposta dall'UE (e comunque ti devi fidare perché non esiste che google o chicchssia ti faccia vedere che non può accedere alle tue e-mail) oppure te lo tieni così, la tecnologia è nata così, si è diffusa così e non è possibile cambiarla.
Se vuoi un provider che non ti guardi le e-mail ti devi fidare di quelli che dicono di non farlo.

Certo thunderbird è migliore, ma quanti lo utilizzano? Il browser tutti e non ci vuole molto a installare un estensione, se si vuole.
openPGP esiste da circa 30 anni e se vuoi puoi utilizzare provider con crittografia e2e di default come proton o tuta.
Le soluzioni esistono, si tratta di volerle utilizzare.

Come ho già detto, proton e tuta non possono essere "la soluzione".
Sono due prodotti commerciali che non usano i protocolli standard.
Hai voglia a dire che il client open-source, se spegni il server di tuta o proton sai cosa te ne puoi fare del client?

Come ho già detto, proton e tuta non possono essere "la soluzione".
Sono due prodotti commerciali che non usano i protocolli standard.


Sono una possibile soluzione per chi non ha voglia o non è in grado di configurare thunderbird o mailvelope con openPGP. Vero entrambi sono prodotti commerciali con la versione gratuita (freemium), alla pari di gmail-outlook o altro (con la differenza di essere open source e con crittografia e2e). Proton supporta lo standard openPGP (https://proton.me/blog/post-quantum-encryption) ed è maintainer della libreria openPGP.js e GopenPGP.


Hai voglia a dire che il client open-source, se spegni il server di tuta o proton sai cosa te ne puoi fare del client?

Sai come funziona il protocollo della posta elettronica SMTP-IMAP? E' basato su un modello client-server, non è peer-to-peer :D

Sono una possibile soluzione per chi non ha voglia o non è in grado di configurare thunderbird o mailvelope con openPGP. Vero entrambi sono prodotti commerciali con la versione gratuita (freemium), alla pari di gmail-outlook o altro (con la differenza di essere open source e con crittografia e2e).
Del fatto che il client sia open-source non te ne fai una mazza, anzi è una buona scusa per poter rispondere a chi gli dice "eh ma per la distro CappelloDiPaglia 84 non esiste" di scaricarsi il sorgente e ricompilarselo.
Perché non rendono open-source il server così come ci sono progetti open-source di server imap pop e smtp? Per esempio bitwarden è open source sia client che server, come mai questi paladini dell'open-source non rilasciano anche il server open source per self-hosting? Non ho detto che debba essere gratis, neanche bitwarden lo è. Opensource-washign.

Proton supporta lo standard openPGP (https://proton.me/blog/post-quantum-encryption)
No, proton sfrutta lo standard opengpg
ed è maintainer della libreria openPGP.js e GopenPGP.
E sti grandissimi c***zi. Opensource-washign.

Sai come funziona il protocollo della posta elettronica SMTP-IMAP? E' basato su un modello client-server, non è peer-to-peer :D

Ma bravo! Adesso spiegami cosa c'entrano questi due protocolli con proton e tuta.

Del fatto che il client sia open-source non te ne fai una mazza...
No, è sufficiente che il client sia opensource, se hai una crittografia E2E.
Il server può anche essere chiuso e proprietario, non cambia niente.

Ma sapete che proton e tutta NON funzionano con smtp e imap vero?

Ma sapete che proton e tutta NON funzionano con smtp e imap vero?
Certo, sono protocolli non sicuri per la riservatezza, e quindi hanno scelto di evitarli.
E quindi?

Mi viene il dubbio che stiamo parlando di concetti diversi...

Se non ci fosse il server Proton o tuta, cosa te ne fai del client?

Del fatto che il client sia open-source non te ne fai una mazza, anzi è una buona scusa per poter rispondere a chi gli dice "eh ma per la distro CappelloDiPaglia 84 non esiste" di scaricarsi il sorgente e ricompilarselo.
Perché non rendono open-source il server così come ci sono progetti open-source di server imap pop e smtp? Per esempio bitwarden è open source sia client che server, come mai questi paladini dell'open-source non rilasciano anche il server open source per self-hosting? Non ho detto che debba essere gratis, neanche bitwarden lo è. Opensource-washign.


Il server open source ha senso solo se il servizio supporta la federazione altrimenti ti puoi fare la tua istanza, ma rimane isolata dal resto del mondo. Nel caso di bitwarden ha senso, ma nel caso di signal, proton o altro sistema di comunicazione no. Inoltre, se anche il server fosse open source, diversamente dal client dove può ricompilarti il codice, non c'è modo di verificare quale versione sia effettivamente in esecuzione.


No, proton sfrutta lo standard opengpg


Lo supporta, hai detto una fesseria...proton ha proposto diverse migliore allo standard openPGP sviluppato dal IETF (https://datatracker.ietf.org/doc/rfc9580/). Informati (https://proton.me/blog/openpgp-crypto-refresh)...


E sti grandissimi c***zi. Opensource-washign.


:mc:


Si vede

Ma bravo! Adesso spiegami cosa c'entrano questi due protocolli con proton e tuta.

Proton ha il suo protonBridge (https://proton.me/mail/bridge) che è open source e permette di comunicare normalmente con SMTP e IMAP.
Tuta non supporta alcuno standard, mai scritto.

P.S. invece di criticare google-microsoft per le loro politiche di lock-in, te la prendi con le alternative come proton, tuta e mailvelope che combattono il monopolio? :rolleyes:

Se non ci fosse il server Proton o tuta, cosa te ne fai del client?
Niente. Come con qualsiasi altro servizio email.
O ti fai selfhosting di un server email, oppure ti affidi al server di qualche provider.

Veramente non vedete la differenza tra un servizio proprietario che si fa bello con l'open source e dei protocolli standardizzati?
Con thunderbird, o qualsiasi altro client di posta, se chiude libero, o chi per esso, lo posso usare con un altro provider. Proton e tuta sono come exchange.

Proton bridge è un server imap e un server smtp installato in locale sul computer che poi comunicano con il protocollo con i server di Proton. Se nemmeno questo accrocchio ti convince che non è una roba che può funzionare su larga scala non so cosa lo possa fare.

Veramente non vedete la differenza tra un servizio proprietario che si fa bello con l'open source e dei protocolli standardizzati?
Con thunderbird, o qualsiasi altro client di posta, se chiude libero, o chi per esso, lo posso usare con un altro provider. Proton e tuta sono come exchange.


Mi pare tu faccia confusione tra servizio centralizzato e servizio proprietario. Anche un servizio centralizzato open source, client e server, se viene dismesso, rimani a piedi.
Su proton puoi benissimo esportare tutta la posta e caricarla su un altro servizio (https://proton.me/support/proton-mail-export-tool).


Proton bridge è un server imap e un server smtp installato in locale sul computer che poi comunicano con il protocollo con i server di Proton. Se nemmeno questo accrocchio ti convince che non è una roba che può funzionare su larga scala non so cosa lo possa fare.

Conosco bene come funziona, differentemente da te. Proton bridge è necessario solo per utilizzare client tradizionali come thunderbird, outlook, etc. Se utilizzi le applicazioni proton e il sito web, puoi farne a meno.

Ma col cavolo! Se anche il server fosse open source, mi posso caricare la mia istanza se dovessero chiudere il servizio.
Esempio bitwarden.

Ma col cavolo! Se anche il server fosse open source, mi posso caricare la mia istanza se dovessero chiudere il servizio.
Esempio bitwarden.

Come ti ho già scritto (https://www.hwupgrade.it/forum/showpost.php?p=48877338&postcount=23), per i servizi self-hosted, come bitwarden, che non hanno bisogno di far comunicare le varie istanze dei server, ha senso avere il codice sorgente in modo da poter installare la tua istanza anche se dovessero chiudere (la comunità dovrebbe farsi carico dello sviluppo del software).
Viceversa per i servizi in cui c'è una rete di server che comunica, per esempio Signal, non ha alcun senso avere il codice del server se manca il supporto alla federazione poiché ti ritroveresti a comunicare solo con coloro che utilizzano la tua istanza. Per esempio Matrix non ha questo problema, nonostante il suo protocollo non sia standard dell'IETF.
La posta elettronica utilizza protocolli standard come SMTP/IMAP/openPGP e supporta la federazione. Se un servizio supporta tali protocolli, come proton, puoi benissimo utilizzarlo e poi lasciarlo se dovesse chiudere.