DOCSLIB.ORG

Bewertung Der GMX/Mailvelope-Ende- Zu-Ende-Verschlüsselung

Total Page：16

File Type：pdf, Size：1020Kb

Download full-text PDF Read full-text
Bewertung Der GMX/Mailvelope-Ende- Zu-Ende-Verschlüsselung Verena Schochlow, Stephan Neumann, Kristoffer Braun, Melanie Volkamer Bewertung der GMX/Mailvelope-Ende- zu-Ende-Verschlüsselung Ende-zu-Ende-verschlüsselte E-Mail-Kommunikation gewinnt in Anbetracht aktueller Geschehnisse erneut an Relevanz. Obwohl die entsprechenden Möglichkeiten seit mehr als zwei Jahrzehnten gegeben sind, bleiben die technischen Umsetzungen Endanwendern häufig unzugänglich. Ein wesentlicher Grund dafür ist die Benutzbarkeit dieser Umsetzungen wie frühere Studien belegen. Ein Schritt wird derzeit von den Anbietern GMX und WEB.DE in Zusammenarbeit mit Mailvelope unternommen, Ende-zu-Ende-verschlüsselte E-Mail- Kommunikation in den gewohnten Benutzerschnittstellen der E-Mail-Anbieter zu ermöglichen. Zur Bewertung dieses Ansatzes wurde im Rahmen dieser Arbeit ein Cognitive Walkthrough durchgeführt. Darüber hinaus wurde die Sicherheit des Ansatzes bewertet. Die Ergebnisse dieser Arbeit sollen als Grundlage zukünftiger Entwicklungen dienen. 1 Einleitung wird insbesondere der aus Nutzersicht kritische Schlüssel- austausch und die Sicherung der Schlüsseldaten über die In- Eine der bedeutendsten digitalen Kommunikationskanäle tegration von Mailvelope in die bestehende Infrastruktur stellt die E-Mail dar; über 80% der Deutschen nutzen das In- der E-Mail-Anbieter vereinfacht. Dieser Schritt der E-Mail- ternet zum Versenden und Empfangen von E-Mails1, Ten- Anbieter könnte zukünftig Nutzern den Weg zur E2E-Ver- denz steigend. Nicht zuletzt die Snowden-Enthüllungen ha- schlüsselung ihrer E-Mail-Kommunikation erleichtern. ben der Allgemeinheit die technischen Möglichkeiten zur di- Ziel dieser Arbeit ist die Bewertung der Integration der gitalen Massenüberwachung aufgezeigt und zahlreiche Fra- Browsererweiterung Mailvelope in die bestehende Infra- gen zur Sicherheit und Privatsphäre digitaler Kommunika- struktur des E-Mail-Anbieters GMX aus Sicht der „benutzba- tion aufgeworfen. Ziel kryptographischer Ansätze ist die E- ren Sicherheit“. Dieser Artikel beschränkt sich daher auf den Mail-Kommunikation ausschließlich zwischen Sender und GMX-Webdienst und schließt die Betrachtung dedizierter E- Empfänger offenzulegen; also den Zugriff auf E-Mails auch Mail-Clients (z.B. Microsoft Outlook, Mozilla Thunderbird) E-Mail-Anbietern unmöglich zu machen. aus. Obwohl technische Lösungen bzw. Standards existieren Zunächst werden dem Leser die Grundlagen der Integra- (z.B. S/MIME, OpenPGP), die eine solche Ende-zu- tion von Mailvelope in GMX zur Verfügung gestellt; dabei Ende(E2E)-Verschlüsselung der E-Mail-Kommunikation er- wird die GMX-Terminologie verwendet. Anschließend wer- möglichen, sind diese Endanwendern häufig nicht zugäng- den die Ergebnisse eines Cognitive Walkthrough (CW) prä- lich wie zahlreiche Studien belegen [1, 2]. In den letzten Jah- sentiert und diskutiert. Im Rahmen des CW wurde die Be- ren wurden eine Reihe von Browsererweiterungen zur E2E- nutzbarkeit folgender, relevanter Nutzeraufgaben evaluiert: 4 verschlüsselten E-Mail-Kommunikation im Browser entwi- Einrichtung der verschlüsselten Kommunikation , Senden ckelt, z.B. WebPG, mymail-crypt und Mailvelope, die eine verschlüsselter E-Mails und Entschlüsseln verschlüsselter nutzerfreundliche E2E-Verschlüsselung für zahlreiche web- E-Mails. Zuletzt werden die wesentlichen Sicherheitsas- basierte E-Mail-Dienste versprechen2. Erste Studien bele- pekte der Integration von Mailvelope in die Infrastruktur gen jedoch, dass auch derartige Browsererweiterungen die des E-Mail-Anbieters GMX beleuchtet. Benutzbarkeitsprobleme früherer technischer Lösungen nicht ausreichend adressieren [3, 4]. 2 Grundlagen der Integration von Ein weiterer Vorstoß in Richtung benutzbarer E2E-ver- schlüsselter E-Mail-Kommunikation wird derzeit von Mail- Mailvelope in GMX velope in direkter Kooperation3 mit GMX und WEB.DE (bei- des Marken der 1&1 Mail & Media GmbH und beide Partner Im Folgenden werden die Grundlagen der E2E-verschlüssel- der Initiative „E-Mail made in Germany“) unternommen. So ten E-Mail-Kommunikation anhand der drei wesentlichen 1 http://de.statista.com/statistik/daten/studie/204272/umfrage/nutzung-des-in- 3 https://www.mailvelope.com/de/coop_gmx (abgerufen am 29.03.2016) ternets-fuer-versenden-empfangen-von-e-mails-in-deutschland/ (abgerufen am 4 GMX bezeichnet die E2E-verschlüsselte E-Mail-Kommunikation als verschlüs- 29.03.2016) selte Kommunikation. 2 https://www.mailvelope.com/de/help (abgerufen am 29.03.2016) Funktionen beschrieben: 1) Einrichtung der verschlüssel- AES-Schlüssel in Form eines 26-stelligen Wiederherstel- ten Kommunikation, 2) Senden einer verschlüsselten E-Mail lungscodes, mit dem er bei Bedarf die verschlüsselte Kom- und 3) Entschlüsselung einer verschlüsselten E-Mail. munikation wiederherstellen kann. GMX empfiehlt diesen 2.1. Einrichtung der verschlüsselten Code sicher und außerhalb des Computers aufzubewahren. Kommunikation Es ist nachträglich möglich weitere Sicherungen zu erstel- len; dabei wird die vorherige Sicherung auf den Servern von Die verschlüsselte E-Mail-Kommunikation bei GMX basiert GMX gelöscht und eine neue, mit passendem Wiederherstel- auf einer E2E-Verschlüsselung mit dem Verschlüsselungs- lungscode, hochgeladen. Ältere Codes werden dadurch un- standard OpenPGP. Dieser verwendet ein hybrides, also gültig. In den GMX-Einstellungen besteht die Möglichkeit die eine Kombination aus einem asymmetrischen und einem Sicherung nachträglich von den GMX-Servern zu entfernen. symmetrischen, Verschlüsselungssystem. Ein Absender er- Wenn sich der Nutzer entscheidet keine Sicherung einzu- zeugt für jede Nachricht einen symmetrischen Sitzungs- richten und das Schlüsselpasswort verloren geht, können schlüssel, welcher mit dem öffentlichen Schlüssel des Emp- verschlüsselte E-Mails nicht mehr entschlüsselt werden. Die fängers verschlüsselt wird. Die Nachricht wird anschließend verschlüsselte Kommunikation muss erneut eingerichtet mit dem Sitzungsschlüssel verschlüsselt und abgeschickt. werden. Dazu muss sich der Nutzer an den GMX-Support Der Empfänger entschlüsselt den Sitzungsschlüssel mit sei- wenden. nem privaten Schlüssel und anschließend die Nachricht mit Nach der Einrichtung wird der öffentliche Schlüssel des dem entschlüsselten Sitzungsschlüssel. Nutzers standardmäßig im Schlüssel-Verzeichnis von GMX Um die verschlüsselte E-Mail-Kommunikation einzurich- abgelegt, aus dem die öffentlichen Schlüssel anderer Nutzer ten, müssen drei Schritte befolgt werden. Als Erstes ist es abgerufen werden können. Dort werden ebenso die in Ko- notwendig, dass der Nutzer die Browsererweiterung Mail- operation von Mailvelope mit WEB.DE generierten öffentli- velope installiert. Dabei handelt es sich um ein Open Source chen Schlüssel abgelegt. Der Nutzer kann diese Speicherung Projekt, das unter anderem auf dem OpenPGP.js-Projekt, ei- in den Einstellungen von GMX widerrufen. ner Open Source JavaScript-Implementierung des Open- Die Dialoge sämtlicher Berechnungen, die lokal durchge- PGP-Standards, basiert. führt werden, sind mit einem besonderen Rahmen, dem so- Bei der Einrichtung der verschlüsselten Kommunikation genannten Sicherheitshintergrund, gekennzeichnet. Der Si- wird der Nutzer im zweiten Schritt dazu aufgefordert ein so cherheitshintergrund erscheint beispielsweise beim Schrei- genanntes Schlüsselpasswort5 mit mindestens vier Zeichen ben oder Entschlüsseln einer E-Mail. Um zu verhindern, zu vergeben, welches seinen privaten Schlüssel schützen dass er imitiert wird, kann er in den Einstellungen von Mail- soll. Nach der Eingabe erzeugt Mailvelope lokal auf dem velope angepasst werden. Computer des Nutzers, je einen 4096 Bit langen privaten 2.2. Senden einer verschlüsselten E-Mail und öffentlichen RSA-Schlüssel, die sowohl zum Ver-/Ent- schlüsseln und Signieren/Verifizieren von E-Mails verwen- Wenn der Nutzer nun mit einem anderen Nutzer von GMX det werden 6 . Beide Schlüssel werden anschließend lokal oder WEB.DE, der auch die verschlüsselte Kommunikation (auf dem Rechner des Nutzers) in der Schlüsselverwaltung eingerichtet hat, verschlüsselt kommunizieren möchte, von Mailvelope gespeichert; dabei wird der private Schlüs- dann erstellt er eine neue, E2E-verschlüsselte E-Mail und sel mit dem Schlüsselpasswort des Nutzers verschlüsselt. gibt die E-Mailadresse des Empfängers ein. Daraufhin öffnet Sie enthält Details zu den eigenen und den gespeicherten, sich bei der ersten E-Mail an diesen Empfänger ein neues öffentlichen Fremd-Schlüsseln, beispielsweise den Finger- Fenster mit der Anfrage, den Kontakt zur verschlüsselten abdruck oder das Erstellungsdatum. Kommunikation zu bestätigen. Dabei werden dem Nutzer Im dritten und letzten Schritt der Einrichtung kann der Name, E-Mailadresse des Kommunikationspartners als Ent- Nutzer eine so genannte Sicherung einrichten. Diese soll er- scheidungsgrundlage geboten. Durch Klicken eines kleinen möglichen, dass er bei Verlust der Schlüssel eine Möglich- „i“-Symbols kann der Nutzer darüber hinaus den Fingerab- keit hat, diese, und damit die verschlüsselte E-Mail-Kommu- druck des öffentlichen Schlüssels des intendierten Kommu- nikation, wiederherzustellen. Außerdem kann damit das nikationspartners einsehen. Sobald der Nutzer dies bestä- Verfahren besonders einfach auf anderen Geräten, bei- tigt, wird der öffentliche Schlüssel des Empfängers aus dem spielsweise Laptops oder Smartphones, des Nutzers einge- Schlüssel-Verzeichnis geladen. Nach einem Klick auf „Ver- richtet werden. Stimmt der Nutzer der Sicherung zu, wer- schlüsselt senden“ wird der Absender aufgefordert sein den sein Schlüsselpasswort und sein Schlüsselpaar, beste-
Load more

Recommended publications
  • Nutzung Von Openpgp in Webanwendungen Mit Hilfe Von Erweiterungen Für Die Webbrowser Mozilla Firefox Und Google Chrome Autoren
    Nutzung von OpenPGP in Webanwendungen mit Hilfe von Erweiterungen für die Webbrowser Mozilla Firefox und Google Chrome Autoren Oskar Hahn (Rechtsanwalt) Anwälte am Oberen Tor Obere Straße 30 78050 Villingen-Schwenningen http://anwaelte-am-oberen-tor.de Thomas Oberndörfer Mailvelope GmbH Schröderstr. 30/1 69120 Heidelberg https://www.mailvelope.com Unter Mitwirkung von: Bernhard Reiter Emanuel Schütze Intevation GmbH Neuer Graben 17 49074 Osnabrück https://intevation.de Werner Koch g10 code GmbH Hüttenstr. 61 40699 Erkrath https://g10code.com Dieses Werk ist unter der Lizenz „Creative Commons Namensnennung-Weitergabe unter gleichen Bedingungen Deutschland“ in Version 3.0 (abgekürzt „CC-by-sa 3.0/de“) veröffentlicht. Den rechtsverbindlichen Lizenzvertrag finden Sie unter http://creativecommons.org/licenses/by-sa/3.0/de/legalcode. Bundesamt für Sicherheit in der Informationstechnik Postfach 20 03 63 53133 Bonn Tel.: +49 22899 9582-0 E-Mail: [email protected] Internet: https://www.bsi.bund.de © Bundesamt für Sicherheit in der Informationstechnik 2016 Änderungshistorie Version Datum Name Beschreibung 1.0 11.5.2016 siehe Autoren Initiale Version für die Veröffentlichung Inhaltsverzeichnis Inhaltsverzeichnis 1 Einleitung............................................................................................................................................................................................... 7 1.1 Ziel der Studie................................................................................................................7 1.2
    [Show full text]
  • Pentest-Report Mailvelope 12.2012 - 02.2013 Cure53, Dr.-Ing
    Pentest-Report Mailvelope 12.2012 - 02.2013 Cure53, Dr.-Ing. Mario Heiderich / Krzysztof Kotowicz Index Introduction Test Chronicle Methodology Vulnerabilities MV -01-001 Insufficient Output Filtering enables Frame Hijacking Attacks ( High ) MV -01-002 Arbitrary JavaScript execution in decrypted mail contents ( High ) MV -01-003 Usage of external CSS loaded via HTTP in privileged context ( Medium ) MV -01-004 UI Spoof via z - indexed positioned DOM Elements ( Medium ) MV -01-005 Predictable GET Parameter Usage for Connection Identifiers ( Medium ) MV -01-006 Rich Text Editor transfers unsanitized HTML content ( High ) MV -01-007 Features in showModalDialog Branch expose M ailer to XSS ( Medium ) MV -01-008 Arbitrary File Download with RTE editor filter bypass ( Low ) MV -01-009 Lack of HTML Sanitization when using Plaintext Editor ( Medium ) Miscellaneous Issues Conclusion Introduction “Mailvelope uses the OpenPGP encryption standard which makes it compatible to existing mail encryption solutions. Installation of Mailvelope from the Chrome Web Store ensures that the installation package is signed and therefore its origin and integrity can be verified. Mailvelope integrates directly into the Webmail user interface, it's elements are unintrusive and easy to use in your normal workflow. It comes preconfigured for major web mail provider. Mailvelope can be customized to work with any Webmail.”1 1 http :// www . mailvelope . com /about Test Chronicle • 2012/12/20 - XSS vectors in common input fields (Mailvelope options etc.) • 2012/12/20 -
    [Show full text]
  • State of End to End Encryption
    What is it about Systems Reading the coee grounds State of End To End Encryption Werner Koch FSCONS 15 Gothenburg November 7, 2015 What is it about Systems Reading the coee grounds Outline What is it about Systems Reading the coee grounds What is it about Systems Reading the coee grounds What is end to end encryption I Wikipedia needs 100 words to explain E2EE. I Shorter: All data exchange between the user operated devices is encrypted and optionally integrity protected. I Needed for: Mail Chat Phone What is it about Systems Reading the coee grounds Why do we want to have this I All encryption requires a private key. I A (private) key must be protected. I Servers are other people's machines. I Servers are not trustworthy as a middleman. Solution: I Keys on a device under sole control of the user: Desktop/laptop/phone memory. Smartcard, What is it about Systems Reading the coee grounds Why do we want to have this I All encryption requires a private key. I A (private) key must be protected. I Servers are other people's machines. I Servers are not trustworthy as a middleman. Solution: I Keys on a device under sole control of the user: Desktop/laptop/phone memory. Smartcard, What is it about Systems Reading the coee grounds Why do we want to have this I All encryption requires a private key. I A (private) key must be protected. I Servers are other people's machines. I Servers are not trustworthy as a middleman. Solution: I Keys on a device under sole control of the user: Desktop/laptop/phone memory.
    [Show full text]
  • Messageguard: Retrofitting the Web with User-To-User Encryption
    MessageGuard: Retrofitting the Web with User-to-user Encryption Scott Ruoti, Daniel Zappala, Kent Seamons Brigham Young University Provo Utah, USA [email protected], [email protected], [email protected] ABSTRACT third-party libraries [34], compromise of the website's back Users today share a great deal of private information on the end, poor protocol design and implementation [12], and co- Web. While HTTPS protects this data during transmission, erced information disclosure by governments. it does not protect data at rest, nor does it protect user data This state of affairs motivates the need for user-to-user from the websites which store or transmit that data. These encryption, an approach in which data is encrypted and de- issues can be addressed with user-to-user encryption, an ap- crypted at each user's computer and is opaque to the web- proach where data is encrypted and decrypted at the user's sites that store or transmit this data. There are many use computer and is opaque to websites. In this paper we present cases for user-to-user encryption. For example, two users MessageGuard, the first system that retrofits the Web with can encrypt their email, preventing either of their email user-to-user encryption and is designed to work with all web- providers from accessing its contents. Similarly, users may sites, in all browsers, on all platforms. We demonstrate that want to encrypt sensitive files shared through DropBox or MessageGuard operates out-of-the-box on 47 of the Alexa Google Drive. In some cases, a user may wish to be the only top 50 sites, has minimal performance overhead, and is rated endpoint, such as when storing private items in a Web-based as highly usable by study participants.
    [Show full text]
  • Efail: Breaking S/MIME and Openpgp Email Encryption Using Exfiltration Channels
    Efail: Breaking S/MIME and OpenPGP Email Encryption using Exfiltration Channels Damian Poddebniak and Christian Dresen, Münster University of Applied Sciences; Jens Müller, Ruhr University Bochum; Fabian Ising and Sebastian Schinzel, Münster University of Applied Sciences; Simon Friedberger, NXP Semiconductors, Belgium; Juraj Somorovsky and Jörg Schwenk, Ruhr University Bochum https://www.usenix.org/conference/usenixsecurity18/presentation/poddebniak This paper is included in the Proceedings of the 27th USENIX Security Symposium. August 15–17, 2018 • Baltimore, MD, USA ISBN 978-1-939133-04-5 Open access to the Proceedings of the 27th USENIX Security Symposium is sponsored by USENIX. Efail: Breaking S/MIME and OpenPGP Email Encryption using Exfiltration Channels Damian Poddebniak1, Christian Dresen1, Jens Muller¨ 2, Fabian Ising1, Sebastian Schinzel1, Simon Friedberger3, Juraj Somorovsky2, and Jorg¨ Schwenk2 1Munster¨ University of Applied Sciences 2Ruhr University Bochum 3NXP Semiconductors, Belgium Abstract is designed to protect user data in such scenarios. With end-to-end encryption, the email infrastructure becomes OpenPGP and S/MIME are the two prime standards merely a transportation service for opaque email data and for providing end-to-end security for emails. We de- no compromise – aside from the endpoints of sender or scribe novel attacks built upon a technique we call mal- receiver – should affect the security of an end-to-end en- leability gadgets to reveal the plaintext of encrypted crypted email. emails. We use CBC/CFB gadgets to inject malicious plaintext snippets into encrypted emails. These snippets S/MIME and OpenPGP. The two most prominent stan- abuse existing and standard conforming backchannels to dards offering end-to-end encryption for email, S/MIME exfiltrate the full plaintext after decryption.
    [Show full text]
  • A Secure Searcher for End-To-End Encrypted Email Communication
    A secure searcher for end-to-end encrypted email communication Balamaruthu Mani Dissertation 2015 Erasmus Mundus MSc in Dependable Software Systems Department of Computer Science National University of Ireland, Maynooth Co. Kildare, Ireland A dissertation submitted in partial fulfilment of the requirements for the Erasmus Mundus MSc Dependable Software Systems Head of Department: Dr Adam Winstanley Supervisor: Professor Barak A. Pearlmutter 8-June-2015 Word Count: 19469 1 Abstract Email has become a common mode of communication for confidential personal as well as business needs. There are different approaches to authenticate the sender of an email message at the receiver‟s client and ensure that the message can be read only by the intended recipient. A typical approach is to use an email encryption standard to encrypt the message on the sender‟s client and decrypt it on the receiver‟s client for secure communication. A major drawback of this approach is that only the encrypted email messages are stored in the mail servers and the default search does not work on encrypted data. This project details an approach that could be adopted for securely searching email messages protected using end-to-end encrypted email communication. This project proposes an overall design for securely searching encrypted email messages and provides an implementation in Java based on a cryptographically secure Bloom filter technique to create a secure index. The implemented library is then integrated with an open source email client to depict its usability in a live environment. The technique and the implemented library are further evaluated for security and scalability while allowing remote storage of the created secure index.
    [Show full text]
  • Setting up Mailvelope File 59
    Document name: SETTING UP MAILVELOPE Document date: 2015 Copyright information: Content is made available under a Creative Commons Attribution-NonCommercial-ShareAlike 4.0 Licence OpenLearn Study Unit: INTRODUCTION TO CYBER SECURITY OpenLearn url: http://www.open.edu/openlearn/science-maths- technology/introduction-cyber-security/content-section-0 SETTING UP MAILVELOPE Arosha K. Bandara www.open.edu/openlearn Page 1 of 1 Introduction to Cyber Security Setting up Mailvelope You have learned that using cryptographic tools for email is not particularly straightforward and there is no single tool that works across all computer systems. In the following steps you will download and install the Mailvelope software that will allow you to send an encrypted email through existing web-based email accounts such as Gmail or Yahoo mail. The video shows how to use Mailvelope. To send the encrypted email, you’ll need to be able to install software on the computer you are using for this course. If you’re not able to do this then please read through the steps so that you understand the process. You’ll also need Chrome web browser and a web-based email account. If you don’t have Chrome already installed on your computer, you can download it from Google Chrome. Most email accounts are accessible via the web even if your email comes to your computer. The tool you will be using is called Mailvelope. Installing Mailvelope Firstly, you will download and install Mailvelope as an extension to your browser. 1. Find Mailvelope in the Chrome Webstore (if this link doesn’t work for you, visit http://goo.gl/DDgvi8) 2.
    [Show full text]
  • Mailvelope for Email Encryption
    Mailvelope for Email Encryption Steve Revilak https://masspirates.org/blog/category/cryptoparty/ Cryptoparty @ Somerville Public Library July 15, 2016 1 / 15 What is Mailvelope I Mailvelope is a browser extension (for Chrome and Firefox) I It allows you to do end-to-end email encryption, using popular webmail systems. I You can get it from https://www.mailvelope.com/ I Mailvelope's encryption is based on PGP (via OpenPGP.js) 2 / 15 What is end-to-end email encryption I It's encryption for email I End-to-end means \only the person(s) you're communicating with will be able to read your messages" I In particular, the folks who run your webmail service will not be able to read your messages 3 / 15 What is (Open)PGP I PGP = Pretty Good Privacy. I OpenPGP = the standard behind PGP. It's a standard for data encryption and digital signatures. I OpenPGP.js (which mailvelope uses) is an implementation of the OpenPGP standard. I GnuPG (aka, the GNU Privacy Guard) is another OpenPGP implementation. (But it's not what we're focusing on today.) 4 / 15 Encryption Keys I Like most encryption tools, Mailvelope (and PGP) are based on keys. I Private Key. A very big number. Private keys are used to decrypt messages. It's a secret; keep it to yourself. I Public Key. Public keys are used to encrypt messages. They're public; give them out freely. cleartext ! public key ! encrypted message encrypted message ! private key ! cleartext 5 / 15 Let's get Started! I Install mailvelope, restart browser I Click \Mailvelope" icon I Options ! Key Management ! Setup I Generate Key (If you already have a key, click \Import Key" instead of \Generate key") 6 / 15 Generate Key I Provide your name (or, as much of your name as you want) I Provide your email address I Provide a password.
    [Show full text]
  • Mailvelope Manual
    Secure eMails with Mailvelope 1. Introduction Mailvelope is a browser add-on or a plugin that extends its capability in encrypting email contents and is based on OpenPGP cryptography standards. To be able to send, receive or digitally sign emails securely using OpenPGP based services like Mailvelope, users first have to create public, private key pair and share the public key. 2. Installation Click the following links to install Mailvelope on Google Chrome and Firefox browsers: ● Google Chrome https://chrome.google.com/webstore. ​ ● Firefox ● download.mailvelope.com If Mailvelope is successfully installed, a lock icon is displayed somewhere in the main toolbar, beside the address bar as shown in the image below. Click this icon to configure your encryption keys and access other management settings. 3. Basics To be able to encrypt emails you need to: a. Generate encryption keys (Public and Private key pair) to receive/sign ​ ​ ​ ​ encrypted emails i. Public key – It is a key used for encrypting a message. The key must be made available to the public. It is mainly used while sending an encrypted email. When you send an encrypted email, you will need to use the public key of the recipient. ii. Private key – Used to decrypt a message. To decipher or read an encrypted message, you need to use the private key. This key should be kept away from anyone else who is not its owner. Needs to be stored securely. Access is restricted by password. b. Import public keys of users you want to send encrypted emails to ​ ​ ​ This concept is illustrated on the page "How Gpg4win works".
    [Show full text]
  • Secure Emails with Mailvelope
    Secure EMails with Mailvelope 1. Introduction Mailvelope is an add-on or a plugin that can extend a browser’s capability in encrypting email contents. It is based on OpenPGP cryptography standards and cannot function without a pair of keys for encryption and decryption. Any user wishing to send, receive or digitally sign emails securely using OpenPGP based services like Mailvelope have to create and share the public keys first. 2. Installation Click the following links to install Mailvelope on Google Chrome and Firefox browsers respectively: Google Chrome Firefox If Mailvelope is successfully installed, a lock icon is displayed somewhere in the main toolbar, beside the address bar as shown in the image below. Click on the lock icon to configure your encryption keys and access other management settings. 3. Basics To be able to encrypt emails you need to: Generate encryption keys (Public and Private key pair) to receive/sign encrypted emails Public key – It is a key used for encrypting a message. The key must be made available to the public. It is mainly used while sending an encrypted email. When you send an encrypted email, you will need to use the public key of the recipient. Private key – Used to decrypt a message. To decipher or read an encrypted message, you need to use the private key. This key should be kept away from anyone else who is not its owner. Needs to be stored securely. Access is restricted by password. Import public keys of users you want to send encrypted emails to This concept is illustrated on the page How Gpg4win works.
    [Show full text]
  • Email Security PGP / Pretty Good Privacy
    Email Security PGP / Pretty Good Privacy PacNOG20 3 - 7 July, 2017 Suva, Fiji Issue Date: [31-12-2015] Revision: [V.1] Security issues for E-mail • Confidentiality – Network admin can read your e-mail. – Webmail provider can read your e-mail. – LAN user may read your e-mail by monitoring tool. – Even in some hotel, I could have chance to read other rooms internet traffic. • Integrity – E-mail contents may be changed by some attacker on the network. • Authenticity – Easy to set any e-mail headers like “From”. – Any other e-mail headers can be set anything you want. – Difficult to know it is true. Targeted Attack • Attacks on information security which seek to affect a specific organization or group, rather than indiscriminately. Some may be customized for a specific target organization or group. – An e-mail with suspicious file attached – Executable binary – Word document file – Database application file Targeted Attack To: your e-mail address From: Fakrul Alam [email protected] Subject: my request Hello, I have been looking for someone who can answer questions of the attached file. I hope you can do that and reply me. Thanks ! Example of Spoof Mail Cryptography • Symmetric and Asymmetric (public-key) • The latter is widely accepted • PGP is based on Asymmetric (Public-Key) Encryption Symmetric Encryption • Involves only one key, which is used by both the sender for encrypting and the recipient for decrypting • Symmetric algorithms: blowfish, Triple-DES, AES (Advanced Encryption Standard), CAST (Carlisle Adams and Stafford Tavares) , IDEA (International Data Encryption Algorithm, legally restricted, but the other algorithms may be freely used) • Problem: the means of distributing the key Asymmetric (Public-Key) Encryption • Solves the problem of distributing keys by using one pair of complimentary keys, one public and the other private.
    [Show full text]
  • Information Security Manual for Journalists and Civil Society
    Information Security Manual for Journalists and Civil Society By Arianit Dobroshi July 2019 Table of Contents 1. Introduction 3 a) Who is this manual for 3 b) How to read this manual 4 c) Identifying your security needs 4 2. Creating stronger passwords 5 a) Two factor authentication 6 b) Using software to create and manage passwords 6 3. Using a more secure operating system 8 a) Keeping your Windows up to date 8 b) Disk encryption 10 c) Linux Mint: a more secure operating system 11 d) Tails: An even more secure operating system 15 4. Browsing internet more securely 15 a) Add-on packages for your current browser 16 b) Using VPN 17 c) A safer browser: Tor Browser 19 5. Emailing securely 20 a) More secure email services 20 b) Email encryption on the browser with Mailvelope 20 6. Mobile operating system security 21 a) Basics: Android App security 21 b) Basics: keeping your Android up to date 23 7. Communicating security 24 a) Basics: messaging with Signal 24 b) Safer mobile browsing: Tor Browser 27 8. Sharing files 27 a) Basic: Firefox Send 28 b) Safer sharing: OnionShare 28 9. Where to go from here 29 Introduction This manual has in mind journalists and other civil society workers of the Southeast European region which currently may not face the most sophisticated information security (infosec) threats. The author believes that it is a worthy tradeoff to sacrifice some information security rigor, if that promotes higher adoption of these practices and tools. This manual targets audiences with low security practices as well as the general population.
    [Show full text]