O serviço de e-mail mais seguro de todos seria aquele que não coleta dados de nenhum usuário.
Vamos enfrentá-lo, as mensagens não mataram e-mails como prometeram. Não importa quantas verticais na transmissão de mensagens, sempre dependemos do email como nosso principal ponto de contato. Para levar o assunto adiante, o e-mail é a principal credencial necessária para se inscrever em qualquer serviço on-line: seja bancário, compartilhamento de caronas, entrega de alimentos, redes sociais, streaming de mídia ou compras on-line. O e-mail é possivelmente o meio de comunicação mais importante entre usuários e provedores de serviços. Dito isso, cada vez mais no mundo criptográfico as conversas estão sendo feitas por meio de e-mails criptografados. Na verdade, alguns dos projetos de criptografia mais confiáveis por aí usam exclusivamente e-mails criptografados - o que é uma grande vantagem quando se trata de ganhar credibilidade técnica no mercado.
Quando se trata de proteger e-mails, há um nome que vem à mente de todos: ProtonMail. A empresa de e-mail da Suíça é o serviço de e-mail criptografado mais popular do mundo. Existem poucos serviços adicionais como o Criptext e o Virtru que oferecem criptografia para usuários do Gmail, mas eles não são realmente concorrentes diretos porque, bem, trabalham com o Gmail e todos nós sabemos que segurança e privacidade não são a principal preocupação do Gmail. Por fim, por ser mérito de ser o único jogador no mercado, o ProtonMail tornou-se o serviço de e-mail codificado de fato para os entusiastas da privacidade e para a comunidade de criptografia. Mas nem tudo é bom para o ProtonMail.
Apenas esta semana, Hamza Shahid publicou uma história no BestVPN.co com o título: "ProtonVPN é um SCAM - revelando os segredos sujos de Proton e NordVPN". Ele informou que o serviço de VPN ProtonVPN da ProtonMail está vinculado a uma empresa de mineração de dados da Lituânia chamada Tesonet. O artigo aprofundou ainda mais a explicação da intricada relação entre a empresa de segurança e a empresa de mineração de dados. Uma relação tão próxima imediatamente provocou ceticismo e indignação. ProtonMail e ProtonVPN (mesmos criadores) responderam publicamente em 7 de julho de 2018 no reddit.
Embora o artigo de Shahid tenha levantado algumas bandeiras vermelhas dignas de questionar o ProtonMail, a história foi postada no BestVPN.co (revendedor de serviços VPN), um provedor de serviços VPN concorrente para a ProtonVPN e isso leva a acreditar que é apenas uma campanha de difamação. O conflito de interesses é mais destacado quando você percebe que o escritor também é o proprietário ou o BestVPN. Além disso, os contra-argumentos do ProtonMail e do ProtonVPN estabelecem adequadamente muitas das afirmações feitas pelo escritor. Isso, no entanto, não impediu Shahid de pressionar o Twitter, e a resposta da ProtonMail nos deixou admirados.
A principal preocupação com a resposta foi o pedido de confiança do provedor de e-mail seguro. Essencialmente, precisamos confiar que o ProtonMail não é um mau ator como o Facebook ou o Google. Como a maioria de nós sabe em criptografia, não confiamos - verificamos. Independentemente do lado de quem você participa neste debate, isso deixou algo muito claro: é necessário que exista um provedor de serviços de e-mail que possa melhorar o benchmark do ProtonMail e fornecer privacidade e segurança. Para entender melhor por que precisamos de outro serviço de e-mail criptografado, vamos dar uma olhada nas bandeiras vermelhas ao redor do ProtonMail.
O que há de errado com o ProtonMail
1 Tagline: A principal proposta de valor da ProtonMail está no slogan: Secure Email Based in Switzerland. Essa é a primeira coisa que você lê quando entra no site deles, sugerindo que você não deve confiar neles pela tecnologia, mas sim pela jurisdição deles. Isso é fundamentalmente errado, pois em primeiro lugar, o valor de um provedor de comunicações seguro está em sua tecnologia que torna sua plataforma segura. Se a jurisdição se jacta diante de sua tecnologia, então surge a pergunta: quão robusta é sua tecnologia?
2 Jurisdição: É de conhecimento comum que a Suíça tem leis rígidas de privacidade que protegem usuários e impede que estados e agências adulterem dados de usuários. Esta é a base do outrora próspero setor bancário suíço, onde o "não pergunte, não diga". foi o padrão. No entanto, nos últimos anos, as leis do banco de privacidade na Suíça mudaram drasticamente e os bancos agora estão compartilhando informações de clientes com estados, governos e agências em todo o mundo. O mesmo vale para o Panamá, por exemplo. Um impulso global dos governos para aumentar a arrecadação de impostos e diminuir a corrupção e a lavagem de dinheiro derrotou a proposta de valor da jurisdição suíça. Se usarmos o setor bancário como proxy, não há razão para acreditar que suas informações permanecerão privadas na Suíça mais do que seu dinheiro.
3 Confiança: durante o esforço do ProtonMail para apagar o incêndio do PR, eles literalmente apelaram para o sentimento dos usuários dizendo “confiem nas pessoas por trás do ProtonMail”. A comunidade de privacidade e criptografia compartilha o mesmo lema: não confiamos - verificamos. A confiança é desnecessária quando você tem um sistema que é robusto o suficiente para ganhar a confiança das pessoas por mérito, não por solicitação.
4 Coleta de dados: Assim como o Gmail e o Yahoo Mail, o ProtonMail coleta e armazena todos os dados de email em seus servidores. Embora isso permita que os serviços de email ofereçam uma maneira "conveniente" de os usuários acessarem suas caixas de entrada de qualquer lugar, essa metodologia de centralização de dados pode se revelar uma grande vulnerabilidade. Isso configura as coisas de modo que haja um único ponto de ataque, se houver uma violação de dados. Além disso, como o ProtonMail coleta os dados dos usuários, ele é colocado em uma posição na qual ele precisa convencer os usuários a confiar neles com seus dados. Somente neste ano, vimos o aumento do foco em empresas de tecnologia por parte de congressos e governos devido ao flagrante uso indevido de dados de usuários. Os consumidores estão cada vez mais conscientes da coleta de dados e a regulamentação está se tornando rigorosa nesse tipo de empresa. Não importa o quão seguro seja o serviço de e-mail, a verdade é que o serviço de e-mail mais seguro de todos seria aquele que não coleta dados de nenhum usuário.
5 Gerenciamento de chaves: A última bandeira vermelha a ser destacada é o fato de que o ProtonMail armazena as chaves privadas dos usuários em seus servidores. Assim como o último ponto da coleta de dados, isso permite que o ProtonMail ofereça uma experiência mais fácil de usar. Como as chaves também são centralizadas nos servidores do ProtonMail, os usuários podem fazer login em suas caixas de entrada de qualquer dispositivo e navegador e ler / enviar emails seguros. Agora, se você não confiaria a terceiros com suas chaves privadas da Crypto, por que você confiaria a terceiros com suas chaves privadas de e-mail? O dilema piora quando você percebe que seus e-mails e as chaves privadas são armazenados pelo mesmo terceiro, o que significa que, no caso de uma infiltração, os hackers podem se safar do cofre e da chave para desbloqueá-lo. Nesse cenário, o ProtonMail tem total controle sobre você e seus dados.
No final do dia, apesar de todas as armadilhas que apresentamos, o ProtonMail é o melhor que temos - por enquanto. É mais seguro do que usar o Gmail e é muito mais conveniente do que integrar o PGP a um cliente de e-mail. Como já destacamos anteriormente, o ProtonMail está longe de ser perfeito e é exatamente por isso que o mundo precisa de mais concorrência no espaço seguro de e-mail. A competição impulsiona a inovação e, nesse caso, nos levaria mais perto de preservar a privacidade online. O crescimento e o boom do mercado de criptomoedas beneficiaram, sem dúvida, as empresas de e-mail seguras e aumentaram as demandas por seus serviços. Agora que um mercado maior foi estabelecido neste e-mail vertical, suspeito que mais startups surgirão melhorando a tecnologia do ProtonMail e o dinheiro do VC se seguirá. Espero que isso aconteça mais cedo ou mais tarde.
Este artigo foi escrito em colaboração por Mayer Mizrachi & Panama Crypto.
Tradução: @aldenio
Fonte: https://medium.com/@Panama_TJ/we-need-a-new-encrypted-email-service-7e9a3b706cf3