Sidenote: in dezelfde bron staat dat het ten tijde van publicatie van de bug het al reeds in de live versie verholpen was.
Dat maakt niet uit. Crypto via Javascript is vanaf het begin al een chronisch gehandicapt geboren kind. De hack was eerder een demonstratie dat dit zo is. Het is triviaal om weer de volgende exploit te vinden, vooral voor een geheime dienst die over veel resources beschikt.
Uiteindelijk bestaat absolute beveiliging niet, je kunt het risico alleen minimaliseren, in hoeverre vergroot hun "crypto via Javascript" dit risico? Daarnaast is er ook nog het heikelpunt van de balans vinden tussen gebruiksvriendelijkheid en beveiliging - ik zie bijvoorbeeld geen massa (waaronder ikzelf) Thunderbird+PGP voor email gaan gebruiken. Op PRISM-Break kom ik ook geen waardig alternatief tegen.
Ik deel met je mee dat PGP/Thunderbird niet makkelijk genoeg is, maar tot nu toe is het een van de beste opties kwa veiligheid die er zijn (een veiligere optie zou zijn PGP+degelijke mail client+privé mail server hosten met encrypted databasis, en dat over een goede VPN met de uit/ingang voor de buitenwereld geplaatst in verweggiestan). Javascript crypto daarentegen zou ik eerder onder de term
security theatre plaatsen. Onderaan het artikel wordt gelinkt naar een beschrijving waarom crypto via javascript moeilijk succesvol te implementeren is:
https://www.nccgroup.trus...raphy-considered-harmful/Komt het uiteindelijk niet neer op het uiteindelijke doel wat men met het product wilt bereiken, voor Protonmail is dat email bouwen met verbeterde privacy wat niet vatbaar is voor grootschalige aftap-activiteiten zoals het PRISM programma - hoe gaat hen dat af? Zijn er betere alternatieven die ook hun mannetje staan qua usability tov Gmail, Outlook, etc.?
Mee eens dat het grootschalig aftappen kan bemoeilijken (kan bemoeilijken, want je zal nog steeds met andere mensen moeten communiceren die geen encryptie zelf hanteren of een mail dienst gebruiken die voor hen de mail encrypt), maar wat ik zelf prefereer is een manier van communicatie waar zelfs gericht aftappen ontzettend moeilijk is, en dat laatste geld niet voor Protonmail.
Protonmail zou behoorlijk secure zijn als ze een client schrijven, of eventueel een plugin voor een mail client.
Als je het liefst het beveiligen van je mail wilt blijven outsourcen; ik heb gehoord in verschillende kringen dat Tutanota een alternatief. Tutanota heeft een plugin voor Outlook (de mail client, niet de dienst) heeft geschreven,
en denken na om in de toekomst een plugin voor Thunderbird de schrijvenn. Ik kan Tutanota alleen niet persoonlijk aanraden omdat ik Tutanota niet van top tot teen ken.
Tot slot: realiseer je wel dat het gebruik voor PGP of een externe privacy gerichte mail dienst op het zelfde neer komt. Als persoon A veilig wilt communiceren met persoon B, moeten ze beide iets vooraf hebben opgezet om dat te kunnen doen. Met PGP wissel je public keys uit. Met privacy mail diensten moeten beide personen bij de zelfde mail provider zitten (of bij mail providers die samen werken), of alsnog sleutels uitwisselen als persoon A met zijn privacy mail provider wilt communiceren met persoon B die bijvoorbeeld gmail gebruikt.
/i/2000845008.png?f=fpa)
/i/1234789613.png?f=fpa)
:strip_exif()/i/1053945580.gif?f=fpa)
:strip_exif()/i/1298646542.gif?f=fpa)
/i/1239720381.png?f=fpa)
/i/2000593550.png?f=fpa)
:strip_exif()/i/1296728238.gif?f=fpa)
:strip_exif()/i/1294081930.gif?f=fpa)
/u/36103/avatar_60.png?f=community){kind=avatar}
/u/395521/crop55ffbfa7b1e76_cropped.png?f=community){kind=small}
/u/49611/crop5e871608bf182.png?f=community){kind=small}
/u/329580/crop67ecd775c7ac5_cropped.png?f=community){kind=small}
:strip_icc():strip_exif()/u/430076/50px-Pacman.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/134130/crop656d9955ccc54.jpg?f=community){kind=small}
/u/94596/crop643fb12fd4e6d.png?f=community){kind=small}
:strip_icc():strip_exif()/u/209357/crop681e81174fabf_cropped.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/171690/crop5db00e7903620_cropped.jpeg?f=community){kind=small}