Tutanota wil webagenda met end-to-end-encryptie aanbieden

Tutanota wil in 2016 een online agenda uitbrengen die gebruikmaakt van end-to-end-encryptie. Het in Duitsland gevestigde bedrijf is van mening dat encryptie steeds belangrijker wordt voor de privacy. Daarom wil het een versleuteld alternatief bieden voor bijvoorbeeld Google Apps.

Het bedrijf voert aan dat bedrijven zoals Google en Microsoft geen toegang behoren te hebben tot privégegevens zoals doktersafspraken. Hierom wil het een web-agenda uitbrengen die gebruikmaakt van end-to-end-encryptie. Door de encryptie lokaal uit te voeren voordat de gegevens worden gesynchroniseerd naar de server moet alleen de gebruiker toegang kunnen krijgen tot de data.

Tutanota heeft enige ervaring in het brengen van diensten met end-to-end-encryptie. Het biedt namelijk al een beveiligde e-maildienst aan. Tevens wil Tutanota uiteindelijk een complete set aan diensten uitbrengen die kan wedijveren met bijvoorbeeld Google Apps. Voor de e-maildienst maakt het bedrijf gebruik van een GPL v3-licentie. Met de bijhorende app voor Android en iOS is deze dienst ook te gebruiken op apparaten anders dan de pc. De encryptie en decryptie van data gebeurt volgens Tutanota lokaal op het moment dat er wordt ingelogd.

Voor de e-mailencryptie gebruikt de dienst aes128 en 2048bit rsa. Wanneer een gebruiker zich registreert bij de dienst dan wordt er lokaal een privésleutel en een publieke sleutel gegenereerd. Daarvan wordt de privésleutel versleuteld met het geregistreerde wachtwoord. Onafhankelijk van de end-to-end-encryptie is het transport van de e-mail tussen de gebruiker en de server van Tutanota beveiligd met ssl en dns-based Authentication of Named Entities. In de toekomst wil het bedrijf nog tweetrapsauthenticatie toevoegen.

Reacties (19)

[bonyuri]

Ik zou dan nog eerder gaan voor een "eigen" oplossing op basis van SeaFile, OwnCloud, etc
Dan heb je echt alles in de hand en ben je niet afhankelijk...

https://doc.owncloud.org/..._manual/pim/calendar.html

[Reactie gewijzigd door bonyuri op 25 juli 2024 22:18]

[Blokker_1999]

Maar dan moet je ook zelf instaan voor alle encryptie alsook probleemoplossing als het misgaat, voorzien in backups, ... . Leuk voor een tweaker, maar vraag het niet aan de gemiddelde computergebruiker.

[ComputerHoed]

En niet te vergeten dat het compatibel is met je apparaten en dus niet dat je elke keer je browser moet gebruiken om je agenda te bereiken

[Verwijderd]

owncloud ondersteunt het caldav protocol waar veel apps in de play store mee overweg kunnen, dit protocol werkt over https en dus zou de combinatie owncloud + letsencrypt + raspberry pi of dergelijk hier een hele goedkopen oplossing voor kunnen zijn. Voor het domein zou je dan een ddns service kunnen gebruiken.

[Lord Driminicus]

Owncloud werkt samen met Western Digital om iets dergelijks te maken.

[Verwijderd]

Je noemt me daar toch wel even een paar dingen, wat ik me afvraag of je er ook daadwerkelijk gebruik van maakt? In de praktijk is OwnCloud als mobiele oplossing verre van praktisch. Als tweakert vind ik alles best, maar mijn mobiel moet gewoon werken zonder al te veel gedoe en dat is bij OwnCloud absoluut niet.

Er is maar een app die Caldav als connector ondersteunt en dat is Caldav-Sync (en zo ook Carddav-sync voor Carddav). Alle andere apps werken absoluut niet naar behoren, zijn verouderd of zijn veelte duur voor wat ze doen.

Ok dan hebben we carddav-sync, welke geen push ondersteuning heeft en ook niet goed integreert met Android. Het instellen van Carddav-Sync is sowieso iets wat een niet tweakert niet uitkomt. Carddav is sowieso niet meer van deze tijd. Zo ook de app van OwnCloud zelf, alles leuk en aardig maar 80% van de tijd werkt het gewoon niet of blijven uploads hagen en krijg je rare duplicates.

Owncloud op een rPi? En dan ook nog eens de encryptie module aanzetten? Laat me niet lachen. Veelte traag voor welke praktische toepassing dan ook, leuk voor de hobbyert maar als je het als daily driver wil gebruiken dan heb je echt een redelijke server nodig.

En dan noem je ook nog eens letsencrypt. Goed initiatief maar er zijn op dit moment teveel problemen dat je letsencrypt niet kan gebruiken voor dagelijkse toepassingen, het is daarom ook in een beta fase natuurlijk en de devs zijn ook hard aan het timmeren om heel veel kreukels eruit te strijken. Vooral dat je je webserver voor een tijdje moet stoppen zodat letsencrypt 80/443 kan verifiëren is een dikke no go.

Nou allemaal dingen waar een hobbyert echt niet mee zit maar welke wel breekpunten zijn als je het dagelijks wil gebruiken en daar gaat het volgens mij hier ook om, leuk voor de tweakers dat hele owncloud maar ze zitten nu al bijna op versie 9 en er is qua gebruik vrij weinig veranderd.

[eternia16]

Ik wil niet veel zeggen, maar ik draai nu al zeker 2 jaar owncloud op de Raspberry pi. Als je de instellingen tweakt dan haal je zeker we een lekkere performance eruit.
Optimaliseren is het sleutelwoord, maar vooraf als nay-sayer spelen is nergens voor nodig.
Caldav intergreert heerlijk in iOS.
Alle agenda's die ik heb in ownCloud komen automatisch in de stock agenda van iOS, als een van mijn vrienden een agenda deelt met me in ownCloud komt die ook meteen terecht in mijn stock agenda app.

Synchronisatie werkt fantastisch op zowel iOS, Windows, OSx, als Linux. Iedereen waarmee ik mijn ownCloud deel is gewoon super tevreden erover.

En over encryptie gesproken, ik heb zowel https en de encryptie module aanstaan in ownCloud, en ik merk nauwelijks in de praktijk het verschil kwa performance.

[Verwijderd]

Deel van iOS geloof ik zo, maar daar ging het ook niet over. Wist jij dat ik met mijn R7 240 500fps continu haal op 4k? Vet he? Zo ken ik nog veel meer indianen verhalen op internet.

de rPi heeft maar 1 USB controller en die USB controller ondersteunt geen meerdere streams. De Ethernet controller en USB hub zitten beide op deze ene controller dus alle netwerk en disk i/o zijn concurrenten van elkaar.

Nou staat het hele internet vol met ervaringen van mensen dat de rPi als NAS een hele slechte oplossing is en dat het allemaal bij verre niet werkt zoals het zou moeten werken. Als je naar de architectuur kijkt dan kom jezelf ook tot die conclusie. Nou komt mijnheer de tweakert langs en claimt dat hij door een maar magische variabelen te veranderen dat alles kan omzeilen.

Zo werken die dingen niet. Ik weet niet wat jij hebt draaien maar het lijkt mij dat dit een geval is van zien wat je tweaker oog wil zien.

[eternia16]

Nou nou, poe poe, he he.
Ik weet niet wat jij allemaal verwacht van een apperaat, maar voor mij volstaat ownCloud op een raspberry pi aan alle wensen die ik heb.

Upload en download gaat met 2 mbyte per seconde. Meer dan genoeg imho.
De performance van de web interface is gewoon goed, ik heb daar niets over te klagen.
Het is makkelijk uit te breiden.

Tuurlijk heb je altijd mensen die klagen over de performance, maar je moet ownCloud zeker wel optimaliseren als je hem op een cloud wil draaien.

Tja, als je dat niet wilt geloven moet je het zelf weten, en ik snap dat ook wel naar alle ervaringen die je leest op internet, maar de meeste klachten kwamen nog uit de tijd van rpi1 en niet de rpi2. Maar goed.

[Lord Driminicus]

Inderdaad, maar met dingen als letsencrypt wordt het langzaam makkelijker om dit goed op te zetten. (nog steeds niet mogelijk voor een doorsnee gebruiker, maar we komen langzaam dichterbij).

[svenslootweg]

Als je ook daadwerkelijk je data goed beveiligd wilt hebben, dan moet je daar sowieso zelf in bepaalde mate voor instaan. Doe je dat niet, dan moet je op je provider vertrouwen, en dan heb je een zwak punt - op dat punt kun je net zo goed gewoon iedere andere dienst over TLS gebruiken. Het gebruik van client-side encryption heeft alleen maar zin als het het benodigde vertrouwen in de provider kan verminderen.

Uiteraard is het hiervoor noodzakelijk dat Tutanota alle broncode (voor de clients) vrijgeeft.

[begintmeta]

Voor agenda-toepassingen zijn inderdaad diverse opties, voor mij ogen Kolab, SOGo, OBM en Horde momenteel het interessantste, maar inderdaad gaat ook OwnCloud 'verbreden'

Hoe dan ook zal deze dienst zich toch vooral richten op mensen die de agenda-software willen uitbesteden, op zich is eindpuntversleuteling dan wel een interessant iets.

[Reactie gewijzigd door begintmeta op 25 juli 2024 22:18]

[Verwijderd]

Als ze nog geen grote klanten aan zich gebonden hebben zie ik weinig in dit initiatief. Net als met Whatsapp concurrenten die inzetten op privacy zie je ze dit jaar komen en volgend jaar wordt de boel opgedoekt. Met een berichten-app is dat al vervelend omdat je net al je vrienden en kennissen voor een deel mogelijk(!) hebt weten te overtuigen, maar bij een agendadienst veel omslachtiger omdat je je werkproces hebt aangepast op hun diensten en mogelijkheden. Een oplossing zou kunnen zijn dat je dit zelf kan hosten zodat je altijd door kunt gaan alleen dan is er weer geen goed verdienmodel voor de eigenlijke aanbieder dan diensten.

[Blokker_1999]

Alleen ben je voor een agenda dienst niet afhankelijk van het gebruik ervan door andere mensen die je kent. Je kan er helemaal op je eentje gebruik van maken zonder dat het zinloos is. En ik wil je echt eens een nieuwe dienst zien lanceren die van dag 1 zal samenwerken met een grote klant ...

[Armin]

Microsoft is bezig Office 365 ook end-to-end encryptie te maken. Dan hebben enkel de klanten de sleutels van de data. Als je dus grote klant bent is het wellicht beter om daar op te wachten...

[begintmeta]

'Alleen ben je voor een agenda dienst niet afhankelijk van het gebruik ervan door andere mensen die je kent. Je kan er helemaal op je eentje gebruik van maken zonder dat het zinloos is.' klopt natuurlijk wel, maar eventueel wil je wel agenda's delen/delegere/gezamelijke agenda's maken natuurlijk, ik ben benieuwd of/hoe tutanota dat implementeert.

[Jerie]

Grote klanten? Verdienmodel? Zelf hosten? Heb je het item wel gelezen?

Het gaat waarschijnlijk net zoals hun e-maildienst weer om GPLv3 software. Dan kun je het dus op je eigen server draaien. Of anderen kunnen het op hun server draaien.

Er hoeft geen groot bedrijf achter een technologie te zitten.

Goede software verspreid zich onder degenen die er behoefte aan hebben. En zolang er een slimme licentie gekozen is, zal de software zich voort blijven zetten ongeacht of er een groot bedrijf achter zit of niet.

Signal werkt prima. GPG werkt prima.

Software zoals WhatsApp plukt de vruchten van open source software en jarenlange innovaties.

[Yzord]

Zo nieuw is dat niet. www.safe-mail.nl is hier al een hele tijd mee bezig incl. activesync modus. En naar mijn idee wordt dit gewoonweg zelden gebruikt. Bedrijven gebruiken hun exchange modus hiervoor en kleinere bedrijven hebben hier niet echt behoefte aan.

Persoonlijk vind ik dat ze beter hun geld kunnen investeren in wat meer gangbare middelen zoals wat Telegram doet (groepschats voor bedrijven etc.).

[WhatsappHack]

Het is laat en ik ben behoorlijk ziek, dus vergeef me als ik iets over t hoofd zie of een flinke redenatie fout maak... Maare:
Spreken we hier dan werkelijk van E2EE vraag ik me af? Normaliter is dat het geval als 2 (of meer) apparaten met elkaar babbelen en automagisch hun eigen keys uitwisselen om die encrypted communicatie te bewerkstelligen zonder dat een relay mee kan lezen. Hier wordt gewoon een bestand naar de server geknald met een wachtwoord-based encryptie eroverheen gehaald, die je vervolgens als je wil weer op andere devices kan openen als je je wachtwoord weer intikt. Soort van te vergelijken met een KeePass bestandje van je FTP server downloaden en je wachtwoord intikken om de content te kunnen bekijken; maar dan met een kalender...

Ja uiteindelijk kunnen enkel jou apparaten het openen (hoop je ), maar dat valt volgens mij niet direct onder de noemer E2EE, zeker omdat er blijkbaar geen unieke sleutels per device worden gemaakt wat normaliter wel de gang van zaken is bij E2EE. Je kan dan ook nooit verifiëren of je wel E2EE bent, of dat er iemand tussen gekomen is; inclusief de servers. Bij unieke sleutels per device die met elkaar gaan babbelen is brute force op dit moment ook bijna ondenkbaar bij de betere protocols (zoals axolotl in messengers): maar een decryptie wachtwoord waarmee een sleutel wordt beveiligd is echter te bruteforcen met een stuk minder moeite. (Zeker als mensen echt ruk wachtwoorden gebruiken.)

Een kalender neemt vaak trouwens nauwelijks ruimte in, met honderden entries ben je alsnog maar een paar KB kwijt. Dat kunnen ze best daadwerkelijk E2EE laten verlopen zonder iets op de server te laten staan, dunkt mij. oO De enige toegevoegde waarde is dat als je al je devices met de agenda erop vergeet mee te nemen, dat je dan je agenda toch nog kan openen; maar meer ook niet. Voor beter gegarandeerde, en sterker beveiligdere, uitwisseling van zo'n agenda plus synchronisatie tussen apparaten lijkt me werkelijke E2EE zoals de meesten het kennen me toch wat beter?

Maar goed... Nogmaals, misschien zie ik iets over t hoofd of snap ik het artikel verkeerd/verkeerd geïnterpreteerd hoe dit moet gaan werken.