Proton Mail krijgt functie die e-mailadressen via blockchain verifieert

Proton komt met een beveiligingsfunctie voor zijn maildienst waarmee e-mailadressen geverifieerd kunnen worden om spoofing tegen te gaan. De functie maakt gebruik van de blockchain om te controleren of de publieke sleutel van de bedoelde ontvanger overeenkomt.

De zogenoemde Key Transparency-functie moet er volgens Proton voor zorgen dat gebruikers niet per ongeluk een mail naar een gespooft mailadres sturen. Hierbij controleert de mailclient of de publieke sleutel die in de Proton-server staat, overeenkomt met die in de Key Transparency-directory, die wordt opgeslagen op een privéblockchain.

Omdat de database gedecentraliseerd is, kan deze niet worden aangetast door derden. Hiermee wordt dus verzekerd dat de dienst de mail met de juiste publieke key versleutelt, en niet met die van een gebruiker van een gespoofd mailadres. Als laatstgenoemde wel het geval is, krijgen gebruikers bij het opstellen van de mail een waarschuwing te zien en is het niet mogelijk om de mail te versturen.

Proton stelt dat de publieke sleutels niet direct worden opgeslagen in de directory, maar gehasht worden. Ook benadrukt het bedrijf dat deze functie niets te maken heeft met cryptovaluta. De functie wordt momenteel als bètaversie getest. Proton-ceo Andy Yen vertelt aan Fortune dat er uiteindelijk mogelijk moet worden overgestapt op een publieke blockchain 'om de verificatie betrouwbaar te laten zijn'.

Proton Mail maakte al jaren gebruik van het pgp-encryptieprotocol, om de inhoud van e-mails end-to-end te versleutelen. E-mails die worden verzonden worden daarbij automatisch versleuteld met een publieke sleutel van de ontvanger, en kunnen alleen worden ontsleuteld met de privésleutel van de ontvanger. Dit protocol is echter niet bestand tegen man-in-the-middle-aanvallen, stelt Yen. Er kan hierbij namelijk niet worden bepaald of de publieke sleutel wel van de bedoelde ontvanger is. Overigens heeft het bedrijf eerder al de Address Verification-functie uitgebracht, waarbij gebruikers handmatig de publieke sleutels van contacten kunnen controleren, maar nu moet dat dus automatisch gaan gebeuren.

Als de publieke sleutel niet overeenkomt, komt er naast de ontvanger een rood waarschuwingsicoontje te staan in plaats van een blauw slotje

Reacties (51)

[Scriptkid]

Dus we doen eigenlijk soort van dkim met blockchain ipv dns.

Alleen de rest van de wereld kan niet bij de blcokchain server dus heb je er eigelijk weinig aan.

Een aanvaller gaat die check natuurlijk niet doen dus spoofd alsnog zijn phish er door.


En je doet dit om te verifieren dat het to adress wel klopt.

Dat is wel een hele niche markt, je weet toch aan wie je stuurd.

[Reactie gewijzigd door Scriptkid op 22 juli 2024 17:13]

[downtime]

Dat is wel een hele niche markt, je weet toch aan wie je stuurd.

Niet echt. Er komt heel wat (soms vertrouwelijke) data terecht op e-mailadressen die lijken op het adres waar het echt naartoe moest.

[BernardV]

Klopt zeker, ik heb een domein welke lijkt op een Nederlandse gemeente. Een letter vergeten te typen en de mail komt bij mij.
Hier staat regelmatig vertrouwelijke informatie in.
Het verbaasd me ook hoeveel vertrouwelijke informatie gewoon via e-mail verstuurd wordt.

[77slevin]

Het verbaasd me ook hoeveel vertrouwelijke informatie gewoon via e-mail verstuurd wordt.

Ik niet. Wat dacht je, dat mail alleen voor memes gebruikt werd? En al helemaal niet als het mails zijn bedoeld voor een gemeente dienst.

[BernardV]

Ik bedoelde meer dat wanneer er aan een burger wordt gevraagd om gegevens aan te leveren, een kopie paspoort bijvoorbeeld (ik heb ze gehad), het niet via mail gaat maar via een beveiligde dienst.

[latka]

Leg die toegang tot de beveiligde dienst maar uit aan de medewerker en de klant... Qua usability staat dat mijlenver van een paperclip aanklikken en, op mobiel bijv., de camera aan te tikken en een foto van het paspoort erbij te doen ... Zodra je een oplossing ziet die zo universeel en laagdrempelig is hoor ik het graag. Een spf-achtige oplossing die per domein aangeeft of attachments van buitenaf toegestaan worden zou een eerste stap zijn: als hier dan nee staat wat gesnapt wordt door de grote clients (hotmail/gmail etc) zou een eerste stap zijn in het stoppen van mailen van zaken. Eventueel een follow up die in een spf-achtige oplossing een upload url aanbied en dan bij het aanklikken van send automatisch door de mail client gebruikt wordt voor het uploaden klinkt als een oplossingsrichting die het huidige gemak kan evenaren. Maar dan moeten zowel de server als de cliënt meewerken. En dit is het internet dus dat duurt wel even

[BernardV]

De "mijn overheid" website en app zouden al een redelijke oplossing zijn.
Veel gemeenten sturen al communicatie via die app, ook de belastingdienst e.d. laten daar berichten achter.
Als je dan zou kunnen reageren ben je er al.

Daarbij zou de oplossing in SPF niet werken, want als je het domein verkeerd typt wordt ook het verkeerde SPF record bekeken.

[Reactie gewijzigd door BernardV op 22 juli 2024 17:13]

[Aldy]

Dat sommige burgers niet aan DigiD willen vind ik al niet verstandig, maar je zou van de (gemeentelijke) overheden toch wel mogen verwachten dat ze meer met DigiD zouden doen.

[Lord Anubis]

Ik ook, zou willen dat je kan communiceren met de gemeente gebruikmakend met mijnoverheid.
Of zoiets als mijngemeente.nl/hierdegemeentenaamwaarjemeewiltcomuniceren
Kan je veilig met een gemeente communiceren.
Inlog link via de gemeente of via mijngemeente.nl

[djoprel]

Als aanvulling op wat je zegt:
nieuws: Nederlander die .ml voor Mali beheert kreeg duizenden e-mails Amerika...

[Lord Anubis]

Klopt, ik heb bij een provider allerlei varianten (Loki’s) en verschillende aliassen van mijn achternaam en krijg best veel mails die niet voor mij zijn. Frappant is dat schijnbaar enkelen al jaren onderling communiceren en dat ineens floept er een paar berichten naar mij toe. Denk dat je dat nooit eruit krijgt.

[MrMonkE]

Ja, 1000%.
Kies verkeerde mail en presto. Gaat naar PietB in plaats van PietC.

[Scriptkid]

Maar daar gaat dit toch jiet bij helpen ?

Dat is dan adres bijten proton dus staan niet geregistreed

[anboni]

Alleen de rest van de wereld kan niet bij de blcokchain server dus heb je er eigelijk weinig aan.

Of je leest het hele artikel voordat je reageert: Proton-ceo Andy Yen vertelt aan Fortune dat er uiteindelijk mogelijk moet worden overgestapt op een publieke blockchain 'om de verificatie betrouwbaar te laten zijn'.

Een aanvaller gaat die check natuurlijk niet doen dus spoofd alsnog zijn phish er door.

De aanvaller niet, maar degene die op de aanvaller reageert via Protonmail dus wel. En dat is degene die we willen beschermen.

[Sissors]

En hoe weet je dat diegene die e-mailadres dan in de toekomstig publieke blockchain heeft ingevuld, ook de echte is? Wordt nog grappig, snel heel veel e-mail adressen met random keys erin gooien, dan krijgt iedereen een waarschuwing dat de key onjuist is die ze hebben gekregen.

[jurroen]

En hoe weet je dat diegene die e-mailadres dan in de toekomstig publieke blockchain heeft ingevuld, ook de echte is?

Simpel. Door bijvoorbeeld e-mailvalidatie. Maar ook door je fingerprint of public key op verschillende bronnen online te kwakken. Social media profielen, persoonlijke blog/domein, etc. Net als je nu al kunt met PGP.

Er zou geen single source of truth moeten zijn hiermee.

[Reactie gewijzigd door jurroen op 22 juli 2024 17:13]

[Sissors]

Maar hoe doe je e-mail validatie op de blockchain? Wat jij beschrijft is identiek inderdaad wat je al met je PHP key kan doen, dus wat voegt de blockchain toe?

[jurroen]

dus wat voegt de blockchain toe?

Helemaal niets

[FrostyPeet]

Dit gaat nog leuk worden bij het recyclen van "dode" e-mail adressen. Als je provider in de kleine lettertjes aangeeft dat na X maanden een niet meer gebruikt e-mail adres wordt vrijgegeven voor een nieuwe gebruiker.

Overigens had gpg/pgp al een vrij goede bescherming tegen een spoof e-mail adres. Als de verzender zeker wist dat de publieke sleutel van ontvanger X is, maakte het weinig uit of de het e-mail adres van de ontvanger gespoofd. In het ergste geval kreeg de spoofer een gecodeerde e-mail, die hij niet kan decoderen omdat hij de private key niet bezit. De oude pgp handleiding adviseerde om altijd de fingerprint van een publieke sleutel van de ander via een ander kanaal (bellen o.i.d.) te verifiëren.

[Llopigat]

De oude pgp handleiding adviseerde om altijd de fingerprint van een publieke sleutel van de ander via een ander kanaal (bellen o.i.d.) te verifiëren.

Ja dat was juist wat PGP zo lastig maakte voor mainstream gebruikers.

Het aantal mensen dat echt hun key op WhatsApp verifieert (ja die functie zit er in, dat weten veel mensen niet eens) is echt op de vingers van een hand te tellen.

[Firesphere]

U woont zeker naast de olifantsvoet, dat u zoveel vingers heeft?

PGP is inderdaad een beetje lastig om te verifieren, maar er zijn andere mogelijkheden voorbij het direct met elkaar praten.

En net als WhatsApp, is het echt wel meer dan wat op een gemiddelde hand te tellen is!

Zelfs niet-technische mensen hebben bij mij wel nagevraagd of ik een nieuwe telefoon had, en of de code inderdaad gewijzigd was, en indien dat het geval was, of de code inderdaad correct is.

[Bender]

Hier mee kun je dan toch ook het bestaan van een email adres verifieren, dus het makkelijker maken om te weten of een email adres bestaat (en eventueel brute force email adressen vergaren).

[Anoniem: 85014]

Ik zit meer te wachten op dat alle grote (web) E-mail providers standaard PGP bij iedereen juist zetten en ondersteunen. Zo kan ik met een bestaande open standaard verifieeren of hun E-mails echt door henzelf gestuurd zijn. En deliver hun public key daarvoor dan nog over uw blockchain hype. Fine.

Maar helaas. Dat is een open standaard (die al jaren bestaat). Dat is niet goed genoeg want dan kunnen ze hun eigen systeem niet doorduwen om zo geld te verdienen.

[Roerdomp]

Zou deze technologie in de toekomst ook kunnen gebruiken om spam tegen te gaan? Ik ben zeer gehecht aan mijn emailadres maar ik krijg op een dag wel 20-30 spammails binnen. Ik blijf ze rapporteren en verwijderen maar het is dweilen met de kraan open.

[klakkie.57th]

Voor spoofing zijn SPF en DKIM verificatie toch afdoende , of heb in wat gemist ?

[BlueHulk]

Eindelijk, als het ware. Zeker met native storage op blockchain gaat dit nog wel een serieuze toepassing zijn naar de toekomst toe.

BV je videos opslaan op blockchain en dan linken naar youtube is al een optie, zo kan je niet "gecanceld" worden. Zo kan je nog verder meer data opslaan en gebruiken/delen via blockchainlinks, en dat is altijd wel prettig dat er niemand bijkan of dingen kan veranderen aan de boodschap.

[Jerie]

privéblockchain

Aka database (DB). Dat anderen er read access op hebben doet er niets aan af. Wel oppassen voor spam harvesting.

[Q]

Is blockchain voor niet-crypto nog niet dood?
Ik dacht dat de hype al over was gezien iedereen nu op LLMs zit.
Ik weet dat het een gewaagde voorspelling is maar niemand (afgerond tot 0) gaat dit gebruiken.
Blockchain is een oplossing voor een probleem dat niemand heeft.

[BlueHulk]

Nou, dat is jouw idee. Blockchain heeft zeer veel toepassingen die oa een combinatie met AI zeer sterk gaat zijn. Je wil bijvoorbeeld niet dat de bestemming van je zelfrijdende auto gehackt kan worden, dus die kan je best opslaan op blockchain. Die zelfrijdende auto kan je dan in een abonnementsvorm nemen, waar je toegang op datzelfde blockchain netwerk wordt verschaft via een NFT die vervalt na je rit.

Ook in de logistiek, met smart logistics is blockchain al zijn intrede aan het doen, en in de havenwereld.

[Q]

Allemaal hypothetische voorbeelden, niets concreet. Altijd het geval met blockchain. Want reguliere tech kan wat blockchain doet beter en sneller.

Blockchain is alleen interessant voor mensen die het concept van vertrouwen niet begrijpen, wat mij betreft.

[BlueHulk]

Of mensen die geen zin hebben in "vertrouwen" en het gewoon vast willen zien liggen in code.

[Q]

Je bewijst mijn punt: je weet niet eens zeker of de binaries dezelfde zijn als de code versie en laten we eerlijk zijn, vrijwel niemand leest de code want er zijn niet heel veel mensen die het begrijpen en ook kwetsbaarheden kunnen herkennen.

Onze hele samenleving is gebaseerd op vertrouwen en dat gaat uitzonderlijk goed

[BlueHulk]

Howla, dat is dan toch enkel jouw mening. Het gaat helemaal niet bijzonder goed. Het gaat zelfs bijzonder slecht, als we zien naar alle lekken, veiligheid zerodays, corruptie, desinformatie.. Ik heb helemaal geen reden om mensen en hun gelul te vertrouwen, integendeel, ik zie elke dag meer en meer redenen die wantrouwen rechtvaardigen.

Dat mensen hun toevlucht dan zoeken in een definitieve 0 en 1 waar jij nooit omheen kan liegen, is een zeer logisch gevolg van dat soort gedrag.

[Q]

Dan begrijp je mijn punt wederom niet.

Als jij vlees koopt bij de slager vertrouw jij die slager dat er hygiënisch wordt gewerkt en dat je niet ziek wordt van het product. Dat geld voor al het eten.

Extrapoleer dat door en je begrijpt mijn punt wel: onze samenleving is een keten van vertrouwen en dat gaat heel erg goed.

Banken werken prima, Ideal werkt goed, pin werkt goed, geen crypto nodig. Geen blockchain nodig.

Er is altijd een punt van vertrouwen. Vertrouwen kun je niet “oplossen” met blockchain. Sterkter nog, vertrouwen is niet iets om op te lossen. Alles in context uiteraard.

[Reactie gewijzigd door Q op 22 juli 2024 17:13]

[BlueHulk]

Ik denk dat je mijn punt niet zo goed snapt

sommige zaken kunnen helemaal niet werken op basis van vertrouwen alleen, omdat zolang je met de menselijke factor zit, er steeds een percentage slechte wil/corruptie/eigen falen bijzit.

Waar je constant een absolute bevestiging nodig hebt dat je informatie klopt, is een container waar je niet op moet "vertrouwen" maar die gewoon "is" wel heel erg handig.

[Q]

Oh, er zijn mensen die soms stoute dingen willen doen of onhandig zijn, goh, dat ik daar niet aan gedacht heb!

Hoe voegt blockchain iets toe dat duidelijk beter is dan wat we al hebben?

[BlueHulk]

Ik verzin die dingen niet om blockchain een zogezegde bestaansreden te geven hoor

https://ittraininggroep.n...havens-en-havenlogistiek/

https://www.tijd.be/dossi...iliger-maken/9924913.html

Is maar een van de vele sectoren die daar met serieuze interesse naar kijkt.

[Reactie gewijzigd door BlueHulk op 22 juli 2024 17:13]

[Q]

“Met interess naar kijkt” als ik n geen werkende oolossing

Maar als jij niet kunt articuleren in je eigen woorden wat blockchain toevoegt dan zijn we wel klaar denk ik 🤷‍♀️

[BlueHulk]

We zijn inderdaad wel klaar, als je het niet wil weten is het mij niet gelaten hoor.

De trein rijdt ook verder zonder jou.

[Q]

We zijn inderdaad wel klaar, als je het niet wil weten is het mij niet gelaten hoor.

De trein rijdt ook verder zonder jou.

Jij kan niet in je eigen woorden uitleggen wat de meerwaarde van blockchain is.
Jij kan niet uitleggen wat die trein is en waar die naartoe leidt.
Jij linkt naar wat artikeltjes die niets verduidelijken maar bovenal er lijkt niets tastbaars, allemaal oud nieuws .

Er is geen trein en je weet zelf niet waar je in gelooft. 🌷🤷‍♀️

[Reactie gewijzigd door Q op 22 juli 2024 17:13]

[BlueHulk]

Maar ik hoef jou helemaal niet uit te leggen wat de waarde is van blockchain. Die waarde is er, of ik jou dat nu uitleg of niet.

Jij denkt gelijk te hebben in de overtuiging dat blockchain geen toegevoegde waarde heeft, ik laat je zien dat zeer grote sectoren daar actief mee bezig zijn (de Haven van Antwerpen maakt zelfs z'n eigen blockchain op dit moment, ik werk hier op dit eigenste moment, dus voor mij is het allemaal zeer dicht bij m'n bed), als jij denkt het beter te weten, dan mag dat.

De tijd zal het uitwijzen, en dan zal je later zeker nog eens terugdenken aan deze conversatie

[Q]

Als dat zo is dan kun je mij precies vertellen:

Welk probleem lost blockchain op voor de haven van Antwerpen?
Geen linkjes, gewoon in je eigen woorden.

En keer op keer kun jij dat niet uitleggen 🤷‍♀️

Ik stel hele basale, simpele vragen en ik krijg geen antwoord 🤷‍♀️

Het is altijd zo met blockchain mensen, al het er op aankomt is er niets.

Het valt me ook op dat als je Googled op haven van Antwerpen blockchain je zo weinig recente resultaten krijgt.

https://www.supplychainma...assingen-in-supply-chain/

Dit was het meest recente en het leest niet super positief.

[Reactie gewijzigd door Q op 22 juli 2024 17:13]

[BlueHulk]

Wat jij googelt is echt niet relevant hoor.
En wat de haven wil oplossen met blockchain is vooral de herkomst van documenten vastleggen en data versleutelen zodat het op eender welk moment de juiste informatie doorgeeft.

Dat jij dat niet kan inzien is niet ons probleem

[Q]

Kortom wat beter goedkoper en sneller kan met bestaande tech

Gefeliciteerd dat jullie de haven er in hebben geluisd met hype onzin.

[BlueHulk]

Het huidige systeem werkt niet, toont de massa drugs in de havens aan. Maar dat jij geen bal van de logistieke keten snapt, is ondertussen wel duidelijk.

Succes nog jongen. En over tien jaar denk je nog wel eens terug aan deze opmerking van jou, daar ben ik zeker van ^^

[Q]

Blockchain gaat niets veranderen aan de logistiek van drugshandel want uiteindelijk zijn het analoge mensen die spulletjes in de containers stoppen. Er is altijd een moment van vertrouwen.

Het is altijd over 10 jaar, het is nooit nu als we praten over legitieme usecases voor blockchain.

Misschien hebben jullie niet alleen de haven van antwerpen voor de gek gehouden, maar vooral ook jezelf.

Als de oplossing voor een probleem (onder andere) “blockchain” inhoudt, dan heb je het probleem niet begrepen.

Maar ik vind dat uiteindelijk jammer want een aantal vakkundige technische mensen die anders goed werk kunnen doen zijn in mijn ogen nu afgeleid door een rube goldberg machine waar niemand echt blij van gaat worden.

[Reactie gewijzigd door Q op 22 juli 2024 17:13]

[BlueHulk]

Ja, jij weet het beter dan de logistieke experts.

Dat je niet doorhebt hoe belachelijk je jezelf maakt is wel frappant. Ik zou er mee kappen m'n beste, het wordt lachwekkend nu.

[Q]

Ik denk eerder dat die logistieke experts zich door technobable van ICT nerds hebben laten bedonderen.

Maar uiteindelijk doet het er niet toe.

Jij als fan van blockchain kan niet eens helder uitleggen wat het nut is over reguliere tech setups.

Niet dat het mij verbaasd, want blockchain is een oplossing voor (legitieme) problemen die niemand heeft.

Maersk is er ook mee gestopt.

Maar ik ben de eerste die zal toegeven dat ik helemaal fout zit / ongelijk heb, als blockchain toch een legaal probleem oplost wat niet met bestaande tech kan worden getackeld.

Dus tot over tien jaar 🌷

[BlueHulk]

Ik geloof niet dat jij dan de ballen hebt om het toe te geven, maar we zullen t zien. Tot dan!

[Llopigat]

Beetje laat voor de blockchain hype. Dat was 5 jaar geleden.

Of zou het hier niet zijn om investeerders aan te trekken maar echt een serieuze toepassing zijn? Ik zie het nog niet echt eigenlijk.