Proton Mail gaat betalende klanten waarschuwen voor datalekken op het darkweb

Proton introduceert een Dark Web Monitoring-functie. Het bedrijf gaat betalende Proton Mail-klanten daarmee waarschuwen als ze betrokken zijn bij een datalek. Ze krijgen die informatie te zien binnen de dienst, inclusief aanbevelingen waarmee gebruikers zichzelf kunnen beschermen.

Voor de nieuwe functie scant Proton het darkweb op de e-mailaddressen van gebruikers. Wanneer gebruikers zich via hun Proton Mail-adres inschrijven voor een dienst en de gegevens van die dienst uitlekken op het darkweb, dan worden zij daarvoor binnen Proton Mail gewaarschuwd. Dat gebeurt via het recent uitgebrachte Proton Mail Security Center, dat beschikbaar is via de webversie en desktopapp van Proton Mail.

Wanneer gebruikers zijn getroffen door een datalek, verschijnt in een overzicht van Proton welke gegevens daarbij precies zijn uitgelekt. Er staat ook wat de bron van het datalek is en welke acties gebruikers dienen te nemen om zichzelf te beschermen, zoals het veranderen van hun wachtwoord of het inschakelen van tweetrapsauthenticatie. De functie voor darkwebmonitoring is per direct beschikbaar voor gebruikers die een abonnement hebben op Proton Mail.

Darkwebmonitoring in Proton Mail. Bron: Proton

Reacties (35)

[Martinspire]

Komt dit dan ook naar ProtonPass gebruikers? Want dat lijkt me eigenlijk logischer

[Mushroomician]

De inhoud van je protonpass is versleuteld. En dat is maar goed ook, in tegenstelling tot LastPass waar die gegevens dus gelekt zijn.

Omdat de inhoud is versleuteld kan de hoster, in dit geval proton, dus niet controleren of de e-mailadressen in je kluis voorkomen in datalekken.

Hoewel er wel een soortvan omweg mogelijk is, met een hash van elke e-mailadres. Maar dat zou dan wel opt-in moeten want een hash van een kort e-mail adres van minder dan 10 tekens kan zo gebruteforced worden. En je geeft weer info bloot over je gebruik.

Het is veel logischer dat de eigenaar van een domein dit soort lijstjes beheert. Dat is namelijk veel simpeler als domein eigenaar. Ik hoop dat SimpleLogin dat ook gaat doen. Want daar heb ik al zo’n 200 adressen.

[Reactie gewijzigd door Mushroomician op 22 juli 2024 14:34]

[Bor]

Omdat de inhoud is versleuteld kan de hoster, in dit geval proton, dus niet controleren of de e-mailadressen in je kluis voorkomen in datalekken.

Dat is niet geheel waar. Hier hebben we o.a. homomorphische encryptie voor. Homomorfe encryptie is een vorm van encryptie die het mogelijk maakt (bepaalde) berekeningen te maken op versleutelde tekst. Het resultaat van deze berekening is ook versleuteld, maar komt na ontsleuteling overeen met het resultaat als dezelfde berekening was uitgevoerd op de oorspronkelijke klare tekst. Om de berekening uit te voeren, hoeft de versleutelde data niet eerst ontsleuteld te worden.

Meer informatie: Wikipedia: Homomorphic encryption

Tweakers schreef eerder al een artikel: review: Homomorfische encryptie - analyses uitvoeren op versleutelde data

Hoe dit wordt gebruikt in Microsoft Edge: Password Monitor: Safeguarding passwords in Microsoft Edge

[Reactie gewijzigd door Bor op 22 juli 2024 14:34]

[Sando]

Omdat de inhoud is versleuteld kan [Proton] niet controleren of de e-mailadressen in je kluis voorkomen in datalekken.

Dat klopt niet helemaal.

@Martinspire bedoelt de email aliases neem ik aan. Niemand met ProtonPass of SimpleLogin (gratis bij Proton Unlimited) gebruikt nog zijn Proton-emailadres om zich aan te melden bij diensten. Altijd een alias.

En deze aliases zijn niet versleuteld. Proton weet precies welke alias van wie is, want de Proton servers moeten weten waar de email naar geforward moet worden. Proton zou dus heel goed alle ProtonPass- of SimpleLogin-aliases van @Martinspire in de gaten kunnen houden. Maar de vraag is: Doen ze dat ook? Of kijken ze alleen naar je Proton-emailadres?

Het is een goede vraag. Ik ben ook benieuwd.

[Reactie gewijzigd door Sando op 22 juli 2024 14:34]

[Polderviking]

Hoeft natuurlijk ook helemaal niet persé server-side te gebeuren dit.
Je client kan die wachtwoorden natuurlijk gewoon ontcijferen nadat jij hebt ingelogd dus volgens mij kan je vanuit de client prima wachtwoorden tegen een lijst bekende gelekte credentials aanhouden. Desnoods ook lokaal.

[Mushroomician]

Niemand met ProtonPass of SimpleLogin (gratis bij Proton Unlimited) gebruikt nog zijn Proton-emailadres om zich aan te melden bij diensten. Altijd een alias.

Dat is een aanname en incorrect.
Je kunt prima een @protonmail.com email adres gebruiken om je aan te melden bij een webshop. Ik zou het niet adviseren, maar het kan wel.

En correct, de alias is dan niet versleuteld. Dat kan ook niet anders. Simplelogin moet het immers doorsturen.

Maar dat staat los van de inhoud van je kluis. Daar kun je met zo goed een gmail account van je moeder in bewaren. En dat is versleuteld en proton kan/hoort dat niet te (hoeven) zien.

[Martinspire]

Eigenlijk bedoelde ik die aliassen niet, maar dat is ook nog wel een ding inderdaad.

Meer dat je bij protonpass ook gewoon emailadressen en andere gegevens hebt staan die ook gewoon gelekt kunnen worden en dat als dat matched, dat er dan een vlaggetje bij wordt getoond. Want het is niet alsof er alleen maar accounts met email lekken. Genoeg diensten waar je een zelfverzonnen gebruikersnaam of mobiel nummer moet gebruiken.

[Polderviking]

De inhoud van je protonpass is versleuteld. En dat is maar goed ook, in tegenstelling tot LastPass waar die gegevens dus gelekt zijn.

Je login credentials in die Lastpass hack waren/zijn ook versleuteld.

[Martinspire]

Ik snap dat je toestemming moet geven om zo'n query te draaien, maar om dat incidenteel (desnoods handmatig) te doen, moet toch niet zo'n probleem zijn? Bovendien is de data al gelekt, dus die hoef je minder goed te beschermen als de data waar je het mee vergelijkt.

Versleuteling of niet, op een bepaald moment kan ik de data zien en is het dus niet zo'n probleem om die informatie ook te versturen, nogmaals: alleen als de gebruiker dus toestemming geeft.

Niet iedereen gebruikt verder eigen domeinen en niet iedereen heeft alleen maar email als username voor diensten. Dat is ook vaak een zelfverzonnen login of een mobiel nummer. Die ga je dus sowieso al niet pakken, terwijl dat toch ook best wel een ding kan zijn. Zo log ik bij mijn bank niet in met mijn email bv.

[Reactie gewijzigd door Martinspire op 22 juli 2024 14:34]

[The Zep Man]

Hoe kan Proton als organisatie in jouw ProtonPass kijken welke credentials erin zitten? Hoe kan Proton verifiëren dat die credentials (zoals mailadressen) daadwerkelijk van jou zijn?

[Martinspire]

username is toch meestal ook email? Dat matched dan toch gewoon?

[The Zep Man]

username is toch meestal ook email?

Als jouw username gelijk is aan jouw Proton mailadres, dan is dat al afgedekt door de nieuwe functionaliteit van Proton Mail. Als jouw username gelijk is aan een ander mailadres dan bij Proton, hoe kan Proton dan weten dat dat jouw mailadres betreft (nu en in de toekomst)?

Proton gaat zich daar niet aan branden.

[Reactie gewijzigd door The Zep Man op 22 juli 2024 14:34]

[canonball]

edit: ik zie dat dit idd niet klopt, "plan" lijkt beperkt te zijn tot mail.

[Reactie gewijzigd door canonball op 22 juli 2024 14:34]

[Yariva]

Zoals ik de titel eerst las schrok ik mij een hoedje en dacht ik dat mijn gegevens waren gelekt vanuit Proton Gelukkig betreft het een dienst vanuit Proton!

[Aegir81]

Ik las net hetzelfde en had dezelfde reactie.

De dienst klinkt handig en het doet me wat denken aan Firefox Monitor.

[Thijsmans]

Het zou niet erg AVG-compliant zijn om bij een datalek alleen betalende klanten te waarschuwen voor uitgelekte credentials - een soort extreme variant van pay-or-okay

[Reactie gewijzigd door Thijsmans op 22 juli 2024 14:34]

[a153957]

Het gaat hier niet om datalekken bij Proton, maar andere datalekken die in de gaten gehouden wordt door Proton. Dus zoiets als haveibeenpwned.

[Djordjo]

Het gaat niet om datalekken bij Proton zelf maar om datalekken elders.

[AverageNL]

Volgens mij klopt de kop wel, maar ik snap de verwarring. Ik heb hem daarom iets aangepast, in de hoop dat dit duidelijker is

[DBreda]

Ik ook! Clickbait

[DvG_020]

Je bent niet de enige

[Memori]

Inderdaad een ongelukkige titel; "uitgelekte" had beter "uitlekkende" kunnen zijn om verwarring te voorkomen.

[michelr]

En nog een tevreden haveibeenp0wned klant. Handig dat steeds meer apps die iets met creds doen dit toevoegen. Betwijfel of het die paar klanten van Proton over de streep trekt om voor de betaalde variant te kiezen.

[Reactie gewijzigd door michelr op 22 juli 2024 14:34]

[amarissimo]

Ik kan daar alleen vinden welk emailadres ooit bij een breach betrokken is geweest. Niet met welk wachtwoord of hoe recent, of bij wie het lek plaatsvond. Feitelijk kan ik er dan niet zoveel mee.

[PaulHelper]

Bij have i been Powned krijg je toch te zien welke datum het lek was. Daarnaast zou je zelf toch wel moeten weten welke accounts je bij een platform of service hebt anders wordt het heel ingewikkeld.
Dus je kan er wel wat mee, voor de zekerheid de accounts gekoppeld aan die services beveiliging verbeteren door bijvoorbeeld je wachtwoord te veranderen.
Je weet inderdaad niet wanneer de gegevens effectief gedownload worden door mensen ( op het darkweb) en dus wanneer het gebruikt kan worden makkelijk. Maar je moet ervan uitgaan dat als het gelekt is dat het foute boel is voor de zekerheid

[Von Henkel]

Kaspersky heeft dat ook in gebouwd, schijnt dat nu meerdere hiermee gaan komen.

[kiddingguy]

Dashlane heeft ook een Dark Web Monitoring.
In principe niets nieuws dus, wel handig & prettig voor de Protonners.

[PaulHelper]

Ja er zijn de laatste jaren steeds meer diensten die die deels gratis of bij betaalde abonnementen geven. Opzich erg handig, al zou het natuurlijk helemaal mooi zijn als het gratis kan. Have i been pwned is tot op zekere hoogte misschien de beste gratis variant.

[SinergyX]

Zo irritant dat ik niet meer kan vinden welke dienst ik hiervoor gebruikte, die gaf mij op mijn mailadressen de details die waren gelekt met een deel van wachtwoord en die manier kon ik heel simpel nakijken waar het precies (en wanneer) het lek was. Hoe vaak ik mailtjes krijgen over gelekte info, maar bleek per saldo weer dat dezelfde naam/ww te zijn van ~15 jaar geleden..

[tempmail1]

Spycloud misschien?

[Mausssie]

Jammer dat dit alleen werkt met Proton Mail en het daar gebruikte emailadres. Ik heb nu 1Password, wil wel overstappen naar ProtonPass, maar dan zou ik ook een service willen waar alle gebruikersnamen gemonitord worden op het darkweb. Ik probeer voor elk account een unieke gebruikersnaam/emailadres te gebruiken.

[edie]

Volgens hun aankondiging gaat het ook werken met ProtonPass 'email alias' dat via SimpleLoging wordt aangemaakt.

[Mausssie]

Voor mijn accounts gebruik ik een custom domain, dus geen allias via SL. Hopelijk gaan zijn dit dus nog verder uitbreiden.

[Romeo]

In het origine blogbericht staat er een alinea waar ze hun toekomstige plannen bespreken:

Custom domain monitoring

In addition to monitoring for Proton Mail email addresses found in data breaches affecting third-party websites, we will also detect breaches that affect custom domain emails, so that professionals and organizations that use Proton Mail also have comprehensive protection for all their associated accounts and sensitive data.

[Reactie gewijzigd door Romeo op 22 juli 2024 14:34]

[CuBras]

@AverageNL , zojuist de optie bekeken en dit blijkt voor nu een opt-in te zijn.
Wellicht handig om te vermelden in het artikel.