Titkosítatlanul küld levelet a kormányzat?

Igen ez egy nem olyan régi újdonság, ez a Google "mindenki használjon titkosítást mindenhol mert az jó"-kampányának része.

Lásd: amelyik oldalnak nincsen HTTPS-véltozata, azt a Google Search hátrébb sorolja:

[link]

Ez mind és szép és jó, csak rengetegen - nemcsak kis hazánkban akár vállalati, akár (külföldi) közszférában - nem használnak titkosítást.

Gyanítom ennek 3 fő oka van:

- Egy rendes tanúsítvány pénzbe kerül. Oké már van a Letsencrypt ( [link] ), de az még béta, meg kissé körülményes, meg csak 3 hónapig működik.

- A fogadó félnek is támogatnia kell azt.

- A nagy átállásoknak mindig van utóhatása (pl. egy gyakorlati tapasztalat a T által menedzselt KözNetnél: elég egy CPanel frissítés, és máris kötelezővé válik a levelezőkliensben az autentikálás - de a régi jelszó nem jó, újat kell generálni, stb...), pláne egy ilyet a közférában a bürokrácia rendszerén végigvinni kínkeserv (nem csak nálunk!)

Ez azért nem ilyen egyszerű.

Amiről a Google beszél, az nem az, hogy a levelet titkosítja, vagy nem, hanem az, hogy a küldő szerver és a google szervere közötti kommunikáció titkosítva volt-e, vagy sem. Tehát nem adattitkosításról van szó, csak a csatorna titkosításáról (olyasmi ez, mint weben a https protokoll).

Egyelőre nem minden levelezőszerver támogatja azt a megoldást, hogy ha tud, akkor TLS kommunikációt folytat, ha nem, akkor nem, így aztán amelyik fogadó szerver ezt nem támogatja, oda nem tud levelet küldeni. Ez egy gov.hu-n nem megengedhető.

Nyilván az újabb verziók általában tudják, de egy nagy bonyolultságú rendszernél nem az van, hogy fogom magam, és frissítem a rendszert, mert ha beborul, akkor elég nagy baj van. :-) Sok idő a tesztelés, és a google ebben persze élen jár, de neki sem volt pár hónap, mire ezt megoldotta.

Akár még ekézhetném is őket, mivel pl. a digitálisan aláírt és/vagy titkosított levelekkel a mai napig nem tud mit kezdeni (sem az S/MIME, sem a PGP levelekkel), ami szintén gáz.

És ez csak egy kis lépés, mert valójában mennyi esély van arra, hogy egy BIX-ben lévő levelezőszerver és a google szerverei között zajló kommunikációt lehallgatja valaki? Persze. Kormányzatok, titkosszolgálatok, és egyéb állatfajok. Továbbá attól, hogy titkosítottam a csatornát, még a "személyazonosságom" nincs ellenőrizve, és nagyon kevés levelezőszerver van, ami csak DKIM aláírt leveleket vesz át (ami "biztosítja", hogy a küldő fél tényleg olyan szerverről küldte a levelet, ami az adott domain "hivatalos" szervere).

Szóval van hova fejlődni még. :-)