Lavabit возвращается

[SLY_G]

Не понял главного, оттуда с обычной почтой есть гейт?

[Lamaster]

А зачем? Уже много лет не может решиться проблема с подделкой изначального адреса отправителя. Если эту проблему не начать решать, то это так и останется проблемой.

[zloddey]

Интересно, что именно подразумевается под термином "восстановление аккаунта", если все файлы и ключи Lavabit были удалены?

[redmanmale]

Думаю, просто адрес почты ([e-mail]).

[vedenin1980]

Возможно остались имена пользователей, телефоны или резервные email'ы, на них можно отправить новые пароли. Если все равно аккауниы будут созданы с нуля это не будеи дырой в безопасности.

[SunRiseX64]

Рискну предположить, что шифрованная переписка хранилась в одной базе и её удалили. А данные об аккаунтах были в другой базе без шифрования и не удалялись, т.к. не представляли для спецслужб практического интереса.

[HappyLynx]

> Поэтому Lavabit вслепую генерирует длинную парольную фразу для этого аккаунта, и он становится недоступен ни для кого, в том числе для них самих.

Предполагается ли, что мы вслепую этому верим?

[Liro]

Если я верно понял, автор выложил в открытый доступ выжеуказанный открытый почтовый протокол и реализацию почтового сервера с его использованием. Так что можно поднять свой сервер и работать с ним, при этом почта будет шифроваться с другими почтовыми серверами, поддерживающими данный протокол, сквозным шифрованием.

Главное, как автор решит проблему распределения открытых ключей для работы с другими сервисами.

[asv4]

ну, это конечно подтверждает, что именно эта реализация почтового сервера будет использоваться серверами lavabit

[Liro]

Ну так не пользуйтесь им. Тут открытый протокол с сквозным шифрованием важнее самого lavabit как сервиса.

Вырабатывайте за счет данной открытой реализации сами свои ключи и будьте спокойны. Вам главное обеспечить защищенность своего TLS канала и отдать собеседнику свои открытые ключи. Если следить будут целенаправленно за ним — это конечно печально, но это скомпрометирует только одну вашу переписку из всех. Лучше ведь когда слита одна переписка, а не все ваши почты лежат открытой книгой в классических сервисах?

[riksen]

Хм, оплата картой за почтовый ящик с шифрованием. Даже в «доверчивом режиме» это настораживает.

[alex73]

а что такого?
Тут надо решить вы хотите что бы вас нельзя было идентифицировать или что бы вашу почту нельзя было прочитать??
Если первое то несколько другие методы и подходы.

[Anisotropic]

Оплатите биткоинами.

[urbanknight]

А шифрование почты ассиметричными ключами уже по какой-то причине небезопасно?

[avost]

Дело не в шифровании, а в протоколе распределения ключей.

[Garbus]

Судя по регулярно находящимся в алгоритмах и их реализации дырах — никто.
Вроде казалось — банальная проверка генератора ключей на «рандомность», но кто даст инспектировать текущее серверное ПО и даст гарантию, что работает на сервере именно эта версия?
Параноя конечно, но… Ведь невозможно инспектить всё, особенно с нынешними темпами обновлений и все меньшим контролем над поведением устройств связи.

[3aicheg]

Он получил судебное предписание выдать ключи TLS, отказался выполнить распоряжение, в итоге уничтожил ключи и стёр файлы.

Вот есть интервью (аудио, англ.) с этим товарищем, по его собственным словам, всё было не так. Отказаться и уничтожить, по его словам, скорее всего, было бы истолковано как учинение препятствий отправлению правосудия, за такое турма сидеть, ему не хватило самоотверженности. На закрытие бизнеса хватило, на сидеть не хватило. Вместо этого он распечатал (!) все ключи на бумаге мелким шрифтом и в таком виде «выдал», надеясь, что от него отвяжутся, посадят девочек вбивать данные, дело это долгое, можно будет успеть что-нибудь ещё замутить. Ага, щаз. Агенты пришли и сказали, что до тех пор, пока вы не выдадите ключи в виде нормального файла, вам назначен штраф 10 тыс. долл. в сутки (или 12 тыс., точно не помню). А, нет-нет, прямо щас не возьмём, уже пятница, вечер, рабочий день закончился, за сегодня штраф придётся заплатить. Ну и за субботу-воскресенье тоже, выходные, некому будет у вас файл взять. Вот в понедельник уже может быть.

[mapatka]

ФБР отобрали домен и развернули свою почту с ключами и дамами?) Чтобы сразу отслеживать?

[varnav]

Вероятно это часть сделки со следствием.

[okazymyrov]

Получение TLS ключей:

Он получил судебное предписание выдать ключи TLS, отказался выполнить распоряжение, в итоге уничтожил ключи и стёр файлы.… Имея ключ SSL, спецслужбы могут получить доступ к защищённому каналу между клиентом и сервером, что компрометирует имена и пароли пользователей.

никак не компрометирует сервис, если следущее реализовано правильно:

Сервис поддерживал шифрование почты в браузере перед отправкой, а почтовый архив на сервере хранился в зашифрованном виде.

Другими словами, Lavabit использовал дополнительный уровень шифрования на стороне клиента, а все зашифрованные сообщения инкапсулировал в SSL/TLS (ещё раз зашифровывал).

В связи с чем, я вы сказал, что основной целью ФРБ было:

ФБР и министерство юстиции не признавались, что доступ к серверам Lavabit им требовался с единственной целью — прочитать почту одного этого человека.