Hushmail: зачем запускать версию Java
Поскольку Lavabit временно закрыт и возникла неуверенность в том, сможет ли он снова встать на ноги, пользователи службы безопасной электронной почты, возможно, сразу же начали искать альтернативы. Вероятно, первое место в списке занимает Hushmail, давний провайдер электронной почты, который предлагает своим пользователям бесплатные и премиум аккаунты.
Бесплатную учетную запись на самом деле нельзя использовать, если вы спросите меня, поскольку она дает вам 25 мегабайт дискового пространства и требование входить в систему не реже одного раза в три недели, чтобы избежать ее закрытия.
Многие пользователи не знают, что Hushmail предлагает два разных варианта связи с их серверами. Хотя оба используют шифрование для защиты электронной почты от посторонних глаз, они различаются по тому, где выполняются важные операции.
Если вы используете конфигурацию по умолчанию, критические операции с парольной фразой и закрытым ключом выполняются на сервере Hushmail. Это проблематично, поскольку это дает операторам сайта — а, следовательно, также правоохранительным органам и другим агентствам — возможность расшифровывать электронные письма пользователей, поскольку они имеют доступ к серверу, на котором выполняются операции.
Wired опубликовано статья 2007 года об этом и о том, как это было использовано для сбора доказательств предполагаемого дилера стероидов.
В любом случае, если вы используете не-Java способ подключения к Hushmail, вы теоретически даете любому, у кого есть доступ к серверу, — Hushmail, Feds, агентствам — возможность расшифровать все ваши сообщения.
Единственный способ обойти это — использовать Java-апплет вместо того, что предлагает Hushmail. Причина в том, что апплет запускается на локальном компьютере и берет на себя все расшифровку и шифрование локально, так что операторы сервера не могут перехватить пароль и расшифровать электронные письма.
А анализ безопасности регулярного сервиса Hushmail намекает на возможные векторы атаки. В нем выделены три сценария, при которых ваши данные могут быть незащищены:
- Злоумышленник контролирует веб-сервер.
- Злоумышленник контролирует локальный компьютер.
- Злоумышленник взламывает веб-сервер после доступа к электронной почте (память)
Две уязвимости веб-сервера больше не играют роли, если вы используете Java-апплет.
Включение Java
Пользователи могут включить Java при входе в службу. Вероятно, лучше всего сделать это при первом входе в учетную запись, но вы можете переключиться на Java — и обратно — в любое время.
включить Java
Если вы сразу войдете на страницу, вы начнете использовать новый Hushmail. Чтобы этого избежать, нажмите «вернуться к исходному Hushmail», который перенаправит вас на Java-версию почтовой службы.
Запрос разрешения Java
В зависимости от того, как настроен ваш браузер, вы можете получить запрос на разрешение вверху или запрос на загрузку и установку Java, если он не установлен в вашей системе.
Вы также можете получить второе приглашение, в котором вас спросят, хотите ли вы запустить приложение HushEncryptionEngine, которое вам также необходимо принять.
