Securitywatch: podeu mantenir google fora del vostre gmail?

Aquesta setmana, segueixo un missatge d'un lector que anteriorment va escriure sobre com no bloquejar-se dels comptes quan utilitzeu l'autenticació de dos factors o 2FA. Jeremy, de Capetown, també ha escrit per preguntar-vos si és possible utilitzar 2FA per no deixar Google de Gmail. La seva carta ha estat editada per a una brevetat.

Hi ha algun tipus de seguretat que es pugui implementar que pugui impedir que Google accedeixi a Gmail?

Què és l’autenticació de dos factors?

Per revisar: l’autenticació de dos factors és quan s’utilitzen dos factors d’autenticació d’una llista de tres possibles: una cosa que saps, alguna cosa que tens o alguna cosa que ets. Una contrasenya, per exemple, és una cosa que saps i una empremta digital és alguna cosa que siguis. Quan feu servir els dos junts, utilitzeu 2FA.

En termes pràctics, 2FA implica un pas addicional que feu després d’introduir la vostra contrasenya per demostrar absolutament que sou qui sou. Sovint, consisteix en utilitzar un codi únic generat a partir d’una aplicació o enviat per SMS, però hi ha moltes altres opcions, incloses aplicacions de toc d’inici de sessió com Duo o claus de seguretat de maquinari com les de Yubico i altres fabricants.

2FA és bo. Hauríeu d’utilitzar-lo. És una manera fantàstica de mantenir els nois fora dels vostres comptes, però no sembla que faci molt per mantenir fora de Google.

Qui veu què?

En general, Google sembla que té accés al contingut dels vostres correus. Christopher Cuong Nguyen, que figura com a ex-empleat de Google, va escriure a Quora el 2010 que un nombre molt reduït d'empleats pot accedir al contingut de correu electrònic i que existeix un camí molt regulat per obtenir informació. Ara, aquesta informació té gairebé una dècada en aquest moment, però demostra que sí, en un moment hi havia persones que podrien accedir al vostre compte de Gmail.

Com a empresa respectadora de la llei, Google diu que s'ha de complir amb les sol·licituds legals d'informació dels governs i les forces de l'ordre. Això pot incloure el contingut dels vostres missatges de correu electrònic, tot i que Google assenyala que s’esforça a reduir l’abast de les sol·licituds que rep i requereix un mandat de cerca abans de lliurar les vostres fotos, documents, missatges de correu electrònic i molt més.

Hi ha altres maneres en què Google utilitza la informació de Gmail. Si bé la companyia ja no escaneja els missatges per generar contingut d'anuncis personalitzats, ho va fer durant anys. Fins i tot ara, Gmail analitza els missatges suficient per extreure i ressaltar informació sobre viatges i generar suggeriments de tipus anticipat quan escriviu missatges. Segons el vostre nivell de confort, pot ser que estigui totalment bé o salvatge.

Google sembla que xifra els vostres correus electrònics, però principalment mentre que aquests missatges estan de trànsit. Tot i que aquests missatges es xifren en repòs als servidors de Google, si Google gestiona les claus de xifrat -i el que he vist implica que ho fa-, Google encara podria accedir als teus missatges imaginàriament.

2FA no és la resposta

Puc veure d’on ve Jeremy amb la seva pregunta. Des que controlo el meu Yubikey i Google no, si activeu 2FA, Google no hauria de poder accedir al meu compte de Gmail. Tanmateix, Google pot fer canvis als comptes que estiguin segurs amb 2FA.

Per obtenir un dels meus comptes de Gmail que no funcionen, vaig fer clic a l’opció Heu oblidat la meva contrasenya. De seguida va saltar opcions alternatives per iniciar la sessió: enviar un text al meu telèfon, utilitzar el meu Yubikey, tocar una alerta en un telèfon verificat, enviar un correu electrònic a la meva adreça de correu electrònic de recuperació, respondre a una pregunta de seguretat, introduir la data en què vaig crear el meu Gmail. a continuació, i finalment deixo una adreça de correu electrònic a la qual Google podia contactar per resoldre el meu problema directament. Si Google em pot concedir accés al meu compte sense tenir necessàriament la meva contrasenya ni el segon factor, això implica que Google pugui fer-ho.

Fins i tot el Programa de protecció avançada de Google per a Gmail té una mena d’opcions de recuperació. Quan està activat, Advanced Protection requereix que registreu dues claus de seguretat de maquinari diferents: una per iniciar la sessió i una altra com a còpia de seguretat. Si perdeu les dues claus, Google ho diu sobre com recuperar el control del vostre compte de programa de protecció avançada:

Si encara teniu accés a una sessió iniciada la sessió, podeu visitar account.google.com i registrar les claus de substitució en lloc de les claus perdudes. Si heu perdut les dues claus i no teniu accés a una sessió iniciada la sessió, haureu d’enviar una sol·licitud per recuperar el vostre compte. Es triguen uns dies a Google per verificar-vos que sou vosaltres i us concedireu accés al vostre compte.

Com a balanç, sembla que 2FA, fins i tot la versió extrema que s'utilitza a Advanced Protection, no és suficient per evitar que Google es quedi fora del vostre correu electrònic. Per a la majoria de la gent, probablement sigui una bona cosa. Els comptes de correu electrònic són una part molt important de la infraestructura de seguretat d’un individu. Si perdeu una contrasenya o heu de canviar una contrasenya, un correu electrònic enviat a un compte verificat sol formar part del procés. Si un atacant accedeix al vostre compte de correu electrònic, podria utilitzar l’opció de recuperació del compte als llocs web per accedir a comptes encara més importants. És important que els usuaris tinguin un mitjà per recuperar el control dels seus comptes.

Missatges realment privats

Quan parlem de què es pot i no es pot veure als sistemes de missatgeria, parlem de xifrat, no d'autenticació. La majoria de serveis utilitzen el xifratge en diferents punts del procés d’enviament i emmagatzematge d’un missatge. Gmail, per exemple, utilitza TLS quan envia un missatge per assegurar-se que no s’intercepte. Quan un servei de missatgeria de qualsevol tipus conserva les claus utilitzades per xifrar els vostres missatges quan reposen al servidor, és supòsit segur que l'empresa pugui accedir a aquests missatges.

Si voleu mantenir el vostre compte de Gmail, però voleu que els vostres missatges siguin il·legibles, podríeu xifrar-los vosaltres mateixos. Hi ha nombrosos complements de xifratge per a Chrome o podeu configurar Thunderbird per xifrar els vostres missatges amb PGP, un esquema de xifratge habitualment utilitzat per correu electrònic. Els models Yubico més cars també es poden configurar per escopir la vostra clau PGP, quan sigui necessari.

Només vaig a ser sincer i dir que, mentre estic segur que alguns d’aquests treballs, mai no he estat capaç d’entendre-los adequadament. El creador de PGP va dir que, fins i tot, troba el procés massa complicat per entendre-ho.

El que pot ser més fàcil és utilitzar eines de xifratge per xifrar els missatges i, a continuació, enganxar o enganxar la sortida xifrada a Gmail. Hauríeu de coordinar el procés de desxiframent a l'altre extrem, però el contingut del correu electrònic no seria llegible per a Google ni per a qualsevol altra persona per aquest tema. Keybase.io és un altre servei que pot xifrar, desxifrar o signar un text que es pot utilitzar en un correu electrònic.

Si absolutament heu d’assegurar-vos que ningú però no teniu accés al vostre correu electrònic, hi ha algunes opcions. En primer lloc, cal desviar Gmail. ProtonMail, dels creadors de ProtonVPN, és un servei destinat a respectar la vostra privadesa i ho fa xifrant tots els vostres missatges de correu electrònic, inclosos els que envieu i rebeu de persones que utilitzen altres proveïdors de correu electrònic. A continuació s’explica com ProtonMail descriu el seu funcionament:

Tots els missatges de la safata d’entrada ProtonMail s’emmagatzemen xifrats de punta a punta. Això vol dir que no podem llegir cap missatge ni cedir-los a tercers. Això inclou els missatges que us han enviat usuaris que no siguin ProtonMail, tot i que tingueu en compte si un missatge de correu electrònic us envia des de Gmail, probablement Gmail també conservi una còpia d'aquest missatge.

• Autenticació de dos factors: qui la té i com configurar-la Autenticació de dos factors: qui la té i com configurar-la
• Paquet de claus de seguretat de Google Titan Paquet de claus de seguretat de Google Titan
• SecurityWatch: Com no es pot bloquejar amb l'autenticació de dos factors SecurityWatch: Com no es pot bloquejar amb l'autenticació de dos factors

Una altra opció és mirar més enllà del correu electrònic. A finals dels anys 2010 es va produir una gran varietat de serveis de missatgeria més importants que utilitzen la vostra connexió de dades en lloc del seu pla de SMS per enviar missatges entre dispositius. En els darrers anys, molts d’aquests serveis han adoptat el xifratge de punta a extrem, el que significa que només tu i el destinatari previst, podreu llegir els vostres missatges. Signal és el més conegut i una excel·lent aplicació per si mateixa. WhatsApp va adoptar el protocol Signal i ara xifra els seus missatges de punta a punta. Facebook Messenger, una mica irònicament, també utilitza el protocol Signal per al seu mode de Missatges secrets.

És probable que la plataforma d'Apple Messages sigui coneguda pels seus adhesius i karaoke animoji, però també és un sistema de missatgeria molt segur. També és notable perquè a diferència d'altres serveis de missatgeria, podeu enviar i rebre missatges al vostre telèfon o a l'ordinador sense concedir accés a Apple al contingut dels vostres missatges.

Quan es tracta d’utilitzar Gmail, us recomano que la gent escolti els seus crits. Si us preocupa profundament que els seus missatges siguin llegits per humans o bots, proveu una alternativa. Si Gmail us resulta molt convenient i us agraden les funcions que us ofereix, seguiu-ne. Intentar doblar Gmail per ser totalment segur és definitivament possible, però hi ha tantes alternatives més fàcils. Per últim, 2FA és una gran solució per evitar que els dolents siguin fora dels vostres comptes, i això es tracta. No confiaria en ell per bloquejar l’amo d’un servei.