Strona domowa GDR!a

Od czasu napisania Paranoi mam podgląd na to, którzy korespondenci używają szyfrowania TLS przy wysyłaniu poczty. W szczególny sposób interesuje mnie to w przypadku instytucji finansowych, które lubią udawać elektroniczne fortece. Zrobiłem zestawienie instytucji które wysyłały mi ostatnio korespondencję zawierającą poufne dane. Sprawdziłem następujące parametry:

• Szyfrowanie między serwerami (SMTPS): wiadomość wysłana z serwerów banku do serwerów obsługujących skrzynkę pocztową klienta powinna być zabezpieczona na czas przesyłania przez internet. W przeciwnym wypadku, treść może zostać podsłuchana na całej trasie.
• Podpis elektroniczny (S/MIME): klient powinien mieć możliwość zweryfikowania tego, czy wiadomość faktycznie pochodzi od banku. Obecność podpisu elektronicznego pozwala to w szybki sposób zweryfikować.
• Podpis serwera (DKIM): pozwala bardziej zaawansowanym użytkownikom zweryfikować czy wiadomość została faktycznie wysłana z serwera banku. Może ewentualnie zostać użyta jako nie do końca zaufany podpis elektroniczny dla ubogich.

Banki:

• mBank: brak szyfrowania między serwerami, wiadomości podpisane za pomocą S/MIME, brak podpisu DKIM, na dodatek nie posiadają swoich serwerów pocztowych a dzierżawią je od Onetu (DNS: mbank.onet.pl)
• Multi Bank: brak szyfrowania między serwerami, wiadomości podpisane za pomocą S/MIME, brak podpisu DKIM, również używają serwerów Onetu. Natomiast - ciekawostka - email z potwierdzeniem otwarcia konta jest wysyłany TLS-em z własnych serwerów BRE Banku, z nieprwaidłowym podpisem DomainKeys.
• Inteligo (PKO): brak szyfrowania między serwerami, wiadomości podpisane za pomocą S/MIME, podpis DKIM jest obecny (ale ma jakąś śmiesznie małą na te czasy długość, 256 bądź 512 bitów)
• Alior Sync: połączenie między serwerami szyfrowane, wiadomości podpisane za pomocą S/MIME, podpis DKIM obecny. Ciężko się przyczepić.
• Getin Bank: brak szyfrowania między serwerami, wiadomości podpisane za pomocą S/MIME, brak podpisu DKIM.
• Credit Agricole: brak szyfrowania między serwerami, brak podpisu S/MIME, brak podpisu DKIM.
• Idea Bank: brak danych nt. szyfrowania, wiadomości podpisane za pomocą S/MIME, brak podpisu DKIM.
• Paypal: brak szyfrowania między serwerami, wiadomości niepodpisane elektronicznie, podpis DKIM jest obecny
• PayU: brak szyfrowania między serwerami, wiadomości podpisane za pomocą S/MIME, brak podpisu DKIM
• Payoneer: połączenie między serwerami szyfrowane, brak podpisu S/MIME, brak podpisu DKIM.

Z powyższych - daje radę jedynie Alior. Szkoda, że przyznają się do sprzedawania danych osobowych.

Nawet jeśli szyfrowanie masz głęboko w dupie, warto zwrócić uwagę na to, jak bank dba o bezpieczeństwo. Żadna poważna załoga do spraw security nie pozwoliłaby na istnienie źle skonfigurowanego serwera pocztowego wysyłąjącego poufne dane. Jeśli Twój bank robi takie rzeczy, to prawdopodobnie twoje dane nie są w nim bezpieczne, bo pieczę nad nimi trzymają amatorzy.

Chętnie poszerzę bazę powyżej - niestety na moją prośbę o udostępnienie danych odzew był nikły (dzięki za pomoc: Mirek, Gosia, Sławek i MySZ).