Il Bluff di Tutanota

Leggo in giro che quelli di Tutanota (il provider di email che promette di non spiarvi perche’ lo fa fare agli altri) stanno strillando per essere stati banditi da AT&T. E il mio non e’ un rimbrotto del tipo “siccome sei un cattivo allora fanno bene a bannarti”, ma e’ un “siccome sei un cattivo fanno bene a proteggere i loro utenti da te”.

Quindi per prima cosa occorre capire perche’ quelli di Tutanota siano cattivi. Avrete sentito parlare di “falso senso di sicurezza”, cioe’ di quel fenomeno che vi porta a pensare di essere al sicuro mentre in realta’ siete in pericolo. E questo falso senso di sicurezza non fa altro che portarvi piu’ spesso in pericolo.

Ecco, Tutanota fa esattamente questo.

Come lo fa?

Loro vi dicono “ehi, noi non vi spiamo. La vostra mail e’ tutta criptata, e lallallero e lallala’, e siamo opensource (che poi anche su questo ci sarebbe da ridire) e quindi se usate noi la vostra mail NON la legge nessuno”.

Questo sarebbe vero se tutti avessero un account su Tutanota: se A e B hanno un account su Tutanota, infatti, i messaggi restano sui loro server. Per cui, AMMESSO che non vi possano spiare, sarebbero al sicuro.

Ma il problema e’ che A e B non sono, spesso , su Tutanota. E fin qui, dite voi, sono cavoli tuoi: se tu sei cosi’ stupido da andare da un provider che ti spia, allora colpa tua.

Quasi giusto. Perche’ Tutanota vi SPINGE ad andare da un provider che vi spia. Come? Implementando delle blocklist che di fatto lasciano passare SOLO le aziende piu’ spione del pianeta.

Il log di cui sopra e’ un log fatto inviando la mail da un server tedesco nel cloud di Hetzner (dunque, ha la stessa normativa sulla privacy di Tutanota, che Tutanota usa come “garanzia” per la privacy)

e mosta una cosa: Tutanota sta blacklistando praticamente tutti, tranne i soliti gmail, outlook.com, eccetera.

Nemmeno altri cloud tedeschi (che sarebbero “privaciosi” per la stessa costituzione, GDPR, etc etc etc) sono accettabili. Se volete parlare con un utente Tutanota e tenete alla privacy, o aprite un account su Tutanota oppure usate un mail provider che vi spia.

In pratica, se osserviamo la quantita’ di blocchi che Tutanota usa, scopriamo che:

• Tutti gli IP residenziali e mobili sono bannati. In pratica, se siete lo Snowden della situazione, non potete tenere il vostro server SMTP in un raspberry a casa vostra, o sul vostro laptop collegato lalla wifi di un aereoporto. No. Dovete passare per Gmail, oppure collegarvi direttamente alla loro interfaccia, che vi traccia il computer come al solito.
• Quasi tutti i cloud sono bannati. Quindi se siete giornalisti scomodi o whistleblowers, non potete semplicemente aprire un server smtp da qualche parte, usarlo per mandarci email, (magari via SSH tunnel, cosi’ sembra arrivare da localhost)  e poi chiuderlo.
• Moltissimi server mail aziendali sono bannati. Tra i bannati ci sono banche, aziende energetiche, ed altro. Morale della storia: se siete whistleblowers e volete rivelarne le malefatte, dovete passare per gmail, outlook & altri.

In questo consiste la furbizia dei nuovi provider di “privacy”: il furto di dati si sta evolvendo. Si sta evolvendo creando delle honeypot. In pratica, alcuni provider di posta elettronica si stanno proponendo come “salvatori della privacy”, ma poi astutamente sfruttano delle tecniche ignore agli utenti per aggirare il problema.

Certo, l’utente tutanota si sente al sicuro. Iniziera’ quindi a corrispondere con tutti usando Tutanota, peccato che questo costringa tutti gli altri ad avere un indirizzo email presso un provider che ti spia. Ma voi direte: ehi, ma puoi sempre aprire un account su Tutanota e parlare Tutanota-2-Tutanota.

Aha.

E qui salta fuori che At&T blocca tutanota, mostrando il bluff. Mostrando il bluff significa questo: se l’unico modo di comunicare con un account di tutanota e’ di avere un account su Tutanota, ad uno stato canaglia per bloccare tutto basta bloccare un DNS record. E siamo fortunati, perche’ alla fine AT&T ha solo bloccato quel server: che succederebbe se invece stesse spiando il traffico?

E specialmente, non e’ che il disservizio e’ dovuto, invece, ad un maldestro tentativo di spiare il traffico, se non ad un sistema di spionaggio che necessita un po’ per entrare a regime?

La risposta e’ che non lo sappiamo, dal momento che l’unico modo SICURO per usate Tutanota e’ passare per l’interfaccia web di Tutanota, e scrivere ad un altro utente di Tutanota che fa lo stesso: l’alternativa e’ passare per un mail provider che ti spia, unico autorizzato a mandare e ricevere mail da tutanota.

Come ho gia’ scritto, sono un grande cultore della decentralizzaione di Internet, che e’ nata proprio per quello, ma quel che vedo e’ semplicemente una politica di blacklisting che obblica la centralizzazione delle mail, ovvero le grandi blacklist pubbliche.

Allora adesso arriveranno i frignoni che mi spiegano che esiste lo spam. Ma per contrastare lo spam non serve bannare IP residenziali e neanche servono le grandi blacklist, che tutti usano e ciononostante avete la vostra cartella SPAM piena di merda.

Bandire lo spam e’ molto, molto, molto piu’ semplice.  Potete farlo usando opensmtpd semplicemente con una riga di configurazione.

gli ultimi due parametri, “tls-require” e “verify”, insieme formano una coppia terribile per gli spammer. Innanzitutto forzano il servere ad accettare posta solo se crittografata. Ma la seconda, “verify”, obbliga il sender ad avere un certificato valido (che oggi si costruisce anche gratis, usando Let’s Encrypt).

Il fatto e’ che provvedere un certificato valido per ogni SMTP server, per gli spammer e’ praticamente impossibile. In teoria potrebbero farlo, ma i costi sarebbero eccessivi. E di fatto, non lo fanno mai. Risultato: anche se il mio server e’ visibile, e viene sondato dai bot,  non ricevo spam.

Simili configurazioni possono venire fatte su postifx ed altri server, e sono piu’ che sufficienti ad eliminare i server SMTP “sospetti” dalla circolazione. Una persona seria che voglia fare selfhosting in un IP residenziale, invece, ha solo bisogno di un dns dinamico (gratuito) e di un client ACME  per avere un certificato. Lo spammer non puo’ perche’ sia i  dns dinamici che i server ACME hanno precisi limiti , per cui lo spammer potrebbe creare pochissimi certificati e pochissimi record del DNS, troppo pochi per lavorare.

Quindi no: lo spam non e’ una scusa.

A mio avviso Tutanota e’ uno di quei servizi per il furto dati “di nuova generazione”: tali servizi non vi leggono la posta di per se’: spingono, su base statistica, chi usa l’email ad affidarsi ad altri provider che spiano, mettendo in blacklist quei server SMTP che invece potrebbero davvero essere LIBERI.

Il furto di dati, infatti, si e’ evoluto: siamo passati da una situazione in cui vi dicevano “dammi i tuoi dati in cambio del servizio gratis”, fino al giorno in cui ti dicono “ecco il mio servizio gratis, e io non ti prendo i dati: semplicemente, ci penseranno i miei amici a prenderli, visto che io ti obbligo ad avere a che fare con loro”.

Un servizio di mail che si proponga di tutelare la privacy, oggi dovrebbe fare il contrario, mettendo in lista nera i provider email che spiano, in modo da SCORAGGIARE gli altri a usarli, e incoraggiando i piccoli server SMTP , quelli selfhosted, quelli nei cloud, quelli nelle utenze domestiche.

Dovrebbero, cioe’, spingere la decentralizzazione.

Ma guarda caso, usano delle blacklist che fanno proprio il contrario.

Fonte: https://keinpfusch.net/il-bluff-di-tutanota/