Ladar Levison oznámil, že opět spouští bezpečnou e-mailovou službu Lavabit. Ta se stala nejpopulárnější na svém konci v roce 2013, protože se ukázalo, že ji používal i Edward Snowden. Spekulovalo se dokonce o tom, že právě informace z jeho účtu měly být za nátlakem na provozovatele, který raději službu vypnul, než aby přistoupil na spolupráci a vydání uživatelských dat.
Později se ukázalo, že je to pravda a že NSA chtěla přístup ke všem datům včetně TLS klíčů (dříve SSL). Levison se z této nepříjemné zkušenosti poučil a před několika dny nenápadně naznačil, že se chystá spuštění nového Lavabitu. K tomu nakonec došlo v pátek 20. ledna a na webu Lavabit.com se objevilo veřejné prohlášení.
Píše se v něm, že nová verze je založena na projektech Dark Internet Mail Environment (DIME) a Magma, které byly v roce 2014 úspěšně zafinancovány na Kickstarteru. DIME je nový standard pro bezpečnou komunikaci s podporou end-to-end šifrování a Magma je otevřený e-mailový server, který DIME implementuje.
Prozatím je Lavabit dostupný uživatelům, kteří na něm měli založené účty už dříve – těch existuje 410 000. Uživatelé sice nemají k dispozici svou starou poštu (měli možnost ji zálohovat na konci roku 2013), ale mohou začít novou službu okamžitě využívat. V zašifrované podobě prý existuje více než 50 milionů zpráv ze starého systému, ale není jasné, zda bude možné e-maily přenést do nového Lavabitu.
Časem bude možné se běžným způsobem registrovat, zatím to ale není možné a spuštěny jsou pouze předregistrace s výhodnější poloviční cenou.
Více šifrování, žádná metadata
Služba už nechce v budoucnu vystavit uživatele podobnému riziku jako před více než třemi lety, proto se rozhodla pro několik razantních změn. Aby nebylo možné získat TLS klíče, nemají ji k dispozici ani lidé Lavara Levisona. Soukromé klíče jsou prý uloženy v HSM (Hardware Security Module), který je nikomu nevydá, ale umožní jejich použití v infrastruktuře Lavabitu. Podobná zařízení používají například certifikační autority, ale i další společnosti, které chtějí zabránit odcizení privátních klíčů například při bezpečnostním průniku.
Klíče prý byly vygenerovány „naslepo“, takže je nikdo neviděl. Poté byly vloženy do HSM a původní kopie byla zničena. Jakmile jsou klíče uvnitř, už je nikdo nedokáže dostat ven,
potvrdil jeden z vývojářů služby, který veřejně vystupuje jen pod jménem Sean. Je jedním z mnoha dobrovolníků, kteří se na vývoji systému podílejí, ale nechtějí prozradit svou identitu.
Ladar Levison, Lavabit
Klíče jsou zatím pro bezpečnost Lavabitu kritické, ale během následujících měsíců má být uvolněn nový systém end-to-end šifrování, který jejich důležitost sníží. Uživatelé totiž své zprávy zašifrují už na svém vlastním zařízení, včetně všech metadat. To má být jedna z klíčových vlastností nového Lavabitu, který neumožní vládním agenturám a jiným subjektům sbírat vůbec žádná data, tedy ani metadata.
Jde o veškerá transakční data z hlaviček, tedy kdo, komu a například předmět zprávy. V případě použití normálního e-mailu jsou tyto informace otevřené, i když je zbytek zprávy zašifrován. Různé subjekty mohou ale číst tyto servisní informace a v mnoha případech je i z nich možné vyčíst poměrně hodně. Lavabit slibuje, že zpráva bude zašifrovaná end-to-end jako celek, takže poslouchající agent se nedozví nic.
Model anonymizovaného zasílání zpráv je vypůjčen z principu fungování sítě Tor. Jakmile uživatel odesílá zašifrovanou zprávu, jen jeho poskytovatel připojení ví, že někomu píše. Nezná však cílovou adresu příjemce, jen jeho doménu. Plná adresa je zašifrována pro cílový server, který ji dokáže rozšifrovat, nezná ale zase plnou adresu odesílatele. Všechny informace znají jen uživatelé na obou stranách end-to-end šifrovaného kanálu.
Tři stupně bezpečnosti
Jakmile se Lavabit otevře veřejnosti, přijde se třemi režimy bezpečnosti: Trustful, Cautious a Paranoid. Česky bychom mohli říct: Důvěřivý, Obezřetný a Paranoidní.
První zmiňovaný bude určen uživatelům, kteří nepotřebují příliš mnoho skrývat a dají přednost pohodlnému používání. Tento způsob bude připomínat starý Lavabit – zprávy jsou šifrovány na serverech provozovatele. Znamená to ale, že uživatel musí věřit Ladaru Levisonovi a jeho týmu. Pro mnohé z nich je ale dostatečným důkazem fakt, že je ochoten službu raději zavřít než by ji otevřel někomu cizímu.
Zároveň je software Lavabitu otevřený, takže kdokoliv má možnost si jej zkontrolovat. To znamená, že pokud celé službě odmítáte věřit, můžete si vytvořit vlastní. Zdrojové kódy jsou na GitHubu: libdime a Magma. Jaká jiná služba pro posílání zašifrovaných zpráv vám dovolí stáhnout si její server a použít u sebe?
ptá se řečnicky Levison.
Prostřední stupeň zabezpečení přesouvá šifrování ze serverů Lavabitu na uživatelská zařízení. Klíč je vygenerován přímo u uživatele, poté zašifrován zadanou frází a uložen na serveru. To umožňuje pohodlně službu používat napříč několika zařízeními, protože Lavabit nemá k dešifrované podobě klíče přístup a zároveň je možné tento klíč pohodlně získat při vybalení nového zařízení z krabice. Stačí se přihlásit.
Pokud bude uživatel chtít ještě víc, sáhne po třetím stupni. Ten zcela ruší ukládání klíčů na serveru a ponechává je jen v uživatelově zařízení. Správa klíčů je pak plně v rukou uživatele. Pokud bude chtít Lavabit používat třeba i v mobilu, bude muset klíče přenést ručně ze svého počítače. Samozřejmě zároveň platí, že v případě ztráty klíčů neexistuje způsob, jak je obnovit. Server je nezná a nedokáže pomoci. Data jsou v tu chvíli ztracena.
Má šanci, díky Snowdenovi
Právě zmíněná historie spojená s Edwardem Snowdenem dává Lavabitu šanci prorazit. Podobných služeb se za posledních několik let vyrojily tucty, ale známé jméno a zajímavá historie mohou na službu zapůsobit jako živá voda. Má však jen jednu šanci.
Sám Snowden říká, že tím nejcennějším, co může Lavabit nabídnout je ochota raději firmu zavřít než prodat uživatele. To je hodně velká věc. Jsou možná jediní na světě, kteří to mohou tvrdit,
řekl v jednom z rozhovorů Snowden.
