Mailfence High Level-Sicherheitsanalyse
Mailfence ist ein sicherer und vertraulicher E-Mail-Service, der Ende-zu-Ende-Verschlüsselung und digitale Signaturfunktionen bietet. Alle Verschlüsselungsvorgänge mit Bezug auf den privaten Schlüssel und das Anzeigen der E-Mail-Texte wird erst ausgeführt, wenn der Anwender den privaten Schlüssel mit der entsprechenden Passphrase entschlüsselt, die nur er kennt.
Die nachfolgende Tabelle bietet einen Überblick für eine High Level-Sicherheitsanalyse hinsichtlich der Art an Informationen und des Schutzniveaus, das eingehalten wird.
| Art an Informationen |
Schutzniveau |
| Quelle von Zufallsdaten, wenn neue PGP-Schlüssel erstellt werden | Entropie wird über das Client-Endgerät gesammelt |
| Passwort verschlüsselt bei der Übertragung vom Browser zum Webserver | SSL/TLS |
| Passwort sicher auf dem Webserver gespeichert | SHA256 (iterativ und gehashed) |
| Enthüllen der Passphrase des privaten Schlüssels | Passphrasen-Check für alle Verschlüsselungsaktivitäten wird stets auf Seite des Clients durchgeführt – und nie dem Server angezeigtr |
| Verschlüsselter privater Schlüssel bei der Übertragung zwischen Browser und Webserver | Zwei Verschlüsselungsebenen: 1- Mit Anwender-Passphrase (via AES) 2- TLS/SSL |
| Verschlüsselter privater Schlüssel im Speicher | Mit Anwender-Passphrase (via AES) |
| Privater Schlüssel entschlüsselt auf Webserver | Gilt nicht für Mailfence – da alle Ver-/Entschlüsselungen des privaten Schlüssels auf der Client-Seite mit der Anwender-Passphrase durchgeführt werden |
| Ende-zu-Ende verschlüsselte Nachrichten während der Übertragung vom Client-Browser auf die Mailfence Server | Zwei Verschlüsselungsebenen: 1 – SSL/TLS 2 – OpenPGP |
| Ende-zu-Ende verschlüsselte Nachrichtentexte und Anlagen während der Übertragung vom Webserver zum E-Mail-Konto des Empfängers | 1 PGP 2 STARTTLS (falls vom Empfänger unterstützt) |
| Ende-zu-Ende verschlüsselte Nachrichtentexte und Anlagen im Speicher auf dem Webserver | OpenPGP |
| Ende-zu-Ende verschlüsselte Nachrichtentexte & Anlagen, die dem Webserver bekannt sind. | Nie – da alle Verschlüsselungsvorgänge mit Bezug auf Ende-zu-Ende ausschließlich auf der Client-Seite ausgeführt werden |
| Nachrichten-Header, die während der Übertragung vom Browser zum Webserver verschlüsselt werden | SSL/TLS |
| MNachrichten-Header, die während der Übertragung vom Webserver zum E-Mail-Konto des Empfängers verschlüsselt werden | STARTTLS (falls vom Empfänger unterstützt) |
| Nachrichten-Header auf dem Webserver gespeichert | Nicht verschlüsselt |
Schwachstellenanalyse
Die folgenden Punkte betreffen E-Mails, die mit Ende-zu-Ende-Verschlüsselung verschickt werden:
| Angriff | Schutzniveau |
| Angreifer hört Ihre Internetverbindung ab | Geschützt |
| Angreifer erhält Zugriff auf E-Mails, die auf dem Server abgespeichert sind | Geschützt |
| Angreifer erhält Zugriff auf die Server-Datenbanken | Geschützt |
| Angreifer kompromittiert den Webserver, nachdem Sie auf Ihre E-Mails zugegriffen haben | Geschützt |
| High-level MiTM-Angriff – bei der ein Gegner Ihnen einen falschen Code zum Überprüfen aller Verschlüsselungsvorgänge schickt | Nicht geschützt |
| Angreifer hat Zugriff auf Ihr Benutzerkonto | Geschützt (die gesendeten Ende-zu-Ende verschlüsselten Nachrichten sind allerdings in Klartext sichtbar) *Es ist geplant, dieses Risiko zukünftig zu minimieren |
| Angreifer hat Zugang zu Ihrem Computer, bevor Sie auf Ihre E-Mails zugreifen (und kann Programme wie Key Logger/Malware, etc. installieren) | Nicht geschützt |
Zögern Sie nicht, uns zu kontaktieren, wenn Sie weitere Fragen zur High Level-Sicherheitsanalyse unseres Dienstes haben.
Mailfence ist ein sicherer und vertraulicher E-Mail-Service.
Patrick ist Mitbegründer von Mailfence. Seit 1994 ist er Serial Entrepreneur und Start-up-Investor sowie Gründer mehrerer zukunftsweisender Internet-Unternehmen wie Allmansland, IP Netvertising oder Express.be. Er ist ein überzeugter Anhänger und Verfechter von Verschlüsselung und Datenschutz. Sie können @pdeschutter auf Twitter und LinkedIn folgen.
