Recenzja Proton Mail: sposób na bezpieczny i prywatny e-mail?

Oglądałaś/eś serial Mr. Robot? To niezły cyber-thriller z hakerami atakującymi wielkie korporacje w roli głównej (4 sezony). W jednym z odcinków bohater korzysta z Proton Mail – twórcy serialu uznali, że to usługa dla prawdziwego hakera: szyfruje całą korespondencję mailową wraz z załącznikami.

Załóżmy, że nie jesteś hakerem, ale nie masz ochoty, żeby ktoś niepowołany czytał Twoje wiadomości. Czy Proton Mail będzie dobrym wyborem? Czy rację mają właściciele 70 mln kont założonych na proton.me?

Sprawdziłem, co oferuje firma reklamująca się hasłem: “Witamy w lepszej sieci, gdzie prywatność i wolność są na pierwszym miejscu”.

Proton Mail – co to jest?

Na początek mam dla Ciebie garść podstawowych informacji. Co to jest Proton Mail?

To usługa e-mail (plus kilka dodatkowych funkcji), która stawia na piedestale prywatność użytkowników. Proton Mail oferuje szyfrowanie komunikacji mailowej. Serwis należy do Proton Technologies AG, firmy z centralą w Genewie (Szwajcaria). Działa od 2014 roku, a jego twórcami są pracownicy CERN, czyli Europejskiej Organizacja Badań Jądrowych, bardzo zasłużonej instytucji badawczej. 

Jak działa Proton Mail? Zacznę od misji, jaka przyświeca jego twórcom.

“Większość firm technologicznych, czy to Google, czy Apple, rozumie prywatność w ten sposób: „nikt nie może wykorzystywać Twoich danych poza nami”. My mamy inne zdanie. Uważamy, że nikt nie ma prawa wykorzystywać Twoich danych, kropka. Nasza technologia i działalność opierają się na tej fundamentalnie silniejszej definicji prywatności” – podkreślają twórcy Proton Mail.

Co ciekawe, nie boją się rzucić wyzwania potężnym konkurentom, np. ogłosili, że bez szyfrowania tryb poufny Gmail to zaledwie strategia marketingowa, czyli mówiąc wprost ściema.

Prywatność w sieci – Proton Mail i szyfrowanie end-to-end

Jak to wygląda w praktyce? Każdy mail i załącznik wysłany z Proton Mail jest zaszyfrowany. To znaczy, że tylko upoważnione osoby będą mogły przeczytać e-mail. W tym przypadku to nadawca i zamierzony odbiorca. 

Proton Mail używa szyfrowania end-to-end. Wiadomości są zabezpieczane za pomocą pary kluczy składającej się z klucza publicznego i prywatnego. W Proton Mail używane są dwa hasła: do logowania i do odszyfrowania klucza prywatnego. 

Poczta wspiera PGP, czyli narzędzie do szyfrowania i deszyfrowania m.in. poczty elektronicznej. To ważne przy wymianie wiadomości z osobami, które nie używają Proton Mail.

Mail jest szyfrowany automatycznie. O tym, że wiadomość jest w pełni zaszyfrowana informuje ikona niebieskiej kłódki. Warto pamiętać, że masz wybór i do osoby, która nie korzysta z usługi Proton możesz napisać używając lub rezygnując z szyfrowania. 

Szyfrowane wiadomości na każdą skrzynkę e-mail

Zaszyfrowane maile możesz wysyłać do osób, które nie używają Proton Mail. 

Po otrzymaniu takiej wiadomości pojawią się informacje, że jest ona do odczytania tylko przy użyciu ustalonego wcześniej hasła. Po wpisaniu hasła, odbiorca przenoszony jest do bezpiecznej poczty Proton Mail i może odpisać – jego e-mail zostanie automatycznie zaszyfrowany i nie ma potrzeby zakładać konto w usłudze. Domyślnie wiadomości e-mail chronione hasłem wygasają po 28 dniach od ich wysłania (możesz to zmienić).

Twórcy serwisu podkreślają, że zaszyfrowane wiadomości są przechowywane na serwerach firmy Proton Mail i bezpiecznie przesyłane na urządzenia użytkowników (firma korzysta tylko z własnej infrastruktury). To ogranicza do minimum ryzyko przechwycenia e-maila przez niepowołaną osobę. Dostępu do wiadomości nie mają też pracownicy Proton Mail.

Zobacz też: Jak zaszyfrować cały dysk w Windows, macOS i Linux? Instrukcje KROK PO KROKU

Szyfrowanie end-to-end – zapamiętaj hasło

Odzyskiwanie/resetowanie hasła wygląda w Proton inaczej niż w klasycznych serwisach webmail. To konsekwencja szyfrowania korespondencji.

Co stanie się, jeśli zgubisz lub zapomnisz hasło? Możesz uzyskać nowe, ale reset hasła sprawi, że nie będziesz mógł odczytać starych wiadomości i nie zobaczysz załączników. Widoczne będą tylko metadane: nadawca, data, temat e-maila. Po zresetowanu hasła odzyskasz dostęp do skrzynki pocztowej – wyślesz i otrzymasz nową korespondencję – jednak zaszyfrowane treści pozostaną nieczytelne.

Nic na to nie poradzi sam Proton, bo jak już wiesz, administratorzy usługi nie mają dostępu do Twoich haseł i skrzynki pocztowej. 

Po zwykłej zmianie hasła na nowe nadal będziesz mógł odczytać zaszyfrowane e-maile i inne dane. Możesz również uzyskać do nich ponownie dostęp, jeżeli przypomnisz sobie stare hasło. Warto korzystać więc z menedżera haseł.

Proton – wszystkie usługi pod jednym dachem

Proton Mail był początkiem. Teraz jego właściciel oferuje cały ekosystem – Proton – z przybywającymi usługami, budowany na fundamencie, którym jest prywatność.

Firma z kwaterą główną w Szwajcarii proponuje dodatkowo:

• Proton Calendar – szyfrowany kalendarz,
• Proton Drive – przestrzeń na dysku w chmurze, szyfrowana i dodatkowo zabezpieczona przy udostępnianiu innym osobom,
• Proton VPN – szyfrowane połączenia z siecią. 

Dostęp do tych usług dostaniesz w planie darmowym lub płatnym:

* możesz zapłacić kartą, przelewem, w bitcoinach, a nawet gotówką. Zobacz Jak bezpiecznie płacić w Internecie? O płatności kartą, chargeback, pobraniach, PayPalu, BLIKu i innych

Usługa dostępna jest też w pakietach Familes (do 6 użytkowników) i Business (dla firm).

Proton Mail ma 13 wersji językowych: polską, angielską, hiszpańską, niemiecką, francuską, włoską, japońską, duńską, portugalską, rumuńską, rosyjską, turecką i ukraińską. 

Proton Mail – krok po kroku

Rozpoczęcie korzystania z Proton Mail jest łatwe. Oto kolejne kroki – zaczynamy od planu bezpłatnego, który możesz w każdej chwili zmienić w konto płatne:

1. Utwórz bezpłatne konto, wchodząc na stronę proton.me.
2. Importuj swoje e-maile i kontakty (nie jest to krok obowiązkowy).
3. Wyślij pierwszą wiadomość (nawet do osoby, która nie ma konta na Proton – otworzy ją po użyciu umówionego wcześniej hasła).
4. Skonfiguruj metodę odzyskiwania konta i danych (przy użyciu innego adresu e-mail, numeru telefonu, frazy lub pliku odzyskiwania). Ustaw też dwuetapową autoryzację (2FA).
5. Wypróbuj aplikację mobilną (dostępną na iOS i Android).

Proton Mail – czy jest bezpieczny?

Czy ten system działa i Proton Mail jest bezpieczny? Sprawdzili to audytorzy z cenionej i doświadczonej polskiej firmy Securitum. 

Na zlecenie właściciela Proton Mail wykonali w 2021 roku test penetracyjny. Szczegółowy raport jest dostępny dla każdego zainteresowanego. Testerzy znaleźli jeden błąd (poziom medium, wymagający interakcji użytkownika – otwarcia wiadomości z załącznikiem GIF z dodanym kodem) oraz cztery błędy z poziomu low. 

Podsumowując: Proton Mail jest jedną z najbezpieczniejszych usług tego typu, a dodatkowo chroniącą prywatność klientów. 

Warto dodać, że zewnętrzne firmy testowały również Proton VPN i Proton Calendar.

Proton Mail – zalety i wady

Wiesz już, co oferuje swoim użytkownikom szwajcarska firma. Zbierzmy teraz zalety i wady Proton Mail.

Zalety Proton Mail

• oferuje szyfrowanie wiadomości i załączników – end-to-end,
• możesz wysyłać zaszyfrowane maile do osób, które nie używają Proton,
• dostępna jest darmowa wersja,
• oprócz e-maila otrzymasz miejsce na dysku w chmurze, VPN oraz szyfrowany kalendarz,
• możesz używać wielu kont pocztowych oraz porządkować skrzynkę pocztową przy użyciu folderów i etykiet,
• dostępna jest wersja mobilna usługi na iOS oraz Android,
• Proton Mail użyjesz w sieci Tor, to gwarantuje dodatkową anonimowość (ukrycie adresu IP) – adres: protonmailrmez3lotccipshtkleegetolb73fuirgj7r4o4vfu7ozyd.onion
• skrzynka odbiorcza jest zabezpieczona na wszystkich urządzeniach, z których korzystasz,
• Proton Mail oferuje dodatkowo ochronę przed spamem, natrętnymi reklamami oraz elementami szpiegującymi użytkowników,
• wglądu w treść e-maili nie mają pracownicy Proton Mail (dane są szyfrowane po stronie klienta z użyciem klucza szyfrującego, do którego szwajcarska firma nie ma dostępu),
• oprogramowanie Proton Mail ma otwarty kod źródłowy (dostępny na GitHub) – eksperci badali je i badają pod kątem ewentualnych luk bezpieczeństwa, 
• właściciel Proton Mail podlega sądom w Szwajcarii (a nie UE czy USA).

Wady Proton Mail

• opcja bezpłatna jest dość ograniczona, np. oferuje tylko 500 MB na pocztę, kalendarz i dysk wirtualny (sprawdź tabelę wyżej),
• nawet jeżeli zależy Ci tylko na szyfrowanej poczcie, to płacisz również za inne usługi (VPN, kalendarz, miejsce na dysku),
• Proton ma dostęp do metadanych (m.in. daty wysłania i odebrania wiadomości, adresu e-mail nadawcy i odbiorcy),
• właściciel może wyłączyć dostęp do skrzynki. Tak było w przypadku DDoSecrets, serwisu ujawniającego tajne dokumenty (działa na podobnej zasadzie, co Wikileaks). Demaskatorzy korzystali z usługi Proton Mail – skrzynka została zablokowana w 2020 roku, po wielkim wycieku wewnętrznych danych amerykańskiej policji (BlueLeaks). Po awanturze w mediach społecznościowych poczta aktywistów została  odblokowana.

Jeszcze jedna uwaga – Proton Mail to tylko narzędzie, można go użyć w dobrej lub złej intencji. Szyfrowanie wiadomości nie oznacza, że użytkownicy są anonimowi. Zgodnie z polityką prywatności, firma może wydać adres IP użytkownika, jeżeli nakaże to szwajcarski sąd.

Proton Mail – czy warto korzystać?

Proton Mail to jedna z najlepszych opcji dla osób, które cenią sobie prywatność i bezpieczeństwo w sieci. Korzystają z niej setki tysięcy osób i nic nie wiadomo o udanym włamaniu na ich skrzynki pocztowe.

Jeśli przypadnie Ci do gustu usługa e-mail w wersji proponowanej przez szwajcarską firmę, to możesz skorzystasz z innych usług. Firma chce wejść na rynek z ProtonChat (alternatywa dla Signal) i ProtonWallet (portfel kryptowalut).

Jak zwykle warto pamiętać, że prywatność nie oznacza całkowitej anonimowości (chyba, że korzystamy np. z sieci Tor), a usługi Proton nie są kuloodporne. Jak zwykle najsłabszym ogniwem może być człowiek. Nawet korzystając z najbardziej bezpiecznych rozwiązań możemy paść ofiarą przestępców. 

Grupa RocketHack specjalizuje się w atakach na zlecenie na serwisy e-mail. Na celownik bierze również użytkowników Proton Mail. Nie sili się na łamanie szyfru, to byłoby nieskuteczne. Korzysta natomiast z phishingu: rozsyła użytkownikom fałszywą stronę do logowania Proton Mail. Chwila nieuwagi i korzystający z szyfrowanej poczty padali ofiarą gangu. Przestępcy chwalili się, jak pisze magazyn “Forbes”, że naruszenie bezpieczeństwa Proton Mail było ich najdroższą usługą wartą 50 000 rubli (w 2018 roku).

Zobacz też: Jak wybrać bezpieczną pocztę e-mail? Usługi i programy