$30 off During Our Annual Pro Sale. View Details »

Email é seguro?

Email é seguro?

Slides da minha palestra, junto com o Túlio Casagrande, na CryptoRave 2016. Nessa oportunidade pudemos bater um papo sobre como funcionam os emails, porque não é seguro se comunicar com as soluções mais utilizadas e como se proteger utilizando a própria infraestrutura existente.

Caio Carrara

May 07, 2016
Tweet

More Decks by Caio Carrara

Other Decks in Technology

Transcript

  1. O email é seguro?
    Caio e Tulio
    CryptoRave 2016

    View Slide

  2. Desenvolvedor de software_
    Trabalha na ThoughtWorks_
    Colaborador no Pixelated_
    Desconfiado_
    Caio Carrara
    @CaioWCC
    [email protected]

    View Slide

  3. Tulio Casagrande
    @tuliocasagrande
    [email protected]
    Trabalha na ThoughtWorks_
    Colaborador no Pixelated_
    Aficionado por código_
    Curioso_

    View Slide

  4. Agenda
    ● Relevância do email nos dias atuais
    ● Como os emails funcionam
    ○ Estrutura
    ○ Transporte
    ● Centralização de provedores
    ○ Termos e condições de serviços
    ○ O que diz o Marco Civil sobre emails
    ● A falta de privacidade e suas consequências
    ● Criptografia e descentralização
    ● Conclusão

    View Slide

  5. Utilização de email
    http://www.radicati.com/wp/wp-content/uploads/2015/02/Email-Statistics-Report-2015-2019-Executive-Summary.pdf

    View Slide

  6. 86%
    dos emails recebidos são legítimos

    View Slide

  7. Usuários de email
    http://www.radicati.com/wp/wp-content/uploads/2015/02/Email-Statistics-Report-2015-2019-Executive-Summary.pdf

    View Slide

  8. Como os emails funcionam?
    Estrutura

    View Slide

  9. Delivered-To: [email protected]
    Received: by 10.140.104.46 with SMTP id z43csp457046qge;
    Return-Path: for
    To: [email protected]
    From: Caio Carrara
    Subject: This is an important message
    Organization: ThoughtWorks
    Date: Fri, 6 May 2016 17:37:04 -0300
    User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.11; rv:45.0) Gecko/20100101 Thunderbird/45.0
    Content-Type: text/plain; charset=utf-8
    This is the email body and anyone can read this!
    Bye
    --
    *Caio Carrara*
    2EFF 0E5D 2AB0 C1D6 B066 4BF6 4662 42E2 41EA 14B7

    View Slide

  10. Como os emails funcionam?
    Transporte

    View Slide

  11. https://www.oasis-open.org/khelp/kmlm/user_help/html/how_email_works.html

    View Slide

  12. Centralização dos provedores

    View Slide

  13. https://www.oasis-open.org/khelp/kmlm/user_help/html/how_email_works.html

    View Slide

  14. Centralização dos provedores

    View Slide

  15. Centralização dos provedores
    (2014) https://litmus.com/blog/gmail-opens-increase-android-drops-january-email-client-market-share

    View Slide

  16. ● Único ponto de falha
    ● Metadados concentrados
    ● É fácil e barato vigiar massivamente
    Centralização dos provedores

    View Slide

  17. Custo da vigilância em massa
    http://smarimccarthy.is/blog/2014/05/28/engineering-our-way-out-of-fascism/

    View Slide

  18. Termos e condições de uso
    ● Textos extensos e de linguagem complexa
    ● Aparato legal para os provedores obterem e
    usarem nossos dados
    ● Só usamos o serviço se aceitarmos seus
    termos

    View Slide

  19. Marco Civil
    Estabelece princípios, garantias, direitos e deveres para o uso da
    Internet no Brasil.
    Art. 3o A disciplina do uso da internet no Brasil tem os seguintes princípios:
    II - proteção da privacidade;
    Art. 8o A garantia do direito à privacidade e à liberdade de expressão nas
    comunicações é condição para o pleno exercício do direito de acesso à
    internet.

    View Slide

  20. PERIGO!
    #CPICiber

    View Slide

  21. Alta centralização, baixa criptografia e termos
    assinados
    ● Vigilância em massa
    ○ Falta de privacidade
    ○ Perseguição
    ○ Afronta a liberdade de expressão
    ○ Ataque aos direitos fundamentais
    ○ Insegurança

    View Slide

  22. Mas nem tudo está perdido!
    Criptografia e
    Descentralização

    View Slide

  23. Criptografia
    https://www.oasis-open.org/khelp/kmlm/user_help/html/how_email_works.html

    View Slide

  24. Criptografia
    https://www.oasis-open.org/khelp/kmlm/user_help/html/how_email_works.html
    Criptografar Descriptografar

    View Slide

  25. Delivered-To: [email protected]
    Received: by 10.140.104.46 with SMTP id z43csp457046qge;
    Return-Path: for
    To: [email protected]
    From: Caio Carrara
    Subject: The subject is not encrypted
    Organization: ThoughtWorks
    Date: Fri, 6 May 2016 17:37:04 -0300
    User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.11; rv:45.0) Gecko/20100101 Thunderbird/45.
    0
    Content-Type: application/pgp-encrypted
    -----BEGIN PGP MESSAGE-----
    hQIMA69AqycFw2RoARAAu5YJmundAqA034Y2mz2FiuQhxklza6lLyfO2zqqXvc/c
    qSRhpGTHnsR9G8dyEGmsItwSnWc7LtXd391glOlE1c83GRiLZPbEPNbFRNtMKz1Q
    ...
    u37JL4shTmiO9wpWe9UpF4H4jBwm0pGdqZnIaAbBI4pbLBxc+1AqqW3/ZwriwSWz
    rbehV1PCa8iDSMPNG9RJWQJic/QWJIof/+RQfShTLbU=
    =nNsn
    -----END PGP MESSAGE-----

    View Slide

  26. Provedores descentralizados
    ● Ataca um, não atinge todos
    ● Metadados distribuídos
    ● Mais difícil e caro vigiar massivamente

    View Slide

  27. ● Emails continuam relevantes, sobretudo no
    contexto corporativo
    ● Emails não são seguros "nativamente"
    ○ Dados expostos
    ○ Provedores centralizados
    ● Criptografia e descentralização são
    alternativas de aumentar a segurança
    Conclusão

    View Slide

  28. Obrigado!
    Dúvidas?
    Comentários?
    Caio Carrara
    @CaioWCC
    [email protected]
    Tulio Casagrande
    @tuliocasagrande
    [email protected]

    View Slide