p Embora uma caixa de entrada de e-mail vazia seja algo que muitas pessoas buscam, a maioria de nós não tem sucesso. E isso significa que provavelmente armazenamos centenas, até mesmo milhares, de e-mails que contêm todos os tipos de informações pessoais que preferimos manter privadas. p Defesas atuais, como Pretty Good Privacy (PGP) e Secure / Multipurpose Internet Mail Extensions (S / MIME), dependem de criptografia de chave pública que usa pares de chaves públicas e privadas geradas por algoritmos criptográficos. Como esses sistemas são muito técnicos e difíceis para o usuário médio, a maioria das pessoas não os usa. Como resultado, muitas contas de e-mail foram hackeadas, incluindo casos de alto perfil como o ataque de phishing ao principal conselheiro de campanha de Hillary Clinton, John Podesta, e o hack de e-mail em 2016 de um dos principais assessores de Vladimir Putin.

p Em resposta a esses tipos de ataques generalizados, cientistas da computação da Columbia Engineering criaram o Easy Email Encryption (E3), um aplicativo para segurança, e-mail criptografado que é fácil de gerenciar, mesmo para usuários não técnicos. Agora em modo de teste beta, O E3 criptografa de forma automática e invisível o e-mail assim que é recebido em qualquer dispositivo confiável, incluindo smartphones, laptops, e tablets. Funciona em várias plataformas, incluindo Android, Janelas, Linux, e Google Chrome, e com serviços de e-mail populares, como Gmail, Yahoo, AOL, e mais.

p A equipe - Professores Jason Nieh e Steve Bellovin e seu Ph.D. estudante John S. Koh - apresentou seu estudo hoje na EuroSys '19 em Dresden, Alemanha, um dos principais fóruns do mundo focado em pesquisa e desenvolvimento de software de sistemas de computador.

p "A privacidade do e-mail torna-se cada vez mais crítica à medida que nossas caixas de entrada aumentam de tamanho, "observa Koh, o autor principal do artigo. "Graças aos serviços de e-mail gratuitos e amplamente populares como o Gmail, os usuários estão guardando cada vez mais e-mails, proporcionando assim um balcão único para hackers que podem comprometer todos os e-mails de um usuário com um único ataque bem-sucedido. "

p Desde 1999, quando o artigo seminal "Why Johnny Can't Encrypt" mostrou como é extraordinariamente difícil para as pessoas enviarem e-mails criptografados, os pesquisadores têm tentado projetar sistemas de criptografia que sejam mais fáceis de gerenciar pelo usuário médio. O problema é que eles se mantiveram focados em soluções de criptografia ponta a ponta, onde apenas o remetente e o destinatário originais podem ler as mensagens. Terceiros, incluindo provedores de telecomunicações e Internet, não podem escutar porque não podem acessar as chaves criptográficas para descriptografar a conversa. Embora essas soluções certamente funcionem e ofereçam mais segurança, PGP e S / MIME, as soluções de criptografia preferidas pelos especialistas, são tão complexos que são impraticáveis, quase inutilizável, para um usuário não técnico.

p "O campo da segurança de e-mail está implorando por melhorias, "Notas de Koh." Por 20 anos, a comunidade de pesquisa estava fixada na segurança de ponta a ponta. Nós tomamos uma abordagem diferente, postulando que a criptografia ponta a ponta para e-mail não é necessária no século 21. As conexões de Internet são cada vez mais protegidas por padrão usando criptografia. Nosso insight é que o e-mail precisa ser protegido quando armazenado em nossas caixas de entrada, não quando está sendo enviado pela Internet, porque os hackers estão apenas tentando fazer login na sua conta de e-mail. Assim, aplicamos um modelo de 'criptografia no recebimento' que fornece excelente segurança no mundo real, sendo muito mais utilizável do que a criptografia ponta a ponta. "

p Nos últimos três anos, a equipe de engenharia da Columbia refinou o E3, tentando muitas abordagens diferentes antes de encontrar um método que marcou todas as caixas de que eles precisavam. Eles testaram o aplicativo com algumas dezenas de participantes do estudo, muitos dos quais não eram particularmente versados ​​em tecnologia. Todos concordaram que o E3 é significativamente mais fácil de usar do que os sistemas de última geração para e-mail seguro, ao ponto em que o E3 é quase tão fácil de usar quanto um cliente de e-mail normal.

p A nova abordagem da equipe simplifica a criptografia de e-mail e melhora sua usabilidade ao implementar a criptografia controlada pelo receptor. As mensagens recém-recebidas são baixadas de forma transparente e criptografadas em uma chave gerada localmente e a mensagem original é então substituída. Um grande problema era como lidar com vários dispositivos, especialmente importante hoje em dia, já que a maioria das pessoas lê e-mails em vários dispositivos. Em vez de mover as chaves privadas, o que é difícil de fazer com segurança e exige muito do usuário, os pesquisadores usaram pares de chaves por dispositivo. Com esta abordagem, apenas as chaves públicas precisam ser sincronizadas por meio de uma etapa de verificação simples. Hackers que atacam com sucesso uma conta de e-mail ou servidor só podem obter acesso a e-mails criptografados. Todos os e-mails criptografados antes de uma violação são protegidos.

p Na E3, as chaves públicas nunca são compartilhadas com outras pessoas. Eles são autogerados e autoassinados, e não requerem nenhuma infraestrutura de chave pública para o usuário entender. Trabalhos anteriores mostraram que os usuários acham confuso obter e usar chaves públicas corretamente. Em contraste, um usuário E3 precisa apenas de chaves autoassinadas, e todas as trocas de chaves públicas entre os dispositivos do usuário são automatizadas.

p Os pesquisadores observam que não pretendem que o E3 seja um fim a fim, solução de segurança máxima, mas sim uma grande melhoria em relação à norma que é fácil de implantar e usar. Diz Koh, "Trocamos perfeição - ponta a ponta, criptografia controlada pelo remetente - para um aumento significativo na usabilidade e na capacidade de proteger o que agora sabemos que é o verdadeiro problema para a maioria das pessoas. "

p A equipe está refinando o E3 e tornando suas implementações - os aplicativos reais - ainda mais fáceis de usar, experimentando novas abordagens aplicáveis ​​ao usuário moderno. Eles planejam disponibilizá-lo em um futuro próximo para usuários do Android como um aplicativo disponível gratuitamente na Google Play Store. Uma versão iOS também está em obras.