Jan 20

Perfect Forward Secrecy (PFS) ist in aller Munde seit den Enthüllungen durch Edward Snowden. Wir wissen nun definitiv dass die NSA alle Daten mitschneidet die sie in die Finger kriegt, um sie eventuell in einigen Jahren, wenn die Computer schnell genug sind oder Quantencomputer verfügbar sind, komplett zu entschlüsseln, die ganze Vergangenheit der letzten X Jahre.

Damit genau das nicht möglich ist gibt es Verschlüsselungsstandards (Ciphers) die das komplette nachträgliche Entschlüsseln mit nur einem Schlüssel unmöglich machen. Jede einzelne Verbindung muss dann geknackt werden, was natürlich millionenfach mehr Arbeit bedeutet. Doch welcher E-Mail-Anbieter bietet solche Verschlüsselungen mit Perfect Forward Secrecy?

Ich habe ein kleines Testscript geschrieben und es bei 14 E-Mail-Anbietern laufen lassen. Alle Ciphers die mit DH (Diffie-Hellman-Schlüsselaustausch) oder ECDH (Elliptic Curve Diffie-Hellman) beginnen sind PFS-fähig.

AnbieterIMAP DienstPOP3 DienstSMTP Dienst
mail.deECDHE-RSA-RC4-SHAECDHE-RSA-RC4-SHAECDHE-RSA-AES256-SHA
GoogleMailECDHE-RSA-RC4-SHAECDHE-RSA-RC4-SHAECDHE-RSA-RC4-SHA
freenet.deDHE-RSA-AES256-SHADHE-RSA-AES256-SHADHE-RSA-AES256-SHA
AOLDHE-RSA-AES256-SHADHE-RSA-AES256-SHADHE-RSA-AES256-SHA
ok.deDHE-RSA-AES256-SHADHE-RSA-AES256-SHADHE-RSA-AES256-SHA
ArcorAES256-SHAAES256-SHADHE-RSA-AES256-SHA
GMXAES256-SHAAES256-SHAECDHE-RSA-AES256-SHA
web.deAES256-SHAAES256-SHAECDHE-RSA-AES256-SHA
T-OnlineAES256-SHADES-CBC3-SHADES-CBC3-SHA
1und1AES256-SHAAES256-SHAAES256-SHA
emailn.deAES256-SHAAES256-SHAAES256-SHA
outlook.comAES128-SHARC4-MD5RC4-MD5
iCloudRC4-MD5-- kein POP3 Support --RC4-MD5
YahooRC4-SHARC4-SHARC4-SHA

Ich habe die PFS-fähigen Dienste grün markiert und nach Anzahl sortiert. Die elliptischen Kurven sind dabei neuer und noch etwas sicherer, deshalb stehen sie ganz oben.

Nur ein Drittel kann sich als sicher bezeichnen. Besonders enttäuschend sind natürlich die großen deutschen Anbieter GMX, web.de und T-Online, die mehr als 75% des deutschen Marktes abdecken. Wie auch bereits in anderen Sicherheitstests hier im Blog zu sehen kümmern sie sich nicht sonderlich engagiert um maximale Sicherheit.

Technisches Detail: Ich habe die SSL-Ports untersucht wo dies möglich ist. Nur wenn dies nicht möglich war habe ich die STARTTLS-Verbindungen untersucht.

Tagged with:
Jan 03

Heute möchte ich den 4,5 Jahre alten Überblick über die Mail-Anhang-Größe aktualisieren. Ich bin heute wieder darüber gestolpert dass es Anbieter gibt die ein Limit von 20 MB haben, und das ist sehr ärgerlich im Jahre 2014, denn heutzutage ist es eigentlich kein Problem mehr solche E-Mails zu versenden. Hochauflösende Digitalkamera-Bilder oder Präsentationen sind schnell mal größer als 10 MB, und dann möchte man eventuell auch mal 2 in einer Mail versenden.

Speicherplatz wird immer günstiger, die Internetleitungen werden schneller, sodass es kaum Gründe gibt die Grenze künstlich niedrig zu halten, außer man möchte die kostenlosen FreeMail-Kunden in die kostenpflichtigen Angebote locken. Dann sollte dort aber auch ein großzügiges Limit gelten.

Hier die aktuellen Zahlen, Stand Januar 2014:

Kostenlose FreeMail Anbieter:

AnbieterProduktAnhang Größe EmpfangAnhang Größe VersandQuelle
Freenetstart100 MB60 MBQuelle
mail.deFreeMail60 MB60 MBQuelle
T-OnlineFreeMail50 MB32 MBQuelle
ArcorPIA basic35 MB35 MBQuelle
GoogleGmail25 MB25 MBQuelle
YahooFreeMail25 MB25 MBQuelle
AOLMail25 MB25 MBQuelle
MicrosoftOutlook.com25 MB25 MBQuelle
ok.deFreemail20 MB20 MBQuelle
GMXFreeMail20 MB20 MBQuelle
web.deFree20 MB20 MBQuelle
eclipso.deFreeMail20 MB20 MBQuelle
DirectBOXfree10 MB10 MBQuelle

Kostenpflichtige Premium Anbieter:

AnbieterProduktAnhang Größe EmpfangAnhang Größe VersandQuelle
mail.dePowerMail100 MB100 MBQuelle
mail.deProMail100 MB100 MBQuelle
mail.dePlusMail100 MB100 MBQuelle
GMXTopMail100 MB100 MBQuelle
ok.dePremium100 MB100 MBQuelle
Freenetsafe100 MB60 MBQuelle
Freenetclassic100 MB60 MBQuelle
web.deClub50 MB50 MBQuelle
GMXProMail50 MB50 MBQuelle
PosteoPostfach50 MB50 MBQuelle
mailbox.orgPostfach40 MB40 MBQuelle
T-OnlineCloud50 MB32 MBQuelle
ArcorPIA plus35 MB35 MBQuelle
ArcorPIA special35 MB35 MBQuelle
DirectBOXpro30 MB30 MBQuelle
eclipso.dePremium30 MB30 MBQuelle
DirectBOXeco20 MB20 MBQuelle

Ich habe alles über 60 MB grün markiert, und alles unter 20 MB rot da ich denke dass das nicht mehr zeitgemäß ist und schonmal knapp werden kann.

E-Mail Anhänge werden nach wie vor häufig genutzt. Viele Anbieter bieten zwar auch die Möglichkeit große Dateien nur per Link zu versenden, sodass der Empfänger dann die Datei von einem Webserver herunterladen muss. Nachteile davon sind jedoch dass die Datei eventuell gelöscht wird und einige Wochen, Monate oder Jahre später nicht mehr verfügbar sind. Oder aber man kann sie nicht durchsuchen oder sie auch nutzen wenn mal keine Internetverbindung besteht. Auch ist diese Link-Versende-Funktionalität nur aus dem jeweiligen Webmailer des Anbieters nutzbar, wer Outlook oder Thunderbird nutzt wird Dateien nach wie vor als Anhänge versenden.

Auch wer selbst Dateien immer erst beim Anbieter hochlädt und nur den Link versendet, möchte trotzdem von anderen Leuten, die Dateien per Anhang versenden, diese empfangen können. Auf eine möglichst hohe Anhanggröße sollte also geachtet werden.

Tagged with:
Nov 12

Aus aktuellem Anlass wurden einige Anbieter geprüft, wie diese mit der IP-Adresse des Versenders verfahren. Werden diese anonymisiert oder in Klarform in den erweiterten Headerinformationen gespeichert?

Wer gelegentlich E-Mails an Mailinglisten schreibt oder an Personen, die nicht unbedingt wissen sollen aus welcher Stadt/Gegend man kommt, für den ist es nicht uninteressant, wie die großen E-Mail-Provider mit der IP-Adresse des Computers umgehen von der die E-Mails versendet werden.

Verräterisch können dabei die E-Mail-Header (deutsch: Kopfzeilen) sein, in denen viele E-Mail-Anbieter die IP-Adresse vermerken, anhand der Empfänger sehen, aus welcher Gegend/ Stadt die E-Mail geschrieben wurde. Eventuell können noch weitere Schlüsse aus diesem Header gezogen werden. Beispielsweise schreiben einige Anbieter sogar die interne Netzwerkadresse oder den Computernamen in die Header !

MailHops BeispielEs geht um die sogenannten „Received-Header“, die in einer E-Mail anzeigen von welchem Ort und wohin diese transportiert wurde. Und zu diesem Transportweg gehört bei einigen Anbietern auch der einliefernde Computer, der die E-Mail verfasst und abschickt. Aus Datenschutzgründen möchte man natürlich nicht, dass die Empfänger wissen, von welchem Ort die E-Mail versendet wurde, mit welchem Gerät die E-Mail geschrieben wurde und wie das interne Netzwerk aussieht.

Gerade im geschäftlichen E-Mail-Verkehr kann eine nicht vorhandene Anonymisierung der IP-Adresse zu Unannehmlichkeiten führen. Ein Beispiel:

  1. Der Firmensitz der eigenen Firma ist in Deutschland. Die Geschäftskontakte (Lieferanten, Kunden etc.) sind ebenfalls alle in Deutschland ansässig. Die Geschäfte lassen sich aufgrund des Internetzeitalters von der ganzen Welt aus steuern, so daß man eine zeitlang seine Geschäfte aus dem Ausland, zum Beispiel vom Zweitwohnsitz aus regeln möchte. Dieses sollten Geschäftspartner und Kunden nicht wissen, so daß die Nutzung eines E-Mail Providers von Vorteil wäre, der die sensiblen Daten, wie IP-Adresse und  den Computernamen etc. nicht in den Received-Headern abspeichert. Nutzt man den falschen E-Mail Provider kann im Zweifel der Standort des Senders vom Empfänger herausgefunden werden. Lieferanten könnten aufgrund der ausländischen IP/des vermeintlich ausländischen Firmensitzes  misstrauisch werden, Bürgschaften aus Sicherheitsgründen verlangen oder im schlimmsten Fall den Liefervertrag aus Vorsicht kündigen…

Anbei die Übersicht, getrennt nach Anbietern und jeweils der Angabe beim Versand über den Webmaildienst oder einem externes Programm (wie z.B. Thunderbird, Apple Mail oder Outlook):

Versand per SMTPVersand per Webmailer
mail.dekeine IP enthaltenkeine IP enthalten
GMailinterne IP und öffentliche IPkeine IP enthalten
outlook.cominterne IP und öffentliche IPkeine IP enthalten
web.deinterne IP und öffentliche IPöffentliche IP
GMXinterne IP und öffentliche IPöffentliche IP
Yahoointerne IP und öffentliche IPöffentliche IP
Freenetinterne IP und öffentliche IPöffentliche IP
T-Onlineinterne IP und öffentliche IPöffentliche IP
Arcorinterne IP und öffentliche IPöffentliche IP

Alle Anbieter, bis auf den recht jungen und neuen E-Mail Provider „mail.de“, verraten die Absende-IP-Adresse, wenn eine E-Mail mit einem E-Mail-Client versendet wird, ebenso wie sogar der Computername bzw. die interne IP-Adresse des Computers festgehalten. Es hängt vom E-Mail-Client ab, ob die interne IP-Adresse oder gar der Computernamen (Bernd-PC) auftaucht.

Man sollte sich sicher sein, dass der eigene Anbieter nicht diese sensiblen Daten mit in die E-Mails schreibt, die man verschickt. Zu empfehlen ist also aktuell nur „mail.de“. Oder man nutzt Anonymisierungsdienste wie „Tor“ oder „VPN-Dienste“, was für viele Anwender aber zu kompliziert bzw. zu teuer ist.

Zum besseren nachvollziehen wurden die Textdateien mit Headerbeispielen angehängt. Am besten ist es jedoch selbst auszuprobieren, wie der eigenen E-Mail Provider verfährt: Einfach eine E-Mail versenden und beim Empfänger in die Kopfzeilen schauen! Hilfreich ist auch das bereits hier vorgestellte Thunderbird-Addon MailHops, das grafisch den Weg einer E-Mail anzeigt.

mail.de Arcor gmail GMX outlook.com T-Online web.de Yahoo Freenet

 

Tagged with:
Nov 12

In jeder E-Mail stehen Informationen drin welchen Weg diese E-Mail zurückgelegt hat, jeder Transportschritt wird in den E-Mail-Headern (Kopfzeilen) festgehalten. Dazu gehört aber nicht nur der Transport von dem E-Mail-Provider des Absenders zum E-Mail-Provider des Empfängers, sondern auch die Einlieferung des Absenders von seinem Computer zum Anbieter.

Genau an dieser Information kann man häufig erkennen wo sich der Absender gerade befindet. Aus welchem Land kommt der Absender, meistens bekommt man auch noch Informationen zu Stadt. Das kann verräterisch sein wenn man der Freundin schreibt man sei in München geschäftlich unterwegs, befindet sich aber in Wirklichkeit in Köln.

Es ist aufwändig diese Informationen aus den E-Mails zu extrahieren und herauszufinden wo der Absender denn nun herkommt, denn die Kopfzeilen sind schwer zu lesen, und dann muss man ja auch noch die gefundene IP-Adresse in einen Städtenamen umwandeln. Doch es gibt Hilfe, zumindest für Thunderbird: Das Addon Mail-Hops

Es ist schnell installiert: Extras -> Addons -> Suchen nach „MailHops“ -> Installieren -> Thunderbird neustarten

Thunderbird Addons

mailhops_suche

Empfehlenswert ist es danach noch schnell in den Einstellungen von Meilen auf Kilometer umustellen:

MailHops Einstellungen

Nach dem Thunderbird Neustart erhält man bei jeder E-Mail Informationen über den Ort des Absenders sowie über den kompletten Weg, den die E-Mail genommen hat, inklusive einer grafischen Übersicht. Hier am Beispiel einer offensichtlichen Spam-Mail:

MailHops Spammail

Man kann sehen dass die E-Mail aus Lagos in Nigeria stammt und auf der Weltkarte kann man den kompletten Weg der E-Mail sehen:

MailHops Karte

Es ist äußerst interessant sich diese Wege anzuschauen.

Tagged with:
Okt 05

Das Internet ist im Umbruch. Da die seit 30 Jahren eingesetzten IPv4-Internet-Adressen alle vergeben sind ist gerade der Prozess im Gange, Dienste und Internetanschlüssel auf IPv6 umzurüsten. Doch welcher E-Mail-Anbieter bietet bereits das neue Protokoll, welcher Anbieter geht mit der Zeit und ist technisch gesehen vorn mit dabei? Ich habe einige Prüfungen gemacht und dabei ist folgende Tabelle herausgekommen:

AnbieterAnzahl MX-Server IPv6-fähigWebmail-URLWebmail IPv6-fähigIMAPPOP3SMTP
Gmail5/5mail.google.com++++
mail.de2/2my.mail.de++++
Freenet1/1webmail.freenet.de-+++
Strato2/2communicator.strato.com-+++
T-Online0/4email.t-online.de----
Arcor0/1www.arcor.de----
emailn.de0/1www.emailn.de----
1und10/2webmailcluster.1und1.de----
Kabelmail0/1sso.kabelmail.de----
outlook.com / Hotmail0/4dub124.mail.live.com----
iCloud0/6www.icloud.com---
Yahoo0/3mail.yahoo.com----
GMX0/2navigator.gmx.net----
web.de0/2navigator.web.de----
AOL0/4mail.aol.com----
all-inkl0/1webmail.all-inkl.com----
ok.de0/5web1.ok.de----
mail.com0/2service.mail.com----

Wie hier schön zu sehen ist: Außer Google und mail.de bietet keiner bisher eine durchgängige IPv6-Unterstützung an. Bei einigen, wie beispielsweise T-Online oder Yahoo, sind die Portalseiten per IPv6 verfügbar, aber die E-Mail-Server oder der Webmail-Dienst nicht.

Die IPv6 Nutzung steigt stark an, in den letzten 2 Jahren hat sie sich weltweit um 600% erhöht (von 0.3% auf 1,8%), in Deutschland sind es aktuell 4,7% wenn man die Zahlen von Google aus der Statistik nimmt. Es gibt weltweit also bereits viele Millionen Internetanschlüsse die das neue IPv6 beherrschen, die Anbieter hängen hinterher. Es ist also Zeit hier nicht den Anschluss zu verpassen und das neue Protokoll zu fördern damit die Übergangszeit (IPv4 und IPv6 werden aktuell parallel betrieben) möglichst kurz wird, Google und mail.de zeigen wo es lang geht. IPv6 ist die Zukunft des Internets!

Hier gibt es die .zip-Datei mit den Tests und Ergebnissen als Download.

Tagged with:
preload preload preload