¿Qué expectativa de privacidad existe con los proveedores de EE. UU. con el cierre de LavaBit y SilentCircle?

19

Lavabit aloja un Servicio de mensajería segura que se cerró recientemente. Del mismo modo, SilentCircle ha hecho lo mismo de manera preventiva con su servicio basado en correo electrónico.

Parece que la justificación de estas acciones es evitar que el gobierno de los EE. UU. envíe citaciones, garantías y cartas de seguridad relacionadas con este servicio.

  • ¿Por qué el correo electrónico es el único aspecto que preocupa a la mayoría de los proveedores? Existen otros métodos de comunicación iguales (teléfono cifrado, sms, ftp, etc.) pero SilentCircle no parece preocuparse por apagarlos bajo la misma premisa.

  • ¿Hay algún proveedor de certificados, como Verisign, que emita certificados S / MIME susceptibles de citación del gobierno? ¿Qué pasa con las empresas no estadounidenses o las emisiones privadas de S / MIME?

  • ¿Qué expectativa de privacidad debo tener al hacer negocios con cualquier proveedor de EE. UU.? ¿Hay alguna expectativa de privacidad? ¿Mi estatus de ciudadano es importante o si estoy en los Estados Unidos o no?

  • ¿Hay algún aspecto conocido de esto que se superponga (o no se superponga explícitamente) con el programa de vigilancia PRISM NSA?

pregunta random65537 09.08.2013 - 14:24
fuente

3 respuestas

11

Según la información disponible, parece que el escenario más probable es que el gobierno de los EE. UU. desea que estas compañías instalen tecnología de puerta trasera en sus sistemas y brinden a las agencias gubernamentales acceso a toda la información que fluye a través de ellos; a estas compañías se les ordenaría que no divulguen la puerta trasera ni la participación del gobierno.

Esto parece haber ocurrido en 2007 con Hushmail. Ante tal orden, la única opción de la compañía es cumplir en silencio o dejar de existir. Tenga en cuenta que Hushmail es una compañía canadiense, pero que, sin embargo, se vio obligada a cumplir con la orden de los EE. UU.

¿Por qué el correo electrónico es el único aspecto que preocupa a la mayoría de los proveedores?

Esto es lo que dijo Silent Circle:

  

Hay demasiadas filtraciones de información y metadatos intrínsecamente en los protocolos de correo electrónico. El correo electrónico tal como lo conocemos con SMTP, POP3 e IMAP no puede ser seguro ... Y, sin embargo, muchas personas lo querían ... Sin embargo, hemos reconsiderado esta posición. Hemos estado pensando en esto por algún tiempo, si fue una buena idea. Ayer, otro proveedor de correo electrónico seguro, Lavabit, cerró su sistema a menos que "sean cómplices de crímenes contra el pueblo estadounidense". Vemos la escritura en la pared, y hemos decidido que es mejor para nosotros cerrar Silent Mail. No hemos recibido citaciones , garantías, cartas de seguridad o cualquier otra cosa por parte de cualquier gobierno, y es por eso que estamos actuando ahora.

En otras palabras, no pensaron que ofrecer la ilusión de correo electrónico seguro fuera particularmente útil en primer lugar porque la pérdida de datos significativa es inevitable en los protocolos asociados.

Pero lo que es más importante, una vez que recibe una orden del gobierno, ya no tiene otra opción. En ese momento, es demasiado tarde para dejar de ofrecer su servicio de correo electrónico, ya que el pedido le prohibirá hacerlo. En ese momento, usted debe continuar ofreciendo su servicio y pretender que no se ha comprometido. De lo contrario, debe interrumpir todas las operaciones.

Silent Circle espera que al cerrar su servicio de correo electrónico, sean menos un objetivo para las agencias de espionaje y evitarán que se les ordene comprometer sus servicios.

¿Hay algún proveedor de certificados, como Verisign, que emita certificados S / MIME susceptibles de citación del gobierno?

Sí.

¿Qué pasa con las empresas no estadounidenses?

En muchos casos, sí. Hay algunas naciones donde no se puede hacer cumplir una orden de los EE. UU., Aunque es probable que tengan su propia interferencia gubernamental con la que lidiar.

¿Qué expectativa de privacidad debo tener al hacer negocios con cualquier proveedor de EE. UU.?

No mucho. Aunque para ser justos, otros gobiernos también hacen cosas similares. Lo que significa de manera realista, no tienes ninguna expectativa de privacidad que no puedas probar por ti mismo.

¿Mi estatus de ciudadano es importante o si estoy en los Estados Unidos o no?

La NSA afirma explícitamente que todas las comunicaciones en cualquier parte del mundo que involucren al menos a un ciudadano que no sea de los EE. UU. se pueden recopilar sin causa. También afirman que la información que no pueden probar involucra solo a ciudadanos de los Estados Unidos, también se recopilará por si acaso. La NSA y el FBI también tienen poder ilimitado para obligar a los residentes de los EE. UU. A cumplir con casi cualquier orden de vigilancia si pueden obtener la aprobación de un tribunal. Ese poder se extiende en gran medida a cualquier otra nación con la que tengan un tratado de asistencia legal, que cubre mucho terreno.

    
respondido por el tylerl 09.08.2013 - 22:51
fuente
6

Hay varios problemas con el correo electrónico:

  1. Interacción con otros usuarios de correo electrónico sin OpenPGP. Puede rechazarlos por completo o hacer que el servidor receptor realice el cifrado. Ambos son problemáticos.

    El círculo silencioso eligió este último:

      

    La gente espera que el correo electrónico funcione de manera universal, por lo que tuvimos que aceptar correo no cifrado de clientes externos, que luego ciframos para nuestros usuarios. Esa es una salida importante de nuestros otros servicios.

  2. OpenPGP, como se usa comúnmente, no es un secreto de reenvío.

  3. El correo electrónico se almacena y reenvía, no es una conexión directa entre el remitente y el receptor.

    Esto hace que el secreto hacia adelante sea mucho más difícil de implementar, ya que no puede simplemente intercambiar una clave efímera al inicio de la conexión. También obliga al servidor a almacenar texto cifrado, lo que el círculo silencioso se resiste a hacer.

      

    Ni siquiera nos gusta la idea de almacenar texto cifrado (y, obviamente, ejecutar un servidor de correo significa que terminará almacenando una cantidad justa si lo hace). No puedes ser obligado a renunciar a lo que no tienes.

  4. Los encabezados de correo electrónico contienen información importante, pero no están cifrados de forma predeterminada.

Las llamadas telefónicas, TLS u OTR tienen conexiones directas de extremo a extremo donde pueden intercambiar fácilmente las claves efímeras. SMS, por otro lado, parece casi tan problemático como el correo electrónico.

    
respondido por el CodesInChaos 09.08.2013 - 14:40
fuente
3

1) FTP es un poco extraño que aún esté listo, pero el teléfono y los SMS normalmente no requieren mantener registros del contenido, por lo que hay menos información que se puede citar. También es el menos fácil para ellos cifrar de tal manera que la información esté protegida de forma confiable de sus requisitos legales para cooperar en cualquier correo electrónico inseguro que se les envíe.

2) El gobierno podría posiblemente obligar a una CA a emitir un certificado firmado para decir que es un tercero, pero Verisign nunca se ocupa de la clave privada en el caso de una solicitud de firma de certificado y debe descartar la clave privada después de la entrega en Cualquiera que generen. Debido a esto, no tienen una clave privada para compartir, por lo que si bien el gobierno podría hacer un certificado que dice ser usted, no podrían acceder a un certificado que había obtenido y usted no podría hacerlo. Acceda a la información intercambiada utilizando el certificado falso del gobierno, en caso de que lo hayan hecho.

3) Espere que la compañía haga lo que se les exige legalmente. Cumplirán con el gobierno o serán clausurados. Si usa sus propios niveles de protección, entonces es responsable de la seguridad de sus datos. Puede ver y ver si su sistema está configurado para limitar a lo que realmente pueden acceder, pero eso variaría según el servicio.

4) No estoy seguro de lo que quiere decir, pero si están cerrando los servicios por temor a que se les solicite / obliguen a cooperar con un programa como PRISM, entonces claramente tiene un impacto en su razonamiento, pero Realmente no estoy seguro de lo que quieres decir con esta parte de la pregunta.

Actualización: SilentCircle tiene una blog sobre por qué tomaron la decisión.

    
respondido por el AJ Henderson 09.08.2013 - 18:08
fuente

Lea otras preguntas en las etiquetas