e-mail account beveiligen met sms authenticatie

[GlobalHawk]

Dag allemaal,

Welke (betaalde) e-maildienst (voor privé-gebruik) of manier van werken zouden jullie aanraden als je een betere beveiliging van bepaald e-mailverkeer en de inhoud daarvan wilt bereiken? En dan met name om ervoor te zorgen dat gevoelige juridische/financiele documenten optimaal beveiligd zijn.

Bij sommige overheidsdiensten (DigiD) wordt bijv. om een sms-code gevraagd bij het inloggen. Bij welke e-maildienst is er ook zoiets mogelijk? En bij welke e-maildienst is het mogelijk om in te stellen dat enkel van bepaalde vooraf ingestelde IP-adressen/unieke computer-ID's ingelogd mag worden?

En is het mogelijk om hoofdzakelijk een gratis e-maildienst te blijven gebruiken voor je alledaagse e-mails die altijd op standby staat en ingelicht te worden (middels een notificatie) als er op het betaalde, optimaal beveilde e-mailaccount een nieuwe e-mail binnenkomt? Zonder dat de inhoud van dat mogelijk gevoelige bericht dan terechtkomt in het gratis e-mail account, enkel een notificatie dus. Een soort van doorstuur-systeem, zonder de inhoud.

Wie kan mij aan een aantal mogelijkheden helpen?

[Tracking Cookie]

Je post is behoorlijk vaag, wil je nou een betaalde of een gratis variant? Wat heb je zelf al gevonden?

Gmail, voor zover ik weet, de enige die two-factor authenticatie aanbied.

Met Gmail zal je sessie versleuteld worden, en met 2-step verification kan je je mobiel gebruiken als extra inlogapparaat. Je download dan de Google Authenticator app welke elke x seconden een nieuwe code genereerd waarmee je in kan loggen op je Gmail account. Je zal nog wel altijd je wachtwoord moeten invullen. Het kan volgensmij ook zonder de Google Authenticator app, dan wordt er een sms verstuurd naar jouw mobiel.

Of de e-mails versleuteld op de servers van Google wordt opgeslagen; dat kan ik niet met zekerheid zeggen, maar ik verwacht van niet.
In Gmail kan je wel terugkijken wie er op je account is ingelogd, maar het is niet mogelijk om een IP/Computer whitelist maken.
Maargoed het is aan jou of je een stuk privacy in wilt leveren voor goede beveiliging.

Dat doorstuur systeem naar een ander e-mailadres zonder inhoud, geen idee of dat uberhaupt bestaat.

[ Voor 6% gewijzigd door Tracking Cookie op 10-11-2012 12:09 ]

[GlobalHawk]

Bedankt voor je reactie. Ik zal het wat duidelijker omschrijven; ik zoek een e-mail dienst die ik voornamelijk wil gebruiken om gevoelige e-mails in te ontvangen en te versturen. Voor het dagelijkse gebruik wil ik graag gewoon gebruik blijven maken van een gratis e-maildienst zoals gmail of hotmail, vanwege de gebruiksvriendelijkheid en omdat ik dat e-mailadres al heel lang in gebruik heb en het bekend is bij al m'n contacten.

Of deze speciale, beter beveiligde variant nu betaald is of niet, dat maakt me weinig uit. Het mag best wat kosten, dat valt in het niet bij de voordelen die het zou kunnen brengen. De eisen voor zo'n account zijn bijv. sms-authenticatie, versleutelde inhoud berichten, instelbaar ip-adres of uniek computer ID, en/of combinatie daarvan. Ook een waarschuwingssysteem (notificatie) wanneer er op dat account een nieuw e-mailbericht binnenkomt zou welkom zijn.

De tip van de Google Authenticator is een goede, dat ga ik eens bekijken. Mogelijk is dat al voldoende. Als iemand een nog betere optie weet hoor ik dat graag....

[F_J_K]

Wat bedoel je met beveiligen: wil je dat jij en de ontvanger / verzender de enige zijn die het kunnen lezen?

Dan is niet van belang wat voor (web)mailclient je gebruikt en wie kan inloggen op die webmailomgeving. Immers is een e-mail de hele route van/naar jouw mailbox leesbaar voor "iedereen" (lees: de servers, en natuurlijk iedereen die de mailbox van de derde verzender/ontvanger kan inzien). Of je nu SMS gebruikt of niet.

Je wilt "gewoon" encrypted mail gebruiken, bijv. met GPG. Ik zou daarbij ook een clientside mail app gebruiken. Dan moet je natuurlijk wel iedereen met wie je mailt ook encryptie/decryptietools laten gebruiken. Als dat geen optie is, dan is je autenticatie IMHO al snel overkill: een heel groot dik slot op een voordeur terwijl de achterdeur zo is open te duwen.

[GlobalHawk]

Niet helemaal, het gaat er eigenlijk vooral om dat een kwaadwillende niet het complete jarenlange archief van gevoelige e-mails kan inzien, mocht het wachtwoord ooit gekraakt of onderschept worden met bijv. een keylogger/malware. Sms-authenticatie en/of uniek IP/computer-ID zou dit tegengaan. Bij de verzending van een relatie naar mij is de reguliere beveiliging voldoende. De al heel kleine kans dat een enkel bericht onderweg onderschept wordt neem ik voor lief, het zou geen ramp betekenen. Ik kan relaties ook niet verplichten tot het gebruik van encryptie o.i.d. Dat zou het te ingewikkeld maken, gezien de hoeveelheid relaties. Het gaat om mijn inbox/outbox/concepten waarvan de toegang en inhoud beter beschermd moet zijn. De mogelijkheid om het archief te encrypten zou helemaal ideeal zijn.

Je zou zeggen, print het dan uit of backup dat archief in een bestand en verwijder deze mails daarna, maar ik wil het later juist kunnen doorzoeken middels zoektermen.

Ik zou een eigen mailserver kunnen opzetten, maar daar heb ik geen verstand van en daardoor zou het ook makkelijk gekraakt kunnen worden.

Ik heb deze optie gevonden: http://www.verimail.nl/ en de voorbeelden van communicatie die daar worden gegeven zijn toepasbaar op mijn vraagstelling. Het lijkt op wat ik zoek, maar nog niet helemaal. Wat vinden jullie hiervan? Iemand die meer van dit soort bedrijven weet? Dan kan ik er een aantal vergelijken. Mag ook Engelstalig zijn. Iets wat lijkt op bankmail, met dezelfde soort van inlogmethode.

@Tracking Cookie
Ik heb nu de two-step authenticatie (incl. vertrouwde computer) ingesteld, maar nu is nog steeds alle Gmail inhoud te lezen via de Gmail app als ik mijn telefoon even leen aan iemand om bijv. foto's te laten zien, of om iemand een spelletje te laten spelen. De Gmail app valt ook niet uit te loggen. Op welke manier kun je de Gmail app en de Playstore app met een extra wachtwoord beveiligen? Er zijn bepaalde 3rd party-apps voor te vinden, maar die vragen bij installatie om een hele lijst machtigingen waar ik ook niet zo blij van wordt. Is er geen simpelere manier voor te bedenken? Een app password protector van Google zelf bijv?

Daarnaast heb ik er moeite mee dat Google (filtert ze ook nog op trefwoorden voor ads) nog steeds inzicht heeft in gevoelige documenten, dus een specialistisch, stand-alone account lijkt me nog steeds de beste oplossing. Met two-step authenticatie moet ik zeggen dat het behoorlijk waterdicht lijkt en een stuk beter dan hotmail, enige minpunt is dus dat Google nog altijd je berichten filtert voor commercieel gebruik.

[ Voor 20% gewijzigd door GlobalHawk op 10-11-2012 21:02 ]

[Tha_Flash]

Misschien is hushmail een optie ?

By contrast, Hushmail keeps your message safe, private and secure – like a letter in a sealed envelope.

[GlobalHawk]

Aardige optie, maar een simpele keylogger haalt de beveiliging ook bij Hushmail onderuit, omdat er enkel met een e-mailadres/wachtwoord combinatie gewerkt wordt. Vertrouwde computers/ip-adressen zijn niet in te stellen, evenals extra authenticatie middels een sms/app-code. Ook lijkt het niet mogelijk grote hoeveelheden e-mails te migreren naar Hushmail.

Notificatie van een nieuwe bericht (zonder inhoudsindicatie) naar je reguliere e-mailadres is er wel mogelijk, dus dat is een positief punt.

[ Voor 3% gewijzigd door GlobalHawk op 10-11-2012 21:08 ]

[begintmeta]

Zou je behoefte hebben aan een soort De-Mail?

Als je de boel echt veilig wilt hebben kan je het beste alles in eigen hand nemen (of laten nemen), als het je vooral erom gaat dat toegang via een web-interfaces wat veiliger is door two factor authentication zou GMail of tegenwoordig ook Yahoo inderdaad wel een optie kunnen zijn, maar er zijn ook diverse aanbieders van betaalde services voor particulieren (een korte google-actie leverde voor mij in ieder geval wel wat op).

[ Voor 7% gewijzigd door begintmeta op 11-11-2012 12:37 ]

[GlobalHawk]

Ik denk dat ik de ideale maildienst eindelijk gevonden heb (na lang zoeken): Fastmail (van Opera)

Zeer uitgebreid als het om instellingen gaat. Allerlei alternative inlogmethodes zijn in te stellen, two-factor authentication mogelijk met een Yubikey (USB key generator), maar je kunt ook lijsten met one-time passwords uitprinten, sms-based authenticatie, etc. Enig nadeel is dat je dan nog altijd met het masterwachtwoord kunt inloggen, maar die moet je dan maar lang en moeilijk maken en vervolgens achter slot en grendel bewaren en enkel nog gebruiken als je Yubikey kwijt/kapot is. Met deze manier van werken maken keyloggers geen kans.

Je kunt regels voor binnenkomende berichten definieren, zoals een notificatie (zonder inhoudsindicatie) doorsturen naar een bepaald e-mailadres of bijv. alleen een summiere samenvatting. Zo kun je je zakelijke/gevoelige e-mailaccount strikt gescheiden houden van je normale e-mailaccount en wordt je toch meteen op de hoogte gebracht als er een nieuw bericht binnenkomt.
Het account is ook compleet te verbergen door met een aliasadres te werken i.p.v. je originele inlogadres. Zo weet niemand je inlognaam bij Fastmail (enkel je alias waarmee je verzend en ontvangt is dan bekend in de buitenwereld) en wordt het helemaal lastig, zo niet onmogelijk om in te breken. Dit alias adres kun je dan weer compleet personaliseren en instellen als standaard mailadres. Het originele e-mailadres (inlog) kun je later ook veranderen. Je kunt kiezen uit een hele lijst domeinnamen zoals fastmail.fm, maar ook fastmail.nl, fastmail.es, 123mail.org, proinbox.com, enz, enz.
Als je wil kun je ook nog je eigen domein implementeren, voor mij niet nodig.
Daarnaast is het ook nog mogelijk POP en IMAP toegang te blokkeren.
Verder wordt er een log (van 2 weken) bijgehouden van elke login of loginpoging, incl. ip-adres waarvandaan. Mocht je dus ooit twijfelen of ooit iemand heeft zitten rommelen aan je account, dan kun je dat achteraf controleren. Dit log is niet te verwijderen, dankzij veiligheidsredenen uiteraard.

Al met al ziet het er dus heel compleet uit en de kosten vallen mee (al vanaf $4,95 per jaar, 2 maanden gratis uitproberen). Meer hier ervaring met Fastmail?

EDIT: inmiddels nog een optie gevonden: LuxSci, maar dat gaat minimaal $150 per jaar kosten. Dat is helemaal professioneel, je kunt daar zelfs instellen dat je persoonlijk opgebeld wordt voordat je kunt inloggen (phone call verify), in combinatie met biometrics en secure ID cards. E-mailverkeer is er standaard encrypted met SecureLine/TLS.

[ Voor 19% gewijzigd door GlobalHawk op 11-11-2012 15:45 ]

[LuckY]

En waar staat uiteindelijk je data? En hoe zit dat met de wetgeving, dat lijkt me wel belangrijk als je met belangrijke gegevens werkt. Het nadeel van niet in eigen beheer hebben is dat je zelf niet naar de security kan kijken.

Bij gmail kan je voor webmail ook 2factor instellen, maar dat werkt dan niet voor POP/IMAP(maar die twee moet je explicitiet aanzetten iirc.)

Ik zou zoals F_J_K suggereerde ook kijken naar iets van GPG, zodat de emails lokaal ook encrypted staan.

[CH4OS]

GlobalHawk schreef op zondag 11 november 2012 @ 14:33:
Daarnaast is het ook nog mogelijk POP en IMAP toegang te blokkeren.

Dan zou ik dat wel doen, anders is je e-mail alsnog niet beveiligd tegen aftappers, wat gezien je vraagstelling wel wenselijk is. Vervolgens (bijvoorbeeld) een GPG encryptie erover en niemand die jouw e-mail kan lezen, tenzij jouw e-mail client verkeerd ingesteld staat.

Heb echter wel een vraag; als de gegevens die verstuurd worden zo gevoelig (kunnen) zijn, waarom dan e-mail ervoor willen gebruiken? Uiteindelijk (in the long run) is alles wat digitaal is te kraken.

[ Voor 36% gewijzigd door CH4OS op 11-11-2012 18:07 ]

[GlobalHawk]

@LuckY:
Ik ga eens bekijken of ik dat GPG kan implementeren in FM, heb er verder geen kaas van gegeten.

@CptChaos:
Zo gevoelig zijn deze e-mails nu ook weer niet, het zijn geen staatsgeheimen ofzo. Maar ik heb er gewoon geen goed gevoel bij om bepaalde zakelijke/juridische conversaties te voeren via een simpel, gratis e-mailaccount. Dat doe ik liever via een wat professioneler account en dan pak ik het graag meteen goed aan d.m.v. bijv. 2-step authentication, logbestanden en als het eenvoudig kan ook encrypted mails versturen. Het staat ook meteen wat netter, ook al is dat voor mij niet zo heel erg van belang gezien mijn voornaamste rol van klant/client.

Alles valt te kraken, post kan ook kwijtraken en is ook open te maken. En tegenwoordig is e-mail niet meer weg te denken in de zakelijke wereld. Maar dat wil nog niet zeggen dat het niet niet wat lastiger gemaakt mag worden. De overheid heeft ook niet voor niets DigiD in het leven geroepen, het zou wat zijn als al dat soort communicatie via hotmail/yahoo/gmail zou gaan...

[begintmeta]

Ik zou nog steeds een wat hogere prevalentie/kennis van van s/mime, gpg of iets soortgelijks willen zien maar freemailers zullen daar weinig behoefte aan hebben en gezien de verschuiving naar webinterfaces....

[ Voor 18% gewijzigd door begintmeta op 11-11-2012 20:43 ]

[GlobalHawk]

@begintmeta
Als je het eerlijk bekijkt is het huidige e-mailsysteem gewoon hopeloos verouderd. Voorbeeld is e-mail spoofing, er is nog steeds geen allesomvattende oplossing om dit volledig tegen te gaan.

[ Voor 3% gewijzigd door GlobalHawk op 11-11-2012 20:54 ]

[begintmeta]

Volledig kan je spoofing niet, maar in principe zouden cryptografische handtekeningen (bijvoorbeeld s/mime&gpg) de boel wel behoorlijk kunnen oplappen. Je moet natuurlijk wel een onafhankelijke manier hebben om sleutels uit te wisselen, maar e-mail-spoofing is dan (in ieder geval niet-kostentechnisch) lastiger dan mail-spoofing.

[ Voor 8% gewijzigd door begintmeta op 11-11-2012 22:39 ]