Emailhost met 2FA of verificatie over IMAP of Activesync

[Martinspire]

Ik ben al een tijdje op zoek naar een alternatief voor mn huidige mailadressen. Ik heb wat eigen domeinen en momenteel loopt dat bij Gmail toen je daar nog gratis je eigen domeinen kon toevoegen. Ik wil er vanaf omdat het allemaal gekoppeld is aan mn google account en ik eigenlijk af wil van de afhankelijkheid. Onder andere vanwege de problemen genoemd in het recente tweakers artikel over mensen waar accounts geblokkeerd waren en ze niet meer bij hun data konden. Stel mijn google account wordt geblokkeerd, dan heb ik een behoorlijk probleem.

Momenteel gebruik ik meerdere accounts in 1 app en daar kan ik naast Google/Microsoft ook inloggen met activesync en IMAP/POP3/SMTP. Ik wil graag gewoon 1 map voor al mijn mail. Dus niet alleen mijn eigen domeinen, ook mn normale gmail (gezien die nog steeds aan mn android device gekoppeld is) en van mijn werkgever zie ik liever in 1 app.

Goed, het fijne aan Google, en Microsoft, is dat je verificatie hebt op je accounts. Je kunt niet zomaar inloggen op welke app met je username en wachtwoord. Er zit altijd een verificatie-laag tussen. Nou is het probleem van IMAP/SMTP en Activesync dat je deze niet op dezelfde manier kunt beveiligen. Nou zou ik het liefst hebben dat ik gewoon een TOTP code invul nadat ik mijn username en wachtwoord heb ingevuld, maar dat lijkt niet zo te werken. Of een device verifiëren voordat je toegang krijgt (zo krijg je bij je devices altijd een melding als je in wilt loggen bij je Google account). Maar stel je device wordt gejat of je username/password lekt op een andere manier uit, dan kun je met de meeste providers overal wel je mailbox leegtrekken. Nou is App Passwords bij sommigen een ding, maar dat kun je nog steeds op elke device hergebruiken zonder verificatie.

Verder is er een reden om niet zelf een servertje op te zetten en alles in beheer te nemen: het kost gewoon veel tijd, kennis en kunde om zo'n ding goed in te stellen. Vooral een goed spamfilter en beveiliging afvangen, is gewoon tijdrovend en sommige oplossingen kosten net zoveel. Dan liever gewoon alles uitbesteden en met een gerust hart van mn mail genieten. Mijn eigen tijd is me ook wel wat waard in dit geval.

Ik heb ook nog een tijdje office365 geprobeerd, maar die kon ik niet gebruiken voor mijn mailadres gezien er voor dat mailadres al een microsoft account is aangemaakt en ik deze niet kon wijzigen (en liever doe ik dat ook niet). Bovendien is wisselen tussen accounts voor Microsoft erg irritant (zeker als je nog wel eens gebruik maakt van alle gekochte producten onder je eerste microsoft account). Nu open ik gewoon mail.<mijndomein>.nl en dan start Gmail van die specifieke account. Geen probleem.

Dus nu ben ik dus op zoek naar een nieuwe mailprovider waar in ieder geval dit op zit:

Must Haves

• Beetje moderne omgeving, waaronder webmail
• 2FA op beheer
• 2FA op device óf op 1 of andere manier device verifiëren voordat mail wordt opgehaald.
• Eigen domein kunnen gebruiken
• Niet al te duur. Voor meer dan €10 per maand heb ik weinig interesse, liever onder de 5.
• Te gebruiken bij eenderwelke mail app op zowel Windows als Android (omdat ik daar ook mijn andere mail wil ontvangen)
• In ieder geval 5GB opslag
• Spamfilter wat niet al te moeilijk te beheren is, liefst automatisch
• Provider die niet meeleest met mail en ook geen advertenties aanbied of iets dergelijks

Wanna Haves

• Privacy in hoog vaandel
• Locatie in de wereld die veiligheid biedt en niet zomaar iedereen laat meelezen (dus liever geen USA)
• Snel, vrijwel instant mn mail bezorgen
• Groene stroom is ook wel zo prettig
• Goede support
• Echt moderne UI, van alle markten thuis
• Spamfilter wat zich kan meten met Gmail (want ik ben verwend)

Nou heb ik al wat providers voorbij zien komen. Protonmail, Tutanota, Posteo, Runbox, Mailbox, Fastmail, etc maar geen van allen lijkt te bieden wat ik wil. Ja dan staat privacy erg hoog in het vaandel, maar dan kun je alleen met een app werken of alleen de app/site heeft 2FA. Gezien ik ook met IMAP oid wil werken, moet ik daar wel een beetje zekerheid hebben dat ie niet ontbreekt. En verder gewoon een aardige provider voor niet al te veel. Want in principe ben ik geen poweruser of iets dergelijks. Voornamelijk mail lezen, amper versturen. Dat werk.

Dus is er een provider die ik over het hoofd heb gezien? Of is dit gewoon nog niet beschikbaar?

[Voor 5% gewijzigd door Martinspire op 04-08-2021 22:57]

[HKLM_]

Exchange online kan je vriend worden met de requirements die je hebt is dat niet zo spannend in opzet.

[Voor 46% gewijzigd door HKLM_ op 05-08-2021 06:42]

[jurroen]

Mailfence Entry voldoet aan je eisen

[ThinkPad]

Ik zit bij Mailbox.org en die voldoet volgens mij ook aan bijna al je eisen.

Je zou het sowieso eens kunnen proberen met je standaard username (@mailbox.org) voordat je echt dingen gaat omzetten.

[Zjemm]

even uit interesse....hoe zie je 2fa voor je op je mobiele mail app?
elke keer als je de mail wilt openen 2fa code invoeren? hoe gaat dat dan met autosync?

voor web snap ik 2fa, maar voor een app die continue mail synct niet

[Martinspire]

HKLM_ schreef op donderdag 5 augustus 2021 @ 06:42:
Exchange online kan je vriend worden met de requirements die je hebt is dat niet zo spannend in opzet.

Maar welke provider is dan ook nog een beetje bij de les met de overige eisen? En de wannahaves? De meeste hosts die ik zie zijn doorsnee webhosters die niet bepaald spannende dingen doen met privacy of security. Die gaan lang niet zo ver als een protonmail of posteo bijvoorbeeld. En qua prijzen wisselt het ook heel veel.

jurroen schreef op donderdag 5 augustus 2021 @ 06:49:
Mailfence Entry voldoet aan je eisen

Van wat ik zie heb je bij die geen 2fa op de daadwerkelijke clients. Alleen de website volgens mij
Tenminste, als ik de FAQ mag geloven: https://mailfence.com/nl/veelgestelde-vragen.jsp of hun website: https://kb.mailfence.com/...-activesync-with-outlook/
Of het moet met 1 van de andere verificatie vooraf zijn voor nieuwe devices, maar dat zie ik nergens terug.

ThinkPadd schreef op donderdag 5 augustus 2021 @ 08:17:
Ik zit bij Mailbox.org en die voldoet volgens mij ook aan bijna al je eisen.

Je zou het sowieso eens kunnen proberen met je standaard username (@mailbox.org) voordat je echt dingen gaat omzetten.

Ik heb mailbox ook even geprobeerd. Maar kan ik 2FA nog niet van instellen (met de trial). Die hebben wel 2FA in de zin dat je iets toevoegt aan het wachtwoord, maar van wat ik begreep was dat alleen voor het inloggen op de site. En app passwords hebben weer het probleem dat je die ook gewoon op een extra device kunt zetten. Ik kreeg geen notificatie dat ik een extra device had aangezet. Of ik moet verkeerd kijken?

Zjemm schreef op donderdag 5 augustus 2021 @ 09:10:
even uit interesse....hoe zie je 2fa voor je op je mobiele mail app?
elke keer als je de mail wilt openen 2fa code invoeren? hoe gaat dat dan met autosync?

voor web snap ik 2fa, maar voor een app die continue mail synct niet

Voor bv exchange heb je vaak dat je bij toevoegen van een account 2fa moet gebruiken om in te loggen. Dan is je sessie actief. Voor een mailapp zelf is niet veel nodig, die kan ik al met een vingerafdruk of pincode beveiligen. Maar bij bv imap zou ik liever zien dat ie standaard mijn login niet accepteert en ik eerst een device moet toevoegen/accepteren voordat ie mail ontvangt. Ik zie bij mijn Mailbird app bv dat ie diverse soorten oauth accepteert om in te loggen (microsoft/google/yahoo/aol). Het gaat me er vooral om dat de initiële koppeling gewoon beveiligd is. Dat de sessie daarna levend blijft is nog niet zo'n probleem, lijkt me.

Dus nee, niet bij elke keer dat je de app opent de 2fa, maar wel als je een device toevoegt.

[Voor 4% gewijzigd door Martinspire op 05-08-2021 10:16]

[Zjemm]

oke helder.

maar oauth bij het initieel inloggen is natuurlijk geen 2fa, en die zal op de achtergrond zn token telkens vernieuwen zodat jij in je app ingelogd blijft.

maar MS zal wellicht bij oauth ook 2fa aanbieden bij het initieel inloggen

misschien is https://www.startmail.com/ wat voor je (Nederlands)

volgens mij bieden ze per device passwords, je moet dus eerst een device toevoegen voordat deze toegang heeft

[Voor 15% gewijzigd door Zjemm op 05-08-2021 10:48]

[ThinkPad]

Martinspire schreef op donderdag 5 augustus 2021 @ 10:09:
[...]
Ik heb mailbox ook even geprobeerd. Maar kan ik 2FA nog niet van instellen (met de trial). Die hebben wel 2FA in de zin dat je iets toevoegt aan het wachtwoord, maar van wat ik begreep was dat alleen voor het inloggen op de site. En app passwords hebben weer het probleem dat je die ook gewoon op een extra device kunt zetten. Ik kreeg geen notificatie dat ik een extra device had aangezet. Of ik moet verkeerd kijken?

[...]

Klopt, het 2FA gebeuren bij hen werkt wat afwijkend. Je logt op de webinterface niet meer in met je wachtwoord, maar met een nieuw 'wachtwoord' wat bestaat uit een 4-cijferige pin met daar aan vast geplakt de OTP-token. Voor IMAP moet je nog gewoon je hoofdwachtwoord gebruiken. Ook geen mogelijkheid voor app-password. Als iemand achter je wachtwoord komt dan kunnen ze via IMAP dus bij je mails. Maar niet in de webinterface komen (want: 2FA) om je account volledig over te nemen.

Ben over dat deel niet heel tevreden inderdaad. Zijn betere mogelijkheden voor tegenwoordig die ook nog eens makkelijker te gebruiken zijn.

En geen notificatie van nieuw verbonden clients inderdaad.

[Voor 27% gewijzigd door ThinkPad op 05-08-2021 10:47]

[Martinspire]

Zjemm schreef op donderdag 5 augustus 2021 @ 10:34:
oke helder.

maar oauth bij het initieel inloggen is natuurlijk geen 2fa, en die zal op de achtergrond zn token telkens vernieuwen zodat jij in je app ingelogd blijft.

maar MS zal wellicht bij oauth ook 2fa aanbieden bij het initieel inloggen

misschien is https://www.startmail.com/ wat voor je (Nederlands)

volgens mij bieden ze per device passwords, je moet dus eerst een device toevoegen voordat deze toegang heeft

Zoals ik al eerder aangaf is device passwords ook een wassen neus want die kun je ook gewoon hergebruiken. Dus tenzij je die maar echt op 1 device kunt gebruiken (wat bij de meeste diensten niet het geval is), is het alleen een alternatief om niet je hoofdwachtwoord prijs te geven.

En 2fa bij initieel inloggen is misschien geen permanente 2fa, maar zorgt er wel voor dat je in ieder geval een 2e device nodig hebt om in te loggen en niet zomaar ergens anders een device kunt laten inloggen. Vooral dat laatste wil je voorkomen, lijkt me.

Startmail heb ik bekeken, maar vond ik dus al snel afvallen vanwege gebrek aan verificatie. Verder ziet alles er ook heel spartaans uit dat ik er niet vertrouwen in heb dat het allemaal lekker draait.

ThinkPadd schreef op donderdag 5 augustus 2021 @ 10:41:
[...]

Klopt, het 2FA gebeuren bij hen werkt wat afwijkend. Je logt op de webinterface niet meer in met je wachtwoord, maar met een nieuw 'wachtwoord' wat bestaat uit een 4-cijferige pin met daar aan vast geplakt de OTP-token. Voor IMAP moet je nog gewoon je hoofdwachtwoord gebruiken. Ook geen mogelijkheid voor app-password. Als iemand achter je wachtwoord komt dan kunnen ze via IMAP dus bij je mails. Maar niet in de webinterface komen (want: 2FA) om je account volledig over te nemen.

Ben over dat deel niet heel tevreden inderdaad. Zijn betere mogelijkheden voor tegenwoordig die ook nog eens makkelijker te gebruiken zijn.

En geen notificatie van nieuw verbonden clients inderdaad.

Mja die 2fa is in principe gelijk aan app passwords omdat ze niet meer je instellingen kunnen wijzigen, maar inloggen gaat nog wel overal dus in dat opzicht vind ik het niet veel toevoegen. Verder zag het er verder wel prima uit, maar dan kan ik net zo goed wat anders pakken.

[DJMaze]

De hosting die ik verzorg voor mijn klanten heeft bijna al je wensen.
Maar 2FA op IMAP/SMTP niet, want dat zit gewoon niet in de RFC standaard.
Je kan wel een challenge/response login systeem inbouwen, maar er is dus geen app/client die dat ondersteunt tenzij je zelf ook een client programmeert voor je apparaten.

Je kan er wel voor kiezen om alleen webmail met 2FA te ondersteunen en geen toegang tot IMAP/SMTP te bieden op je eigen server, dan heb je wat je wil, maar wel een nieuw probleem er bij.
Microsoft vind je server niet aardig en gaat je blokkeren waardoor mail nooit aankomt bij hotmail/outlook/msn adressen.

Je moet dus ergens concessies doen.

[ThinkPad]

Martinspire schreef op donderdag 5 augustus 2021 @ 10:55:
[...]
Mja die 2fa is in principe gelijk aan app passwords omdat ze niet meer je instellingen kunnen wijzigen, maar inloggen gaat nog wel overal dus in dat opzicht vind ik het niet veel toevoegen. Verder zag het er verder wel prima uit, maar dan kan ik net zo goed wat anders pakken.

Prijs was voor mij ook doorslaggevend. Ik betaal nu €1 per maand bij Mailbox.org (prepaid tegoed wat je oplaad via overboeking, heb gewoon voor X maanden overgeboekt). Veel alternatieven waren een stuk duurder. En bijv. een ProtonMail ondersteunt geen geen native IMAP wat voor mij wel een vereiste is. Op desktop OS wel via een bridge applicatie, maar voor mobiel dus niet.

Vergeet ook niet je agenda en contacten, die had ik ook bij Gmail staan en wilde ik daar ook weg hebben. Als je de native iOS / Android agenda en contacten apps wilt gebruiken zul je een provider met CalDAV & CardDAV of ActiveSync moeten zoeken. Dan valt ProtonMail bijv. ook al af.

[Voor 28% gewijzigd door ThinkPad op 05-08-2021 11:49]

[ollie1965]

https://www.freedom.nl/diensten/mail ?
Binnenkort weer beschikbaar, dit was de start bij de founding members €50,-- P/J
Misschien niet alles wat je wilt, maar wel veel. Is op de achtergrond Soverin

[Rolfie]

Als ik een in Office365 mailbox wil toevoegen op een nieuw device, zal ik toch echt een MFA Authenticatie moeten uitvoeren.

Volgens met ook het zelfde als in Google Workplace.

Wil je dit vaker forceren zal met Conditional Acces aan de slag moeten.

[Jazzy]

DJMaze schreef op donderdag 5 augustus 2021 @ 10:56:
De hosting die ik verzorg voor mijn klanten heeft bijna al je wensen.
Maar 2FA op IMAP/SMTP niet, want dat zit gewoon niet in de RFC standaard.

Denk dat je je even in moet lezen in IMAP en OAUTH2, bijvoorbeeld RFC 7628. Google doet het, Microsoft doet het en clients als Thunderbird ondersteunen het ook gewoon.

[Martinspire]

ollie1965 schreef op donderdag 5 augustus 2021 @ 11:05:
https://www.freedom.nl/diensten/mail ?
Binnenkort weer beschikbaar, dit was de start bij de founding members €50,-- P/J
Misschien niet alles wat je wilt, maar wel veel. Is op de achtergrond Soverin

Soverin had hetzelfde dat je wel app passwords kunt instellen, maar geen verificatie of wat krijgt bij inloggen. Dus zoveel veiliger is dat niet. En het ziet er allemaal nog vrij nieuw uit dus die moet zich nog bewijzen imo.

[HKLM_]

Martinspire schreef op donderdag 5 augustus 2021 @ 10:09:
[...]

Maar welke provider is dan ook nog een beetje bij de les met de overige eisen? En de wannahaves? De meeste hosts die ik zie zijn doorsnee webhosters die niet bepaald spannende dingen doen met privacy of security. Die gaan lang niet zo ver als een protonmail of posteo bijvoorbeeld. En qua prijzen wisselt het ook heel veel.

[...]

Van wat ik zie heb je bij die geen 2fa op de daadwerkelijke clients. Alleen de website volgens mij
Tenminste, als ik de FAQ mag geloven: https://mailfence.com/nl/veelgestelde-vragen.jsp of hun website: https://kb.mailfence.com/...-activesync-with-outlook/
Of het moet met 1 van de andere verificatie vooraf zijn voor nieuwe devices, maar dat zie ik nergens terug.

[...]

Ik heb mailbox ook even geprobeerd. Maar kan ik 2FA nog niet van instellen (met de trial). Die hebben wel 2FA in de zin dat je iets toevoegt aan het wachtwoord, maar van wat ik begreep was dat alleen voor het inloggen op de site. En app passwords hebben weer het probleem dat je die ook gewoon op een extra device kunt zetten. Ik kreeg geen notificatie dat ik een extra device had aangezet. Of ik moet verkeerd kijken?

[...]

Voor bv exchange heb je vaak dat je bij toevoegen van een account 2fa moet gebruiken om in te loggen. Dan is je sessie actief. Voor een mailapp zelf is niet veel nodig, die kan ik al met een vingerafdruk of pincode beveiligen. Maar bij bv imap zou ik liever zien dat ie standaard mijn login niet accepteert en ik eerst een device moet toevoegen/accepteren voordat ie mail ontvangt. Ik zie bij mijn Mailbird app bv dat ie diverse soorten oauth accepteert om in te loggen (microsoft/google/yahoo/aol). Het gaat me er vooral om dat de initiële koppeling gewoon beveiligd is. Dat de sessie daarna levend blijft is nog niet zo'n probleem, lijkt me.

Dus nee, niet bij elke keer dat je de app opent de 2fa, maar wel als je een device toevoegt.

Exchange online kan al je punten aftikken over de Privacy kan je discussies voeren maar dat is 100% persoonlijk.

[DJMaze]

Jazzy schreef op donderdag 5 augustus 2021 @ 11:20:
Denk dat je je even in moet lezen in IMAP en OAUTH2, bijvoorbeeld RFC 7628. Google doet het, Microsoft doet het en clients als Thunderbird ondersteunen het ook gewoon.

XOAUTH2 is geen 2FA. Dat is gewoon een andere login methode met tokens.
De token is een "wachtwoord" die geldig is voor N uren. Daarna gebruik je een andere token/wachtwoord om een nieuwe login token te ontvangen.

Daarnaast had Thunderbird een verlopen app-id waardoor het niet meer werkte...

[Voor 7% gewijzigd door DJMaze op 05-08-2021 11:36]

[Jazzy]

DJMaze schreef op donderdag 5 augustus 2021 @ 11:34:
[...]

XOAUTH2 is geen 2FA. Dat is gewoon een andere login methode met tokens.
De token is een "wachtwoord" die geldig is voor N uren. Daarna gebruik je een andere token/wachtwoord om een nieuwe login token te ontvangen.

En dat proces om het token aan te vragen ondersteunt multi-factor authentication. Zie ook de implementatie van Microsoft en Google. De techniek is er dus klaar voor.

[Martinspire]

HKLM_ schreef op donderdag 5 augustus 2021 @ 11:34:
[...]


Exchange online kan al je punten aftikken over de Privacy kan je discussies voeren maar dat is 100% persoonlijk.

Mja dat is ook zo, maar dan is het belangrijk dat je de provider vertrouwd en de meesten die het lijken te leveren zijn reuzen zoals KPN of kleintjes. In ieder geval heb ik er nog geen gevonden die nog een beetje let op privacy en security. Sowieso valt het aantal hosts me wel tegen. Dan ga je je afvragen wat het probleem is.

DJMaze schreef op donderdag 5 augustus 2021 @ 11:34:
[...]

XOAUTH2 is geen 2FA. Dat is gewoon een andere login methode met tokens.
De token is een "wachtwoord" die geldig is voor N uren. Daarna gebruik je een andere token/wachtwoord om een nieuwe login token te ontvangen.

Maar dan is het toch nog steeds lastiger om een account af te luisteren? Bovendien kun je niet even met je wachtwoord een account dupliceren want je zult altijd die tweede factor nodig hebben voordat je een login krijgt.

Laat ik het zo zeggen, ik vind het al een verbetering ten opzichte van de normale password of app passwords. Bovendien heb je een trigger dat er een nieuwe device is toegevoegd in tegenstelling tot gewoon inloggen en niet weten dat er 1 bij is gekomen.

[Voor 5% gewijzigd door Martinspire op 05-08-2021 11:38]

[DJMaze]

@Martinspire oh het is zeker een verbetering in beveiliging!
Maar het is dus geen 2FA op IMAP/SMTP, de 2FA zit (eventueel) op het andere proces die aan de XOAUTH2 hangt en is dan maar 1x en dus niet elke keer dat je inlogt.
Eigenlijk is het dus een lapmiddel.

Aan de andere kant is echte 2FA zinloos, je wil niet elke 5 minuten een OTP code invoeren omdat Thunderbird je mail wil ophalen.
Een vervanger voor IMAP waarbij er een socket open blijft staan (dus ingelogged blijft) zou leuk zijn, maar dan heb je al snel 100'en servers nodig om al je klanten verbonden te laten blijven (zeg max 65000 poorten per server = max 65000 mail clients).

[Jazzy]

DJMaze schreef op donderdag 5 augustus 2021 @ 11:54:
Maar het is dus geen 2FA op IMAP/SMTP, de 2FA zit (eventueel) op het andere proces die aan de XOAUTH2 hangt en is dan maar 1x en dus niet elke keer dat je inlogt.
Eigenlijk is het dus een lapmiddel.

Vind ik wat kort door de bocht. Moderne authenticatie lost een aantal problemen op. Ten eerste verhoogt het de beveiliging doordat je moet inloggen met iets wat je weet en iets wat je hebt. Ten tweede wordt het lastiger om wachtwoorden te raden, af te luisteren of mee te kijken omdat je uiteindelijke authenticatie elke keer anders is. Tenslotte voorkom je dat password spray attacks afgevuurd worden en net zo lang geprobeerd kunnen worden tot je het wachtwoord geraden hebt. Met name dat laatste heeft een enorme impact op het aantal compromised accounts.

Maar goed, zoals gezegd ondersteunen deze legacy protocollen dus authenticatie dmv. tokens. Ik wil mezelf niet blijven herhalen, maar Google en Microsoft zijn goede voorbeelden van hoe een implementatie er in de praktijk uit kan zien. Dat je dit zelf nog niet op je postfix/dovecot/whatever servers hebt zitten kan ik me goed voorstellen, maar dat heeft in ieder geval niets te maken met beperkingen van het protocol.

[Martinspire]

DJMaze schreef op donderdag 5 augustus 2021 @ 11:54:
@Martinspire oh het is zeker een verbetering in beveiliging!
Maar het is dus geen 2FA op IMAP/SMTP, de 2FA zit (eventueel) op het andere proces die aan de XOAUTH2 hangt en is dan maar 1x en dus niet elke keer dat je inlogt.
Eigenlijk is het dus een lapmiddel.

Aan de andere kant is echte 2FA zinloos, je wil niet elke 5 minuten een OTP code invoeren omdat Thunderbird je mail wil ophalen.
Een vervanger voor IMAP waarbij er een socket open blijft staan (dus ingelogged blijft) zou leuk zijn, maar dan heb je al snel 100'en servers nodig om al je klanten verbonden te laten blijven (zeg max 65000 poorten per server = max 65000 mail clients).

Mja klopt ook wel, maar je wilt voorkomen dat iemand mee kan kijken als ie je login heeft en IMAP is ook niet de beste verbinding hiervoor. Ik vind het daarom wel opvallend dat er niet nog een nieuw protocol is gekomen wat in ieder geval wat meer controle geeft. Ik heb wel JMAP gevonden, maar van wat ik zie is het vooral een JSON schil om IMAP heen en niet zozeer andere authorisatie.

Tuurlijk wil je niet elke keer een code invoeren, maar het lijkt me toch logisch dat elke device op zijn minst een unieke autorisatie moet hebben om in je mail te komen. Van alle soorten communicatie is mail wel erg slecht beveiligd zo.

Jazzy schreef op donderdag 5 augustus 2021 @ 12:00:
[...]

Vind ik wat kort door de bocht. Moderne authenticatie lost een aantal problemen op. Ten eerste verhoogt het de beveiliging doordat je moet inloggen met iets wat je weet en iets wat je hebt. Ten tweede wordt het lastiger om wachtwoorden te raden, af te luisteren of mee te kijken omdat je uiteindelijke authenticatie elke keer anders is. Tenslotte voorkom je dat password spray attacks afgevuurd worden en net zo lang geprobeerd kunnen worden tot je het wachtwoord geraden hebt. Met name dat laatste heeft een enorme impact op het aantal compromised accounts.

Maar goed, zoals gezegd ondersteunen deze legacy protocollen dus authenticatie dmv. tokens. Ik wil mezelf niet blijven herhalen, maar Google en Microsoft zijn goede voorbeelden van hoe een implementatie er in de praktijk uit kan zien. Dat je dit zelf nog niet op je postfix/dovecot/whatever servers hebt zitten kan ik me goed voorstellen, maar dat heeft in ieder geval niets te maken met beperkingen van het protocol.

Mja eens. Maar de vraag is dus vooral nu wat voor opties er werkelijk zijn. Ik vind het opvallend dat alle providers die claimen heel veilig te zijn, hun IMAP zo slecht beveiligen. Nergens lees je iets over verificaties of iets dergelijks. Alleen app wachtwoorden en 2FA op de beheer portaal. De lokale hoster kan vast exchange online regelen, maar nou zal daar ook wel vanalles mis mee zijn qua privacy natuurlijk. Ik vind het alleen raar dat er nergens een middenweg is. Ik heb bij een paar gebruikersforums ook al de suggestie gedaan om devices te verifiëren, maar vooralsnog geen resultaat. Veel pro-privacy hosts gaan wel los op encryptie van emails, maar laten vervolgens de deur wel open staan mbt wachtwoorden. Een beetje alsof je een poststuk met een beveiliger en geldtransport busjes vervoert, maar vervolgens bij aanbellen aan iedereen die het wil dat pakketje mee geeft.

Goed, wat voor opties zijn er dan te pakken? En wat zijn daar de voor/nadelen?

[Voor 3% gewijzigd door Martinspire op 05-08-2021 12:07]

[ollie1965]

Martinspire schreef op donderdag 5 augustus 2021 @ 11:33:
[...]

Soverin had hetzelfde dat je wel app passwords kunt instellen, maar geen verificatie of wat krijgt bij inloggen. Dus zoveel veiliger is dat niet. En het ziet er allemaal nog vrij nieuw uit dus die moet zich nog bewijzen imo.

Welke verificatie doel je op?

[Jazzy]

Martinspire schreef op donderdag 5 augustus 2021 @ 12:05:
De lokale hoster kan vast exchange online regelen, maar nou zal daar ook wel vanalles mis mee zijn qua privacy natuurlijk.

Exchange Online is een dienst die gehost wordt door Microsoft, niet door andere hosters. Als je zorgen hebt over de privacy dan is dit een goed startpunt: https://www.microsoft.com/en-ww/trust-center

[Zjemm]

Het is een valide en goede vraag

Dovecot ondersteund bijvoorbeeld wel oauth
Maar dan moet je identity provider wel xoauth2 ondersteunen

Ik heb er laatst naar zitten kijken of het icm bijvoorbeeld Nextcloud kon werken. Dus authentiseren tegen Nextcloud als je met dovecot imap wilt praten.
Maar Nextcloud kan wel simpel oauth maar volgens mij geen xoauth2. Heb het niet in de praktijk getest.

Google en ms ondersteunen het wel. Dus bij het toevoegen van je account krijg je eerst een redirect naar een oauth login pagina waar je ook 2fa op kunt zetten.

[Voor 17% gewijzigd door Zjemm op 05-08-2021 12:24]

[Martinspire]

ollie1965 schreef op donderdag 5 augustus 2021 @ 12:12:
[...]


Welke verificatie doel je op?
[Afbeelding]

Die verificatie heb je toch alleen voor de admin dashboard, niet voor de accounts zelf?
Dus voor de webinterface heb je hem wel, log je in op je mail-app dan krijg je die niet.

Jazzy schreef op donderdag 5 augustus 2021 @ 12:18:
[...]

Exchange Online is een dienst die gehost wordt door Microsoft, niet door andere hosters. Als je zorgen hebt over de privacy dan is dit een goed startpunt: https://www.microsoft.com/en-ww/trust-center

KPN doet het toch ook zelf meen ik? Of is dat meer een reseller?

Ding is vooral dat ik dus al een Microsoft account heb en dat vaak clashed met de logins van Office365 of andere locaties.

Zjemm schreef op donderdag 5 augustus 2021 @ 12:23:
Het is een valide en goede vraag

Dovecot ondersteund bijvoorbeeld wel oauth
Maar dan moet je identity provider wel xoauth2 ondersteunen

Ik heb er laatst naar zitten kijken of het icm bijvoorbeeld Nextcloud kon werken. Dus authentiseren tegen Nextcloud als je met dovecot imap wilt praten.
Maar Nextcloud kan wel simpel oauth maar volgens mij geen xoauth2. Heb het niet in de praktijk getest.

Google en ms ondersteunen het wel. Dus bij het toevoegen van je account krijg je eerst een redirect naar een oauth login pagina waar je ook 2fa op kunt zetten.

Mja ik heb ook al wel wat zitten kijken, maar je moet er al snel een eigen server voor hebben draaien en dat haalt de kosten omhoog. Self hosten kan natuurlijk ook, maar ik zet mn IP thuis liever niet open.

[CH4OS]

Wat ik alleen niet begrijp; je wilt niet (meer) afhankelijk zijn van bedrijven als Google of Microsoft, maar wil wel maandelijks (liefst zo min mogelijk) betalen, voor een waslijst aan wensen. Maak je jezelf daarmee niet afhankelijk van dat bedrijf waar je dat abonnement afneemt, terwijl je juist geen afhankelijkheid wilt hebben?

Met andere woorden, heb je ook gekeken naar opties om dit soort dingen zelf te hosten? Dan ben je van niemand afhankelijk, kun je gebruiken wat je wilt, op de manier zoals jij dat wilt, lijkt me voor jouw wensen een gigantische win-win, die dan mogelijk wel wat duurder is, maar waar je wel veel meer vrijheid voor terugkrijgt.

Als je zelf de (e-mail) hosting doet, kun je als webmail bijvoorbeeld Roundcube gebruiken, die op zijn beurt 2FA plugins heeft.

[Voor 13% gewijzigd door CH4OS op 05-08-2021 13:44]

[Martinspire]

CH4OS schreef op donderdag 5 augustus 2021 @ 13:42:
Wat ik alleen niet begrijp; je wilt niet (meer) afhankelijk zijn van bedrijven als Google of Microsoft, maar wil wel maandelijks (liefst zo min mogelijk) betalen, voor een waslijst aan wensen. Maak je jezelf daarmee niet afhankelijk van dat bedrijf waar je dat abonnement afneemt, terwijl je juist geen afhankelijkheid wilt hebben?

Met andere woorden, heb je ook gekeken naar opties om dit soort dingen zelf te hosten? Dan ben je van niemand afhankelijk, kun je gebruiken wat je wilt, op de manier zoals jij dat wilt, lijkt me voor jouw wensen een gigantische win-win, die dan mogelijk wel wat duurder is, maar waar je wel veel meer vrijheid voor terugkrijgt.

Self hosting is gewoon veel werk, veel kennis en veel foutgevoeliger. Ik ben geen security expert dus ik vind het verstandig om dat uit te besteden. Qua security is het behoorlijk lastig alles strak te zetten en qua spam is het ook wel een kunst om dat goed te filteren.

Verder als ik al zie dat eigenlijk weinig aanbieders het voor elkaar krijgen, hoe ga ik dan zelf ervoor zorgen dat het veilig zit. Het gaat me vooral om de verificatie en ik denk niet dat ik daar genoeg kennis voor heb om dat zelf op te zetten.

De prijzen voor zelf ergens een server neerzetten is ook hoog en alleen thuis een server hebben draaien is gewoon niet verstandig, je moet backups hebben staan. Max 10 per maand voor mail vind ik al vrij riant, dus als het daar al niet voor lukt, hoe ga ik dat dan in hemelsnaam zelf doen?

Als je zelf de (e-mail) hosting doet, kun je als webmail bijvoorbeeld Roundcube gebruiken, die op zijn beurt 2FA plugins heeft.

Roundcube is leuk, maar ik wil het ook gewoon op mn pc en mobiel ontvangen en daar ga ik verder weinig aan doen. Als ik alleen 2FA op de admin wil hebben, dan heb ik daar al wel opties voor gevonden. Ik vind dat alleen niet genoeg.

Verder is het probleem met Google/Microsoft dat ze al veel teveel macht hebben en je met een account ban al snel ver van huis bent. Bovendien werken ze ook gewoon mee met alle inlichtingendiensten en is er in vergelijking met de echte privacy specialisten nog wel wat meer mis.

[Voor 16% gewijzigd door Martinspire op 05-08-2021 14:03]

[Zjemm]

zelf hosten is echt wel makkelijker dan je denkt en voor de gemiddelde tweaker heus wel uit te voeren.
Men zegt altijd dat email lastig is en dat het veel werk kost, maar dat is niet veel meer dan je eigen site op een server hosten of een eigen nextcloud instance hosten.

nee je moet niet aan mail beginnen als je de basis niet snapt, dat klopt. maar doe je dat wel dan is het echt niet moeilijk.....doe het zelf ook al 10+ jaar.

heb zelf meegewerkt aan de guide van workaround.org en dat is een prima basis.
maar je moet het wel leuk vinden

[Martinspire]

Zjemm schreef op donderdag 5 augustus 2021 @ 13:53:
zelf hosten is echt wel makkelijker dan je denkt en voor de gemiddelde tweaker heus wel uit te voeren.
Men zegt altijd dat email lastig is en dat het veel werk kost, maar dat is niet veel meer dan je eigen site op een server hosten of een eigen nextcloud instance hosten.

nee je moet niet aan mail beginnen als je de basis niet snapt, dat klopt. maar doe je dat wel dan is het echt niet moeilijk.....doe het zelf ook al 10+ jaar.

heb zelf meegewerkt aan de guide van workaround.org en dat is een prima basis.
maar je moet het wel leuk vinden

Gewoon imap hosten is inderdaad niet zo bijzonder, maar wil je 2FA en/of verificatie doorvoeren, dan is het wel een stapje hoger. Anti-spam goed instellen en ook daadwerkelijk meer dan 90% weren is ook niet zo eenvoudig. En zoals ik al zei zijn de kosten al snel hoger. Ik heb ook lange tijd eigen hosting gehad met mn domeinen maar door gebrek aan bezoekers en ook zelf interesse om content te maken, ben ik daarmee gestopt. Ben inmiddels wel oud genoeg dat mn CV er goed gevuld uitziet en geen portfoliosite meer nodig heb

Maar zoals ik al zeg, als zelfs de grote providers al niet alles afdekken, hoe moet ik dat zelf dan gaan doen? En als ik dan genoegen neem met minder, kan ik net zo goed een andere provider kiezen.

[Voor 3% gewijzigd door Martinspire op 05-08-2021 14:11]

[CH4OS]

Martinspire schreef op donderdag 5 augustus 2021 @ 13:46:
Self hosting is gewoon veel werk, veel kennis en veel foutgevoeliger. Ik ben geen security expert dus ik vind het verstandig om dat uit te besteden. Qua security is het behoorlijk lastig alles strak te zetten en qua spam is het ook wel een kunst om dat goed te filteren.

Verder als ik al zie dat eigenlijk weinig aanbieders het voor elkaar krijgen, hoe ga ik dan zelf ervoor zorgen dat het veilig zit. Het gaat me vooral om de verificatie en ik denk niet dat ik daar genoeg kennis voor heb om dat zelf op te zetten.

De prijzen voor zelf ergens een server neerzetten is ook hoog en alleen thuis een server hebben draaien is gewoon niet verstandig, je moet backups hebben staan. Max 10 per maand voor mail vind ik al vrij riant, dus als het daar al niet voor lukt, hoe ga ik dat dan in hemelsnaam zelf doen?

Snap ik, het is een hele klus om dat goed en netjes aan de praat te hebben. Maar hoe verwacht je dit dan voor (bij voorkeur) minder dan 5 euro per maand te kunnen inkopen, als het blijkbaar zo complex is om in te regelen, het best veel tijd en werk kost om in te stellen of te beheren en te back-uppen?

Roundcube is leuk, maar ik wil het ook gewoon op mn pc en mobiel ontvangen en daar ga ik verder weinig aan doen. Als ik alleen 2FA op de admin wil hebben, dan heb ik daar al wel opties voor gevonden. Ik vind dat alleen niet genoeg.

Het was even een herspinsel van wat je eventueel zou kunnen doen met self-hosting.

Verder is het probleem met Google/Microsoft dat ze al veel teveel macht hebben en je met een account ban al snel ver van huis bent.

Tja, je kunt ook gewoon zelf back-ups maken van jouw e-mail. Dus dat je zoiets niet hebt, maar vervolgens wel verwijt dat Google/Microsoft een te grote machtspositie hebben, maar jij wel al jouw zorgen aan hun overlaat, is wel een beetje krom natuurlijk.

Bovendien werken ze ook gewoon mee met alle inlichtingendiensten en is er in vergelijking met de echte privacy specialisten nog wel wat meer mis.

Dit is echt een hele grote drogreden. Elke partij zal namelijk aan dergelijke verzoeken meewerken. Of het van de politie of een inlichtingendienst is, als ze al bij je komen voor informatie weet je eigenlijk al dat je mee moet werken, want je krijgt gewoon een gerechtelijk bevel onder je neus geduwd. De rechter stemt dus in dat jij de gevraagde informatie afstaat aan ze.

Bij het aanmaken van de e-mailaccount heb je ook de voorwaarden geaccepteerd, dus je bent er mee akkoord gegaan dat men soms wat dingen doet met de inhoud van jouw e-mail, terwijl jij dat wellicht niet wilt. Maar dan vraag ik mij af waarom je dan alsnog akkoord gaat, terwijl je niet wilt dat ze bepaalde zaken doen.

[Voor 27% gewijzigd door CH4OS op 05-08-2021 14:13]

[Diederik]

Ik denk dat je geholpen bent met ZoHo mail.

Dan moet je wel van imap afstappen en hun app gebruiken voor het lezen van je mail. Volgens mij bestaat er geen mailprovider die imap met 2fa aanbied, bij Google kan je imap uitzetten, maar privacy, bij ZoHo kan je imap ook uitzetten.

https://www.zoho.com/mail/

https://www.zoho.com/nl/mail/help/imap-access.html

[Voor 7% gewijzigd door Diederik op 05-08-2021 14:15]

[Martinspire]

Diederik schreef op donderdag 5 augustus 2021 @ 14:15:
Ik denk dat je geholpen bent met ZoHo mail.

Dan moet je wel van imap afstappen en hun app gebruiken voor het lezen van je mail. Volgens mij bestaat er geen mailprovider die imap met 2fa aanbied, bij Google kan je imap uitzetten, maar privacy, bij ZoHo kan je imap ook uitzetten.

https://www.zoho.com/mail/

https://www.zoho.com/nl/mail/help/imap-access.html

Als ik een aparte app ga gebruiken, kan ik net zo goed protonmail pakken oid. Maar mijn vraag is juist of er niet iets is wat niet perse zijn eigen app nodig heeft. Het klopt dat je bij sommigen services kunt uitzetten die je niet gebruikt, maar dat is toch niet echt wat ik zoek.

[Martinspire]

CH4OS schreef op donderdag 5 augustus 2021 @ 14:02:
Dit is echt een hele grote drogreden. Elke partij zal namelijk aan dergelijke verzoeken meewerken. Of het van de politie of een inlichtingendienst is, als ze al bij je komen voor informatie weet je eigenlijk al dat je mee moet werken, want je krijgt gewoon een gerechtelijk bevel onder je neus geduwd. De rechter stemt dus in dat jij de gevraagde informatie afstaat aan ze.

Bij het aanmaken van de e-mailaccount heb je ook de voorwaarden geaccepteerd, dus je bent er mee akkoord gegaan dat men soms wat dingen doet met de inhoud van jouw e-mail, terwijl jij dat wellicht niet wilt. Maar dan vraag ik mij af waarom je dan alsnog akkoord gaat, terwijl je niet wilt dat ze bepaalde zaken doen.

Tuurlijk zullen ze meewerken, maar ze zullen ook vaak vooraf al je account blokkeren en als je daar dus veel diensten aan gekoppeld hebt, dan ben je wel klaar. Upload je wat dingen naar je onedrive die gevlagd worden als kinderporno (terwijl dat totaal niet aanwezig is), dan ben je ook meteen je mail kwijt. Ik wil dus de houvast op mijn mail houden en dat red ik momenteel niet met Google en Microsoft.

[Bigs]

Ik ben door de wens om 2FA overgestapt op Microsoft 365 en ben er erg tevreden mee. De webmail is uitstekend, alle gangbare mail clients ondersteunen het en spamfilter is top en goed geïntegreerd.

Nadelen:

- DKIM instellen voor mijn domein waarvan de DNS elders in beheer is was wat werk (Powershell)
- Als je IPv6 adressen voor je MX record wil moet je dit aanvragen bij de helpdesk
- Je betaalt per mailbox en dat loopt snel op (aliasen zijn uiteraard wel gratis)

Bijkomend voordeel:

- Je kunt eindelijk goed agenda uitnodigingen wisselen met Exchange gebruikers (90% van mijn doelgroep). Het is fijn om het vertrouwen te hebben dat je uitnodiging en RSVP goed aankomen. Zeker icm Microsoft Teams.

[CH4OS]

Martinspire schreef op donderdag 5 augustus 2021 @ 14:20:
Tuurlijk zullen ze meewerken, maar ze zullen ook vaak vooraf al je account blokkeren en als je daar dus veel diensten aan gekoppeld hebt, dan ben je wel klaar. Upload je wat dingen naar je onedrive die gevlagd worden als kinderporno (terwijl dat totaal niet aanwezig is), dan ben je ook meteen je mail kwijt. Ik wil dus de houvast op mijn mail houden en dat red ik momenteel niet met Google en Microsoft.

Stel er komt een verzoek binnen van een inlichtingendienst of van de politie, dan kun je meestal zonder een en ander uit te schakelen voor de klant al bij de informatie. Zo heb ik ooit voor een van mijn vorige werkgevers adresgegevens van een klant naar boven moeten halen voor de politie, met gerechtelijk bevel en alles, hele rataplan, de klant in kwestie heeft er nooit iets van gemerkt. Dat zal voor e-mail niet anders zijn. En anders versleutel je de inhoud van de e-mail toch ook met GPG?

[Diederik]

Martinspire schreef op donderdag 5 augustus 2021 @ 14:18:
[...]

Als ik een aparte app ga gebruiken, kan ik net zo goed protonmail pakken oid. Maar mijn vraag is juist of er niet iets is wat niet perse zijn eigen app nodig heeft. Het klopt dat je bij sommigen services kunt uitzetten die je niet gebruikt, maar dat is toch niet echt wat ik zoek.

Ik denk niet dat het bestaat... We zijn nog maar net bezig om standaard te mailen met SSL/TLS actief, niet zolang geleden werd alles plaintext over poort 25 verstuurd.

Snap wel wat je wil, maar het beste wat je vandaag kan krijgen is een eigen client of een app wachtwoord.

[Martinspire]

Diederik schreef op donderdag 5 augustus 2021 @ 14:32:
[...]


Ik denk niet dat het bestaat... We zijn nog maar net bezig om standaard te mailen met SSL/TLS actief, niet zolang geleden werd alles plaintext over poort 25 verstuurd.

Snap wel wat je wil, maar het beste wat je vandaag kan krijgen is een eigen client of een app wachtwoord.

Mja daar lijkt het wel op. En welke providers zijn dan een beetje snel met het ontwikkelen van features en zie je nog wel binnen korte tijd uitbreiden met extra verificatie?

[Rolfie]

Martinspire schreef op donderdag 5 augustus 2021 @ 12:05:
Mja klopt ook wel, maar je wilt voorkomen dat iemand mee kan kijken als ie je login heeft en IMAP is ook niet de beste verbinding hiervoor. Ik vind het daarom wel opvallend dat er niet nog een nieuw protocol is gekomen wat in ieder geval wat meer controle geeft. Ik heb wel JMAP gevonden, maar van wat ik zie is het vooral een JSON schil om IMAP heen en niet zozeer andere authorisatie.

Nieuwe protocollen zoals ActiveSync of hoe gmail dit doet bedoel je?
Je legt nu de wel de focus op een legacy protocol. Wat volgens mij zowel bij Google Workplace en Office 365 standaard uitstaat.

Tuurlijk wil je niet elke keer een code invoeren, maar het lijkt me toch logisch dat elke device op zijn minst een unieke autorisatie moet hebben om in je mail te komen.

Bedoelt een token, zoals nu gebruikt wordt?

Van alle soorten communicatie is mail wel erg slecht beveiligd zo.

Valt wel mee hoor. Je legt alleen de focus op legacy.

Ik heb bij een paar gebruikersforums ook al de suggestie gedaan om devices te verifiëren, maar vooralsnog geen resultaat. Veel pro-privacy hosts gaan wel los op encryptie van emails, maar laten vervolgens de deur wel open staan mbt wachtwoorden.

MDM/MAM bedoel je dus eigenlijk? Condition Access er over en je hebt een hele mooi beveiliging.

De oplossing bestaan al, en worden al heel lang gebruikt in het bedrijfsleven.

Eventueel zou je nog kunnen kijken naar zelfbouw icm Certificates?

Martinspire schreef op donderdag 5 augustus 2021 @ 14:38:
Mja daar lijkt het wel op. En welke providers zijn dan een beetje snel met het ontwikkelen van features en zie je nog wel binnen korte tijd uitbreiden met extra verificatie?

Grote providers zoals Microsoft of Google. Die bieden eigen ook nu al wat jij ongeveer wilt. Je kunt bij Microsoft gewoon met conditinal access werken icm met trusted devices bijvoorbeeld.

Misschien een andere vraag: Hoe zie jij technisch exact de 2FA authenticatie?

• Wil je dit voor ieder verzoek opnieuw invullen?
• Of iedere keer als je applicatie opstart?
• Iedere keer als je telefoon opstart?
• Hoelang mag dit geldig zijn?

[HKLM_]

Bigs schreef op donderdag 5 augustus 2021 @ 14:20:
Ik ben door de wens om 2FA overgestapt op Microsoft 365 en ben er erg tevreden mee. De webmail is uitstekend, alle gangbare mail clients ondersteunen het en spamfilter is top en goed geïntegreerd.

Nadelen:

- DKIM instellen voor mijn domein waarvan de DNS elders in beheer is was wat werk (Powershell)
- Als je IPv6 adressen voor je MX record wil moet je dit aanvragen bij de helpdesk
- Je betaalt per mailbox en dat loopt snel op (aliasen zijn uiteraard wel gratis)

Bijkomend voordeel:

- Je kunt eindelijk goed agenda uitnodigingen wisselen met Exchange gebruikers (90% van mijn doelgroep). Het is fijn om het vertrouwen te hebben dat je uitnodiging en RSVP goed aankomen. Zeker icm Microsoft Teams.

Als je meer mailboxen wil kan je shared mailboxen gebruiken 50GB standaard + 50GB Archive. Ook die dingen ondersteunen user login tegenwoordig

[Martinspire]

Rolfie schreef op donderdag 5 augustus 2021 @ 15:41:
[...]

Nieuwe protocollen zoals ActiveSync of hoe gmail dit doet bedoel je?
Je legt nu de wel de focus op een legacy protocol. Wat volgens mij zowel bij Google Workplace en Office 365 standaard uitstaat.


[...]

Bedoelt een token, zoals nu gebruikt wordt?


[...]

Valt wel mee hoor. Je legt alleen de focus op legacy.


[...]

MDM/MAM bedoel je dus eigenlijk? Condition Access er over en je hebt een hele mooi beveiliging.

De oplossing bestaan al, en worden al heel lang gebruikt in het bedrijfsleven.

Eventueel zou je nog kunnen kijken naar zelfbouw icm Certificates?


[...]

Grote providers zoals Microsoft of Google. Die bieden eigen ook nu al wat jij ongeveer wilt. Je kunt bij Microsoft gewoon met conditinal access werken icm met trusted devices bijvoorbeeld.

Misschien een andere vraag: Hoe zie jij technisch exact de 2FA authenticatie?

• Wil je dit voor ieder verzoek opnieuw invullen?
• Of iedere keer als je applicatie opstart?
• Iedere keer als je telefoon opstart?
• Hoelang mag dit geldig zijn?

De meeste vragen heb ik al eerder beantwoord, maar hoewel je Activesync of IMAP als legacy beschrijft, is dat wel wat de meeste providers aanbieden die privacy en security (bv met PGP) hoog in het vaandel hebben. Meestal zelfs nog alleen IMAP. Dat MS/Google dit leveren is prima, maar er zijn inmiddels genoeg voorbeelden te vinden dat je die liever niet als partner wilt. Alleen al het feit dat je data niet in Europa staat, is al een reden.

Kijk, dat men hier zakelijk vaak over is, is prima maar als consument wil je niet zo afhankelijk zijn van die Amerikaanse reuzen. Ze kunnen als ze willen allemaal je mail meelezen en als Europese consument sta je nergens met je rechten. En zoals ik zei: als ze je mail afsluiten (om wat voor reden dan ook) dan ben je gewoon nergens meer. Dus ik stap af van cloud storage en mail bij ze. Ik wil niet genaaid worden door een bijeffect van de algoritmes die ze hanteren.

Verder lijkt het me eigenlijk irrelevant waarom ik wel of niet iets wil, ik ben gewoon op zoek naar opties om mijn mail heen te verhuizen. Ik kwam erachter dat eigenlijk alleen MS en Google devices verifiëren voordat je ze kunt gebruiken en dat vind ik erg raar. Daarom mijn topic om te zien of ik opties gemist heb. Als je echt redenen wilt lezen, dan lees ze maar na waarom mensen kiezen voor Protonmail, Tutanota, Posteo en anderen. Wat die echter doen is alles achter een eigen app zetten en dat maakt het lastig om nog meer accounts te lezen want dan moet je wisselen tussen apps.

[Voor 4% gewijzigd door Martinspire op 05-08-2021 16:23]

[Diederik]

Martinspire schreef op donderdag 5 augustus 2021 @ 14:38:
[...]
Mja daar lijkt het wel op. En welke providers zijn dan een beetje snel met het ontwikkelen van features en zie je nog wel binnen korte tijd uitbreiden met extra verificatie?

De grote jongens hebben het al, ik denk dat de 'kleintjes' pas wat gaan doen als de mail clients stoppen met ondersteuning van imap.

Edit:
Vergeet niet dat jij een uitzondering bent in je wens om e.e.a. veilig te regelen voorbeeld:
https://nordpass.com/most-common-passwords-list/

[Voor 14% gewijzigd door Diederik op 05-08-2021 16:30]

[ThinkPad]

Zjemm schreef op donderdag 5 augustus 2021 @ 13:53:
zelf hosten is echt wel makkelijker dan je denkt en voor de gemiddelde tweaker heus wel uit te voeren.
[...]

Een mailservertje aan de loop krijgen is wel te doen ja, zeker met zaken als Docker e.d. is dat zo geregeld.
Probleem is alleen dat je maar moet zien of de tegenpartij je mail wil accepteren. Ik heb wel verhalen gelezen (Reddit) dat bijv. Microsoft je mail als onveilig blokkeert, puur omdat je IP-adres nog geen reputatie heeft opgebouwd als betrouwbare afzender. Zelfs wanneer je SPF, DKIM etc. goed hebt ingesteld.

Bij de grotere partijen is het anti-spam beleid vaak een 'black box'. Ze houden veel spam tegen, wat fijn is als gebruiker. Maar als verzender kan het dus erg ondoorzichtig zijn wat je moet doen om je mails goed bij hen afgeleverd te krijgen. Verder is het op de meeste particuliere internetverbindingen niet mogelijk om een reverse DNS-record te krijgen waar ook door spamfilters op gecheckt kan worden. Je zou dan kunnen uitwijken naar een VPS, maar vaak worden die IP-ranges ook door spammers gebruikt en sta je dus alsnog met 1-0 achter.

Edit: en een dag later perfect voorbeeld: Machtsmisbruik Microsoft door onterrechte SPAM classificatie

/offtopic

[Voor 41% gewijzigd door ThinkPad op 06-08-2021 16:11]

[hmmmmmmmmmpffff]

Ik heb ook nog een tijdje office365 geprobeerd, maar die kon ik niet gebruiken voor mijn mailadres gezien er voor dat mailadres al een microsoft account is aangemaakt en ik deze niet kon wijzigen (en liever doe ik dat ook niet). Bovendien is wisselen tussen accounts voor Microsoft erg irritant (zeker als je nog wel eens gebruik maakt van alle gekochte producten onder je eerste microsoft account). Nu open ik gewoon mail.<mijndomein>.nl en dan start Gmail van die specifieke account. Geen probleem.

Dit vind ik toch opmerkelijk. Ik heb altijd prima kunnen werken met een account dat zowel een personal als business kant had. Eventueel zou je ook je personal Microsoft account kunnen verwijderen.

Dan zit er niets meer in de weg, en heb je verder iets wat aan al je eisen voldoet (behalve dat het een 'grote partij' is dan...)

Hoe dan ook, denk ik dat je ergens een paar eisen zal moeten laten vallen. Ik blijf de discussie nog even volgen en ben erg benieuwd wat de keuze gaat worden.

[Rolfie]

Martinspire schreef op donderdag 5 augustus 2021 @ 16:17:

De meeste vragen heb ik al eerder beantwoord, maar hoewel je Activesync of IMAP als legacy beschrijft, is dat wel wat de meeste providers aanbieden die privacy en security (bv met PGP) hoog in het vaandel hebben. Meestal zelfs nog alleen IMAP.

Ik zou ActiveSync niet als Legacy beschouwen.

Dat MS/Google dit leveren is prima, maar er zijn inmiddels genoeg voorbeelden te vinden dat je die liever niet als partner wilt. Alleen al het feit dat je data niet in Europa staat, is al een reden.

Probeer consumenten en zakelijke versies even uitlaar te zien. Hierin zit namelijk best een groot verschil over hoe men omgaat met je voorbeelden.

Kijk, dat men hier zakelijk vaak over is, is prima maar als consument wil je niet zo afhankelijk zijn van die Amerikaanse reuzen.

Als Consument kun je ook gewoon een zakelijk account nemen. Lost een hoop problemen direct op.

Ze kunnen als ze willen allemaal je mail meelezen en als Europese consument sta je nergens met je rechten.

Kunnen en doen zijn 2 verschillende punten. Ze mogen niet zomaar je mail lezen en dit doen ze ook niet. Kan een NSA er bij. Ja, maar zullen ze dit ook zomaar doen? Zullen ze mijn privé foto's echt willen zien?

En zoals ik zei: als ze je mail afsluiten (om wat voor reden dan ook) dan ben je gewoon nergens meer. Dus ik stap af van cloud storage en mail bij ze. Ik wil niet genaaid worden door een bijeffect van de algoritmes die ze hanteren.

Probeer zakelijk en consumenten versies hier ook los van elkaar te zien.

Verder lijkt het me eigenlijk irrelevant waarom ik wel of niet iets wil, ik ben gewoon op zoek naar opties om mijn mail heen te verhuizen. Ik kwam erachter dat eigenlijk alleen MS en Google devices verifiëren voordat je ze kunt gebruiken en dat vind ik erg raar. Daarom mijn topic om te zien of ik opties gemist heb. Als je echt redenen wilt lezen, dan lees ze maar na waarom mensen kiezen voor Protonmail, Tutanota, Posteo en anderen. Wat die echter doen is alles achter een eigen app zetten en dat maakt het lastig om nog meer accounts te lezen want dan moet je wisselen tussen apps.

Tussen wat je leest en ook werkelijk zo is, zit vaak best een verschil tussen. Punten die je in deze post bijvoorbeeld aangeeft is gericht op consumenten versies, terwijl de zakelijke varianten daar heel anders mee omgaat en veel meer mogelijkheden bieden.

Maar dat is mijn mening. Ik ga liever uit van iets realistisch, secure en veilig en gewoon goed werkbaar.
Ik dan liever uit van een provider die groot en veel kennis heeft en goede doorontwikkeling heeft van hun producten. Zowel Microsoft als Google voldoende daar goed aan. Features door ontwikkeling zie ik ook als een belangrijk punt. Iets waar deze providers actief mee bezig zijn.
Juist 2FA, Security en integratie mogelijkheden icm gebruikers gemak zijn voor mij van belang. En beide voldoen daar perfect aan.

En zelf hosten is inderdaad mogelijk, maar ik heb al zoveel gezeik gehad met SMTP mail, dat ik daar niet eens aan zou beginnen.

[Martinspire]

hmmmmmmmmmpffff schreef op donderdag 5 augustus 2021 @ 17:00:
[...]

Dit vind ik toch opmerkelijk. Ik heb altijd prima kunnen werken met een account dat zowel een personal als business kant had. Eventueel zou je ook je personal Microsoft account kunnen verwijderen.

Dan zit er niets meer in de weg, en heb je verder iets wat aan al je eisen voldoet (behalve dat het een 'grote partij' is dan...)

Hoe dan ook, denk ik dat je ergens een paar eisen zal moeten laten vallen. Ik blijf de discussie nog even volgen en ben erg benieuwd wat de keuze gaat worden.

Ehm, ik heb zo'n 500 games aan mn Xbox account gekoppeld, dus nee die ga ik niet even verwijderen.

Wat stel je voor om te laten vallen dan? Want de meeste zaken staan al bij wanna-haves lijkt me.

[Martinspire]

Rolfie schreef op donderdag 5 augustus 2021 @ 18:43:
[...]
Ik zou ActiveSync niet als Legacy beschouwen.


[...]

Probeer consumenten en zakelijke versies even uitlaar te zien. Hierin zit namelijk best een groot verschil over hoe men omgaat met je voorbeelden.


[...]

Als Consument kun je ook gewoon een zakelijk account nemen. Lost een hoop problemen direct op.


[...]

Kunnen en doen zijn 2 verschillende punten. Ze mogen niet zomaar je mail lezen en dit doen ze ook niet. Kan een NSA er bij. Ja, maar zullen ze dit ook zomaar doen? Zullen ze mijn privé foto's echt willen zien?


[...]

Probeer zakelijk en consumenten versies hier ook los van elkaar te zien.


[...]
Tussen wat je leest en ook werkelijk zo is, zit vaak best een verschil tussen. Punten die je in deze post bijvoorbeeld aangeeft is gericht op consumenten versies, terwijl de zakelijke varianten daar heel anders mee omgaat en veel meer mogelijkheden bieden.

Maar dat is mijn mening. Ik ga liever uit van iets realistisch, secure en veilig en gewoon goed werkbaar.
Ik dan liever uit van een provider die groot en veel kennis heeft en goede doorontwikkeling heeft van hun producten. Zowel Microsoft als Google voldoende daar goed aan. Features door ontwikkeling zie ik ook als een belangrijk punt. Iets waar deze providers actief mee bezig zijn.
Juist 2FA, Security en integratie mogelijkheden icm gebruikers gemak zijn voor mij van belang. En beide voldoen daar perfect aan.

En zelf hosten is inderdaad mogelijk, maar ik heb al zoveel gezeik gehad met SMTP mail, dat ik daar niet eens aan zou beginnen.

Tuurlijk is een zakelijke account anders dan consument, maar ik heb geen BV of iets om daaraan te hangen. En ja ik zou wat kunnen aanvragen, maar vind het vrij overdreven voor een mailaccount imo. Verder is het een kleine stap van inzien door NSA vs inzien door hackers en dergelijke. Zeker het aantal hackpogingen op privé servers is hoog. Ik had 10 jaar geleden op mijn beperkte webspace al tientallen hackers per dag, dat is nu niet minder. Was ook 1 van de redenen om het te laten vallen trouwens. Ik heb het idee dat mail nu steeds belangrijker wordt als account ID en daarom wil ik het gewoon goed beveiligen. Met alle hackpogingen van de laatste tijd is het niet ondenkbaar dat er iemand met je account vandoor gaat en daardoor gevlagd wordt. En ja, dan ben je gewoon de penarie.

[Rolfie]

Martinspire schreef op donderdag 5 augustus 2021 @ 19:04:
Tuurlijk is een zakelijke account anders dan consument, maar ik heb geen BV of iets om daaraan te hangen. En ja ik zou wat kunnen aanvragen, maar vind het vrij overdreven voor een mailaccount imo.

Je hoeft geen BV of iets te hebben om dit te gebruiken. De producten (en SLA) kun je gewoon als consument afsluiten.

Verder is het een kleine stap van inzien door NSA vs inzien door hackers en dergelijke.

Ik zou denken te bij bedrijven zoals Microsoft of Google dit beter geregeld is tegen hackers dan bij andere bedrijven.
Security en technische kennis bij Google of Microsoft is juist heel hoog. Misschien nog wel eens hoger dan andere bedrijven.
Je moet dit gedeelte van Microsoft niet hetzelfde zien als Windows.

Zeker het aantal hackpogingen op privé servers is hoog. Ik had 10 jaar geleden op mijn beperkte webspace al tientallen hackers per dag, dat is nu niet minder. Was ook 1 van de redenen om het te laten vallen trouwens. Ik heb het idee dat mail nu steeds belangrijker wordt als account ID en daarom wil ik het gewoon goed beveiligen. Met alle hackpogingen van de laatste tijd is het niet ondenkbaar dat er iemand met je account vandoor gaat en daardoor gevlagd wordt. En ja, dan ben je gewoon de penarie.

Klopt. Hele goede gedachte, security van mail onderschatten heel veel mensen. 2FA zou eigenlijk een must moeten zijn voor iedereen voor mail. Maar zoals je ziet, is dit niet heel gemakkelijk.

[Jazzy]

Martinspire schreef op donderdag 5 augustus 2021 @ 19:04:
Tuurlijk is een zakelijke account anders dan consument, maar ik heb geen BV of iets om daaraan te hangen. En ja ik zou wat kunnen aanvragen, maar vind het vrij overdreven voor een mailaccount imo. Verder is het een kleine stap van inzien door NSA vs inzien door hackers en dergelijke.

Dan denk ik dat je toch zeker eens naar Microsoft Office 365, of eigenlijk dus alleen Exchange Online, moet gaan kijken. Daar zit zo ontzettend veel innovatie op het gebied van privacy en beveiliging, dat ga je zelf niet eens kunnen benaderen. Wel moet je natuurlijk bereid zijn om je in te lezen en een aantal aannames, zoals dat je data niet in Europa zou staan, toetsen met de werkelijkheid. Daarom heb ik die link ook gedeeld.

[Voor 12% gewijzigd door Jazzy op 05-08-2021 20:50]

[Zjemm]

ThinkPadd schreef op donderdag 5 augustus 2021 @ 16:37:
[...]

Een mailservertje aan de loop krijgen is wel te doen ja, zeker met zaken als Docker e.d. is dat zo geregeld.
Probleem is alleen dat je maar moet zien of de tegenpartij je mail wil accepteren. Ik heb wel verhalen gelezen (Reddit) dat bijv. Microsoft je mail als onveilig blokkeert, puur omdat je IP-adres nog geen reputatie heeft opgebouwd als betrouwbare afzender. Zelfs wanneer je SPF, DKIM etc. goed hebt ingesteld.

Bij de grotere partijen is het anti-spam beleid vaak een 'black box'. Ze houden veel spam tegen, wat fijn is als gebruiker. Maar als verzender kan het dus erg ondoorzichtig zijn wat je moet doen om je mails goed bij hen afgeleverd te krijgen. Verder is het op de meeste particuliere internetverbindingen niet mogelijk om een reverse DNS-record te krijgen waar ook door spamfilters op gecheckt kan worden. Je zou dan kunnen uitwijken naar een VPS, maar vaak worden die IP-ranges ook door spammers gebruikt en sta je dus alsnog met 1-0 achter.

/offtopic

Dat valt echt wel mee hoor
Ik doe het al jaren op consumenten internet lijntjes en ondanks geen reverse dns werkt het prima. Dus niet alleen maar over gelezen maar ook echt productie op draaien 😉

Natuurlijk als je ip op een lijst staat is het lastig maar dan pak je een vps en dan is dat meestal ook geen probleem. Of je gebruikt een relay en dan is dat probleem ook weg.

Mijn enige probleem is of m’n lijntje wel actief blijft
Maar ach dat blijkt al tien + jaar geen echt probleem.
Wel zou ik nog gaan overstappen van isp als ik reverse dns Dan op orde kan krijgen. Dan is het helemaal compleet

[Martinspire]

Jazzy schreef op donderdag 5 augustus 2021 @ 20:48:
[...]

Dan denk ik dat je toch zeker eens naar Microsoft Office 365, of eigenlijk dus alleen Exchange Online, moet gaan kijken. Daar zit zo ontzettend veel innovatie op het gebied van privacy en beveiliging, dat ga je zelf niet eens kunnen benaderen. Wel moet je natuurlijk bereid zijn om je in te lezen en een aantal aannames, zoals dat je data niet in Europa zou staan, toetsen met de werkelijkheid. Daarom heb ik die link ook gedeeld.

Maar dan zit ik toch nog steeds ofwel vast aan mn huidige MS account, ofwel vast aan het onnodig vaak wisselen tussen accounts? Of is er ergens een plek waar die dingen echt los van elkaar draaien?

[Jazzy]

Kun je je Microsoft account niet omzetten naar een ander emailadres? Want als je dit domein in je Office 365 tenant wilt gebruiken loop je waarschijnlijk inderdaad tegen problemen aan.

[Martinspire]

Jazzy schreef op donderdag 5 augustus 2021 @ 22:13:
Kun je je Microsoft account niet omzetten naar een ander emailadres? Want als je dit domein in je Office 365 tenant wilt gebruiken loop je waarschijnlijk inderdaad tegen problemen aan.

Ik zie dat ik wel een andere alias in kan stellen, maar ik weet niet of dat dan ook bij alle services goed ga waar ik nu gebruik van maak. Zo heb ik ook bij een laptop aangemeld als microsoft account, dus ik weet niet of dat goed loopt. En ook Xbox live of Office zit eraan. Ook het andere adres wat ik gebruik is al een microsoft account. Dus nee, dat lijkt me niet echt zinvol eigenlijk. Ik meen dat ik het al een keer in het verleden geprobeerd had toen Office365 nog niet voor consumenten was maar alleen zakelijk en toen lukte het ook niet.

[Jazzy]

Office 365 is altijd al beschikbaar geweest voor consumenten, het hebben of vertegenwoordigen van een bedrijf is nooit een eis geweest. Maar dat terzijde.

Als ik het goed begrijp gebruik je een non-Microsoft emailadres om in te loggen op je primaire Microsoft account. Dit emailadres heeft een domein wat je eventueel in een Office 365 tenant wilt gaan gebruiken. Om een mogelijk conflict te vermijden was mijn advies om je Microsoft account aan te passen naar een ander mailadres.

Hier kun je lezen hoe je een adres toevoegt, hoe je aangeeft met dit adres in te willen loggen en hoe je het andere van je account kunt verwijderen: Change the email address or phone number for your Microsoft account

Je lijkt steeds aannames te doen over dit soort dingen terwijl de informatie echt heel eenvoudig te vinden is met een snelle zoekopdracht.

[Martinspire]

Jazzy schreef op vrijdag 6 augustus 2021 @ 09:58:
Office 365 is altijd al beschikbaar geweest voor consumenten, het hebben of vertegenwoordigen van een bedrijf is nooit een eis geweest. Maar dat terzijde.

Als ik het goed begrijp gebruik je een non-Microsoft emailadres om in te loggen op je primaire Microsoft account. Dit emailadres heeft een domein wat je eventueel in een Office 365 tenant wilt gaan gebruiken. Om een mogelijk conflict te vermijden was mijn advies om je Microsoft account aan te passen naar een ander mailadres.

Hier kun je lezen hoe je een adres toevoegt, hoe je aangeeft met dit adres in te willen loggen en hoe je het andere van je account kunt verwijderen: Change the email address or phone number for your Microsoft account

Je lijkt steeds aannames te doen over dit soort dingen terwijl de informatie echt heel eenvoudig te vinden is met een snelle zoekopdracht.

Dat kan wel zo zijn, maar ik heb toch al aangegeven dat ik het niet prefereer? De vraag was of er alternatieven zijn voor Google en Microsoft. Dan kun je toch niet "anders probeer Microsoft" als antwoord geven?

Er zijn nog andere redenen om niet voor MS te kiezen, dus vandaar ook mede de vraag. Tuurlijk, er zijn ook voordelen, maar dat was de vraag niet. Ik wilde verder de discussie over wel of niet MS/Google eruit laten, want dat gaat al snel een hele andere kant op. Dus liever de focus op alternatieven.

[Voor 9% gewijzigd door Martinspire op 06-08-2021 11:34]

[Jazzy]

Sorry voor het misverstand, omdat je inhoudelijke vragen bleef stellen had ik aangenomen dat Microsoft toch wel een optie voor je zou zijn en probeerde ik je vragen te beantwoorden. Goed dat dit nu duidelijk is.

[Martinspire]

Even een update, ik merk dat 2FA buiten Google en Microsoft dus eigenlijk nergens een ding is. Zelfs het toevoegen van nieuwe devices wordt nergens geverifieerd. Dat vind ik zelf wel een kwalijke zaak, maar blijkbaar is het niet anders.

Verder wil ik niet met hetzelfde wachtwoord inloggen als bij de imap server gebruikt wordt. Dus dan is app passwords de next-best-thing. Ik ben daardoor bij de 3 kanshebbers:

Runbox, Startmail en Fastmail.

Runbox is Noors, heeft app passwords, normale 2FA om in te loggen, een moderne UI, IMAP, aliasses, custom domain en hebben privacy hoog in het vaandel staan. Je kunt ook de actieve sessies zien in de webapp.

Nadeel is dat de UI nog niet helemaal af is (de oude wordt nog voor bepaalde zaken gebruikt), encryptie er niet echt, verder is het niet de allersnelste (duurt toch 10 seconden voor het mailtje aankomt) en lang niet zoveel instellingen. Mooie prijs van 29,95 per jaar voor 10GB en 5 custom domeinen.

Startmail is Nederlands met Nederlandse servers, app passwords, normale 2FA, moderne UI, encryptie is simpel, IMAP, aliasses, custom domain.

Nadeel is dat een paar items nog in de oude UI zitten (al is het niet veel) en dat (om wat voor reden dan ook) ik hier niet kan inloggen momenteel (ticket staat uit), geen mogelijkheid tot upgraden storage momenteel, redelijk snel (5 sec voor mail) en het is de duurste met 49,99 per jaar (nu eerste jaar 40% korting) voor ook 10GB opslag

Verder tenslotte Fastmail. Australisch bedrijf, maar vreemd genoeg wel de snelste. Beste UI van het stel, app passwords, 2FA, onbeperkt alias, custom domain, 30GB opslag (voor 5 dollar per maand, er is ook 2GB voor 3 dollar en 100GB voor 9 dollar). Imap, custom domain en snelle support. Je kunt ook de actieve sessies inzien.

Nadeel is dat het de duurste is met 60.50 dollar per jaar (momenteel 51 euro al kun je ook ineens 3 jaar afsluiten wat het 44,57 euro per jaar maakt), de Australische wet is nu niet geweldig (maar toch nog beter dan USA) en op zich is het bedrijf zelf niet zo'n probleem. Ook is encryptie grotendeels afwezig. Ik had ook problemen met het aanmaken van een nieuwe account (ik kon niet inloggen), maar dat was snel hersteld en ik kreeg ook nog eens gratis 15 dollar tegoed. Support mailde me binnen 2 uur terug en dat was erg netjes.

Dus de keuze is nu vooral "welke nu?". Ik ben op het eerste gezicht gecharmeerd van Runbox als bedrijf en Fastmail als dienst. Startmail zit er een beetje tussenin. Ik ken startpage.com verder ook niet echt en net als Fastmail claimen ze wel privacyfriendly te zijn maar ze loggen toch nog aardig wat data. Dus dan moet je vooral geloven dat ze er verder niks mee doen. Bij Runbox valt op dat ze dus een nieuwe UI hebben, maar die is blijkbaar al sinds 2019 in ontwikkeling en nu nog steeds niet af. Dat houdt me een beetje tegen eigenlijk (zeker voor een bedrijf wat volgens linkedin 108 medewerkers zou hebben). Al moet ik zeggen dat de oude UI ook nog niet zo'n probleem is, in ieder geval beter dan die oude van startpage (als ik de screenshots mag geloven). Fastmail heeft weer nergens last van, die is gewoon helemaal modern, maar Australië is toch wel een apart gebied. En StartMail zit dan weer gewoon in Nederland (wat een voor en nadeel kan zijn, maar mail in eigen land is imo niet verkeerd. Verder niet meer dan standaard encryptie.

Als ik even kijk naar de rest dan is het al snel afgevallen:

Protonmail: geen IMAP en vrij onhandige workarounds
Tutanota: geen app wachtwoorden, geen IMAP
Mailfence: geen app wachtwoorden
Mailbox: 2FA heel raar verwerkt (in het wachtwoord) en verder ook geen aparte app wachtwoorden
Posteo: Geen app wachtwoorden en geen domeinen

Met name het gebrek aan app wachtwoorden (zodat je normale password niet uitlekt) vind ik vreemd. Ik snap dat encryptie niet via IMAP gaat op een normale manier en dat is me prima, ik heb nu niet echt mail die dat vereist, maar zie ze vooral focussen op hun eigen ecosysteem en dat is erg jammer. Ik vind de ervaring per provider erg wisselend, maar over het algemeen gaat het via IMAP wel prima. Het is alleen jammer dat er dus qua verificatie nergens iets veranderd. Het lijkt me toch logisch dat als een client verbind, je dit toch even aangeeft in de app zelf. Dus momenteel is het fijn dat Runbox en Fastmail wel laten zien welke sessies er uberhaupt zijn.

Ik ben er nog niet echt uit welke nou voor mij de beste is. Ze hebben allemaal wel voor en nadelen.

[Zjemm]

Daarom host ik het zelf
Dat heeft net als de rest ook nadelen maar toch de mail in eigen hand

Voor de rest tja gewoon kiezen
Neem het anders een maandje als dat kan en bekijk of het bevalt

[ThinkPad]

Fastmail is hier op Tweakers en op Reddit ook wel kritiek over te vinden. Het is een Australisch bedrijf en de privacy regels daar zijn niet de meest geweldige meen ik. Technisch lees je er verder wel alleen lovende woorden over eigenlijk.

[Voor 17% gewijzigd door ThinkPad op 07-08-2021 21:58]

[Martinspire]

ThinkPadd schreef op zaterdag 7 augustus 2021 @ 21:57:
Fastmail is hier op Tweakers en op Reddit ook wel kritiek over te vinden. Het is een Australisch bedrijf en de privacy regels daar zijn niet de meest geweldige meen ik. Technisch lees je er verder wel alleen lovende woorden over eigenlijk.

Ja klopt. Het gaat vooral om de wetgeving aldaar en het feit dat de servers ook in de VS staan. Dus hoewel ze zeggen niet in de mail te kijken, kunnen ze dat wel degelijk. Maar goed, het is het enige product dat ze aanbieden dus of je daar al je omzet mee te grabbel wilt gooien is ook zo'n ding. Ze zeggen wel goed bezig te zijn. En dat er een externe security audit en bug bounty is (iets wat ook niet iedereen doet). Dus tja, het is inderdaad lastig te bewijzen. Maar in zekere zin werken ze toch allemaal wel mee met de overheid als dat moet. En het is niet alsof de NSA zich laat tegenhouden als de servers toevallig in Amsterdam staan. Waar het mij vooral om gaat is of ze het vertrouwen uitstralen, hun business model kloppend is (of zelfs gevoelig als ze toch gaan neuzen) en zich inzetten voor een beter internet. En vooralsnog lijkt dat wel te kloppen.

Ik zie verder nu ook Zoho als nog misschien optie. Dat is wel meer gericht op zakelijk, maar ik zie dat die ook app passwords hebben als de rest. Maar ook deze zit gewoon in de VS. En dat is dus ook meteen niet veel verschil met fastmail. Bij Runbox heb ik toch het idee dat het vooral idealisten zijn, maar dat er uiteindelijk weinig progressie wordt geboekt (ik bedoel, het overzetten van een UI hoeft geen 2 jaar te duren). Bij Startmail heb ik wel iets meer vertrouwen, maar ook daar vooral idealisten. Fastmail is nu ook laatst een relatie aangegaan met Vivaldi Browser, wat momenteel mijn favo is en die gaan ook niet zomaar in zee als ze daar geen vertrouwen in hebben.

Het is raar dat ik nog steeds niet bij het oude paneel kom van startmail, anders had ik misschien al wel een beslissing kunnen maken.

[Nomisma]

Ik ben benieuwd, waarom vereis je app wachtwoorden? Zijn je apparaten niet goed beveiligd? Of is dat meer voor als de autoriteiten je apparaat gedwongen zouden binnendringen d.m.v. biometrics (touch, face id)

[Martinspire]

Nomisma schreef op zaterdag 7 augustus 2021 @ 22:59:
Ik ben benieuwd, waarom vereis je app wachtwoorden? Zijn je apparaten niet goed beveiligd? Of is dat meer voor als de autoriteiten je apparaat gedwongen zouden binnendringen d.m.v. biometrics (touch, face id)

Het is niet dat ik echt bang ben dat ze me gaan oppakken of dat ik een doelwit wordt van hackers, maar ik vind het gewoon wel een prettig gevoel dat elke device een eigen wachtwoord heeft en dat je er dan verder weinig mee kunt. Als ze ergens om 1 of andere reden je wachtwoord van IMAP te pakken krijgen, dan resteert alleen nog een 2FA code om het af te maken. Ook met het herstellen van een login is het handig als er nog altijd ergens een extra horde is.

Gewoon nergens hetzelfde wachtwoord gebruiken is nog altijd beter dan bijna overal. Verder heb ik tijd zat om een alternatief te zoeken wat me bevalt, dus waarom niet deze eis stellen.

Ik zag nu trouwens weer dat Startmail net als Runbox vanaf 2019 een nieuwe UI is gaan gebruiken. En waar Runbox wel iets meer nog niet af heeft, is dat bij startmail ook het geval voor custom domains dus. Dus dat vind ik wel wat raar dat het zo lang moet duren.

Ik heb ook even Zoho uitgepluist vanavond en je merkt dat het onderdeel is van grotere producten. Overal worden andere diensten aangeboden waar je je op kunt aanmelden en overal extra lijsten met opties die niet beschikbaar zijn. Veel verschillende schermen, maar wel wat meer aandacht voor certificaten en security. Ook gewoon dus Amerikaanse bedrijf (weliswaar met Europese servers), dus wat dat betreft niet veel anders dan Fastmail. Ik zou zelfs stellen dat het nog wat minder gebruiksvriendelijk is, juist omdat alles zo ver weg is. Verder zie ik dat ie wel activesync ondersteunt, maar daar zit blijkbaar ook geen 2FA onder en dan is het verschil met IMAP eigenlijk ook klein. Ja je krijgt je contacten en kalenders mee, maar met die cal/cardDAV diensten is dat ook geen issue. Autoconfig doet het alleen niet, dus dat is ook niet echt handig.

Overall lijkt Fastmail wel de gebruiksvriendelijkste te zijn, maar de locatie is niet bepaald top voor Nederland en het is een hoop aannames en maar de vraag of ze dat waarmaken. Startmail nog maar even afwachten hoe dat gaat met de ticket en misschien alvast 1 mailadres overzetten om te kijken of het wat is. Met name of het goed gaat met meerdere aliasses op een account.

[DJMaze]

Nomisma schreef op zaterdag 7 augustus 2021 @ 22:59:
Ik ben benieuwd, waarom vereis je app wachtwoorden?

Is zo'n wachtwoord bekend of apparaat gejat, dan trek je hem in en kan de aanvaller alleen de oude mail uit de cache lezen.
Anders moet je wachtwoord veranderen op al je apparaten (maar dan kan dief nog steeds al je oude mail lezen).
Kwestie wat je prefereert: 1 wachtwoord van 16+ tekens of een heleboel wachtwoorden.

[ThinkPad]

Zie ook https://www.privacytools.io/providers/email/ trouwens

[Bigs]

DJMaze schreef op zondag 8 augustus 2021 @ 00:13:
[...]

Is zo'n wachtwoord bekend of apparaat gejat, dan trek je hem in en kan de aanvaller alleen de oude mail uit de cache lezen.
Anders moet je wachtwoord veranderen op al je apparaten (maar dan kan dief nog steeds al je oude mail lezen).
Kwestie wat je prefereert: 1 wachtwoord van 16+ tekens of een heleboel wachtwoorden.

Maar hoe weet je wanneer het app wachtwoord gestolen/gelekt is? App wachtwoorden zijn geen veiligheidsmaatregel maar een workaround voor clients of protocollen die geen betere authenticatie ondersteunen.

[Nomisma]

DJMaze schreef op zondag 8 augustus 2021 @ 00:13:
[...]

Is zo'n wachtwoord bekend of apparaat gejat, dan trek je hem in en kan de aanvaller alleen de oude mail uit de cache lezen.

Dit specifieke use case kun je ook oplossen met sessies. Protonmail heeft dat bijvoorbeeld.
https://protonmail.com/su...g-out-all-other-sessions/

Tweakers heeft deze functionaliteit overigens ook.

Maar ik denk dat @Martinspire bedoelt dat je de app beveiligt met een wachtwoord. In dat geval kan de aanvaller niet de berichten in de cache lezen, vemoed ik. Tenzij er een manier is om de Cache van bijvoorbeeld een iPhone of iPad in te lezen?

[Martinspire]

ThinkPadd schreef op zondag 8 augustus 2021 @ 08:04:
Zie ook https://www.privacytools.io/providers/email/ trouwens

Mja het is een aardig overzicht maar het zegt imo nog lang niet alles.
Zoals gezegd ontbreekt app passwords daar (wat ik een groot gemis vind in het overzicht). Verder is de kwaliteit van veel web editors ondermaats. Het invoegen van een afbeelding gaat ook niet overal lekker bijvoorbeeld en dat zie ik toch wel als basis voor een maildienst. Ze gaan heel hard op privacy en security maar verliezen daarbij meteen alle andere features uit het oog.

Protonmail en Tutanota staan daar altijd hoog aangeschreven, maar ik vind de apps (die je verplicht wordt om te gebruiken) gewoon niet prettig werken.

Bigs schreef op zondag 8 augustus 2021 @ 12:21:
[...]

Maar hoe weet je wanneer het app wachtwoord gestolen/gelekt is? App wachtwoorden zijn geen veiligheidsmaatregel maar een workaround voor clients of protocollen die geen betere authenticatie ondersteunen.

Mja helaas zijn er maar weinig die daar een notificatie voor geven, maar of je wachtwoord of je app wachtwoord uitlekt is in die zin niet veel anders. Het grote verschil zit hem in het feit dat als je app wachtwoord uitlekt, het enige wat er dan gebeurd is dat ze je mail kunnen zien. Als ze ook je wachtwoord hebben, is 1 stap van je login al gecompromitteerd.

Wel ben ik overal waar het kan aan het kijken of devs op zijn minst een notificatie willen geven als je inlogt op een nieuw apparaat (sessie). Dat maakt de beveiliging toch net wat sterker.

Nomisma schreef op zondag 8 augustus 2021 @ 12:58:
[...]

Dit specifieke use case kun je ook oplossen met sessies. Protonmail heeft dat bijvoorbeeld.
https://protonmail.com/su...g-out-all-other-sessions/

Tweakers heeft deze functionaliteit overigens ook.

Maar ik denk dat @Martinspire bedoelt dat je de app beveiligt met een wachtwoord. In dat geval kan de aanvaller niet de berichten in de cache lezen, vermoed ik. Tenzij er een manier is om de Cache van bijvoorbeeld een iPhone of iPad in te lezen?

Maar dan moet de app wel ondersteunen om sessies te tonen én uit te schakelen. Protonmail heeft het, ook omdat ze verder alleen hun eigen apps ondersteunen. Maar als je je mail op meer plekken wilt uitlezen, dan werkt dat gewoon anders.

En qua cache denk ik dat ie bedoelt dat je niet de mail uit een app weghaalt die al geladen is met een app wachtwoord. Dus stel je telefoon wordt gejat en daar staat je mail (om wat voor reden) open, dan kun je die niet nog verwijderen als je het wachtwoord intrekt. Data is reeds geladen.

Wat jij weer bedoelt is beveiliging voor de app openen, bv met een wachtwoord, pincode of biometrie, maar dat is weer wat anders. App Passwords gaat over de username/password die je invult om via IMAP je data op te halen. Dan gebruik je dus niet je account wachtwoord maar een wachtwoord welke alleen werkt voor mailen zelf. Zo blijft de admin van je mail account iets beter beveiligd en kunnen ze je mail niet overnemen.

[mailfence]

Martinspire schreef op zaterdag 7 augustus 2021 @ 20:55:
[...]
Mailfence: geen app wachtwoorden
[...]

We ondersteunen wel service/protocol specifieke wachtwoorden voor accounts die TFA ondersteunen.
Gebruikers kunnen ook ongebruikte services uitschakelen voor extra bescherming.

Ref. *knip*
-> Disable access to services which are not in use
-> Use service specific passwords to protect your Mailfence account

Met vriendelijke groet,
Mailfence Team

[Voor 10% gewijzigd door MisteRMeesteR op 10-08-2021 20:22]

[Martinspire]

mailfence schreef op maandag 9 augustus 2021 @ 18:09:
[...]


We ondersteunen wel service/protocol specifieke wachtwoorden voor accounts die TFA ondersteunen.
Gebruikers kunnen ook ongebruikte services uitschakelen voor extra bescherming.

Ref. *knip*
-> Disable access to services which are not in use
-> Use service specific passwords to protect your Mailfence account

Met vriendelijke groet,
Mailfence Team

Ja klopt, maar dan is het voor heel imap. Het is wel een stap in de goede richting, maar meer "service-wachtwoorden". Dus dan gebruik je alsnog overal hetzelfde en kun je ook niet echt makkelijk een device uit zetten. Stel je mobiel wordt gejat, dan kun je niet even snel dat wachtwoord uitschakelen maar moet je meteen al je devices opnieuw inloggen. Verder had ik niet het idee dat er inzicht werd gegeven in actieve sessies (en je dus snel kunt zien of er iemand meeleest op een device die je niet herkent), maar ik ben al snel verder gegaan met de volgende bekijken dus misschien heb ik wat gemist. En ook hier werd niks gemeld over verificatie van nieuwe devices of iets dergelijks.

Dus als ik mag kiezen tussen app wachtwoorden en service wachtwoorden, dan kies ik liever de eerste. Maar als je me wilt overtuigen wat er verder nog voor beveiligingsmogelijkheden in inzichten zijn, dan probeer vooral. Zeker voordelen tegenover de concurrentie zijn altijd welkom bij een dergelijke discussie

[Voor 3% gewijzigd door MisteRMeesteR op 10-08-2021 20:23. Reden: Quote aangepast]

[mailfence]

Martinspire schreef op maandag 9 augustus 2021 @ 19:36:
[...]
Ja klopt, maar dan is het voor heel imap. Het is wel een stap in de goede richting, maar meer "service-wachtwoorden". Dus dan gebruik je alsnog overal hetzelfde en kun je ook niet echt makkelijk een device uit zetten. Stel je mobiel wordt gejat, dan kun je niet even snel dat wachtwoord uitschakelen maar moet je meteen al je devices opnieuw inloggen. [...]

Ja. Service password is generiek voor een bepaald protocol. We hebben op dit moment geen plannen om het specifiek te maken voor elk clientprogramma. Misschien doen we dat in de toekomst (in het licht van extra veiligheidsvoordelen).

[...]
Verder had ik niet het idee dat er inzicht werd gegeven in actieve sessies (en je dus snel kunt zien of er iemand meeleest op een device die je niet herkent), maar ik ben al snel verder gegaan met de volgende bekijken dus misschien heb ik wat gemist. En ook hier werd niks gemeld over verificatie van nieuwe devices of iets dergelijks. [...]

Wij ondersteunen momenteel geen lijst van actieve sessies, en de mogelijkheid om ze individueel te beëindigen. We zijn wel van plan om hieraan te werken.

Belangrijk om op te merken is dat we meerdere protocollen ondersteunen, zoals SMTP-IMAP/POP, EAS, xDAV, XMPP, en de term "sessie" betekent in elk protocol iets anders, vandaar dat het niet eenvoudig is om een dergelijke functionaliteit te ondersteunen.

[desmond]

Interessant topic.

In ieder geval heb ik er nog geen gevonden die nog een beetje let op privacy en security. Sowieso valt het aantal hosts me wel tegen

Greenhost.nl zit in Nederland en zet zich in voor duurzaamheid, openheid en privacy - maar dekt niet al jouw requirements af.

[Martinspire]

desmond schreef op dinsdag 10 augustus 2021 @ 15:04:
Interessant topic.

[...]

Greenhost.nl zit in Nederland en zet zich in voor duurzaamheid, openheid en privacy - maar dekt niet al jouw requirements af.

Hosts zijn er genoeg, maar het gaat hier vooral om email hosting en dan ook meer voor consumenten dan bedrijven. En inderdaad, Greenhost valt wel af op wat andere punten.

[ThinkPad]

@Martinspire heb je inmiddels een keuze gemaakt en de boel ingericht? Ben wel benieuwd wat het uiteindelijk is geworden

[Martinspire]

ThinkPadd schreef op donderdag 2 september 2021 @ 13:38:
@Martinspire heb je inmiddels een keuze gemaakt en de boel ingericht? Ben wel benieuwd wat het uiteindelijk is geworden

Uiteindelijk na dubben en testen is het toch Fastmail geworden. Deze is wat privacy en onafhankelijkheid wel wat minder dan de 2 anderen die ik nog over had, maar voelde wel aan als een dienst die af was. Dus geen schermen nog in oude systemen en na 2 jaar nog geen verandering. Verder was ie ook het gebruiksvriendelijkst, service reageerde het snelst en gaf me meteen wat extra korting. En hoewel de data in de VS staat met het bedrijf zelf in Australië, was ie vreemd genoeg ook de snelste. Ik zat nog te denken over encryptie van email maar voorlopig gebruik ik dat toch niet en ik ga toch geen gevoelige gegevens via mail sturen. En daarbij ben je van de overheidsdiensten toch niet af, ook al host je je gegevens in Noorwegen.

Een ander ding is dat Vivaldi er een tijdje geleden mee samen is gaan werken om mail aan te bieden. Vivaldi browser gebruik ik zelf al een tijdje en ben ik ook erg tevreden over. Het feit dat ze de goedkeuring en samenwerking krijgen, geeft me ook wel aan dat het geen verkeerde partij is. En daarnaast zag ik ze ook al vaker gemeld worden bij een aantal andere diensten en dergelijke dat het me toch wel een goed gevoel gaf, ook al staat je data dan dus in de VS.

Vooralsnog tevreden over de dienst. Nog geen problemen ervaren.

Zou ik wel een specifieke app gebruiken van mailboer voor die beveiliging en 2FA, dan had ik er niet voor gekozen, maar omdat ik mn mail in 1 app wil hebben, is dit voor nu de beste optie voor mij.

[Voor 6% gewijzigd door Martinspire op 02-09-2021 14:10]

[3_s]

Hoe tevreden ben je nu van Fastmail?
Ik wil zelf ook af van Google, niet echt van MS.
Maar weet niet goed naar waar.

O365 is voor mij ook nog een optie.

[Martinspire]

Heb eigenlijk weinig problemen met fastmail. In het begin had ik nog heel af en toe dat mail niet aankwam van mensen waarvan ik wist dat ze me mailden, maar de laatste maanden eigenlijk geen last meer van.

Heb ondertussen Google Workspaces vaarwel gezegd en ben echt definitief over met al mn adressen (aliassen). En qua uptime, site functionaliteit en snelheid eigenlijk geen issues. Het is jammer dat ze nog in de VS hosten, maar verder gaat het wel goed. Heb verder ook niets meer gevonden wat een beetje in de buurt komt qua gebruiksvriendelijkheid en usability. Veel privacy-vriendelijke oplossingen zijn vooral bezig met ontwikkelen maar er komt gewoon weinig af. Of ze schermen alles af met een eigen app waardoor je alles weer apart hebt staan.

Overigens nog wel een tip voor Android client: Aquamail. Gebruik het al jaren en werkt gewoon enorm fijn om alles bij elkaar te hebben en veel in te stellen. Lekker swipen door email, altijd in je gezamelijke folder komen (ook al kom je vanuit een notificatie) en werkt erg snel.