ProtonMail — популярный сервис веб-почты с шифрованием, созданный в 2013 году сотрудниками Европейская организация по ядерным исследованиям. Серверы и штаб-квартира находятся в Швейцарии^[1]. Владелец — Proton Technologies AG (Женева, Швейцария)^[2].

История сервиса

Первая версия сервиса была создана летом 2013 года. Штаб-квартира сервиса находится в Женеве (Швейцария). Создатели сервиса — сотрудники Европейской организации по ядерным исследованиям Джейсон Стокман, Энди Йен и Вэй Сун. В разработке участвовали специалисты Гарвардского университета и Массачусетского технологического университета^[3]. Серверы электронной почты находятся в Швейцарии и, таким образом, по мнению разработчиков^[4], позволяют избежать действия американских и европейских законов. ProtonMail был создан в связи с сообщениями об усилении контроля над интернет-сообщениями, в первую очередь со стороны Агентства национальной безопасности США. Учредителями сервиса руководили, по их словам, цели обеспечить безопасность интернета и уважение к частной жизни пользователей.

Создатели ProtonMail признают, что при создании сервиса электронной почты ориентировались на дизайн и функционал Gmail, уровень безопасности Lavabit и некоторые дополнительные возможности Snapchat.

ProtonMail имел около 250 000 пользователей уже в августе 2014 года. После этого была даже приостановлена на время свободная регистрация пользователей, так как серверы не смогли справится с регистрацией новых клиентов. В настоящее время ProtonMail занимает 43 254 место в рейтинге популярности Alexa, при этом он находится на 16 989 месте в США^[5].

Возможности сервиса

ProtonMail отличается от многих других почтовых сервисов возможностью шифрования письма, прежде чем оно отправляется на сервер. Сайт ProtonMail в настоящее время предлагает только бесплатную версию, но в планах создание платных версий с большим набором функционала. Монетизация ProtonMail предполагается по модели Freemium^[6]. Письма между пользователями ProtonMail шифруются всегда автоматически. Электронное сообщение ProtonMail, направленное адресату, использующему сервис других поставщиков, могут быть зашифрованы по желанию клиента, может пересылаться в незашифрованном виде. При шифровании используется алгоритм AES-256 с паролем, который должен быть известен как адресату, так и отправителю. В электронном сообщении, полученном адресатом, находится ссылка, которая направляет к серверу ProtonMail. После перехода по ссылке получатель вводит пароль, что позволяет прочесть сообщение.

Функционал создан на JavaScript^[7]. Открытого API нет.

В настоящее время интерфейс сервиса существует только на английском языке. Планируется перевод на другие европейские языки.

Сервис успешно работает с кириллицей.

Особенности

• ProtonMail использует два пароля для входа на сервис: один для идентификации пользователя (Password), а второй для расшифровки им хранящихся на сервере данных (Mailbox Password). Вся процедура шифрования/дешифрования происходит непосредственно в браузере и на сервере ProtonMail сохраняются только зашифрованные данные. Первый пароль пользователя хранится на серверах ProtonMail (он может быть изменён по желанию пользователя), в то время как второй известен только самому пользователю, поэтому ProtonMail не предлагает возможность восстановить или изменить этот пароль. Владельцы сервиса, по их утверждению, не могут расшифровать сообщения даже в судебном порядке.
• ProtonMail обеспечивает возможность поставить дату истечения срока хранения писем. Сообщения могут быть подвергнуты самоуничтожению после определенного периода времени.
• ProtonMail использует комбинацию из двух решений шифрования: криптографии с открытым ключом (RSA) и протокол симметричного шифрования (AES).
• Двухфакторная аутентификация отсутствует, она не будет доступна и в будущем для пользователей бесплатной версии ProtonMail.
• Протокол Transport Layer Security (TLS) используется для обеспечения безопасности и шифрования всех обменов между ProtonMail и пользователями других сервисов.

Ограничения

• Поддержка POP3/IMAP/SMTP отсутствует.
• Поиск по осуществляется по имени отправителя, теме письма или по фрагментам текста тех писем, которые хранятся в электронном ящике в открытом виде.
• Отсутствует возможность создания «белого» и «чёрного» списка контактов.
• Пользователю предоставляется 500 Мб пространства для хранения данных и возможность отправления 1000 электронных писем в месяц. Планируется, что в бизнес-аккаунтах будет доступен 1 гигабайт для хранения писем и не будет ограничений на количество писем. Будет реализована и возможность создания собственного домена.
• Вложения в электронное письмо не шифруются, шифруется только текст самого сообщения.
• Пользователю предоставляется минимальные возможности редактирования текста сообщения: жирный шрифт или курсив, заголовки, списки. Возможность сложного редактирования письма предоставлена в HTML. Сложное форматирование сохраняется в случае прямого копирования заготовки сообщения из текстового процессора.
• Все письма распределяются по папкам: «Полученные», «Отправленные» и «Черновики». Существуют папки «Спам» и «Корзина». Возможность создания папок пользователем на данный момент не реализована.

Выявленные недостатки

• Программист Майк Кардвелл, специализирующийся на поисках уязвимостей в ПО, обнаружил уязвимость у сервиса ProtonMail, которая позволяла исполнить произвольный JavaScript-код на компьютере ничего неподозревающего пользователя и получить открытый доступ к его аккаунту электронной почты^[8].

Интересные факты

• 17 июня 2014 года сервис ProtonMail начал кампанию по сбору добровольных пожертвований пользователей для покупки серверов, финансирования разработок и деятельности сервиса. Целью был сбор $ 100 000 на работу по совершенствованию электронной почты^[9][10]. В качестве бонуса пожертвователям немедленно предоставлялась возможность немедленной регистрации на сервисе. Уже к 31 июля 2014 года собранные средства достигли $ 550 492. В ходе этой кампании, счет ProtonMail был заблокирован компанией PayPal 30 июня 2014 года. Представитель PayPal объявил, что PayPal заблокировал учетную запись, потому что компания сомневается в законности данного сбора средств. Блокировка счёта была снята на следующий день (1 июля 2014 года).
• Некоторое смущение пользователей сервиса вызвало символическое заявление учредителей ProtonMail в связи с делом Эдварда Сноудена о том, что они заблокировали несуществующий аккаунт snowden@protonmail.ch^[11]

Награды и оценки

• ProtonMail вышел в полуфинал MIT 100K 2014 года^[12].
• Оценка ProtonMail на сайте Cryptocoins News — 4,6 из 5 звёзд^[13].

Примечания