Dotaz: VPS - šifrování pošty

[SE]

Dobrý den, chtěl bych se zeptat jak nejlépe šifrovat poštovní schránky na VPS ?

Mam pronajatý VPS, Centos, Postfix, Dovecot maildir, disk není rozdělěn na více oddílů. Chtěl bych použít EncFS a šifrovat s tím /home, ale nevím jestli to je dobrá volba. Je jasné, že připojení šifrovaného adresáře s poštou by se muselo udělat ručně po startu serveru.

Když si poskytovatel VPS udělá snapshot běžícího serveru tak se k těm datům asi stejně dostane, nebo ne ?

Děkuji.

---

---

Odpovědi

[the.max]

Pošta(zpráva) u níž je požadována důvěrnost a důvěryhodnost by snad měla být šifrována již při samotném odesílání veřejným klíčem adresáta a podepsána privátním klíčem odesílatele? V opačném případě i kdyby byla na filesystému bezpečně uložena, skrz Internet a tudíž i infrastrukturou poskutovatele VPS prošla v otevřené podobě.

[Jendа]

Dobrý den, chtěl bych se zeptat jak nejlépe šifrovat poštovní schránky na VPS ?

PGP na klientech.

Když si poskytovatel VPS udělá snapshot běžícího serveru tak se k těm datům asi stejně dostane, nebo ne ?

Samozřejmě, že dostane.

[SE]

Jako klien se používá převážně webmail veverka, IMAP. Tady bych řek že PGP na klientu asi nepůjde.

Moje představa je taková, že zprávu přijme postfix projde to přes amavis, clam, spamassassin a vrátí se to postfixu a ten to uloží do schránky která bude šifrovaná. O šifrování se postará na serveru EncFS.

Pokud ale snapshot za provozu data zpřístupní, tak to je na nic.

[Jendа]

Aha, no pokud jde o bezpečnou výměnu informací mezi BFU téhož serveru, tak alespoň máme vyřešený ten problém s odposlechnutím komunikace mezi mailservery nebo na druhé straně.

Bohužel VPS se na tohle fakt nehodí; pokud jsou to ještě důvěrnější informace, asi bych se bál i dedikovaného serveru (pronajatého). Nemůžeš někam strčit třeba RaspberryPi (~1000 Kč)? Pokud tam nikdy nebude víc než řekněme 10 uživatelů současně, mělo by to výkonově stačit a jako konektivita by tomu měl stačit i domácí megabit.

Ještě bych se bál, že pokud jde o BFU, kteří nejsou schopní používat PGP, budou mít zavirovaný počítač a tedy zde bude hrozit krádež dat přes útok na ně.