Il ritorno di Lavabit

Circa quattro anni fa, il fondatore Ladar Levison decise di chiudere il servizio di posta elettronica, in seguito alla richiesta dell’FBI di consentire l’accesso all’account del suo utente più importante, ovvero Edward Snowden. Levison ha ora annunciato il ritorno di Lavabit, ma questa volta nessuna agenzia governativa impedirà lo scambio di email, in quanto è stata modificata l’architettura del servizio e aggiunte nuove funzionalità per la privacy.

Il lancio della nuova versione del servizio riguarda inizialmente i vecchi account. Gli utenti devono effettuare il login mediante i protocolli POP o IMAP, in modo da rigenerare username, password e chiavi cifrate per la nuova architettura. Anche se ci sono circa 50 milioni di email sui server, l’azienda non garantisce il loro recupero, in quanto sono memorizzati in un formato differente. Lavabit non può accedere alla chiavi SSL perché vengono conservate in un modulo hardware e la passphrase usata per la loro generazione viene cancellata.

Se qualcuno tenta di accedere al dispositivo per estrarre la chiave si attiva un meccanismo che provoca la sua auto-distruzione. Il modulo hardware è comunque una soluzione provvisoria. Entro fine anno verrà infatti implementata la crittografia end-to-end. Quando il servizio sarà accessibile ai nuovi utenti, l’azienda offrirà tre tipi di crittografia basati sulla piattaforma DIME (Dark Internet Mail Environment): Trustful, Cautious e Paranoid.

La modalità Trustful prevede la conservazione della chiave cifrata sui server. La modalità Cautions offrirà la crittografia end-to-end, quindi la chiave verrà memorizzata sul dispositivo dell’utente. In questo modo sarà possibile utilizzare lo stesso account su smartphone, tablet, notebook e PC. Copie della chiave privata e dei messaggi cifrati verranno conservati sul server per consentire la sincronizzazione. La modalità Paranoid, infine, non prevede la sincronizzazione delle email. La chiave deve essere spostata manualmente, se l’utente usa un altro dispositivo, e non può essere recuperata se viene persa o cancellata.

Con la piattaforma DIME verranno oscurati anche i metadati (mittente, destinatario e oggetto), sfruttando una tecnica simile a quella usata da Tor. Se Lavabit garantirà la massima sicurezza degli utenti, Edward Snowden ha processo che ripristinerà il suo account.