Reno schreef: ↑13 nov 2020, 20:27
Dit is niet alleen moeilijk voor Antagonist om te regelen; dit is helemaal niet te regelen. Voor geen enkele host. Zo werken de mail protocollen simpelweg niet.
Dat is niet helemaal correct. Technisch gezien zou MFA aangezet kunnen worden, met app-specifieke wachtwoorden voor de IMAP/SMTP clients. De omgeving waar je deze wachtwoorden kunt genereren, bijvoorbeeld in "Mijn Antagonist", zou voorzien kunnen worden met MFA via TOTP-tokens of nog beter WebAuthn. Populaire IMAP en SMTP daemons bieden ondersteuning voor app-specifieke wachtwoorden, zie bijvoorbeeld
deze random post voor Dovecot.
Echter: een dergelijke implementatie is helaas erg complex om te implementeren. Ik denk dat een interessante vraag is of de moeite opweegt tegen de voordelen. Puur hypothetisch, met een RCE-kwetsbaarheid in bijvoorbeeld Exim (
1,
2) die volledige 'overname' van de server mogelijk maakt, maakt MFA geen verschil.
Zelf maak ik gebruik van een andere oplossing: ik download alle mail van de server en verwijder het vervolgens. Zelfs als mijn mailbox gehackt zou worden, valt de schade mee. Het is dan hooguit enkele dagen, in plaas van een archief van jaren. Bij mijn weten zijn er geen applicaties die dit met enkele klikken doen - maar is het iets meer moeite om dit te realiseren.
Een interessante ontwikkeling is
DIME. De developers hebben
een talk gegeven die het uitlegt op DEFCON 22. Het is een open standaard en de server (Magma) is ook volledig open-source. Echter is het nog in ontwikkeling en niet klaar voor een productie-omgeving.
Last but not least, er is ook een alternatief voor ProtonMail, het Belgische
Mailfence. In tegenstelling tot PM bieden zij wel toegang tot IMAP en SMTP (met een betaald abonnement); hiervoor gebruiken ze app-specifieke wachtwoorden.