Zabezpečení e-mailu: hlavní klíč ke všem vašim účtům
E-mailová schránka není jeden z vašich účtů, je to hlavní klíč ke všem ostatním. Přes ni se obnovují hesla, potvrzují změny a chodí kódy. Kdo ji ovládne, nepotřebuje znát vaše heslo k bance ani k e-shopu, protože si je jednoduše nechá resetovat. Přesto většina lidí věnuje zabezpečení schránky výrazně méně pozornosti než účtu v internetovém bankovnictví, kde se přitom bez telefonu nikam nedostane.
Tenhle text popisuje, proč je schránka nejcennější cíl, jak ji zabezpečit, co znamenají pojmy z nastavení, jak poznat, že se do ní někdo dostal, a jak si udělat pořádek v adresách.
Co se dá udělat s cizí schránkou
| Krok útočníka | Následek | Jak se tomu bránit |
|---|---|---|
| Reset hesel jiných služeb | ztráta e-shopů, sítí i bankovnictví | druhý faktor u těch služeb |
| Nastavení přeposílání | tichý přístup i po změně hesla | kontrola pravidel ve schránce |
| Přidání cizí adresy pro obnovu | trvalá ztráta účtu | revize obnovovacích údajů |
| Čtení historie | podklady pro cílený podvod | mazat citlivé přílohy |
| Odesílání jménem oběti | podvody na kontakty | rychlé odhlášení všech relací |
| Založení filtrů | skrytí varovných zpráv | kontrola filtrů a štítků |
Tři vrstvy zabezpečení
První vrstva je samotné přihlášení. Jedinečné heslo, které nepoužíváte nikde jinde, a nad ním druhý faktor nebo rovnou passkey, jak popisuje text o přihlášení bez hesla. Schránka by měla být první účet, kde tohle zavedete.
Druhá vrstva je obnova. Právě ta bývá slabinou, protože se nastavila jednou při zakládání a od té doby ji nikdo neviděl. Telefonní číslo, které už nemáte, nebo záložní adresa, ke které jste ztratili přístup, znamenají, že v krizi nedostanete účet zpátky.
Třetí vrstva je kontrola. Pravidelný pohled do seznamu přihlášených zařízení, do filtrů a do pravidel přeposílání. Většina napadení se neprojeví hlukem, ale tichým nastavením, které si útočník udělá, aby mu poštu chodila kopie.
Pojmy z nastavení schránky
| Pojem | Co znamená | Proč na tom záleží |
|---|---|---|
| Záložní e-mail | adresa pro obnovu přístupu | musí být pod vaší kontrolou |
| Záložní kódy | jednorázové kódy pro nouzi | uschovat mimo počítač |
| Aplikační heslo | zvláštní heslo pro starý program | obchází druhý faktor |
| Přeposílání | automatické odesílání kopií | nejčastější tichý únik |
| Filtry a pravidla | automatické třídění a mazání | lze jimi skrýt varování |
| Alias | další adresa doručující do stejné schránky | odděluje registrace |
| Aktivní relace | běžící přihlášení | rychlá kontrola napadení |
| Připojené aplikace | služby s přístupem ke schránce | zůstávají i po změně hesla |
| Šifrování při přenosu | ochrana cesty mezi servery | není totéž co šifrovaný obsah |
| Koncové šifrování | obsah čte jen příjemce | vyžaduje podporu obou stran |
Dva body z tabulky se přehlížejí nejčastěji. Aplikační hesla jsou zvláštní hesla vytvořená pro starší poštovní programy a obcházejí druhý faktor, takže staré nepoužívané aplikační heslo je otevřená zadní vrátka. A připojené aplikace mají přístup nezávisle na hesle, takže změna hesla je neodpojí.
Jak poznat, že se někdo dostal dovnitř
Nejnápadnějším signálem je zpráva o přihlášení z místa, kde jste nebyli, nebo o změně hesla, kterou jste nedělali. Následuje nečekaný výpadek přístupu, protože útočník heslo změnil.
Tišší signály se hledají hůř. Chybějící zprávy, které měly přijít, znamenají filtr, který je maže. Zprávy ve složce odeslaných, které jste nepsali. Kontakty, které si stěžují na podivnou poštu od vás. A nové pravidlo přeposílání, o kterém nevíte.
Poslední signál je nepřímý: náhlá vlna resetovacích e-mailů z jiných služeb. Znamená to, že se někdo pokouší dostat do vašich účtů a používá k tomu schránku.
Postup při napadení
Nejdřív změňte heslo a odhlaste všechny relace, protože jinak útočník zůstává přihlášený i po změně. Pak zkontrolujte a odstraňte cizí pravidla přeposílání, filtry, aplikační hesla a připojené aplikace.
Teprve potom projděte obnovovací údaje, jestli tam nepřibyla cizí adresa nebo číslo. A nakonec zapněte druhý faktor, pokud jste ho neměli. Souvislosti s reakcí na únik popisuje text o únicích hesel.
Pokud se do schránky nedostanete vůbec, zbývá obnovovací proces poskytovatele, který obvykle vyžaduje doložení dřívějšího používání účtu. Bývá zdlouhavý a proto je aktuální obnovovací kontakt tak důležitý.
Spam, filtry a odhlašování
Nevyžádaná pošta není jen otrava, ale i bezpečnostní problém, protože v zaplněné schránce se snadno přehlédne skutečně důležitá zpráva o změně hesla nebo o platbě. Pořádek v poště je proto součást zabezpečení, ne jen estetiky.
U legitimních obchodních sdělení funguje odhlašovací odkaz a služba ho podle pravidel o elektronické komunikaci musí nabídnout. U zjevného spamu se odkaz naopak nemačká, protože potvrdí, že adresa je živá a že zprávy čtete.
Účinnější než odhlašování po jednom je filtr, který obchodní sdělení odkládá do samostatné složky, a označování spamu tlačítkem, protože tím se učí i filtr poskytovatele. A u služeb, kterým jste dali adresu jen kvůli jednorázové registraci, pomůže alias, který se dá zrušit celý.
Vlastní doména jako pojistka
Adresa u velkého poskytovatele je pohodlná, ale nemáte ji pod kontrolou. Když účet z jakéhokoli důvodu zablokují, ztratíte s ním i cestu k obnově všech ostatních služeb, protože ty ověřují právě tuhle adresu.
Vlastní doména tohle riziko snižuje, protože adresu můžete přesunout k jinému poskytovateli, aniž byste ji měnili. Cenou je, že se o doménu musíte starat: hlídat platnost, protože po jejím vypršení pošta prostě přestane chodit.
Pro běžnou domácnost je to volitelné, pro každého, kdo má na e-mailu navázané podnikání nebo důležité služby, spíš rozumné. V obou případech platí, že hlídání data expirace domény patří do kalendáře.
Kolik adres a jak je rozdělit
Jedna adresa na všechno je pohodlná a riziková zároveň. Rozumné minimum jsou tři: jedna soukromá pro banku, úřady a rodinu, jedna pro nákupy a registrace a jedna pracovní. Únik z e-shopu se pak k té důležité nedostane.
Praktickou zkratkou jsou aliasy. Řada poskytovatelů umožní vytvořit další adresy, které doručují do stejné schránky, takže nemusíte spravovat víc účtů. U některých služeb funguje i přidání znaku plus a slova za jméno, což některé weby ale odmítají.
Aliasy mají ještě jednu výhodu: podle toho, na kterou adresu přišel spam, poznáte, která služba vaši adresu předala dál nebo z které unikla.
Co e-mail neumí a s čím počítat
Běžný e-mail není soukromá komunikace. Obsah je sice mezi servery obvykle šifrovaný při přenosu, ale u poskytovatele leží čitelný. Koncové šifrování, kdy zprávu přečte jen příjemce, vyžaduje podporu na obou stranách a mezi běžnými uživateli se používá výjimečně.
Odesílatel se navíc dá poměrně snadno předstírat, protože samotný protokol totožnost neřeší. Existují ověřovací mechanismy na straně domén, ale ne všechny služby je vynucují. Proto se nikdy nemá spoléhat na jméno odesílatele jako na důkaz.
Přehled a srovnání
Souhrn podle priority.
Udělejte hned
- Jedinečné heslo. Nepoužité u žádné jiné služby.
- Druhý faktor nebo passkey. Schránka první ze všech účtů.
- Aktualizovat obnovovací údaje. Číslo a záložní adresa, ke kterým máte přístup.
- Uložit záložní kódy. Mimo počítač i telefon.
Zkontrolujte jednou za čas
- Aktivní relace. A odhlásit neznámá zařízení.
- Pravidla přeposílání. Nejčastější tichý únik.
- Filtry a pravidla. Mohou skrývat varovné zprávy.
- Aplikační hesla. Stará obcházejí druhý faktor.
- Připojené aplikace. Změna hesla je neodpojí.
Varovné signály napadení
- Zprávy v odeslaných, které jste nepsali. Jasný důkaz.
- Chybějící očekávaná pošta. Ukazuje na cizí filtr.
- Vlna resetovacích e-mailů. Někdo zkouší vaše účty.
- Stížnosti kontaktů. Na podivné zprávy od vás.
- Neznámé pravidlo přeposílání. Okamžitě odstranit.
Rozdělení adres
- Soukromá. Banka, úřady, rodina, nikde jinde.
- Nákupní. E-shopy, registrace, newslettery.
- Pracovní. Oddělená od obou předchozích.
- Aliasy. Odhalí, kdo adresu předal dál.
Časté otázky
Proč je e-mail nejdůležitější účet?
Protože přes něj se obnovují hesla ke všem ostatním službám a chodí do něj potvrzovací kódy. Kdo ovládne schránku, nepotřebuje znát vaše ostatní hesla, prostě si je nechá resetovat.
Co je aplikační heslo a proč je riziko?
Zvláštní heslo vytvořené pro starší poštovní program, který neumí moderní přihlášení. Obchází druhý faktor, takže staré nepoužívané aplikační heslo funguje jako otevřená zadní vrátka. Nepoužívaná se mají odstranit.
Odpojí změna hesla připojené aplikace?
Neodpojí. Aplikace s uděleným přístupem k účtu fungují nezávisle na hesle, takže po jeho změně mají přístup dál. Musí se odebrat samostatně v nastavení účtu.
Jak poznám tiché napadení schránky?
Podle zpráv v odeslaných, které jste nepsali, podle chybějící pošty, kterou maže cizí filtr, podle stížností kontaktů a podle neznámého pravidla přeposílání. Nápadnější je jen změna hesla, kterou jste nedělali.
Co udělat jako první při napadení?
Změnit heslo a odhlásit všechny relace, jinak zůstává útočník přihlášený. Pak odstranit cizí pravidla přeposílání, filtry, aplikační hesla a připojené aplikace a zkontrolovat obnovovací údaje.
Kolik e-mailových adres mám mít?
Rozumné minimum jsou tři: soukromá pro banku, úřady a rodinu, nákupní pro e-shopy a registrace a pracovní. Únik z bezvýznamné služby se pak k té důležité nedostane a nedá se použít k obnově.
K čemu jsou aliasy?
Umožní mít víc adres doručujících do jedné schránky, takže nemusíte spravovat víc účtů. Navíc podle toho, na kterou adresu přišel spam, poznáte, která služba vaši adresu předala dál nebo z které unikla.
Je e-mail soukromá komunikace?
Není. Obsah bývá šifrovaný při přenosu mezi servery, ale u poskytovatele leží čitelný. Koncové šifrování vyžaduje podporu na obou stranách. Odesílatel se navíc dá předstírat, takže jméno v poli od není důkaz.
Text je obecný přehled k zabezpečení e-mailové schránky. Konkrétní postupy se u jednotlivých poskytovatelů liší a uvádí je jejich nápověda.
