Securitywatch: dapatkah Anda menjauhkan google dari gmail Anda?

Minggu ini, saya menindaklanjuti pesan dari pembaca yang sebelumnya menulis tentang bagaimana tidak terkunci dari akun Anda ketika Anda menggunakan otentikasi dua faktor, atau 2FA. Jeremy dari Capetown juga menulis untuk menanyakan apakah mungkin menggunakan 2FA untuk mencegah Google keluar dari Gmail. Suratnya telah diedit untuk singkatnya.

Apakah ada semacam pengaturan keamanan yang dapat diterapkan seseorang yang dapat mencegah Google sendiri mengakses Gmail seseorang?

Apa Otentikasi Dua Faktor?

Untuk mengulas: otentikasi dua faktor adalah ketika Anda menggunakan dua faktor otentikasi dari daftar kemungkinan tiga: Sesuatu yang Anda tahu, sesuatu yang Anda miliki, atau sesuatu yang Anda miliki. Kata sandi, misalnya, adalah sesuatu yang Anda ketahui dan sidik jari adalah sesuatu Anda. Saat Anda menggunakan keduanya bersama-sama, Anda menggunakan 2FA.

Secara praktis, 2FA melibatkan langkah ekstra yang Anda ambil setelah memasukkan kata sandi untuk benar-benar membuktikan bahwa Anda adalah orang yang Anda katakan. Ini sering melibatkan penggunaan kode satu kali yang dihasilkan dari suatu aplikasi atau dikirim melalui SMS, tetapi ada banyak opsi lain, termasuk aplikasi tap-to-login seperti Duo atau kunci keamanan perangkat keras seperti yang dari Yubico dan produsen lain.

2FA bagus. Anda harus menggunakannya. Ini cara yang bagus untuk menjauhkan orang-orang jahat dari akun Anda, tetapi tampaknya tidak akan banyak membantu untuk mencegah Google.

Who Sees What?

Secara umum, Google tampaknya memiliki akses ke konten email Anda. Christopher Cuong Nguyen, yang mendaftarkan dirinya sebagai mantan karyawan Google, menulis di Quora pada tahun 2010 bahwa sejumlah kecil karyawan dapat mengakses konten email, dan ada jalur yang sangat diatur agar informasi dapat diambil. Sekarang, informasi ini sudah hampir satu dekade pada saat ini, tetapi itu menunjukkan bahwa ya, pada satu titik ada orang yang dapat menjangkau ke akun Gmail Anda.

Sebagai perusahaan yang taat hukum, Google mengatakan bahwa mereka diharuskan untuk memenuhi permintaan hukum untuk informasi dari pemerintah dan penegak hukum. Ini dapat mencakup konten pesan email Anda, meskipun Google menunjukkan bahwa ia berusaha untuk mempersempit ruang lingkup permintaan yang diterimanya dan memerlukan surat perintah pencarian sebelum menyerahkan foto, dokumen, pesan email Anda, dan lainnya.

Ada cara lain Google menggunakan informasi Gmail Anda. Sementara perusahaan tidak lagi memindai pesan untuk menghasilkan konten iklan khusus, itu terkenal selama bertahun-tahun. Bahkan sekarang, Gmail mem-parsing pesan Anda cukup untuk menarik dan menyoroti informasi perjalanan, dan menghasilkan saran jenis-depan ketika Anda menulis pesan. Tergantung pada tingkat kenyamanan Anda, ini mungkin benar-benar baik atau invasif liar.

Google memang tampaknya mengenkripsi email Anda, tetapi terutama saat pesan-pesan itu dalam perjalanan. Bahkan jika pesan-pesan itu dienkripsi sementara diam di server Google, jika Google mengelola kunci enkripsi - dan apa yang saya lihat menyiratkannya - Google masih dapat mengakses pesan Anda.

2FA Bukan Jawabannya

Saya bisa melihat dari mana Jeremy datang dengan pertanyaannya. Karena saya mengontrol Yubikey saya, dan Google tidak, jika saya mengaktifkan 2FA, Google seharusnya tidak dapat mengakses akun Gmail saya. Google dapat, bagaimanapun, mempengaruhi perubahan pada akun yang diamankan dengan 2FA.

Mengaktifkan salah satu akun Gmail yang tidak berfungsi, saya mengklik opsi Lupa Kata Sandi. Segera melompat opsi alternatif untuk masuk: mengirim teks ke telepon saya, menggunakan Yubikey saya, mengetuk peringatan pada ponsel yang diverifikasi, mengirim email ke alamat email pemulihan saya, menjawab pertanyaan keamanan, memasukkan tanggal saya membuat Gmail saya akun, dan akhirnya meninggalkan alamat email tempat saya dapat dihubungi oleh Google untuk mengatasi masalah saya secara langsung. Jika Google dapat memberi saya akses ke akun saya sendiri tanpa harus memiliki kata sandi atau faktor kedua, itu berarti bahwa Google dapat melakukannya sendiri.

Bahkan Program Perlindungan Lanjutan Google untuk Gmail memiliki semacam opsi pemulihan. Saat diaktifkan, Perlindungan Lanjutan mengharuskan Anda mendaftarkan dua kunci keamanan perangkat keras yang berbeda - satu untuk login dan yang lain sebagai cadangan. Jika Anda kehilangan kedua kunci, Google mengatakan ini tentang mendapatkan kembali kendali atas akun Program Perlindungan Lanjutan Anda:

Jika Anda masih memiliki akses ke sesi login, Anda dapat mengunjungi account.google.com dan mendaftarkan kunci pengganti sebagai pengganti kunci yang hilang. Jika Anda kehilangan kedua kunci dan tidak memiliki akses ke sesi login, Anda harus mengirimkan permintaan untuk memulihkan akun Anda. Perlu beberapa hari bagi Google untuk memverifikasi itu Anda dan memberi Anda akses ke akun Anda.

Secara seimbang, sepertinya 2FA - bahkan versi ekstrem yang digunakan dalam Advanced Protection - tidak cukup untuk mencegah Google keluar dari email Anda. Bagi kebanyakan orang, itu mungkin hal yang baik. Akun email adalah bagian yang sangat penting dari infrastruktur keamanan individu. Jika Anda kehilangan kata sandi atau harus mengubah kata sandi, email yang dikirim ke akun yang diverifikasi biasanya merupakan bagian dari proses. Jika penyerang mendapatkan akses ke akun email Anda, mereka bisa terus menggunakan opsi pemulihan akun di situs web untuk mendapatkan akses ke lebih banyak akun. Adalah penting bahwa pengguna memiliki sarana untuk mendapatkan kembali kendali atas akun mereka.

Pesan Sungguh Pribadi

Ketika kita berbicara tentang apa yang bisa dan tidak bisa dilihat dalam sistem pengiriman pesan, kita berbicara tentang enkripsi, bukan otentikasi. Sebagian besar layanan menggunakan enkripsi di berbagai titik dalam proses pengiriman dan penyimpanan pesan. Gmail, misalnya, menggunakan TLS saat mengirim pesan untuk memastikan pesan itu tidak dicegat. Ketika layanan pesan apa pun menyimpan kunci yang digunakan untuk mengenkripsi pesan Anda ketika pesan tersebut diletakkan di server, itu adalah asumsi yang aman bahwa perusahaan dapat mengakses pesan-pesan itu sendiri.

Jika Anda ingin menyimpan akun Gmail Anda, tetapi ingin membuat pesan Anda tidak dapat dibaca, Anda bisa mengenkripsi pesan itu sendiri. Ada banyak plug-in enkripsi untuk Chrome, atau Anda dapat mengonfigurasi Thunderbird untuk mengenkripsi pesan Anda dengan PGP, skema enkripsi yang biasa digunakan untuk email. Model Yubico yang lebih mahal juga dapat dikonfigurasi untuk mengeluarkan kunci PGP Anda, bila diperlukan.

Saya hanya akan jujur ​​dan mengatakan bahwa sementara saya yakin beberapa dari pekerjaan ini, saya tidak pernah bisa memahaminya secara memadai. Pencipta PGP terkenal mengatakan bahwa bahkan ia menemukan proses terlalu berbelit-belit untuk dipahami.

Yang mungkin lebih mudah adalah menggunakan alat enkripsi untuk mengenkripsi pesan, dan kemudian melampirkan atau menempelkan output terenkripsi ke Gmail. Anda harus mengoordinasikan proses dekripsi di ujung yang lain, tetapi konten email tidak akan dapat dibaca oleh Google, atau siapa pun yang terkait. Keybase.io adalah layanan lain yang dapat mengenkripsi, mendekripsi, atau menandatangani teks yang dapat digunakan dalam email.

Jika Anda benar-benar harus yakin bahwa tidak ada seorang pun selain Anda yang memiliki akses ke email Anda, ada beberapa opsi. Pertama dan terpenting adalah membuang Gmail. ProtonMail, dari pembuat ProtonVPN, adalah layanan yang dimaksudkan untuk menghormati privasi Anda, dan melakukannya dengan mengenkripsi semua pesan email Anda - termasuk yang Anda kirim dan terima dari orang yang menggunakan penyedia email lain. Begini cara ProtonMail menjelaskan operasinya:

Semua pesan di kotak masuk ProtonMail Anda disimpan end-to-end dienkripsi. Ini berarti kami tidak dapat membaca pesan Anda atau menyerahkannya kepada pihak ketiga. Ini termasuk pesan yang dikirim kepada Anda oleh pengguna non-ProtonMail, meskipun perlu diingat jika email dikirimkan kepada Anda dari Gmail, Gmail kemungkinan juga menyimpan salinan pesan itu.

• Otentikasi Dua Faktor: Siapa yang Memiliki dan Cara Mengaturnya Otentikasi Dua Faktor: Siapa yang Memiliki dan Cara Mengaturnya
• Bundel Kunci Keamanan Google Titan Bundel Kunci Keamanan Google Titan
• SecurityWatch: Cara Tidak Terkunci Dengan Otentikasi Dua-Faktor SecurityWatch: Cara Tidak Terkunci Dengan Otentikasi Dua-Faktor

Pilihan lain adalah melihat melampaui email. Akhir 2010 membawa banyak layanan perpesanan over-the-top, yang menggunakan koneksi data Anda alih-alih paket SMS untuk mengirim pesan antar perangkat. Dalam beberapa tahun terakhir, banyak dari layanan tersebut telah mengadopsi enkripsi ujung ke ujung, yang berarti hanya Anda dan penerima yang Anda inginkan, yang dapat membaca pesan Anda. Signal adalah yang paling dikenal, dan aplikasi yang sangat baik dalam dirinya sendiri. WhatsApp mengadopsi protokol Sinyal, dan sekarang mengenkripsi pesannya dari ujung ke ujung. Facebook Messenger, agak ironisnya, juga menggunakan protokol Signal untuk mode Pesan Rahasia-nya.

Platform Pesan Apple mungkin terkenal karena stiker dan animoji karaoke, tetapi juga sistem pesan yang sangat aman. Ini juga penting karena tidak seperti layanan olahpesan lainnya, Anda dapat mengirim dan menerima pesan di ponsel atau komputer Anda tanpa memberikan Apple akses ke konten pesan Anda.

Ketika datang untuk menggunakan Gmail, saya sarankan orang mendengarkan nyali mereka. Jika Anda sangat khawatir tentang pesan Anda yang dibaca oleh manusia atau bot, coba alternatifnya. Jika Gmail benar-benar nyaman bagi Anda, dan Anda menyukai fitur yang ditawarkannya, tetaplah menggunakannya. Mencoba membengkokkan Gmail agar benar-benar aman benar-benar mungkin, tetapi ada banyak alternatif yang lebih mudah. Terakhir, 2FA adalah solusi hebat untuk mencegah orang jahat keluar dari akun Anda, dan hanya itu saja. Saya tidak akan bergantung pada itu untuk mengunci pemilik layanan.