Chatmailserver

In de basis is een chatmailserver "slechts" een gewone e-mailserver, maar er zijn er toch ook grote verschillen. In tegenstelling tot een traditionele e-mailserver (bijvoorbeeld Google Mail-servers) heeft een chatmailserver nooit persoonlijke gegevens nodig en slaat geen berichten (permanent) op. Een chatmailserver gedraagt zich meer als de Signal-berichten server, maar heeft geen kennis van telefoonnummers en werkt veilig en automatisch samen met andere chatmailservers. Chatmailservers accepteren uitsluitend versleutelde, DKIM gewaarmerkte berichten die op de "chatmail manier" zijn opgemaakt en zijn daardoor ongevoelig voor spam. Door de versleuteling kan een chatmailserver geen berichten "meelezen" zoals Google dat bijvoorbeeld wel doet.

Snelheid

Hoewel e-mail bij velen een gedateerd en stoffig imago heeft, blijkt dit in de praktijk echter een volledig misplaatst beeld te zijn. E-mail heeft zich in de loop der tijd sterk ontwikkeld en is daarbij geëvolueerd tot een modern en razendsnel communicatie platform. Zeker in combinatie met de optimalisaties binnen chatmail doet de snelheid van berichtenuitwisseling niet onder voor die van de gangbare chat-apps. Chatmail maakt daarbij, waar mogelijk, gebruik van de push services van Apple en Google zodat de gebruiker direct een notificatie krijgt zodra er een nieuw bericht ontvangen wordt. Om de privacy te waarborgen wordt hiervoor een proxy gebruikt die alle privacygevoelige informatie stript alvorens deze naar de push service door te sturen.

Account

Voor het aanmaken van een account/profiel op een chatmailserver hoef je enkel een naam of alias op te geven. Deze is achteraf altijd aanpasbaar en geen vast gegeven. De chatmailserver genereert een willekeurig e-mailadres met bijbehorend wachtwoord dat alleen binnen de chat-app gebruikt kan worden. Toevoegen van contacten gaat op basis van uitnodiging dus je bepaalt zelf wie je in je contactlijst wilt hebben. Uitnodigingen werken met behulp van QR-codes/links die je uitwisselt met personen waar je mee wilt chatten. Zodra één van beide partijen de QR-code of link heeft geaccepteerd, wisselen de beide apps hun sleutels uit om de eind-tot-eind versleuteling op te zetten. Vanaf dan kunnen jullie berichten met elkaar uitwisselen, volledig versleuteld en zonder enige persoonlijke gegevens nodig te hebben (gehad).

Versleuteling

Het dataverkeer tussen gebruikers en chatmailservers en chatmailservers onderling is altijd versleuteld door middel van TLS1.3 of TLS1.2.

Ook de berichten zelf worden versleuteld. Daarbij wordt gebruik gemaakt van een beveiligde subset van de OpenPGP-standaard om automatische eind-tot-eind versleuteling te bieden met behulp van de volgende protocollen:

• Secure-Join om informatie over de versleutelingsinstellingen uit te wisselen via het scannen van QR-codes of uitnodigingslinks.
• Autocrypt voor het automatisch tot stand brengen van eind-tot-eind versleuteling tussen contacten en alle leden van een groepschat.

De sleutels bevinden zich uitsluitend op de client(s).

Opslag

In principe slaat een chatmailserver geen berichten op maar geeft ze slechts door, op het moment dat een bericht is afgeleverd wordt het verwijderd van de server. Indien je echter meerdere clients op hetzelfde account gebruikt dan worden berichten tot maximaal 20 dagen op de server bewaard om de diverse clients gesynchroniseerd te kunnen houden. De inhoud van de berichten is altijd versleuteld en kan alleen door de ontvanger worden ontsleuteld. Berichten worden uitsluitend permanent op de client(s) bewaard en dan uiteraard ook in versleutelde vorm. Wanneer je je aacount verwijderd dan worden alle gegevens van dit account na 90 dagen automatisch van de server gewsit.

Logging

Net als traditione e-mailservers worden door chatmailservers bepaalde gegevens gelogd. Zo wordt bijgehouden op welk tijdstip een inkomende of uitgaande verbinding is gemaakt waarbij gegevens zoals de tijd en het IP-adres worden opgeslagen (alleen niet-identificeerbare gegevens). Deze log-gegevens worden gebruikt voor het bewaken van de (goede) werking van de chatmailserver. Indien je je bedenkingen hebt bij het loggen van je IP-adres, kan je overwegen om je client in te stellen op het gebruik van een (Tor) proxy of om een VPN-dienst te gebruiken. Hoewel het technisch niet onmogelijk is, wordt er geen koppeling gelegd met inkomende en/of uitgaande e-mailadressen en wordt dit dus ook niet gelogd. E-mailadressen worden slechts bewaard zolang het bericht niet is afgeleverd en worden daarna direct gewist. Logbestanden worden na ongeveer 7 dagen automatisch gewist/overschreven.

Plussen en minnen

Niets is gratis, ook privacy kent zijn prijs. Hieronder vindt je de belangrijkste verschillen ten opzichte van reguliere chat-apps.

• je kan niet zien wanneer iemand online is (inclusief "is aan het typen" en "voor het laatst gezien")
• je kan geen updates of statusberichten plaatsen
• wijzigingen in je profiel worden pas zichtbaar bij je contacten nadat je die een bericht hebt gestuurd
• geen communities, alleen groepen waar iedereen dezelfde rechten heeft (geen "beheerder")
• (nog) geen mogelijkheid om te (video)bellen (daar wordt aan gewerkt, maar decentraal kunnen bellen is een technische uitdaging)
• andere "herrie" zolas bijvoorbeeld "stickers" ontbreekt
• backups moet je handmatig maken en worden alleen lokaal opgeslagen

Maar gelukkig geldt ook hier dat elk naadeel z'n voordeel heeft:

• account is vrij van (persoonlijke) gegevens en slechts gekoppeld aan een willekeurig gegenereerd e-mailadres
• je kan zo veel accounts aanmaken als je wil, zelfs op dezelfde client-app
• je kan een onbeperkt aantal clients op hetzelfde account gebruiken (platformonafhankelijk)
• decentraal, geen centrale server waar al je handelingenen en contacten worden bijgehouden/opgelagen (metadata)
• alles is versleuteld, zelfs een chatmailserver kan niet meelezen
• volledig gratis en open source (FOSS), er is geen sprake van een, al dan niet verborgen, verdienmodel
• contacten op basis van uitnodiging, geen last van spam of berichtjes van "dochters" die hun teleoon kwijt zijn en geld nodig hebben

Conclusie

Chatmail is een serverimplementatie die ontworpen is om de standaard e-mailinfrastructuur te gebruiken als een veilig, gedecentraliseerd en gebruiksvriendelijk berichtennetwerk. Het stelt gebruikers in staat om anonieme, pseudonieme accounts aan te maken zonder daarvoor persoonlijke gegevens, zoals bijvoorbeeld een telefoonnummerr, nodig te hebben.

De belangrijkste kenmerken zijn:

• Gedecentraliseerd en gericht op privacy: Chatmail maakt gebruik van open-source e-mailsoftware (Postfix en Dovecot) met aangepaste configuraties om privacy en veiligheid voorop te stellen. Het vermijdt single points of failure, waardoor het netwerk veerkrachtig is.
• Eenvoudige aanmelding: gebruikers kunnen direct een account aanmaken via een QR-codescan of uitnodigingslink, met een willekeurig gegenereerd e-mailadres en wachtwoord – er is geen persoonlijke informatie nodig.
• Eind-tot-eind versleuteling (E2EE): versleuteling is geen optie maar een vereiste bij het gebruik van Chatmail-servers.
• Berichten worden versleuteld met OpenPGP en de sleuteluitwisseling wordt beveiligd via QR-codes of uitnodigingslinks om man-in-the-middle-aanvallen te voorkomen.
• Beleid voor automatisch verwijderen: servers verwijderen doorgaans opgeslagen berichten automatisch (na 20 dagen) en inactieve accounts (na 90 dagen), wat de privacy verbetert.
• Pushmeldingen: Chatmail-servers zijn geïntegreerd met Apple's Push Notification Service (APN), waardoor directe meldingen op iOS-apparaten mogelijk zijn.
• Snelheid: berichten worden binnen een seconde verzonden, van begin tot eind.

Links

Chatmail homepage
Chatmailserver software documentatie
Github chatmail repository
vergelijking WhatsApp met Delta Chat