[email:] Waarom heeft Freedom geen privacy vriendelijke POP3 optie?

Ik vind het fantastisch dat Freedom uit de puinhopen van het XS4ALL debacle is ontstaan om de “oude” waarden van XS4ALL veilig te stellen.
Zelf ben ik ook privacy driven en houd ik graag zo volledig mogelijk de controle over mijn eigen data.
Daarom heb ik thuis een eigen mailserver draaien waarop ik mijn correspondentie lokaal beheer.

Om e-mail binnen te halen zijn er twee opties: via IMAP of POP3.
IMAP is “cloud based” (al de mail staat op een server in de cloud) en POP3 is bedoeld om de mail van de server af te halen en lokaal te beheren.
De meeste internet providers (zo niet alle) bieden beide opties aan.

Wat ik nu dus niet begrijp is waarom juist Freedom alleen de IMAP optie aanbied en geen POP3.
Dit houdt mij op dit moment nog tegen om van XS4ALL volledig over te stappen op Freedom.

bij IMAP staat de mail zowel op de server als op je client. Cloud based is wat anders.

POP3 maakt het onmogelijk je mail op bijvoorbeeld zowel je telefoon als op je computer te lezen. Het is een protocol dat (IMHO) niet meer echt van deze tijd is.

Als je je eigen mailserver draait lijkt me het meer voor de hand liggen om de mail via SMTP binnen te laten komen.

2 likes

@reinoud
Zouden ze dat bij AVM ook weten? :rofl:

Ja, dat is duidelijk, maar het gaat mij er juist om dat ik de mail helemaal niet permanent op een server bij de provider (aka “in de cloud”) wil hebben staan.

Ja, dat doe ik op dit moment ook zo via mijn XS4ALL account.
Maar op de langere termijn wil ik af van SMTP van buitenaf.
Waar ik naar toe wil is een lokale mailserver die alleen ikzelf lokaal of via een eigen VPN kan benaderen. De mail haal ik dan binnen via POP3.
Dat is wat mij betreft de meest privacy vriendelijke methode.

wat is er privacy vriendelijker aan de mail met pop3 ophalen dan aan het direkt laten afleveren op je eigen mailserver? In het eerste geval zit er nog een partij tussen die de data of metadata kan zien

Met fetchmail kun je gewoon de mail expungen via IMAP, dus dan is het net als met POP3, weg.

Ik ben het met reinoud eens, POP3 is niet meer van deze tijd, je kunt hetzelfde, en meer, met IMAP.

In sommige programma’s kan je zelfs regels maken die e-mails verplaatst naar een lokale folder op het moment dat deze nieuw zijn in de inbox (op de IMAP server).
Dan heb je ook de functionaliteit dat ze niet meer op de freedom server staan.

4 likes

Ik beweer niet dat POP meer privacy vriendelijk is dan SMTP. In dat geval gaat het om de security: POP is meer secure omdat poort 25 niet aan mijn kant open hoeft te staan (poll versus push).

Ik weet dat het ook via IMAP mogelijk is om mail binnen te halen en daarna te deleten op de mail server. Dat kan bijvoorbeeld met fetchmail (onder Linux of via Cygwin onder Windows), en het zou zelfs met bijvoorbeeld een Powershell script kunnen. Maar dat zijn complexere en daardoor minder robuuste methodes dan gewoon het protocol te gebruiken dat hier van nature voor bedoeld is: POP.

Een tussenoplossing in mijn geval zou kunnen zijn om poort 25 alleen nog open te zetten voor de mail servers van Freedom (oftewel Soverin).
Maar het gaat hier niet alleen om mij maar om de juiste oplossing voor alle Freedom klanten, dus ook voor bijvoorbeeld iemand die alleen vanaf een enkele computer met een mail client verbinding wil kunnen maken via POP.

Mijn statement over privacy is dat het veel privacy vriendelijker is als de mail lokaal wordt opgeslagen en niet bij de provider (aka in de cloud).
En POP is de facto de standaard oplossing voor het ophalen van mail van een mail server om het lokaal op te slaan.
IMAP is de facto de oplossing om mail op een mail server te laten staan (meestal bij een provider aka in de cloud), en er van huis uit steeds verbinding mee te maken.
IMAP is daardoor een veel uitgebreider en veel complexer protocol dan POP. Maar daarom is IMAP nog niet beter dan POP. In tegendeel zou ik in die context juist denken dat POP beter is omdat het simpeler en daardoor robuuster is dan IMAP.
Maar het is onzinnig om ze op deze manier met elkaar te vergelijken: het zijn twee totaal verschillende protocollen met hun eigen specifieke toepassing.
Beiden protocollen stammen al uit de jaren tachtig van de vorige eeuw, dus IMAP is niet veel moderner dan POP.

Als gesteld wordt dat POP niet meer van deze tijd is dan kan dat alleen slaan op de tegenwoordig steeds prominentere aandrang van de Googles, Facebooks en Microsofts van nu om, vanwege hun grote data honger, ons naar hun cloud-based oplossingen te drijven. En daar pas ik voor.

Dus nogmaals: het zou vreemd zijn als juist Freedom alleen IMAP en geen POP zou aanbieden als optie om mail binnen te halen.

2 likes

Zelf programmeer of bouw ik niet in deze hoek, maar de genoemde …

Kan dat dan ?!?
(In de modem-instellingen van FritzBox zie ik alleen dat je een vinkje kunt zetten, dus 25 is OF open OF dicht)

Zou je dan zelfs kunnen regelen:

  • .1. poort-25 open zetten voor Freedom (Soverin)
  • .2. mail ophalen via het eenvoudige POP protocol, dat speciaal daarvoor is ontworpen in de vorige eeuw)
  • .3. mail binnen? Dan meteen poort-25 weer dicht

Dan zou poort-25 meestal dicht zijn, op die ophaalmomentjes na.

( 't Is maar een vraag van een (relatieve) leek op dit gebied )

Wat is er dan zo insecure aan lokaal een mailserver draaien en poort 25 open hebben staan? Waarom zou dat wel onveilig zijn, maar dat poort 995 op een Soverin-server openstaat niet?

Direct laten afleveren op je eigen server lijkt mij een wenselijkere situatie dan de mail eerst via een derde partij laten gaan wanneer het je puur om je privacy te doen is. Al zou ik dan wel heel veel vraagtekens zetten bij de mailsetup van de versturende partij, want die is vrijwel altijd de zwakste schakel in het geheel.

Zelf heb ik ook een FRITZ!Box (een 7490), maar die gebruik ik alleen als “modem” voor mijn Internet verbinding.
De 7490 stuurt al het inkomende verkeer rechtstreeks door naar de WAN poort van mijn“echte” firewall die erachter hangt, en in die firewall kan ik dat prima regelen, eventueel zelfs inclusief een scheduling zoals jij dat voorstelt.

Zolang mijn mail server software nog niet gehacked kan worden is het uiteraard secure, maar de realiteit is tegenwoordig helaas dat er steeds weer en steeds meer breaches worden gevonden in allerlei applicaties, die dan ook meteen worden misbruikt.
Ik heb nu nog poort 25 open staan, en als ik de mail server logs monitor schrik ik soms van de hoeveelheid malafide verbindingspogingen.
In mijn firewall heb ik al lange lijsten van malafide servers die ik standaard blokkeer.
We moeten er vanuit gaan dat de provider zijn zaken goed op orde heeft, en probeert altijd de hackers een stap voor te blijven, maar ik voel me als simpele particulier niet meer comfortabel met poort 25 open voor de hele wereld.

Als jij alleen reageert op Freedom en voor de rest onzichtbaar bent.
Dan ziet de boze wereld niet dat jouw poort 25 open staat.

Freedom biedt volgens mij technisch gezien helemaal niks aan, wat een beetje een minpunt is.

Om dit te doen (POP), moet de mailserver de email opslaan, en wachten tot iemand langs komt om de mail op te halen. Je kunt overigens tegen POP vertellen dat de email op de server moet blijven staan, maar in de regel doe je dit dus niet.
Je argument van privacy vervalt hiermee dus, want in het geval van IMAP, moet de mailserver de email opslaan, en wachten tot iemand langs komt om de mail te lezen (op te halen, te verwijderen, etc.)

Ik denk dat je een verkeerd beeld hebt van het protocol. Zoals je zelf aangeeft is het een oud protocol. Maar waarom IMAP beter bij deze tijd past, is bijvoorbeeld omdat het compressie ondersteund. Omdat het in staat is om een client te informeren wanneer er nieuwe mail is (wat veel efficienter/sneller is dan wachten tot de client opnieuw gaat ophalen hoeveel/welke mail er is), en meer van dit. Heb jij allemaal geen behoefte aan, maar het gewenste gedrag waar jij naar opzoek bent, kun je dus prima met IMAP implementeren.

Naar mijn mening, is er feitelijk geen enkel verschil op het gebied van privacy danwel security tussen POP3 en IMAP, en naar alle waarschijnlijkheid zal een POP3 oplossing ook geimplementeerd in dezelfde omgeving waar ook IMAP in zit. Achterliggende reden hiervoor is zoals hierboven beschreven dat het altijd nodig is om de email op de mailserver op te slaan. En juist hier zit het grote probleem, vandaar het voorstel om mail direct op je eigen mailserver te laten afleveren, en dus één tussenstop uit de keten te knippen.

Let op, elke tussenstop (hop) slaat je email tijdelijk op. Dit moet, om een transactie te kunnen maken. De mailserver doet zijn uiterste best om een email die het succesvol heeft aangenomen, niet kwijt te raken. Daarnaast moet een mailserver ervanuit gaan dat een email niet direct afgeleverd kan worden. Dit kan zelfs enkele dagen duren, waarbij de mailserver om de zoveel tijd opnieuw probeert. Kortom, jouw privacy is in de handen van alle tussenstoppen die gemaakt worden tussen afzender en bestemming. Freedom, of Soverin, is daarbij waarschijnlijk je minste zorg. De enige manier om hier wat aan te doen, is het gebruik van encryptie, of wanneer de inhoud publiek is, ondertekening (dat is dus geen handtekening, maar een zogeheten cryptographically signed message).

5 likes

Maar dat kan toch net zo goed bij Soverin gebeuren? Dat lijkt me nog waarschijnlijker, aangezien die eerder een target zullen zijn dan een willekeurige thuisverbinding.

Ik draai al mijn hele volwassen leven een eigen mailserver en zie ook de meest rare dingen in de logs. Ik maak me er alleen niet druk om. Na een paar keer zorgt fail2ban er wel voor dat het weer ophoudt. De reden dat je je er druk om kunt maken, is omdat je de logs van jezelf kunt analyseren. Je zou vast ook schrikken als je de Postfix logs van Soverin’s MX’en kon tailen, of die van welke mailprovider dan ook.

Dus nogmaals, ik zie niet in waarom het onveiliger zou zijn om zelf een mailserver te hosten dan dat door iemand anders te laten doen. Qua beveiliging maakt het gewoonweg geen verschil of jij nu Postfix draait of iemand anders, en qua privacy is het simpel: iedere hop extra is een extra punt waar het mis zou kunnen gaan.

2 likes

Ja, en dat is dus precies de tussenoplossing waar we het al over hadden.

Ja, dat is zo als iemand alleen zo nu en dan zijn mail via POP ophaalt met een e-mail client. Maar mijn mail server zal dat dan uiteraard met een vast interval doen, bijvoorbeeld om de vijf minuten of zo. Dus langer dan dat zal het niet op de server van de provider staan.

Ja, maar nogmaals: mijn argument is ook niet dat POP privacy vriendelijker is dan IMAP. De mail alleen lokaal opslaan in plaats van permanent op de server bij de provider te laten staan is privacy vriendelijker, en de simpelste manier om dit te bereiken is gebruik maken van het protocol wat hier standaard voor bedoeld is: POP.
Misschien had ik beter het subject van deze discussie anders kunnen verwoorden, bijvoorbeeld “Waarom ondersteunt Freedom geen POP zodat we onze e-mail eenvoudig op een privacy vriendelijke manier lokaal kunnen opslaan?” maar dan was het een te lange tekst geweest.

Uiteraard zal de mail altijd (tijdelijk) ergens onderweg opgeslagen zijn, dat is niet te voorkomen. Dus het zou nog beter zijn als er altijd encryptie bij mail gebruikt zou kunnen worden, maar dat is (in ieder geval nu nog) een utopie. Dus moeten we op zoek naar een oplossing die er voor zorgt dat dit zo kort mogelijk duurt, en dat is de mail zo snel mogelijk van de server van de provider afhalen en lokaal opslaan.

Ik heb toch wel de hoop (misschien een illusie?) dat een grote provider zoals Freedom (Soverin) dit beter in de hand heeft dan ik ooit zal kunnen.
En de hackers hebben geen idee wat er achter een open poort 25 zit: ze scannen het hele internet af, en als ze er één vinden proberen ze er in te komen.
Mijn huidige mail server draait op een sub-domain van XS4ALL (zoiets als blabla.xs4all.nl) maar als ik de SMTP logs na ga lijkt het er vaak op dat de hackers denken dat het een SMTP server van XS4ALL zelf is.

Ik zou dat niet als uitgangspunt nemen. Niet omdat ik Soverin of Freedom niet vertrouw, maar je moet nooit aannemen dat iets wel goed zit, in algemene zin.

Daarnaast denk ik dat wanneer je zelf een Debian-server met Postfix en unattended-upgrades hebt draaien, patches bij jou eerder worden doorgevoerd dan bij een groot bedrijf dat dat eerst moet uitrollen op staging, dan maintenance windows heeft voor de uitrol op productie, enzovoort.

Verder proberen poortscanners gewoon alles. Echt letterlijk alles. Het is schieten met hagel, en heel af en toe raken ze iets. Dat iemand je poorten scant is totaal geen reden om bang te worden. De kans dat ze ook daadwerkelijk een vulnerability vinden, die weten te exploiten en jou daarmee schade weten te berokkenen, is gewoon niet heel groot. Zeker niet als je zorgt dat patches automatisch geïnstalleerd worden en je server zichzelf reboot wanneer de kernel en glibc worden geupdatet.

Voor je privacy is mail direct naar je eigen server laten komen echt de beste optie. Of je nu POP3 of IMAP met auto-expunge gebruikt, is om het even. Het is het extra tussenstation dat een extra risico - op papier - vormt. En in het geval van Freedom/Soverin waarschijnlijk een even klein risico als dat een mailserver bij je thuis wordt binnengedrongen.

1 like

Tja, maar dit is dus voor POP3 of IMAP precies hetzelfde, en zodra de mail is opgeslagen, moet jij maar hopen dat hij ook weer wordt verwijderd, niet gekopieerd, etc. Kortom dit punt doet er niet toe voor wat je probeert te beargumenteren.

Oh, dus

moeten we niet opvatten dat POP3 meer privacy vriendelijker is dan IMAP. Maar daaruit volg ik dan dus dat je eigenlijk met veel tam-tam vraagt om POP3, zonder dat je daar een reden voor hebt anders dan dat het jouw voorkeur verdient.

Ja, maar zoals ik al aangegeven heb, dit is een misvatting. Als je echt over privacy bezorgd bent, dan wil je geen POP3 noch IMAP.

Dat had volgens mij geen enkel verschil gemaakt. “Waarom ondersteunt Freedom geen POP” was een goede vraag geweest, en je had een educatief antwoord gekregen. Maar omdat je blijft hameren op dat POP3 privacy vriendelijker is (terwijl je het in je eigen antwoord hierboven tegelijkertijd weer ontkend), krijg je antwoorden die ingaan op hoe je je privacy ècht kan verbeteren, maar daar wil je niets van horen.

Tja, verschil maken tussen “tijdelijk” en “permanent” is net zoiets als verschil maken tussen “streamen” en “downloaden”. Het is beide exact hetzelfde, met dezelfde risicos, alleen zijn er mensen die vinden omdat het een andere term is met een andere intentie, dat het ook daadwerkelijk verschil maakt.

Nogmaals, als je ècht met privacy bezig bent, dan pak je de suggesties van anderen in deze draad op. Blijven vasthouden aan dat POP3 beter is dan IMAP mag natuurlijk, maar dan kun je misschien beter een hotmail adresje nemen ofzo (die ondersteunen POP3 dacht ik).

Ik denk overigens dat wat je het beste kan doen een mailtje inschieten naar de helpdesk om zo officieel Freedom te verzoeken om POP3 ondersteuning. Als je dan ja, misschien, of nee terugkrijgt weet je waar je aan toe bent.

6 likes