For flere år siden fik jeg lyst til at bruge min statsautoriserede digitale signatur til andet end min netbank. Så jeg bøvlede dengang med at følge leverandøren TDC’s anvisninger på at få hentet mit certifikat ind i det udmærkede Thunderbird e-mailprogram, som kørte på min Linux-installation. Vejledningen gjorde eftertrykkeligt opmærksom på, at der ikke var nogen support på den anvendte plugin, og det lykkedes mig da heller ikke at få det til at fungere.
Jeg indrømmer: Vejet op mod den bekvemmelighed, som eksempelvis eksisterer med Gmail, har jeg haft svært ved at holde mig selv til krypteringsilden, selvom jeg har den største sympati for solidaritetskryptering og ved, hvor god mening det giver at undlade at sende e-mail frem og tilbage i klartekst. Et ikke uvæsentligt dilemma er, hvem det er, man skal kommunikere sikkert med, hvis man gerne vil.
Den gode nyhed er dog, at der efterhånden er opstået flere tjenester, som forsøger at opbygge mailsystemer, der både er sikre og nemme at bruge.
To af de mest markante repræsentanter for den slags produkter er schweiziske Protonmail og tyske Tutanota. Begge tjenester har jeg haft en mailkonto hos i godt et år, og mine erfaringer er ikke så ringe. Den schweiziske tjeneste glimrer mest ved at være placeret i et europæisk land med de måske bedste personbeskyttelsesregler. Men min personlige favorit er tyske Tutanota, som glimrer med en brugergrænseflade, der er så enkel og ren, at den nærmest er decideret lækker. Desuden tæller det lille femmandsfirma i Hannover også udviklere, som selv er vokset op i DDR og kender til overvågningens anatomi fra nærmeste hold.
Begge systemer er browserbaserede, og krypteringen af e-mail foregår i din webbrowser. Det betyder, at den sikre mailtjeneste kan køre på enhver device, som rummer en moderne webbrowser. Og det er utvivlsomt her, at sikkerhedskyndige vil løfte en advarende finger. Det ER jo ikke helt uproblematisk at køre JavaScript-kode i en browser. En anden sikkerhedsrisiko er selvfølgelig også, at den krypterede mailserver, hvorpå systemet kører, jo i princippet kan overtages af en ondsindet leverandør, som diskret får direkte adgang til at tilgå alt indholdet.
Min beslutning indtil videre er, at jeg vælger at tro på, at leverandøren efterlever sine egne forsikringer om sikkerheden. Jeg kan se, at der er blevet foretaget en uafhængig sikkerhedsaudit, og programkoden kan inspiceres og downloades som open source. Jeg kan læse mig til, at mine oplysninger og data opbevares krypteret, og at leverandøren angiveligt ikke kan åbne for det krypterede indhold.
Sammenligner jeg disse løfter med de vilkår, der gælder for min firma-mail og eksempelvis Gmail, ser sikkerheden ganske god ud. Jeg ser ikke absolut sikkerhed for e-mail nogen steder. Derfor er det jo en trossag, hvad jeg vælger. Men valget vil jeg selvfølgelig træffe på så oplyst et grundlag som muligt.
