Proton Mail a Gmail chrání jinou část cesty: rozhoduje adresát zprávy

Proton Mail automaticky koncově šifruje tělo zprávy a přílohy mezi účty své služby. Při běžném odeslání z Protonu na Gmail se tato ochrana nepřenese až k příjemci: spojení chrání TLS, ale obsah může zpracovat Gmail. Přehled šifrování Proton Mailu rozlišuje ochranu mezi vlastními účty od doručení do cizí schránky.

Gmail standardně používá TLS pro přenos zpráv, což není koncové šifrování obsahu. Nápověda Gmailu popisuje také S/MIME pro pracovní a školní účty; u něj záleží na nastavení a na tom, kdo drží dešifrovací klíč. Při výběru služby proto rozhoduje nejen schránka odesílatele, ale i služba příjemce a skutečně použitý režim zprávy.

Proton Mail → Proton Mail: ochrana obsahu pokračuje až k příjemci

Pokud si píší dva uživatelé Proton Mailu, tělo zprávy a přílohy jsou automaticky koncově šifrované. Čitelný obsah získají účastníci konverzace, zatímco provozovatel schránek nemá klíč k jeho běžnému otevření. Pro tým, který používá účty u Protonu na obou stranách, je to výchozí režim komunikace: kolegové si kvůli každé zprávě nemusí předávat certifikáty ani heslo.

Hranice vede mezi obsahem a údaji potřebnými pro doručení. Předmět a adresy odesílatele i příjemce jsou u Protonu šifrované, ale ne koncově jako tělo a přílohy. Předmět tedy není vhodné místo pro citlivou informaci. Poskytovatel navíc při provozu služby zná část metadat, například adresy účastníků a časy zpráv; soukromí obsahu neznamená anonymní komunikaci.

Rozhodující je účet, přes který zpráva skutečně putuje, nikoli jen to, že člověk otevřel aplikaci Proton Mail. Vlastní adresa na doméně spravované Protonem může být součástí chráněné komunikace mezi jeho uživateli. Jakmile ale jeden z účastníků používá běžnou externí schránku, je třeba posoudit další úsek trasy samostatně.

Proton Mail → Gmail: TLS končí u cílové služby

Při obvyklém odeslání z Proton Mailu na běžnou adresu Gmailu chrání TLS spojení mezi poštovními systémy. Na konci tohoto spojení Gmail zprávu přijme v podobě, s níž může pracovat: doručit ji do schránky, filtrovat a uchovat. Obsah tedy může být pro poskytovatele cílové schránky technicky dostupný, přestože jej během zabezpečeného přenosu nemůže číst náhodný pozorovatel na síti.

Proton ukládá svou kopii zprávy se šifrováním bez přístupu k uloženému obsahu. To však neurčuje, jak je chráněna kopie v Gmailu. Pokud se konverzace týká citlivých údajů, ochrana složky Odeslané u odesílatele nestačí k posouzení celé výměny. Stejná zpráva má po doručení dvě odlišná prostředí a každé se řídí vlastními klíči a pravidly.

Koncové šifrování lze zachovat i při komunikaci s někým mimo Proton, pokud odesílatel zvolí zprávu chráněnou heslem nebo má příjemcův veřejný klíč pro PGP. U heslové varianty příjemce otevírá obsah zvláštním postupem; heslo je rozumné sdělit jiným kanálem než e-mailem, do kterého přišlo upozornění. U PGP musí mít příjemce připravený vlastní klíč a způsob, jak zprávu dešifrovat. Obojí vyžaduje spolupráci adresáta.

Gmail → Gmail: stejná služba sama nestačí

U běžné výměny mezi dvěma schránkami Gmailu se používá standardní ochrana TLS. Ta chrání zprávu při přenosu, ale její tělo není automaticky uzamčeno klíči, které mají výhradně odesílatel a příjemce. Google může s doručeným obsahem technicky pracovat. Shodná značka obou schránek proto u Gmailu neznamená totéž co automatické koncové šifrování mezi účty Proton Mailu.

Opačný směr, tedy běžná zpráva z Gmailu na Proton Mail, tento rozdíl dobře ukazuje. Přenos může být chráněn TLS a Proton doručenou kopii následně uloží se šifrováním bez přístupu k obsahu. Zpráva ale nebyla koncově šifrovaná už při odeslání z Gmailu; na straně odesílatele může dál existovat čitelná kopie. Soukromí příchozí schránky zpětně nemění ochranu u služby, odkud zpráva vyšla.

Pracovní Gmail se S/MIME: důležitá je správa klíčů

Pracovní a školní účty Gmailu mohou vedle TLS používat S/MIME. Nestačí však samotná firemní adresa: organizace musí režim zavést a pro šifrovanou výměnu musí být dostupné odpovídající klíče příjemců. Pokud si dvě firmy vyměňují zprávy a druhá strana nemá potřebný certifikát, nelze koncové šifrování vyvodit jen z toho, že první firma má S/MIME ve svém prostředí.

U hostovaného S/MIME spravuje kopii klíče Google. Příjemce s odpovídajícím klíčem může obsah otevřít, ale tato konfigurace nevytváří stejnou hranici vůči Googlu jako šifrování na straně klienta. V klientské variantě drží jedinou kopii klíče organizace a Google obsah zprávy otevřít nemůže. Pro posouzení soukromí vůči poskytovateli je tedy přesnější otázka „kdo drží klíč“ než prostý údaj „podporuje S/MIME“.

Migrace a přeposílání: původní schránka zůstává součástí trasy

Jednorázový import staré pošty do Protonu se liší od trvalého propojení Gmailu přes Easy Switch. Při propojení nové zprávy dál přicházejí nejprve do Gmailu a pak se automaticky předávají do schránky Proton Mailu. Zásady soukromí Proton Mailu uvádějí i druhou stranu této funkce: zprávy z propojené adresy pro příjemce mimo Proton procházejí servery Gmailu s obsahem dostupným Googlu.

Je tu důležitá výjimka. Když si píší lidé, kteří oba používají Proton Mail, mohou být jejich zprávy koncově šifrované a doručené uvnitř Protonu i při použití propojených adres Gmailu. Samotná koncovka adresy tedy není úplným testem; záleží na tom, zda ji na obou stranách skutečně obsluhuje Proton. U adresáta mimo tento systém se zpráva z propojeného Gmailu vrací na běžnou trasu přes Google.

Migrace také neodstraní automaticky staré kopie z původní schránky. Přepošle-li příjemce později chráněný obsah do externího Gmailu, vznikne další doručení s jinou hranicí přístupu. Pro malý tým je proto podstatné, kde mají adresy lidé, kteří si píší nejčastěji, a jaký postup zvládnou externí partneři.

Přečtěte si také:

• Signal, nebo WhatsApp: zprávy šifrují oba, metadata je rozdělují
• Číst pracovní e-mail nestačí oznámit: nutný je závažný důvod
• Azure, nebo Google Document AI: účet rozhodne typ dokumentu i chybné pole