بوستيو

بوستيو هي شركة مزودة لخدمات البريد الإلكتروني مقرها برلين، ألمانيا، تقدم حسابات بريد إلكتروني مدفوعة للأفراد والشركات. اكتسبت الخدمة شهرة واسعة في أعقاب الكشف عن عمليات التجسس العالمية بعد عام 2013 ، ^{[ 2 ] [ 3 ]} لا سيما بفضل ميزات الأمان عالية المستوى ومستوى إخفاء الهوية النسبي الذي توفره، إذ لا تتطلب أي معلومات شخصية أثناء عملية التسجيل. ^{[ 2 ]}

يدعم Posteo بروتوكولات DNSSEC / DANE و PGP (عبر Mailvelope في واجهة الويب، التي تعمل بنظام Roundcube مفتوح المصدر ). بالإضافة إلى ذلك، يوفر المصادقة الثنائية عبر TOTP ، وشهادات التحقق الموسع ، و HPKP لاتصال HTTPS ، ومجموعة متنوعة من السمات للاختيار من بينها، بما في ذلك الوضع الداكن. ^{[ 4 ]}

في عام 2022، كان لدى Posteo أكثر من 500,000 حساب بريد إلكتروني نشط. ^{[ 1 ] [ 5 ]}

تُعلن الشركة عن خصوصيتها من خلال تصميمها . يُمكن التسجيل والدفع بشكل مجهول، ولا يتم تخزين عناوين IP الخاصة بالمستخدمين.

تُشفّر عمليات نقل البيانات بين العملاء والشركة باستمرار باستخدام بروتوكول TLS . منذ أغسطس 2013، تدعم Posteo تشفير Perfect Forward Secrecy ، سواءً لاتصالاتها الداخلية أو لعمليات النقل إلى مزودي خدمات آخرين - وكانت آنذاك من أوائل مزودي الخدمات الألمان الذين يدعمونه لجميع بروتوكولات البريد الإلكتروني. يعني Perfect Forward Secrecy إنشاء مفتاح عشوائي جديد لكل اتصال، يُستخدم لتشفير الاتصال، مما يمنع فك تشفير البيانات المُعترضة. تستخدم Posteo شهادات التحقق الموسّع لمصادقة خوادمها. منذ مايو 2014، تدعم Posteo بروتوكول DANE/TLSA ( مصادقة كيانات الأسماء المستندة إلى نظام أسماء النطاقات )، مما يُزيل العديد من ثغرات تشفير TLS، خاصةً أثناء نقل رسائل البريد الإلكتروني بين Posteo ومزودي الخدمات الآخرين. للاستفادة من الأمان الإضافي الذي يوفره DANE عند الوصول إلى الموقع عبر متصفح، يلزم تثبيت إضافة متصفح مُناسبة. تقع جميع خوادم Posteo في ألمانيا، وتُشفّر محركات الأقراص الصلبة الخاصة بها باستخدام AES. منذ أكتوبر 2015، تستخدم Posteo تقنية تثبيت المفتاح العام HTTP ، وهي تقنية تستخدمها مواقع الويب، لتأمين اتصال HTTPS بين واجهة الويب والمستخدم.

منذ نوفمبر 2014، أصبح بالإمكان تعزيز أمان الوصول إلى البريد الإلكتروني عبر الويب من خلال المصادقة الثنائية القائمة على معيار TOTP. ولمنع تجاوز هذا الأمان بواسطة برامج البريد الإلكتروني التي تستخدم بروتوكولات IMAP أو POP3 أو SMTP ، يمكن للعملاء حظر هذه الوصولات عند الطلب. ومنذ مايو 2015، أصبح بإمكان العملاء تفعيل تخزين البريد الإلكتروني المشفر اختياريًا ، بحيث يتم تشفير جميع رسائل البريد الإلكتروني المخزنة لدى Posteo بشكل فردي باستخدام كلمة مرور العميل (المُضافة إليها قيمة ملح). ومنذ يوليو 2016، أصبح بإمكان العملاء تفعيل ضمان تسليم TLS اختياريًا ، بحيث لا تُرسل رسائل البريد الإلكتروني الصادرة إلى خوادم مزودي الخدمة الآخرين إلا في حال توفر اتصال مشفر. ومنذ أغسطس 2016، تعرض واجهة البريد الإلكتروني عبر الويب ما إذا كان مسار الإرسال مؤمنًا بواسطة DANE قبل إرسال رسائل البريد الإلكتروني.

تعتمد الشركة على المعايير المفتوحة والبرمجيات الحرة، بما في ذلك كود جافا سكريبت المستخدم على موقعها الإلكتروني وفي خدمة البريد الإلكتروني الخاصة بها. يتوفر الكود المصدري للبرمجيات التي شاركت بوستيو في تطويرها بموجب تراخيص حرة على منصة جيت هاب .  في هذا السياق، انتقدت بوستيو مبادرة "البريد الإلكتروني المصنوع في ألمانيا" منذ البداية باعتبارها حلاً مغلقاً ومعزولاً.

في التقرير السادس والعشرين لأنشطة المفوضة الفيدرالية لحماية البيانات وحرية المعلومات ، أندريا فوسهوف ، والمنشور في نهاية مايو 2017، أُشيد بشركة بوستيو دون ذكر اسمها صراحةً. فقد "طبّقت بوستيو حماية البيانات [...] بطريقةٍ مُبهرة حقًا". وفي الوقت نفسه، نشرت بوستيو تقرير التدقيق الذي استند إليه هذا التصريح، والذي أُعدّ في نهاية عام 2016. ومن بين أمور أخرى، أشاد التقرير بمسؤول حماية البيانات الداخلي والمستقل في الشركة، والذي يعمل أيضًا في دعم العملاء؛ ونظام الدفع المجهول، الذي "لا تجمع بوستيو من خلاله أي بيانات جرد"؛ وقرار الشركة بعدم تخزين "عناوين IP التي تُعرّف هوية العملاء"؛ ونظام التشفير متعدد الطبقات. وبشكل عام، "تأخذ بوستيو مبدأ تقليل البيانات على محمل الجد".

في نهاية يناير/كانون الثاني 2019، رفضت المحكمة الدستورية الاتحادية دعوى دستورية رفعتها شركة البريد الإلكتروني "بوستيو"، وأصدرت حكماً ضد ممارستها المتمثلة في عدم تخزين عناوين بروتوكول الإنترنت (IP). وبحسب الحكم، يتعين على مزود خدمة البريد الإلكتروني، مثل "بوستيو"، جمع عناوين بروتوكول الإنترنت لأغراض إنفاذ القانون إذا صدر أمر قضائي بذلك.

منذ يناير 2015، تُقدّم الشركة خدمة التشفير التلقائي للرسائل الإلكترونية الواردة باستخدام بروتوكول S/MIME أو PGP. لاستخدام هذه الميزة، يجب على المستخدمين إرسال مفتاح S/MIME أو PGP العام الخاص بهم إلى الشركة. بعد وصول كل رسالة إلكترونية، يتم تشفيرها باستخدام هذا المفتاح. لا تُغني هذه الطريقة عن التشفير التام بين الطرفين، حيث يتم تشفير الرسائل الإلكترونية فقط بعد وصولها إلى خوادم Posteo، وليس عند المرسل. لذلك، حتى مع تفعيل تشفير الرسائل الواردة، لا يزال بإمكان Posteo فحص الرسائل بحثًا عن الرسائل المزعجة، على سبيل المثال.

في نهاية ديسمبر 2015، أطلقت الشركة إضافةً مفتوحة المصدر لواجهة Roundcube الإلكترونية، تُسهّل تشفير PGP بالتزامن مع إضافة Mailvelope للمتصفح. يشمل ذلك استعلام خوادم Posteo عن المفاتيح العامة المُستقاة من مصادر مُتعددة (خوادم المفاتيح، المُدرجة في نظام أسماء النطاقات باسم OPENPGPKEY) وعرضها للاستيراد. تبقى المفاتيح الخاصة والرسائل النصية وعمليات التشفير تحت سيطرة المستخدم دائمًا. ترفض Posteo رفضًا قاطعًا حلول التشفير التي يُقدّم مُزوّدو البريد الإلكتروني دعمًا لها من جانب الخادم، مُعتبرةً إياها غير آمنة بطبيعتها.

في مايو/أيار 2014، أصبحت الشركة أول خدمة بريد إلكتروني ألمانية تنشر تقريرًا شفافًا حول أنشطة التحقيق والمراقبة. وذكرت الشركة في هذا التقرير أنها تلقت سبعة طلبات من وكالات إنفاذ القانون في عام 2013، اثنان منها صحيحان من الناحية الشكلية. وقد حظيت الشركة بدعم سياسي في هذا الشأن من شخصيات من بينهم هانز-كريستيان ستروبيل وكريستيان لانج .

في يوليو/تموز 2013، داهمت قوات الأمن مقر الشركة. ووفقًا للشركة، حاول الضباط "إجبارها على التعاون بشكل غير قانوني والإفصاح عن بياناتها". وعليه، رفعت الشركة دعوى جنائية ضد الضباط المتورطين. وذكرت الشركة أن ضباط الشرطة ادعوا حيازتهم مذكرة تفتيش ومصادرة جميع سجلات الشركة، بينما في الواقع، لم تكن لديهم سوى مذكرة لإصدار ورقة واحدة. وكان قسم التحقيقات الجنائية قد طلب من الشركة برمجة برنامج نصي يُوثّق عناوين بروتوكول الإنترنت (IP) التي يستخدمها مستخدمو Posteo للوصول إلى بريدهم الإلكتروني عند تسجيل الدخول. وكان من شأن هذا البرنامج النصي أن يُتيح تحديد عناوين البريد الإلكتروني التابعة لعناوين بروتوكول الإنترنت المعروفة لدى الشرطة.

في أغسطس 2015، نشرت الشركة تقرير الشفافية الخاص بها لعام 2014، والذي تضمن لأول مرة رسائل منقحة من سلطات التحقيق، وركز على مواضيع رئيسية مثل الكشف اليدوي عن بيانات المشتركين وفقًا للمادة 113 من قانون الاتصالات الألماني (TKG)، والرقابة العامة على إجراءات الكشف وفقًا للمادتين 113 و112 من قانون الاتصالات الألماني (TKG)، وممارسة الترخيص القضائي.

يشير تقرير الشفافية لعام 2016 (الذي نُشر في يناير 2017) إلى أن عدد الطلبات من السلطات انخفض من 48 (2015) إلى 35 (2016)، في حين أن حوالي نصف الطلبات لم تكن صحيحة رسميًا، وبالتالي تمت الإجابة عليها بالرفض وإبلاغ مسؤولي حماية البيانات المعنيين.

بحسب تقرير الشفافية لعام 2017، ارتفع عدد الطلبات الحكومية مجدداً إلى 48 طلباً (مقارنةً بعام 2015). ومع ذلك، يرى بوستيو أنه نظراً لمضاعفة عدد صناديق البريد منذ ذلك الحين، فقد انخفض معدل الطلبات لكل صندوق بريد بشكل ملحوظ.

• مقارنة بين مزودي خدمة البريد الإلكتروني

• الموقع الرسمي