Conversation

Sur le choix d'un service mail, plusieurs points, parce que de plus en plus de fournisseurs sont menteurs directement ou par omission

- Certains insistent sur le "chiffrement" pour apâter le client mais il est absolument impossible de garantir qu'un mail ne puisse pas être intercepté, même s'ils le voulaient réellement. Par exemple pour Proton, les mails arrivent bien en clair à leur service, sauf s'ils sont chiffrés p. ex. avec PGP, ce qui nécessite des connaissances techniques et des outils *sur le poste de l'expéditeur et du destinataire*. Ils disent par la suite les chiffrer avec une paire de clés qu'ils ne détiennent pas, rendant le déchiffrement du mail impossible une fois stocké, mais toujours interceptable avant son chiffrement puisque le mail arrive en clair.

- Le chiffrement des mails en transit est un standard dans l'industrie (https://transparencyreport.google.com/safer-email/overview). Insister sur une pratique adoptée par 99% de l'industrie est trompeur

- Dans tous les cas, il est inutile de penser qu'on peut échapper à la surveillance gouvernementale. À la surveillance privée pourquoi pas, si le fournisseur affirme ne pas collecter de données qui ne seraient pas utiles pour le bon fonctionnement du service, mais aucun fournisseur refusera d'exécuter une demande d'un État : cela engagerait leur responsabilité, ce que je doute qu'ils fassent pour 5€/mois. Idem pour les VPN. La seule chose qui est possible c'est de respecter une législation protectrice si elle existe dans la juridiction en question

- Riseup est une mauvaise idée : concentrer tous les mails d'organisations militantes est un point facile d'attaque et de récupération des données puisque tout est concentré au même endroit

Au contraire, certains fournisseurs expliquent ce qu'il est possible et pas possible de faire. En réalité j'en connais un seul et c'est Migadu : https://migadu.com/procon/

Et pour le point des demandes d'interception ou de divulgation de données par des organisations étatiques, il est peut-être même plus opportun de se tourner vers un "gros" fournisseur, comme Apple, Google, Fastmail, qui auront plus de capacité juridique à évaluer si une demande est légale ou non et s'ils doivent y répondre ou non, ce qui est leur seul levier d'action pour ce type d'interceptions/divulgations