Transmission af personoplysninger via e-mail

Fra nytår træder Datatilsynets nye regler for transmission af personoplysninger via e-mail sådan rigtig i kraft.
Vejledningen er lidt uklar, der er mange “kan” og “bør” og meget få “skal” og “er”
Alt i alt, er der som databehandler mulighed for at komme galt afsted.

Tænk hvis vi havde fået simple regler i stil med:
SMTP trafik skal foregå over en TLS forbindelse.
Transmission af personoplysninger der omfatter mere end et enkelt individ skal end-to-end krypteres.

Nå, tilbage til den besværlige virkelighed.

Der er også ting i vejledningen som er helt klart beskrevet, det er f.eks altid databehandler (afsenders) ansvar at en e-mail kan sendes sikkert til modtagerens mailserver.

Det er jo klar tale, men hvordan finder man ud af om det overhovedet kan lade sig gøre?

Lad os forestille os jeg vil sende en e-mail over TLS fra dmarc.dk til datatilsynet.dk.

I Holland tager man elementær sikkerhed noget mere alvorligt end vi gør her i Danmark, på https://internet.nl kan man finde en funktion til at teste et domænes e-mail konfiguration.

Her kan du se en rapport for dmarc.dk
Så langt, så godt, min egen e-mail løsning kan godt transmittere e-mail over TLS.
Nu er det så min opgave at sikre mig jeg kan sende sikkert til Datatilsynets mailserver, her kan du se en rapport for datatilsynet.dk
Ja kønt er det jo ikke ligefrem, e-mail sikkerhed har bestemt ikke nogen høj prioritet hos Datatilsynet, men det er dog muligt at levere en e-mail over en TLS forbindelse til dem.

Så er alt vel godt, og jeg kan roligt trykke på Send knappen?
Ja og nej, Datatilsynet har ikke sikret datatilsynet.dk med DNSSEC , så jeg skal kunne leve med at min e-mail falder i forkerte hænder hvis nogen har overtaget kontrollen over indgående e-mail til @datatilsynet.dk adresser.

Datatilsynet kunne selvfølgelig bare aktivere DNSSEC for datatilsynet.dk, det tager ikke mange minutter, hos en del DNS udbydere kræver det kun et tryk på en knap.
Udfordringerne stopper imidlertid ikke her, Datatilsynets e-mail leverandør anvender heller ikke DNSSEC. Der er ikke tale om noget unikt for netop deres leverandør, heller ikke de helt store e-mail leverandører som G-Suite & Office365 anvender DNSSEC.

Jeg havde mig en god lang snak med Googles support om netop dette. Det er ikke overraskende ikke specielt nemt at få Google til at indrømme deres standard konfiguration ikke er helt sikker, på den anden side er jeg heller ikke specielt nem at slippe af med igen.

Til slut tryllede Google 4 DNSSEC signede MX hosts op af hatten til mig.

mx1.smtp.goog
mx2.smtp.goog
mx3.smtp.goog
mx4.smtp.goog

Anvender du G-Suite kan du udskifte dine eksisterende MX records med ovenstående, for at få bedst mulighed sikkerhed for at din e-mail leveres til dig.

Alt i alt:
Vi skal snart leve med nogle nye strengere regler for e-mail som skal gøre omgangen med personoplysninger mere sikker.
På papiret ser det fint ud, men i realiteten er der tale om et sminket lig.

Lidt læsestof:
DK-Hostmasters statistik over DK domæner med DNSSEC
How-to Geek om DNS Cache poisoning
Wikipedia artikel om DNS Spoofing