Descubrimos que Claws Mail, el cliente de correo electrónico de Tails, almacena copias en texto plano de todos los correos electrónicos del servidor IMAP remoto, incluidos los que se supone que están cifrados.

• Al enviar un correo electrónico, Claws Mail lo copia en texto plano en la cola de envío del servidor IMAP antes de cifrarlo. Claws Mail borra esta copia en texto plano después de enviar el correo.
• Los borradores de Claws Mail están en texto plano en el servidor. Un correo electrónico puede guardarse como borrador:
  • Manualmente, pulsando el botón Borrador al redactar un correo electrónico.
  • Automáticamente si has seleccionado la opción guardar automáticamente el mensaje en la carpeta Borrador en las preferencias de escritura. Esta opción no está seleccionada por defecto en Tails.

Todos los usuarios de Claws Mail que utilicen IMAP y su complemento OpenPGP están afectados.

Los usuarios de Claws Mail que utilizan POP no se ven afectados.

Desgraciadamente, aún no hemos podido solucionar el problema automáticamente y para todo el mundo. Esto requeriría modificar Claws Mail o migrar a una aplicación diferente. Consulta la sección de soluciones para resolver este problema en tu configuración y, por favor, advierte a los demás a tu alrededor.

Soluciones

Verifica el contenido de tu carpeta Borradores.

En primer lugar, comprueba el contenido de la carpeta Borradores del servidor, ya sea a través de Claws Mail o de la interfaz web de tu proveedor de correo electrónico. Elimina cualquier correo electrónico en texto plano que pudiera haberse almacenado contra tu voluntad en esta carpeta hasta ahora.

A continuación, aplica una de las otras dos soluciones para evitar más fugas en el futuro.

Utiliza POP en lugar de IMAP

Claws Mail puede conectarse al servidor de correo electrónico utilizando los protocolos IMAP o POP.

• Con IMAP, Claws Mail se sincroniza constantemente con el servidor y muestra los correos electrónicos y carpetas que están almacenados actualmente en el servidor. IMAP es más adecuado si accedes a tus correos desde distintos sistemas operativos.
• Con POP, Claws Mail descarga los correos que están en la bandeja de entrada en el servidor y posiblemente los elimina del servidor. POP es más adecuado si sólo accedes a los correos electrónicos desde Tails y los almacenas en el volumen persistente.

Para saber más, consulta también esta página de ayuda de Yahoo! sobre la comparación de las diferencias entre POP e IMAP.

POP no se ve afectado en absoluto por este problema de seguridad. Cuando se usa POP, sólo se envían al servidor correos electrónicos encriptados. Así que considera cambiar a POP si tienes una cuenta de correo dedicada a tus actividades en Tails. Para ello:

1. Elige Archivo ▸ Añadir buzón ▸ MH… para crear un buzón local donde descargar tus correos electrónicos.

2. To store the mailbox in the persistent volume, specify .claws-mail/Mail as location. Make sure to type the . before claws-mail/Mail.

   

3. Choose Configuration ▸ Edit accounts…, select your IMAP account in the list of accounts, and click Delete to delete it. Doing so does not delete any email stored on the server.

4. Click New and configure this new account as specified by your email provider.

   • In the Basic tab, make sure that the Protocol option is set to POP3.

   • In the Receive tab, click on the Browse button of the Default Inbox option and select the Inbox folder of the mailbox that you created in step 2.

     

   • If you want to keep a copy of the received emails on the server, verify the preferences in the Receive tab. We recommend you to disable the Remove messages on server when received option until you make sure that the emails are stored in the persistent volume.

5. Close the preferences dialog and the list of accounts to go back to the main window of Claws Mail.

6. Click on the Get Mail button to download all emails from the inbox on the server. Emails in other folders are not downloaded.

Use local Drafts and Queue folders

If you want to continue using IMAP, you should configure your IMAP account to use Drafts and Queue folders stored in Tails instead of on the server. To do so:

1. Choose Add mailbox ▸ MH… to create a local mailbox where to save your drafts and queued emails.

2. To store the mailbox in the persistent volume, specify .claws-mail/Mail as location. Make sure to type the . before claws-mail/Mail.

   

3. Choose Configuration ▸ Edit accounts…, select your IMAP account in the list of accounts, and click Edit to edit its preferences.

4. Select Advanced in the left pane.

5. Select the Put queued messages in option, click Browse, and select the Queue folder of the MH mailbox.

6. Select the Put draft messages in option, click Browse, and select the Drafts folder of the MH mailbox.

Long term solution

As for the possible long term solutions to this problem, we are considering:

• Getting the development team of Claws Mail to fix the problem upstream. We contacted them about this problem already. Please help them provide a technical solution if you can.

• Replacing Claws Mail with Icedove (the name of Mozilla Thunderbird in Debian). We have been willing to do so for years and this problem motivates us to move faster.

Technical details

Leak through the sending queue

When sending an email from an IMAP account, Claws Mail does the following:

1. It connects to the IMAP server and stores a plaintext copy of the email in the Queue folder on the server.

2. It encrypts the email locally.

3. It sends the encrypted email through the SMTP server.

4. It connects to the IMAP server and stores an encrypted copy of the email in the Sent folder on the server.

5. It connects to the IMAP server and deletes the plaintext email saved in step 1 from the Queue folder.