O andOPT você pode rodá-lo offline se quiser, ele não precisa ficar conectado na internet, então se quiser ser hardcore e minimizar os riscos, imaginando que você é um grande alvo, acho que pode baixar o app e rodar ele offline. Mas eu não teria essa preocupação se usasse um 2FA FOSS, só me preocuparia se estivesse usando o Authy ou outro centralizado como Google Autenticador, etc.
Se o governo conseguir com que a Protonmail entregue seus dados, você ainda sim, pode estar a salvo se tiver usado para acesso pelo TOR.
Quanto à questão 2, não necessariamente, pois o PROTON Mail gera um código para o autenticador, mas o autenticador não tem como saber qual serviço ele é, ele só fica sabendo, pois você digita ou então o nome vem no QR CODE de cadastro. Você poderia pegar a chave de cadastro do OTP do PM e colocar um nome qualquer que não identifique que é do PROTONMAIL, por exemplo. Eu sempre faço isso, nunca nomeio meus 2FAs com o nome certo para dificultar ainda mais.
Se preocupar com o OTP é o menor dos problemas, por ser muito difícil o governo chegar nele. É mais fácil a PM desativar o seu segundo fator de autenticação a mando da máfia, do que o governo tentar chegar no seu 2FA. Só se você for um alvo muito grande do serviço de inteligência e eles tentem te hackear sem o auxílio da Proton, por exemplo.
Você pode usar o app da Yubikey para gerar os códigos usando a autenticação pelo dispositivo físico + senha no app, isso aumenta a segurança, pois seriam muitas barreiras para se quebrar.
___
O que eu faria se fosse você:
1 – Criaria uma conta no Protonmail usando o TOR;
2 - Não vincularia nenhum celular na conta;
3 - Usaria uma Yubikey ou app de OTP FOSS;
4 - Só acessaria esse e-mail pela rede TOR, jamais fora dela;
5 - Usaria só e-mails temporários para não deixar rastro (por mais que seja criptografado), pois isso diminuiria meu risco caso alguma agência de inteligência descobrisse minha senha e OTP, nunca se sabe;
Dependendo do que for fazer, se for muito secreto, pode também criptografar o texto dos e-mails em serviços externos que só você e a outra parte que se comunica tem a chave para descriptografar.
Muita coisa a gente acaba guardando desnecessariamente, o que aumenta nossa exposição ao risco. Se me permite, gostaria de indicar um ótimo vídeo da Naomi que fala dessa questão de usar mensagens e e-mails que desaparecem, o canal dela é muito bom: https://odysee.com/@NaomiBrockwell:4/disappearing-messages:5
privacy / Tom M ⚡️
npub17e…kclu6
2024-10-06 00:02:14
in reply to nevent1q…39a3
Author Public Key
npub17ezywdt6fvq7kfy8y4ul47wvqfx3d6mefdv0pjud34ns2hejefeqykclu6Published at
2024-10-06 00:02:14Event JSON
{
"id": "e535f901b2ba79752a65cb642162423cae3ea200e97a0d1f1e606efb2146868c",
"pubkey": "f64447357a4b01eb24872579faf9cc024d16eb794b58f0cb8d8d67055f32ca72",
"created_at": 1728172934,
"kind": 1,
"tags": [
[
"e",
"189f8a16b926b4a80347d8c43810cbd6bfbd534db274040275a57c7176879d47",
"",
"root"
],
[
"e",
"622cefe959958e3497c8e0ac13e1eb2ac33e3fc075576ae56ae44e89b275195c",
"",
"reply"
],
[
"p",
"e56993b3ed313ef502ff7fb64fc8b7d2acf789af6a094966a8cc615b62c8672e"
],
[
"r",
"https://odysee.com/@NaomiBrockwell:4/disappearing-messages:5"
]
],
"content": "O andOPT você pode rodá-lo offline se quiser, ele não precisa ficar conectado na internet, então se quiser ser hardcore e minimizar os riscos, imaginando que você é um grande alvo, acho que pode baixar o app e rodar ele offline. Mas eu não teria essa preocupação se usasse um 2FA FOSS, só me preocuparia se estivesse usando o Authy ou outro centralizado como Google Autenticador, etc.\n\nSe o governo conseguir com que a Protonmail entregue seus dados, você ainda sim, pode estar a salvo se tiver usado para acesso pelo TOR.\n\nQuanto à questão 2, não necessariamente, pois o PROTON Mail gera um código para o autenticador, mas o autenticador não tem como saber qual serviço ele é, ele só fica sabendo, pois você digita ou então o nome vem no QR CODE de cadastro. Você poderia pegar a chave de cadastro do OTP do PM e colocar um nome qualquer que não identifique que é do PROTONMAIL, por exemplo. Eu sempre faço isso, nunca nomeio meus 2FAs com o nome certo para dificultar ainda mais.\n\nSe preocupar com o OTP é o menor dos problemas, por ser muito difícil o governo chegar nele. É mais fácil a PM desativar o seu segundo fator de autenticação a mando da máfia, do que o governo tentar chegar no seu 2FA. Só se você for um alvo muito grande do serviço de inteligência e eles tentem te hackear sem o auxílio da Proton, por exemplo. \n\nVocê pode usar o app da Yubikey para gerar os códigos usando a autenticação pelo dispositivo físico + senha no app, isso aumenta a segurança, pois seriam muitas barreiras para se quebrar.\n\n___\nO que eu faria se fosse você:\n1 – Criaria uma conta no Protonmail usando o TOR;\n2 - Não vincularia nenhum celular na conta;\n3 - Usaria uma Yubikey ou app de OTP FOSS;\n4 - Só acessaria esse e-mail pela rede TOR, jamais fora dela;\n5 - Usaria só e-mails temporários para não deixar rastro (por mais que seja criptografado), pois isso diminuiria meu risco caso alguma agência de inteligência descobrisse minha senha e OTP, nunca se sabe;\n\nDependendo do que for fazer, se for muito secreto, pode também criptografar o texto dos e-mails em serviços externos que só você e a outra parte que se comunica tem a chave para descriptografar.\n\nMuita coisa a gente acaba guardando desnecessariamente, o que aumenta nossa exposição ao risco. Se me permite, gostaria de indicar um ótimo vídeo da Naomi que fala dessa questão de usar mensagens e e-mails que desaparecem, o canal dela é muito bom: https://odysee.com/@NaomiBrockwell:4/disappearing-messages:5",
"sig": "a8383dd5e3ccf9eee69f60ce0a58dd2af2c9b2485e41ea7b6839c713b9f77fa6c3eb87d2b41c48c13cf7ac68c9f55f74a42c4dc6936dda17eb149179bb2b2d5e"
}