Om Gmail säger att ett mejl är krypterat, går det att lita på?

I ett mejl kan det stå:
mailed-by: zendesk.com
signed-by: zendesk.com
security: Standard encryption (TLS)

Jag har lärt mig att man aldrig i förväg vet hur ett mejl kommer skickas, vilka servrar det passerar, och hur dessa är konfigurerade. Därför kan ett mejl passera en osäker punkt någonstans på vägen, och kryptering hela sträckan är ingen garanti man kan ge i förväg. Samtidigt har de flesta stora eposttjänster idag infört kryptering, och då bör man i många fall kunna lita på att innehållet är skyddat hela vägen, åtminstone mellan dessa större tjänster som sköter sig säkerhetsmässigt.

Jag har även lärt mig att om jag får ett mejl där informationen ovan finns med, dvs att mejlet är krypterat och signerat, då har åtminstone det specifika meddelandet anlänt till mig på ett säkert sätt, och jag kan säga med säkerhet vem avsändaren är, dvs angiven domän går att lita på. (Sen lagras ju mejlet i klartext hos min epostleverantör, med de integritetsrisker det kan innebära).

Det jag nu önskar fråga är om min uppfattning ovan är korrekt. Om det står att mejlet är krypterat och signerat, innebär det att hela kedjan - från deras avsändande server till min epostleverantörs server - går att lita på, eller skulle det trots allt ha kunnat passera någon osäker (okrypterad) punkt på vägen?
Skulle innehållet ha kunnat förvanskats på vägen?
Om en server är felkonfigurerad, kan det då finnas med den lugnande informationen jag citerat högst upp, trots att det inte stämmer i verkligheten?

Låt oss säga att NSA eller FRA avläser all trafik som passerar över landsgränser som är okrypterad, hade jag då med informationen ovan kunnat utgå från att detta mejl aldrig passerat en landsgräns i okrypterat skick?
(Huruvida NSA har bakdörrar hos diverse epostleverantörer är en annan fråga, som vi kan bortse från här).

 

[Ska man vara petig så är det inte mejl som krypteras i detta fall utan anslutningen mellan datorer. För kryptering av mejl talar vi S/MIME, PGP, GPG etc.] Instämmer i att det är svårt/omöjligt att veta hur det ser ut längs vägen, och på slutdestinationen, i många fall (det är därför t.ex. "läskvitton", något jag aldrig använder, eller "leveranskvitton" kan vara så opålitliga, antingen ignoreras (anv. kan även ställa in om accepterar) eller "kastas om").

Det enda jag utgår från (numera, inte för 30 år sedan) är att lösenord är någorlunda krypterat, dvs när förfrågan, "poll", sker om nya mejl har kommit, samma när något skickas (numera kräver väl de flesta det [verifiering innan], så att det inte bara går trycka iväg mejl via ngn server). Att innehållet skyddas? Inte alls, eller i bästa fall med ROT13. Eller nja, det har blivit avsevärt bättre vad det verkar, det mesta går nog över TLS.

Jag tror inte man kan garantera att alla anslutningar alltid har varit krypterade. Man brukar väl skilja på 'forced TLS' och 'opportunistic TLS'. Om alla länkar har och kräver kryptering för uppkopplingen så fungerar det väl.

Ville jag se säkerhet av någon magnitud vore väl valet lokalkryptering, som sedan skickades iväg i ett mejl.

Apropå ursprung och oförvanskat; det finns ju något som heter DomainKeys Identified Mail (DKIM), och man brukar se 'DKIM-Signature' i header, men är normalt inget som presenteras direkt i e-postklientens gränssnitt, och som kan bekräfta/validera ursprunget, och att det inte har ändrats (åtminstone i teorin så vitt jag förstår).

Har förstått att en del hävdar att 90-95 % använder STARTTLS. (Opportunistic TLS, som alltså "uppgraderar" en okrypterad anslutning till krypterad, men det har funnits attack-vektorer för man-in-the-middle som kliver in och låtsas att TLS inte finns, och meddelandet ändå skickades; ett skydd mot det var att kräva TLS (i e-postklientens inställningar) för anslutningen.)