Close
KR Laboratories
Digital-лабораторія
IT технологій
 UK EN
Mastodon Twitter Linkedin

У пошуках безпечного месенджера

Цифровий світ стрімко розвивається. Такі сфери як освіта, бізнес, розваги, туризм нерозривно пов’язані з інтернетом. Мобільні технології стали частиною нашого життя і впливають на добробут. Щодня мільйони виходять на зв’язок online, щоби почути і побачити одне одного. Смартфони і месенджери – стали основними каналами безперервної комунікації. Деякі з них окрім стандартного обміну повідомленнями, реалізують ще й аудіо та відео-дзвінки, обмін файлами і геолокацією, веб-конференції, місце для зберігання даних, аудіопрогравач та багато іншої всячини. Відтак постає питання безпеки. А що ми знаємо про безпеку популярних месенджерів? Наскільки добре вони захищені? Які ризики існують для користувачів? Що таке конфіденційність, приватність, анонімність? Яка різниця між Open Source і пропрієтарним програмним забезпеченням? Які бувають протоколи безпечного інтернет-зв’язку і на що вони впливають? Ми провели дослідження, аналізуючи десятки актуальних питань й матеріалів, тестуючи і оцінюючи різноманітні додатки. Тож запрошуємо ознайомитися з результатами, які включають детальний огляд проблематики, підбір кращих рішень та їх оцінку.

Зміст статті

Основні поняття і терміни

ℹ️ Щоби краще розуміти проблематику і деякі аспекти цієї статті, пропонуємо спочатку розібратись в основних поняттях і термінах, зрозуміти суть технологій, протоколів, алгоритмів шифрування, які використовуються месенджерами для обміну повідомленнями.

🔒 Месенджер – програма для обміну повідомленнями через комп’ютерну мережу. Зазвичай, повідомлення передаються між обома і більше сторонами, де кожен користувач вводить текст і ініціює його передачу одержувачу або одержувачам, які підключені до спільної мережі чи інтернету. З часом до стандартних функцій месенджера додалися нові, які суттєво розширили ареал застосування: голосові і відеовиклики (VoIP), обмін файлами, чат-боти та інші.

🔒 Пропрієтарне програмне забезпечення – це програмне забезпечення, яке має власника (або автора), якому належать усі права на програму. Власник може вносити будь-які зміни, встановлювати плату за використання, визначати умови та правила користування, накладати заборону на доступ до програми для інших осіб і так далі. Користувач у такому випадку має обмежені права і зобов’язаний погоджуватися з політикою власника та сумлінно дотримуватись правил, якщо збирається користуватися програмою.

🔒 Вільне програмне забезпебечення (GNU/Open Source) – це програмне забезпечення, яке надає будь-якому користувачу права вільно користуватись, розповсюджувати, досліджувати, модифікувати і покращувати програму. Розробниками, авторами, власниками такого ПЗ, зазвичай, виступає не одна особа, а група осіб, спільнота, громада. Кожен докладає зусиль і вносить свою лепту в розробку. У висновку, усі користувачі мають рівні права і рівні обов’язки, позбавлені будь-яких обмежень на користування програмою. А будь-які рішення чи нововведення приймаються колективно. Тут відсутня будь-яка монополія.

🔒 Конфіденційність – це властивість інформації, яка не підлягає розголосу і витоку, доступна тільки для обмеженого кола осіб, інакше кажучи секрет, таємниця.

🔒 Приватність – це комплекс заходів, які забезпечують захист чого-небудь, наприклад майна або інформації, від несанкціонованого доступу, посягання, права власності. Конфіденційність може бути одним  із заходів приватності.

🔒 Анонімність – це властивість, завдяки якій неможливо ідентифікувати, розпізнати особу або об’єкт.

🔒 TOR – це програмне забезпечення-ретранслятор (The Onion Router) для забезпечення анонімності в інтернеті. Він перенаправляє трафік через анонімну розподілену мережу серверів, розміщених по всьому світу. В основі роботи TOR – Onion-routing (“цибулева маршрутизація”), яка зашифровує і розшифровує дані по кілька разів, потім передається на наступні вузли (TOR nodes). TOR було створено у 2002 році. Проєкт спонсорувався Воєнно-морською дослідницькою лабораторією США (United States Naval Research Laboratory), а згодом, з 2004 до 2005 організацією Electronic Frontier Foundation (EFF). Для роботи з мережею можна використовувати TOR-браузер, який сумісний з різними платформами.

🔒 P2P – це однорангова “Peer-to-Peer” (пірингова) мережа, у якій немає посередників, тобто зв’язок між хостами/вузлами (нодами) відбувається напряму. Інформація, яка відправляється від одного абонента іншому не зберігається на жодних проміжних серверах. В P2P просто не існує “сервера по середині” – вузли є автономними. Сама ідея та концепція P2P була релізована ще в FIDONET. Згодом її активно використовував сервіс обміну музичними файлами NAPSTER.

🔒 I2P – це децентралізована, оверлейна, анонімна інтернет-мережа (Invisible Internet Project), яка використовує наскрізне E2EE-шифрування. Створена у 2002 році. Повідомлення в I2P розбиваються на різні зашифровані частини, через що їх практично неможливо перехопити і прочитати. В I2P відсутні центральні сервери і DNS. Для початку роботи необхідно встановити I2P-маршрутизатор.

🔒 E2EE – це наскрізне “End-to-End Encryption” шифрування, яке захищає повідомлення на обох кінцях – “відправник-одержувач”. Тут можуть використовуватися різні алгоритми шифрування, наприклад симетричний і асиметричний. Повідомлення можуть зберігатися на пристроях користувачів або на сторонніх серверах у зашифрованому вигляді.

🔒 XMPP – вільний протокол передачі даних (Extensible Messaging and Presence Protocol), заснований на XML, відповідає стандарту RFC. Розроблений у 1999 році Джеремі Міллером. Має розподілену федеративну (децентралізовану) структуру. Кожен користувач може приєднатися до вже існуючого сервера (Jabber) або розгорнути власний і стати вузлом. Незважаючи на унікальні функціональні можливості, так і не набув масового поширення – популярні месенджери вирішили не використовувати XMPP-протокол, віддаючи перевагу власним централізованим системам.

🔒 OTR – криптографічний протокол “Off-the-Record Messaging” для обміну повідомленнями між двома користувачами. Використовує комбінацію алгоритму з симетричним ключем AES, протоколу Діффі-Гелмана та хеш-функції SHA-1. Створений криптографами Ієном Голдбергом та Микитою Борисовим. Основною метою створення протоколу було бажання забезпечити надійність і секретність онлайн-спілкування без можливості запису, ніби це була приватна зустріч тет-а-тет. Застосовується в різноманітних XMPP-клієнтах (Pidgin, Kopete, Converations). Є одним з найнадійніших.

🔒 OMEMO – криптографічний протокол “Multi-End Message and Object Encryption”, заснований Андреасом Страубом, який теж застосовується в XMPP, але на відміну від OTR підтримує асинхронну передачу повідомлень. OMEMO використовує алгоритм, який забезпечує шифрування від кількох адресантів до кількох отримувачів, що дозволяє безпечно синхронізувати повідомлення між кількома клієнтами, навіть якщо деякі з них перебувають поза мережею. Аудит протоколу OMEMO>>

🔒 PGP – програмний засіб, який являє собою бібліотеку функцій для шифрування і цифрового підписування даних. Один з найбільш надійних протоколів шифрування на сьогоднішній день. Заснований Філіпом Циммерманом у 1991 році.

🔒 Signal Protocol – криптографічний протокол, створений некомерційною компанією Open Whisper Systems, засновником якої є Моксі Марлінспайк. Протокол поєднує в собі Double Ratchet Algorithm, prekeys і розширений протокол потрійного обміну ключами Діффі-Хеллмана (3-DH), а також використовує алгоритми Curve25519 , AES-256 і HMAC — SHA256. Signal Protocol в минулому застосовувався різними месенджерами, наприклад TextSecure, RedPhone, Google Alo, WhatsApp, Facebook Messenger. На ньому були також засновані протоколи Viber і Wire. На сьогодні на ньому побудований однойменний месенджер Signal. Серед особливостей і переваг Signal Protocol: конфіденційність, цілісність, автентифікація, узгодженість учасників, перевірка призначення, пряма секретність, пост-скомпрометована безпека (англ. Post-Compromise Security, відома як Future Secrecy), збереження причинно-наслідкового зв’язку, незв’язаність повідомлень, відмова від повідомлень участі, асинхронність. Доволі непоганий протокол.

🔒 Matrix – протокол передачі даних федеративного (децентралізованого) типу, заснований на JSON і за своєю суттю нагадує XMPP Jabber. Протокол може інтегруватись зі сторонніми платформами, WebRTC і VoIP. Кожен користувач може приєднатися до вже існуючого сервера (Matrix), або розгорнути власний і стати вузлом. Стандарт стає все більше популярним і являє серйозну альтернативу іншим протоколам.

🔒 DHT – система децентралізованих розприділених хеш-таблиць (Distributed Hash Table), з її допомогою можна реалізувати складні пірингові і федеративні мережі, служби доставки та пошуку інформації по різним вузлам. Інакше кажучи, DHT об’єднує в одне ціле різні хости, сервери, електронні ресурси. Перевагами цієї системи є легкість, масштабованість, відмовостійкість. Застосовується у торент-трекерах, а також федеративних і анонімних месенджерах (наприклад Tox).

🔒 PFS – метод шифрування і принцип захисту, який унеможливлює компрометацію даних, якщо буде розшифровано один або декілька ключів шифрування. Розшифровується як Perfect Forward Secrecy (Досконала пряма секретність).

🔒 RSA – криптографічний алгоритм з відкритим ключем, що базується на обчислювальній складності задачі факторизації великих цілих чисел. RSA (абревіатура від прізвищ Rivest, Shamir та Adleman) став першим алгоритмом такого типу, придатним і для шифрування, і для цифрового підпису. Алгоритм застосовується до великої кількості криптографічних застосунків. Опис RSA було опубліковано у 1977 році Рональдом Райвестом, Аді Шаміром і Леонардом Адлеманом з Массачусетського технологічного інституту (MIT).

🔒 AES – стандарт шифрування (Advanced Encryption Standard), затверджений на офіційному рівні в США Національним інститутом технологій (NIST). Був прийнятий на заміну іншому стандарту DES. В його основі симетричний ключ, тобто той самий ключ використовується як для шифрування, так і дешифрування даних.

🔒 SHA – алгоритм криптографічного хешування (Secure Hash Algorythm), використовується на державному рівні в США. Був розроблений у 1993 році АНБ у співпраці з NIST. Існують різні версії цього алгоритму: SHA-1 (був зламаний), SHA-2, SHA-3.

🔒 MD5 – алгоритм хешування 128-біт, розроблений у 1991 році професором Рональдом Л. Рівестом з Массачусетського технологічного інституту (МІТ). Застосовується для перевірки цілісності інформації та зберігання хешів паролів. Являє собою значно покращену версію попередника MD4. Алгоритм має офіційно зареєстровані вразливості (RFC 6151). Уникнути зламу MD5 можуть частково допомогти використання SALT (солей).

🔒 Base64 – стандарт кодування двійкових даних з допомогою 64-х символів ASCII. Може використовуватися для обфускації коду, приховування даних, зокрема паролів.

🔒 Протокол Діффі-Хеллмана (ECDH) – криптографічний протокол, розроблений видатними комп’ютерними іженерами та винахідниками – Уітфілдом Діффі і Мартіном Хеллманом, США. Обоє отримали Премію Тюринга. Протокол дозволяє двом і більше сторонам отримати загальний секретний ключ, використовуючи незахищений від прослуховування канал зв’язку. Отриманий ключ використовується для подальшого шифрування обміну за допомогою алгоритмів симетричного шифрування. Схема відкритого розподілу ключів, запропонована Діффі та Хеллманом, справила справжню революцію у світі шифрування, оскільки знімала основну проблему класичної криптографії – проблему розподілу ключів.

🔒 Curve25519 – метод шифрування, криптографічна крива, яка дозволяє 128-бітне шифрування при 256-бітному розмірі ключа, призначена для використання за схемою Діффі-Хеллмана. Метод один з найшвидших та є вільним – знаходиться у публічному доступі. Підтримується у багатьох криптографічних бібліотеках, таких як: Libgcrypt, libssh, libssh2 (починаючи з версії 1.9.0), NaCl, GnuTLS, OpenSSL (з версії 1.1.0). Також  застосовується у багатьох мережевих протоколах, зокрема SSH, Signal, Matrix, Tox, Zcash, TLS, WireGuard. Відомий також під назвою X25519.

🔒 Poly 1305 – сімейство хешів, які використовуються у криптографії, розроблене Деніелом Бернштейном. Poly1305 можна використовувати як одноразовий код  для автентифікації одного повідомлення за допомогою спільного ключа між відправником і одержувачем.

🔒 Salsa20 – система поточного шифрування, розроблена Деніелом Бернштейном. Алгоритм представили на конкурсі eSTREAM, метою якого було створення європейських стандартів для шифрування даних, що передаються поштовими системами. Алгоритм став переможцем у першому профілі (потокові шифри для програмного застосування з великою пропускною спроможністю). Він використовує хеш-функцію з 20 циклами. Основні її перетворення нагадують алгоритм AES. На базі Salsa20 з’явилася система XSalsa20, що має імунітет до атак за часом.

🔒 NaCl – скорочено від “Networking and Cryptography library“, відкрита бібліотека для роботи з мережею та криптографією, створена Деніелом Берштейном, Танею Ланге і Пітером Швабе. NaCl реалізований у різних мовах програмування, є частиною Libsodium. 

🔒 Принцип Керкгоффза – принцип, заснований голандським криптографом XIX століття – Огюстом Керкгоффзом, згідно якого стійкість криптографічного алгоритму не має залежати від архітектури алгоритму, а тільки від ключів. Іншими словами, при оцінці надійності шифрування необхідно вважати, що супротивник знає все про систему шифрування, що використовується, крім ключів. Більше детально у Вікіпедії>>

🔒 Double Ratchet Algorithm – алгоритм керування ключами шифрування, також відомий як Axolotl Ratchet (Ашолотль), розроблений Тревором Перріном і Моксі Марлінспайком (Signal) у 2013 році. Побудований на основі протоколу Діффі-Хеллмана (ECDH) та хеш-функції. Його особливістю є те, що у випадку зламу і компрометації, алгоритм відключає зловмисника від доступу до відкритого тексту повідомлення. Цей метод дістав назву Future Secrecy.

Порівняння повідомлень
Ознайомитися з детальною схемою порівняння усіх протоколів>>

Чому не WhatsApp, Viber, Telegram, Skype? Проблеми популярних месенджерів.

Більшість популярних месенджерів, такі як WhatsApp, Viber, Telegram, Skype та інші – це централізовані додатки з закритим вихідним кодом. Адміністратори мають змогу контролювати усе, що проходить через їх канали електронного зв’язку. Історія повідомлень, завантажені файли, статистика використання – все це синхронізується та зберігається на корпоративних серверах невизначений період часу. Діє цензура. Користувача можуть забанити за будь-які незмістовні (з точки зору адміністраторів) дії.

Децентралізовані месенджери

Порівняння централізованої, децентралізованої і федеративної мереж

В централізованих месенджерах дані користувача можуть бути розшифровані та додатково оброблятися, фільтруватися, аналізуватися системами штучного інтелекту без його відома. Дані також можуть передаватися третім сторонам у різних цілях.

Бізнес-модель популярних месенджерів побудована на принципі “Послуга за послугу”. Тобто, користувач безкоштовно завантажує програму, а взамін ділиться з нею чимось корисним, наприклад метаданими, персональними даними, статистикою використання. Таким чином компанії заробляють і утримують свою інфраструктуру, яка налічує сотні дата-центрів і тисячі співробітників по всьому світу. Відповідно, вони життєво зацікавлені в охопленні якнайширшої аудиторії та зборі якомога більшої кількості даних.

How Whatsapp collect metadata

Most popular mobile messenger apps

Безпека месенджерів, захищеність онлайн-комунікацій постають центральною проблемою. Щорічно дослідники безпеки виявляють нові витоки даних і нові вразливості у роботі популярних програм для обміну онлайн-повідомленнями. Сервери з користувацькими даними регулярно стають об’єктами цільових зламів й хакерських так. Через закритий вихідний код неможливо точно дізнатись наскільки добре захищений той чи інший додаток, провести незалежний аудит безпеки і оцінти рівень ризиків. У висновку, користування такими програмами як WhatsApp, Viber, Telegram чи Skype базується на сліпій довірі.

У листопаді 2021 року некомерційною організацією “Property of the People” був опублікований документ, який демонструє можливість спецслужб цілком таємно та цілком законно отримувати доступ до користувацьких даних від популярних месенджерів:

FBI access to messengersУ 2013 році системний адміністратор і колишній фахівець АНБ Едвард Сноуден оприлюднив в ЗМІ засекречені факти й матеріали, завдяки яким стало відомо, що дані популярних соцмереж і месенджерів тривалий час таємно використовувались в роботі урядових програм електронної розвідки і шпіонажу: XKeyscore, PRISM, ECHELON та інших.

PRISM collection Details

У 2019 році через вразливість нульового дня у найпопулярнішому месенджері WhatsApp (аудиторія більше 1 млрд) на тисячі Android-пристроїв незаконно проникло шпигунське програмне забезпечення NSO Pegasus . ПЗ могло копіювати повідомлення й файли користувачів, вести записи їх телефонних розмов, визначати точне місцерозташування, таємно здійснювати відеозйомку, фотофіксацію, прослуховування і багато іншого… (детальніше про Pegasus).

NSO Pegasus in WhatsApp

Популярні месенджери не раз ставали “троянським конем” й для інших зловмисних програм, таких як Candiru і Cellebrite. 30 жовтня 2022 року в ЗМІ просочилась інформація про злам мобільного телефону колишньої прем’єрки Великобританії Ліз Трасс. Кажуть, телефон був настільки скомпрометований, що його помістили у замкнений сейф. Британські експерти з питань безпеки жорстко засудили цей випадок і закликали відмовитись від використання популярних месенджерів на держаному рівні, зокрема був згаданий месенджер WhatsApp (джерело).

Які метадані збирають популярні месенджери?

Як казав Стюарт Бейкер, колишній генеральний радник АНБ: “Метадані абсолютно все розповідають про чиєсь життя. Якщо у вас достатньо метаданих, вам насправді не потрібен контент”. 

Which metadata collect messengers

🎯 Ідентифікатори користувача (User ID): будь-які деталі профілю: хобі, інтереси, національність, релігія, орієнтація; номер телефону, email-адреса, дата народження, країна проживання, інформація про онлайн-платежі та покупки та ін.;

🎯 Ідентифікатори пристрою (Device ID): технічні характеристики пристрою, назва, модель, серія, IMEI, IP-адреса, GPS-координати, DNS-сервери, MAC-адреси, відомості про операційну систему і т.д.;

🎯 Соціальні зв’язки (SOCMINT): зв’язок з іншими користувачами, доступ до телефонної книги, будь-яка доступна інформація про відправника й одержувача повідомлень, посилання на акаунти в соцмережах, інші дані;

🎯 Аналіз подій і статистика користування (Event/Log Info): голосові і відео виклики, відправка повідомлень і файлів, частота і кількість відправлених повідомлень, дата останнього входів, звіт про помилки, різноманітні системні журнали;

🎯 Дані інтернет-перегляду: User-Agent браузера, трекінг (відстеження) переходів по URL-посиланням, список переглянутих сайтів, дані автентифікації (cookie, токени, сесії);

🎯 Доступ до файлової системи: накопичувачі, файли, папки, фото, медіа та ін.;

🎯 Доступ до апаратної частини: оперативна пам’ять, графічний прискорювач, відеокамера, мікрофон, клавіатура, батарея, мережа (Wi-Fi/Bluetooth) і ін.

Навіщо їм потрібні ваші метадані?

👉 вдосконалення власних сервісів та інформаційних систем, побудова нейронних мереж, машинне навчання (ML), створення просунутих систем штучного інтелекту (AI);

👉 монетизація, заробіток на співпраці з рекламними і комерційними структурами, продаж аналітичних даних, створення різноманітних зрізів/вибірок, котрі охоплюють аудиторію з різних куточків світу й включають такі дані як: вік, стать, спеціальність, інтереси, вподобання, орієнтація і т.д. Ці допомагають передбачати можливі тренди, сплески і падіння покупок (сезонність), вдосконалити свої пропозиції, підлаштуватись під громадську думку тощо;

👉 аналітика і заробіток на співпраці з різними інформаційно-аналітичними центрами, структурами, агенціями, які займаються спостереженнями, соцопитуваннями, прогнозуваннями глобальних процесів, вивченням і аналітикою політик, подій, тенденцій, лідерів думок, суспільних настроїв тощо;

👉 співпраця у сфері безпеки з державними службами, органами, структурами, щоби попереджувати можливі злочини та інциденти, збитки і їх наслідки, відстеження осіб або подій, які можуть бути загрозою національній, суспільній, міжнародній безпеці.

Недоліки безпеки популярних месенджерів

ℹ️ Конкретно про недоліки деяких популярних месенджерів.

Недоліки Skype

Skype

❌ Метадані збираються в значній кількості;
❌ Вихідний код програми закритий;
❌ Під час дзвінка може розголошуватися IP-адреса пристрою користувача;
❌ Наскрізне E2EE-шифрування обмежено приватними чатами. Його по-замовчуванню немає в групових чатах та конференц-викликах;
❌ Усі чати і голосові виклики зберігаються на серверах Microsoft протягом 30 днів, адміністрація має до них доступ;
❌ Зафіксовані випадки прослуховування голосових викликів співробітниками Microsoft;
❌ Розшифровані повідомлення можуть передаватися третім сторонам, Skype є частиною розвідувальної програми PRISM;
❌ Організація із захисту даних Electronic Frontier Foundation (EFF) оцінила безпеку Skype в 1 бал із 7;
❌ Після повного знищення акаунта, дані користувача зберігаються 12 місяців.

Джерела:

⏩ Skype Support
⏩ Microsoft Privacy Policy
⏩ Revealed: Microsoft Contractors Are Listening to Some Skype Calls
⏩ Skype audio graded by workers in China with ‘no security measures’
⏩ Rietspoof malware spreads via Skype spam
⏩ Microsoft says Skype audio is now reviewed in ‘secure facilities’ after a worrying report
⏩ Microsoft handed the NSA access to encrypted messages
⏩ Why Doesn’t Skype Include Stronger Protections Against Eavesdropping?
⏩ Here’s why Skype’s end-to-end encryption won’t be enough for business users
⏩ Is Skype Safe and Secure? What are the Alternatives?
⏩ Is Microsoft reading your Skype instant messages?
⏩ Privacy 101: Skype Leaks Your Location

Недоліки WhatsApp

WhatsApp

❌ Реєстрація тільки по номеру телефону;
❌ Вихідний код програми закритий;
❌ Діє сувора цензура. Користувача можуть забанити просто через скаргу інших користувачів, іноді без очевидної причини;
❌ Збирається дуже багато користувацьких метаданих, інформація про їх шифрування або хешування відсутня;
❌ WhatsApp підключений до PRISM.
❌ WhatsApp підключений до рекламної мережі компанії Meta та всіх його продуктів (Facebook, Instagram). Рекламна аналітика (ADINT) збирається в месенджері агресивно (доступ до текстових і голосових повідомлень користувача, іноді мікрофону, якщо не заборонено налаштуваннями приватності) і може передаватися третім особам;
❌ Усі дані користувача зберігаються на серверах WhatsApp, остаточно їх видалити неможливо навіть після знищення акаунта;
❌ Контакти користувача синхронізуються з месенджером через доступ до телефонної книжки;
❌ Відсутня вбудована функція блокування екрану (PIN App lock);
❌ Зафіксовані серйозні вразливості в роботі програми. WhatsApp на офіційному рівні заборонили для військовослужбовців і посадовців в різних країнах.

Зауваження: WhatsApp є піонером на ринку інтернет-телекомунікацій. Це один з перших месенджерів, який початково робив ставку саме на захист і безпеку користувацьких даних, а саме наскрізне E2EE-шифрування. Додаток розробив вихідець з України – програміст Ян Кум. WhatsApp стрімко розвивася й швидко став одним з найулюбленіших мобільних додатків у різних куточках світу. Він дав початок великій кількості альтернативних месенджерів, за що йому можна окремо подякувати. Але після придбання WhatsApp компанією Meta, акцент на кібербезпеку різко змінився акцентом на маркетинг, що породило масу інцидентів. Один з найгучніших скандалів пов’язаний зі шкідливою програмою Pegasus та розвідувальною системою PRISM. Хоча, незважаючи на це, WhatsApp досі зберігає шанувальників по всьому світу, має BugBounty, володіє зручним та простим інтерфейсом, у ньому чимало цікавих та корисних функцій, зокрема: двофакторна авторизація, наскрізне шифрування і автовидалення повідомлень, приховання статусу і даних профіля, сповіщення про зміну ключа безпеки, резервне копіювання з підтримкою E2EE та багато іншого.

Джерела:

⏩ WhatsApp Privacy Policy
⏩ WhatsApp Has Shared Your Data With Facebook for Years, Actually
⏩ WhatsApp Beaten By Apple’s New iMessage Privacy Update
⏩ WhatsApp ‘hack’ is serious rights violation, say alleged victims
⏩ WhatsApp Hack Attack Can Change Your Messages
⏩ WhatsApp, Signal & Co: Billions of Users Vulnerable to Privacy Attacks
⏩ WhatsApp backups are not encrypted
⏩ Facebook’s WhatsApp says it fixed a video call security bug that let hackers hijack accounts
⏩ WhatsApp voice calls used to inject Israeli spyware on phones
⏩ WhatsApp reveals 6 security issues that could have got its users “hacked”
⏩ Why WhatsApp will never be secure
⏩ What is Pegasus spyware and how does it hack phones?
⏩ WhatsApp: Israeli firm ‘deeply involved’ in hacking our users
⏩ A buffer overflow vulnerability in WhatsApp (CVE-2019-3568)
⏩ Pavel Durov: Hackers could have full access (!) to everything on the phones of WhatsApp users.
⏩ Jan Koum Wikipedia
⏩ Hackers can spy on you by sending videos on WhatsApp

Недоліки Viber

Viber

❌ Реєстрація по номеру телефону;
❌ Після реєстрації додаток сам автоматично сканує телефонну книгу і надсилає сповіщення усім, хто має ваш номер і зареєстрований в Viber (відключити цю агресивну функцію можна лише згодом);
❌ Абсолютно централізований месенджер, адміністрація завжди має доступ до всіх акаунтів і чатів, налаштувань. Технічна підтримка вирішує будь-які питання і проблеми акаунтів;
❌ Метадані збираються в значній кількості й зберігаються на серверах у незахешованому вигляді, передаються третім сторонам. Viber не приховує, що продає рекламу аби месенджер надалі залишався безкоштовним;
❌ Історія листування, дані каналів і груп зберігаються на серверах Viber;
❌ Наскрізне E2EE-шифрування використовується не всюди і не завжди;
❌ Вихідний код програми закритий, незалежний аудит бепзеки не проводився;
❌ Відсутня процедура верифікації контактів, немає двосторонньої автентифікації (наприклад, по ідентифікатору або відбитку ключа). Як висновок – спам і шахрайство у великих кількостях. Загалом, Viber лідирує за кількістю фейкових акаунтів;
❌ Діє цензура. Як й у WhatsApp, на акаунт чи повідомлення користувача можуть поскаржитися. Заблокувати можуть і без очевидних причин;
❌ Viber співпрацює з урядами країн і держустановами;
❌ Відсутня BugBounty-програма;
❌ Заплутана історія власників. Компанію заснували офіцери армїі та розвідки Ізраїлю. Один з них народився в Росії, потім проживав в Білорусі. Частина інфраструктури знаходилася там. Згодом компанію перереєстрували на Кіпрі. У 2015 році Viber продали японській компанії Rakuten за 900 млн. доларів;
❌ Організація із захисту даних Electronic Frontier Foundation (EFF) оцінила безпеку Viber у 2 бали із 7. Це навіть менше, ніж у WhatsApp;
❌ Зафіксовані епізодичні проблеми відправки повідомлень (повідомлення не надходили окремому одержувачу), а також проблеми із входом в акаунт;
❌ Приблизно за 6 місяців користування, Viber почав націлювати дуже індивідуальну рекламу на теми, які користувач обговорював у чатах або зберігав в персональних нотатках. Причому, у налаштуваннях приватності уся зайва аналітика була відключена. Це свідчить, що Вайбер по-суті застосовує ті ж принципи та прийоми збору метаданих (ADINT – Ads Intelligence), що й його конкуренти;
❌ При вилученні Viber на старому пристрої і встановленні на новому (зі збереженням акаунта та прив’язаного номера) – усі дані користувача втрачаються. Якщо користувач був Адміністратором в групах – він їх теж позбувається. Повернути їх можна лише звернувшись в Службу технічної підтримки, але не це гарантовано.

Зауваження: Варто наголосити, що Viber за останні роки зробив певний стрибок у покращенні своїх сервісів та послуг. З’явилися такі функції як: зникаючі повідомлення, секретні чати, чати з прихованням номера телефону, приховання індикації набору повідомлень і звітів про прочитання, приховання статусу онлайн, блокування екрану та інші. Протокол шифрування Viber заснований на реалізації подвійного храповика (Double Ratchet), який використовує месенджер Signal. Але сторонні трекери і реклама нікуди не поділися. Якщо Viber сприймати не як захищений месенджер, а інструмент публікації та маркетингу, то він може бути корисним.

Джерела:

⏩ Viber Privacy Policy
⏩ Request, Review and Delete Your Data on Viber
⏩ Signatures of Viber Security Traffic
⏩ Viber Encryption Overview
⏩ Ваші номери, будь-ласка
⏩ Viber Developers Docs
⏩ Viber Wikipedia
⏩ Igor Magazinnik
⏩ Talmon Marco
⏩ Facebook. Ярослав Ажнюк: “Кирило сказав дослівно: Вайбер це взагалі додаток створений для шпигунства”.
⏩ Вразливість Viber, що дозволяє прослуховувати чужу розмову

Недоліки Telegram

Telegram

❌ Збирає користувацькі метадані;
❌ Може співпрацювати з урядами країн;
❌ Повідомлення зберігаються на хмарних серверах Telegram. Адміністрація за необхідності може отримати доступ до акаунтів і чатів користувачів;
❌ Зафіксовані реальні випадки несанкціонованого доступу і зламу акаунтів. У різний час експертами з кібербезпеки були знайдені критичні вразливості в роботі месенджера, зокрема баг з розкриттям IP-адреси під час дзвінків та баг з розкриттям геолокації через функцію “Люди поруч”. На сьогодні вони виправлені, але не можна виключати нових (0-Zero Day), про які мало хто знає;
❌ Наскрізне шифрування працює по замовчуванню лише у секретних чатах, до яких є претензії – механізм звірки ключів може бути ненадійним;
❌ Вихідний код шифрування Telegram (алгоритм “MTProto”) закритий;
❌ Дані користувача після повного знищення акаунту зберігаються на серверах Telegram 12 місяців.

Зауваження: Telegram – це аж ніяк не конфіденційний месенджер, а онлайн-сервіс, соціальна платформа з елементами анонімності, яка має чимало переваг і недоліків. Інцидентів несанкціонованого доступу до акаунтів та компрометації пристроїв користувачів через Telegram – більш, ніж достатньо. Статистика використання, а також метадані пристрою користувача – синхронізуються з серверами Дурова та зберігаються в базі даних тривалий період часу. Не рекомендується пересилати через Телеграм особисті, конфіденційні, службові дані. Для приватного, особистого листування існують більш захищені канали зв’язку.

👉 ЧИТАЙТЕ СПЕЦМАТЕРІАЛ: Безпека і анонімність в Telegram

Джерела:

⏩ Telegram Privacy Policy
⏩ Security Analysis of Telegram
⏩ Hong Kong protesters warn of Telegram feature that can disclose their identities
⏩ As Hong Kong protesters embrace Telegram, when will the messaging app fix one of its biggest security flaws?
⏩ Dear Hong Kong Activists, Please Stop Telling Everyone Telegram is Secure
⏩ Telegram Still Hasn’t Removed an AI Bot That’s Abusing Women
⏩ PSA: Telegram Chats Aren’t End-to-End Encrypted by Default
⏩ Fleeing WhatsApp for Better Privacy? Don’t Turn to Telegram
⏩ Insecure by Design: As Millions Flock to Telegram, 7 Reasons to Question the App’s Privacy Claims
⏩ Why You Should Stop Using Telegram Right Now
⏩ Cryptographers unearth vulnerabilities in Telegram’s encryption protocol
⏩ Telegram Review 2022: NOT as Private as You Think
⏩ Four cryptographic vulnerabilities in Telegram
⏩ Telegram Harm Reduction for Users in Russia and Ukraine
⏩ Telegram’s People Nearby Feature Can Be Exploited to Reveal User’s Exact Location, Bug Hunter Claims; Company Says ‘It’s Expected’
⏩ Telegram Leaks IP Addresses by Default When Initiating Calls
⏩ The “P” in Telegram stands for Privacy
⏩ Mozilla: Privacynotincluded. Telegram.
⏩ Спілкування під час війни: Telegram, Viber чи щось краще
⏩ Telegram Private Chat Leaks
⏩ Operational Telegram
⏩ Telegram shares users’ data in copyright violation lawsuit
⏩ Indian court orders Telegram to disclose details of channels violating copyright
⏩ Telegram cumpre decisões, e Moraes revoga ordem de bloqueio do app em todo o país
⏩ Apple soll Bundesregierung eine Telegram-Anschrift gegeben haben
⏩ Смертельно небезпечний Телеграм
⏩ П’ять причин видалитися з Telegram просто зараз
⏩ Небезпечний телеграм: підводні камені найпопулярнішого в Україні месенджера
⏩ Russia is spying on Telegram chats in occupied Ukrainian regions. Here’s how.
⏩ The Kremlin Has Entered The Chat
⏩ KELA Report: TELEGRAM. How a messenger turned into a cybercrime ecosystem by 2023
⏩ Чи є безпечним активне використання Телеграм в Україні?
⏩ Youtube. Ярема Дух. Ризики Telegram.
⏩ Youtube. Радіо НВ. Інтерв’ю з журналістом, переписку якого в Телеграмі читало фсб.
⏩ Facebook. Ярослав Ажнюк: “Кирило сказав дослівно: У ФСБ, і лише них, є ключі до Телеграму”.
⏩ Ярослав Ажнюк. Чому варто видалити Телеграм зі свого мобільного.
⏩ Yaroslav Azhnyuk: Why doesn’t Ukraine restrict use of the Russian Telegram app?
⏩ DOU.UA. Чи варто довіряти Telegram?
⏩ Моксі Марлінспайк згадує в своєму Twitter про “шифрування” Telegram.
⏩ Антон Розенберг про Дурова, Вконтакте і Телерам.
⏩ Telegram: Azhnyuk-Claims. Why Telegram is Safe for Users in Ukraine.
⏩ Medium. Yaroslav Azhnyuk. What’s off with Telegram’s response to the piece about their potential ties to the Kremlin.
⏩ Flaw in Telegram Gives Attackers Access to macOS Camera
⏩ Is Telegram Sharing User Data with Government Agencies?
⏩ Українська Правда. Анастасія Романюк. Ілюзія безпеки: Telegram
⏩ Liga.net. Як влаштована анонімна імперія Павла Дурова?

Чому небезпечно прив'язувати месенджер до номера телефону?

Згідно Закону України, Ст.11 “Про інформацію”, кожен громадянин має право на таємницю, тобто конфіденційність. А знаючи ваш номер телефону, вся конфіденційність відразу зникає і відкривається величезний простір для різних маніпуляцій та махінацій.

До прикладу, знаючи ваш номер телефону, зловмисники можуть:

  • провести OSINT/HUMINT пробив, дізнатися ідентифікаційні, паспортні дані (наприклад, скачати базу даних в даркнеті або купити на “чорному ринку”);
  • перевипустити SIM-картку (якщо вона не зареєстрована на ваші паспортні дані);
  • визначити IMEI та IMSI-номер мобільного телефону;
  • визначити модель та операційну систему, IP-адресу пристрою;
  • визначити геолокацію, точні координати місцезнаходження пристрою;
  • деталізувати вхідні і вихідні виклики;
  • прослуховувати виклики, вести запис телефонних розмов;
  • перехопити або підмінити SMS;
  • підключити несанкціоновану переадресацію;
  • несанкціоновано здійснювати скріншоти екрану, синхронізацію файлів;
  • перехопити дані листування в месенджерах;
  • отримати список онлайн-акаунтів, до яких прив’язаний номер. Наприклад: банкінг, електронні пошти, соцмережі, авторизація в онлайн-сервісах, персональні кабінети;
  • розсилати спам та шкідливі посилання на мобільний номер – ваш і ваших контактів (фішинг, бомбінг, смішинг, вішинг).
Система перехоплення GSM зв'язку

Опис і технічні характеристики комплексу перехоплення інформації по системам GSM від компанії CRYPTON.

Читайте: Як захистити смартфон від шахраїв, стеження і кіберзагроз?

Читайте також:   Як встановити Kali NetHunter на Android смартфоні?

Не даремно, хакери (і не тільки), перш ніж провести атаку на якусь компанію, проводять соціальну інженерію і пробивають мобільні номери співробітників.

Offering sensitive information by hackers

Приклад чутливої інформації абонентів, яку хакери продають в даркнеті. Скріншот зі звіту TrendMicro: https://documents.trendmicro.com/assets/white_papers/wp-void-balaur-tracking-a-cybermercenarys-activities.pdf

Phone OSINT

Схема пробиву та розвідки даних на основі відкритих джерел за номером телефону.

Окрім того, треба усвідомлювати, що SIM-картка по-суті не є власністю абонента. Вона є власністю мобільного оператора, який випускає і обслуговує її. У випадку різних обставин оператор може припинити обслуговування і заблокувати SIM. Наприклад: порушення правил або умов договору контракту, тривала відсутність активності у мережі, сплив терміну дії номера (1-1,5 рік простою) і таке інше. Більше того, абонентський пул номерів обмежений, а тому ваш номер через деякий час знову потрапить в продажу. Окрім цього, абонентські виклики (вхідні/вихідні дзвінки) і SMS реєструються в мережі оператора та можуть зберігатися в історії необмежений період часу. До речі, вразливість SS7, яка була зафіксована у мобільних мережах, дає можливість підробляти базові станції і перехоплювати ці дані. Отже, будь-яка верифікація по мобільному номеру – ненадійна.

Саме тому ми не рекомендуємо використовувати персональний/банківський номер телефону для реєстрації в онлайн-сервісах та додатках. Якщо вже є потреба зареєструватися в месенджерах, то краще придбати собі SIM-картки інших країн, бажано з високим індексом демократії та відповідністю стандарту GDPR (регулятор захисту персональних даних) на державному рівні. Наприклад – Швейцарія, Німеччина, Норвегія, Швеція і т.д.

Список джерел і посилань:

⏩ Житель України вкрав 800 тисяч гривень, використовуючи схему перевипуску SIM-карт
⏩ Достатньо дізнатися номер телефону: шахраї крадуть рахунки і соцмережі українців
⏩ Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
⏩ Як уберегтися від мобільного шахрайства
⏩ Профілактика мобільного шахрайства
⏩ SS7 Attack
⏩ OMA CP Mobile Attack
⏩ Android phones can be hacked just by someone knowing your phone number
⏩ Знайдено нову вразливість у SIM-картах: дозволяє віддалено здійснювати дзвінки, відправляти SMS і не тільки
⏩ Кореспондент: Для злому будь-якого мобільного потрібен лише його номер
⏩ WIRED: The Critical Hole at the Heart of Our Cell Phone Networks
⏩ Все, що вам потрібно знати про SS7 атаку на атаку і контрзаходи
⏩ Вразливості в мережах LTE
⏩ Ворог може прослуховувати дзвінки з мобільних через «паралельну» переадресацію. Що треба знати
⏩ Оператори мобільного зв’язку в Україні. Відгуки на Otzyvua
⏩ ТЕКСТИ. Вони стежать за тобою і ти цього хочеш.

Критерії безпечного і захищеного месенджера

Перш ніж приступити до огляду, спробуємо розібратися – а який він, ідеальний захищений месенджер? Яким критеріям та вимогам повинен відповідати?

Бачення KR. Laboratories:

  • Ліцензія GNU/Open Source (вихідний код + алгоритм шифрування);
  • Децентралізована мережа, підтримка федеративної структури (кожен користувач може підняти свій вузол/нод/сервер);
  • Вичерпна документація (технічна + керівництво), зрозумілий стек технологій, структура і архітектура. Наявні звіти про проведення незалежного аудиту;
  • Інтерфейс локалізований багатьма мовами світу (охочі можуть долучитися до перекладу);
  • Підтримка популярних операційних систем: Linux, Android, Windows, MacOS, iOS;
  • Прозора бізнес-модель: зрозуміло ким та як утримується;
  • Наявність Bug Bounty-програми;
  • Не вимагає номеру телефону при реєстрації;
  • Не вимагає email при реєстрації;
  • Не синхронізує контакти зі своїми серверами без відома користувача (по замовчуванню контакти зберігаються локально);
  • Ключі шифрування, історія листування, логи, метадані зберігаються на локальному пристрої користувача;
  • Не розголошує IP-адресу та MAC-адресу пристрою користувача.
  • Хешує/шифрує метадані користувача;
  • Забезпечує E2EE-шифрування;
  • Забезпечує PFS-алгоритм;
  • Підтримка ONION/TOR;
  • Підтримка Proxy;
  • Підтримка 2FA/MFA;
  • Підтримка блокування PIN-кодом;
  • Можливість додавати користувачів по QR-коду;
  • Двостороння звірка ключів шифрування (неможливість розпочати бесіду без двостороннього підтвердження ключа/ідентифікатора), сповіщення у разі зміни ключа/пристрою співрозмовника;
  • Підтримка групових і приватних чатів;
  • Підтримка аудіоповідомлень;
  • Підтримка відеоповідомлень;
  • Підтримка аудіовикликів (приватних, групових);
  • Підтримка відеовикликів (приватних, групових);
  • Можливість приховати дані свого профілю від інших користувачів;
  • Можливість заборонити пересилання повідомлень;
  • Можливість заборонити створення скріншотів;
  • Можливість вимкнути сповіщення про набір/доставку/прочитання повідомлень;
  • Можливість вимкнути попередній перегляд URL-посилань;
  • Можливість запланувати автовидалення повідомлень (видалення по таймеру);
  • Просунуті функції блокування (формування блеклістів, блокування спаму та подібне);
  • Захист від персоналізації клавіатури (кейлогерів);
  • Можливість самостійно знищити свій акаунт – при цьому будь-які збережені дані негайно (або за планом) вилучаються з серверів.

Signal

Signal messenger logo

Signal (раніше – TextSecure) – безкоштовна програма для обміну інтернет-повідомленнями з відкритим кодом (розповсюджується за ліцензією Open Source GPLv3/AGPLv3). Заснована американською некомерційною організацією Signal Foundation (раніше – Open Whisper Systems) на чолі з криптографістом Моксі Марлінспайком та Браяном Ектоном (co-founder WhatsApp, CEO Signal Foundation). В основу месенджера Signal покладений однойменний протокол шифрування Signal Protocol (автори – Тревор Перрін, Моксі Марлінспайк), який увібрав в себе усе найкраще з протоколів OTR та OMEMO й став стандартом де-факто серед месенджерів. На додаток, Signal забезпечує алгоритм Perfect Forward Secrecy (PFS).

Signal Foundation team

Фото учасників Signal Foundation: Браян Ектон, Моксі Марлінспайк, Мередіт Віттакер.

Реєстрація в Signal проходить за номером мобільного телефону, який стає головним ідентифікатором користувача. Для підтвердження дії необхідно прийняти SMS з кодом активації (якщо не прийшов, можна запросити дзвінок). Будь-які не валідні або віртуальні номери відхиляються. Аби запобігти спаму, в додатку працює система Google reCaptcha. Кількість повторних спроб реєстрації – обмежена.

При першому запуску програма попросить надати доступ до телефонної книги. Якщо ви дозволите синхронізувати контакти, то вони надалі можуть зберігатися на серверах Signal і таким чином автоматично синхронізуватися з усіма прив’язаними пристроями (мобільний/ПК). Вилучити синхронізовані контакти можливо лише при повному знищенні акаунта.

Повний список дозволів, котрі месенджер отримує на смартфоні користувача можна переглянути в Google Play:

Signal app permissions

Функціонал Signal чималий:

  • зашифровані E2EE повідомлення та відео/аудіо дзвінки (HD);
  • групові чати і відеоконференції;
  • обмін файлами і аудіоповідомленнями;
  • емодзі/наліпки/гіфки, вподобайки (реакції);
  • самозникаючі повідомлення за таймером і автоблокування екрана;
  • блокування скріншотів, incognito клавіатура, вимкнення індикації набору повідомлень та звітів про прочитання;
  • вимкнення попереднього перегляду URL-посилань;
  • доступ в додаток по паролю і PIN-коду;
  • блокування від повторної реєстрації за номером;
  • можливість приховати свою IP-адресу під час VoIP-дзвінків (у такому випадку з’єднання проходять через relay-сервери Signal);
  • пошук по діалогу і персональні нотатки;
  • налаштування терміну зберігання повідомлень, очищення історії повідомлень, обмеження кількості і довжини прийнятих повідомлень;
  • налаштування показу інформації в сповіщеннях;
  • економія трафіку для дзвінків і використання проксі-сервера;
  • налаштування звуків і оформлення;
  • сповіщення про приєднання контакту до Signal;
  • генерація публічних URL-посилань на приєднання до групового чату;
  • деталізована інформація по повідомленню;
  • приймання і надсилання SMS/MMS (компанія заявила про можливе припинення цієї функції);
  • зміна мобільного номеру телефону;
  • резервне копіювання і відновлення/перенесення акаунта;
  • підтримка Proxy-з’єднання.

Signal private messenger review

З метаданих месенджер збирає лише дату і час реєстрації, а також дату останнього входу в месенджер. Однак цими даними він у різних випадках, передбачених правилами і законом, може ділитися з третіми сторонами. Що стосується контенту (файли, медіа, текст) – вони зберігаються у зашифрованому вигляді на пристрої користувача. Бекапи так само шифруються і зберігаються на смартфоні (використовується метод шифрування за участі SQLite та бібліотеки SQLcipher). З бекапа потім легко відновити акаунт на новому пристрої.

Sigmal Messenger interface

Програма сумісна з усіма популярними операційними системами  –Linux/Windows/Mac/Android/iOS. Додаток для ПК за функціоналом майже не поступається мобільному, однак він не може використовуватись в якості основного (існує обхід цього обмеження через Signal CLI).

Signal Desktop linking

ℹ️ Цікаво знати: Едвард Сноуден в одному зі своїх інтерв’ю поділився, що сам користується й іншим радить Signal для щоденного спілкування. Згадував про Signal й знаменитий Ілон Маск у своєму Твіттері. У 2020 році внаслідок витоку бази даних користувачів Facebook, хакерам вдалося знайти номер мобільного Марка Цукерберга і виявити, що він прив’язаний до чинного акаунта Signal. Ця чутка стрімко поширилася й додала ще більшої популярності месенджера.

Elon Mask about Signal in Twitter

Signal входить до списку рекомендованих програм міжнародної організації з захисту конфіденційності Electronic Frontier Foundation (EFF). У 2023 році його номіновано як кращий додаток для конфіденційних комунікацій в рамках EFF Awards.

Бізнес-модель месенджера побудована на добровільних внесках (донатах), які можна здійснити відразу у месенджері. Після цього під вашим аватаром відобразиться значок донатора. Для тестувальників програмного забезпечення відкритий спеціальний бета-канал, а також контакти зворотного зв’язку, щоби у разі повідомити про знайдені вразливості.

Ентузіасти розробили на базі відкритого коду Signal свої версії (форки) месенджера – Molly.im та Signal-FOSS. В них збережені стандартні функції, але разом з тим немає прив’язки до сервісів Google, покращена безпека, присутні різні додаткові опції.

З недоліків:

❌ Signal потребує розкриття номера телефону для реєстрації, коди активації приходять в SMS;
❌ Додаток прив’язується до смартфона як основного пристрою. Додаток для ПК неможливо використовувати незалежно від мобільного;
❌ Додані контакти автоматично синхронізуються з серверами Signal, навіть якщо вони були вилучені з телефонної книги. Видалити їх можливо лише з повним знищенням акаунта;
❌ Signal – централізований месенджер. Метадані збираються, хоч і найменше серед всіх конкурентів;
❌ Месенджер по-замовчуванню потребує служби Google на смартфоні (Google Play, Google Maps, Google reCaptcha, Google Push). Однак в альтернативній збірці Signal – Molly можна обійти цю вимогу;
❌ Дослідниками безпеки були зафіксовані у різних час вразливості (деякі з них виправлені на сьогодні). Помічені одноразові проблеми з доступністю, а також один випадок витоку даних (Twilio Data Breach). Нами були зафіксовані поодинокі дрібні баги. Наприклад, помилка мережевого з’єднання, внаслідок чого неможливо було змінити деякі налаштування та повністю вилучити акаунт;
❌ OSINT-спеціалісти виявили, що в компанії Signal працюють екс-інженери “Яндекса”.

Оцінка: Signal підтверджує відомий вислів: “Усе геніальне – просте”. Безкоштовність, стабільність і простота реалізації помножені на зручний інтерфейс та широкий функціонал – роблять його одним з кращих додатків для безпечного обміну повідомленнями в інтернеті. Однак, не варто забувати, що розкриття власного номера телефону ускладнює анонімність і приводить до ризиків конфіденційності. Якщо розробники приберуть обов’язкову реєстрацію по номеру, то у них є усі шанси стати месенджером №1 в світі. А поки що, Signal – це ідеальний варіант для комунікації у межах особистого перевіреного кола: колег, друзів, родичів.

Список джерел та посилань:

⏩ Завантажити Signal з офіційного сайту (apk)
⏩ Signal Community
⏩ Support Center Signal
⏩ Signal Terms and Privacy Policy
⏩ A Formal Security Analysis of the Signal Messaging Protocol
⏩ A Security Analysis of the Signal Protocol’s Group Messaging Capabilities in Comparsion to Direct Messaging
⏩ Forensic analysis of Signal messenger
⏩ The Double Ratchet Algorthytm
⏩ Meet Moxie Marlinspike, the Anarchist Bringing Encryption to All of Us
⏩ Повний список публікацій про Signal
⏩ PM lodges report over hacked Telegram, Signal accounts
⏩ Signal says third-party data breach exposed 1,900 phone numbers
⏩ Signal’s Messenger Eavesdropping Exploit – SaltDNA CTO Shares His Views
⏩ The Signal Private Messenger Incorrect Authorization (CVE-2019-17191)
⏩ Is Mark Zuckerberg on Signal? Facebook co-founder’s phone number leaks online in data breach and is linked to WhatsApp rival app
⏩ Issue 1943: Signal: Incoming call can be connected without user interaction
⏩ Known Vulnerabilities for Private Messenger by Signal
⏩ CVE-2023-24068 && CVE-2023-24069: Abusing Signal Desktop Client for fun and for Espionage
⏩ Signal would ‘walk’ from UK if Online Safety Bill undermined encryption
⏩ Дуров про те, що Signal та інші месенджери фінансуються держслужбами США, зокрема ЦРУ
⏩ Yasha Levine. Signal is a government app.
⏩ Yasha Levine. Spy-funded privacy tools (like Signal and Tor)

Session

Session Privacy Messenger

SESSION – безкоштовний кросплатформний додаток з відкритим кодом (ліцензія Open Source GPLv3/MIT) для обміну електронними повідомленнями з підтримкою E2EE-шифрування по замовчуванню. Додаток розроблений некомерційною організацією Oxen Privacy Tech Foundation (Австралія). Працює на модифікованому протоколі шифрування Signal Protocol. В основу покладена децентралізована мережа серверів Session “Lokinet” та ONION-маршрутизація.

Onion-маршрутизація в месенджері Session.

Як заявляють розробники, Session користуються понад 100 000 користувачів більш ніж у 190 країнах, серед них журналісти, активісти, правозахисники. Цитата з офіційного сайту:

Активісти, журналісти та правозахисники покладаються на Session, щоб мати можливість безпечно та ефективно спілкуватися та виконувати свою ключову роботу. Звичайні люди покладаються на Session, щоб мати можливість вільно спілкуватися зі своїми друзями та сім’єю, не замислюючись, чи безпечна їхня розмова, читати та розуміти науково-дослідницькі статті зі складною технічною інформацією та не хвилюватися, хто їх слухає.

Session забезпечує конфіденційність і безпеку в руках кожного — і тепер, як ніколи, це те, що потрібно кожному. Інтернет вже не такий вільний і відкритий, як колись. У сучасному дедалі централізованішому світі, що дедалі більше забруднюється даними, Інтернет має розвиватися, щоб дати відсіч технічним голіафам і авторитарним урядам, які збирають і контролюють непристойні обсяги інформації про всіх, кого можуть.

Реєстрація в Session проходить без номера телефону, email та інших ідентифікаційних прив’язок. Для створення акаунту треба просто звантажити додаток і вказати довільне ім’я. Програма підтримує різні операційні системи Linux/Mac/Windows/Android/iOS. Session доступний для завантаження з різних репозиторіїв – Google Play, F-Droid, Apple Store.

Session doesnt take phone number

Щоб почати спілкування в SESSION, користувачам необхідно спочатку обмінятися своїми ідентифікаторами (Session ID, знаходиться у налаштуваннях профілю) та взаємно схвалити запити. Можна просто засканувати QR-код один одного.

Ключ шифрування зберігається локально на пристрої користувача. Повідомлення, перш ніж надійти до одержувача, проходять ланцюжок “цибулевої” (децентралізованої) інтернет-маршрутизації, що приховує оригінальну IP-адресу користувача і по суті дає анонімність. В цілях безпеки, аби прив’язати ще один пристрій до свого акаунта, треба додатково ввести парольну фразу відновлення, яку можна знайти у налаштуваннях акаунта (пункт “Recovery Phrase”).

Повний перелік функцій Session:

  • автознищення повідомлень (мін. час життя – 5 секунд);
  • блокування скріншотів, попереднього перегляду URL, індикації набору повідомлень, звітів про прочитання, захист клавіатури від перехвату;
  • групові чати (до 100 учасників) і публічні спільноти (не шифруються);
  • реакції/емодзі/гіфки;
  • налаштування теми оформлення;
  • пересилання файлів (максимальний розмір – 10 Мб);
  • деталізована інформація про повідомлення;
  • аудіо та відео дзвінки (поки що в режимі beta, може розголошуватись IP-адреса);
  • вибір контенту для показу в сповіщеннях;
  • доступ до месенджера по PIN-коду;
  • видалення повідомлень з публічних чатів, старіших за 6 місяців.

Session Messenger

Варто додати, що Session без проблем працює з активним VPN-з’єднанням. Технічно, для шифрування повідомлень застосовується бібліотека Libsodium. Додаток дозволяє відключити сповіщення Google Push. Адміністратори великих публічних спільнот за бажанням можуть безкоштовно додати свої групи у публічний репозиторій Session Directory.

Session Desktop версія може працювати автономно як самостійний додаток, для цього не обов’язково встановлювати мобільну. Додаток має приємний дизайн та зручний інтерфейс і доволі розширені функції. Для Linux його можна скачати у вигляді “portable”-застосунку (AppImage), який автоматично оновлюється. Вхід в програму і доступ до налаштувань профілю обмежується паролем, як і належить.

Session Desktop

Серед найбільших переваг месенджера – мінімізований збір метаданих. Session не збирає даних ані про геолокацію, ані про пристрій чи мережу користувача. IP-адреса теж залишається анонімною, адже її захищає “цибулевий” роутинг. Метадані деяких файлів (наприклад, exifdata у відео) при пересиланні зберігаються, але файловий сервер OXEN не може їх розшифрувати, це може лише співрозмовник.

В цілому SESSION майже не збирає і не вимагає ідентифікаційних даних. Здійснити деанонімізацію користувача буде складним завданням. Єдине, що може допомогти провести зв’язок з реальним fingerprint – це журнали SESSION та статистика. Наприклад, хто, коли і з якої IP-адреси скачав додаток і зареєструвався, на якій платформі, а також відомості, які надає їм Google Play Store. Але й їх OXEN може надати лише за рішенням суду.

What information collect messengers

Comparsion Session messenger

Порівняння месенджера Session з іншими додатками

Бізнес-модель проєкту базується на донатах і власному фінансуванні. SESSION – це лише один з проєктів австралійської компанії OXEN. Вони також є авторами однойменного криптогаманця OXEN та популярного onion-маршрутизатора Lokinet.

Команда LOKINET

Люди дотичні до LOKINET. В центрі засновники SESSION – Chris. M (у білій сорочці, стоїть) та Josh Jessop-Smith (у піджаку, сидить).

З можливих недоліків:

❌ Відсутність групових викликів;
❌ Відсутність класичного Perferct Forward Secrecy (PFS). Хоча розробники пояснюють, що це компенсується мінімізацією метаданих і децентралізованою маршрутизацією;
❌ Адміністратори Session модерують контент у відкритих чатах і мають право заблокувати користувача, якщо він порушує правила месенджера;
❌ Для пересилання файлів використовується власна інфраструктура серверів “Oxen File Server”, що теоретично може мати певні наслідки для конфіденційності. Розробники відповіли на це так: “У майбутньому ви також зможете налаштувати програму Session для використання користувацького файлового сервера, такого як автономний сервер або VPS (віртуальний приватний сервер), якщо ви не бажаєте використовувати файловий сервер, розміщений на OPTF”.
❌ *Були зафіксовані глюки в синхронізації мобільного додатку з додатком для ПК. Наприклад, вилучені в мобільному додатку повідомлення продовжували підтягуватися і з’являтися в Desktop-додатку. UPDATE: 18 червня 2023 року SESSION заявили у своєму блозі про велике оновлення, зокрема усунення помилок синхронізації та інших багів;
❌ Мобільний додаток вимогливий до ресурсів пристрою і різко садить батарею;
❌ *16 травня 2022 року була зафіксована вразливість, пов’язана з supply chain attack. На сьогодні виправлено.

Вердикт: На перший погляд, SESSION це той же Signal, тільки дещо модифікований, з ухилом в сторону конфіденційності. Щоправда, поки що не настільки стабільний і легкий. Є нюанси в роботі і питання до архітектури месенджера. Хоч він і децентралізований, на основі ONION-мережі, але використовує власні сервери OXEN. Деякі функції ще працюють у тестовому режимі. Користувачі знаходять чимало дрібних (і не дуже) багів. Відправляти цим месенджером конфіденційні файли/документи поки зарано. Загалом, Session потребує комплексного аудиту безпеки, включаючи регулярний пентест. А якщо проєкт надалі розвиватиметься, то незабаром стане серйозним конкурентом Signal.

Список посилань:

⏩ Session F.A.Q.
⏩ Session Android on GitHub
⏩ Session iOS on GitHub
⏩ Session Desktop on GitHub
⏩ SESSION ISSUES TRACKER on GitHub
⏩ Oxen Session Audit. Technical Report
⏩ Session: A Model for End-To-End Encrypted Conversations With Minimal Metadata Leakage
⏩ Session Protocol: Technical implementation details
⏩ Session Protocol Explained
⏩ Список відкритих тематичних спільнот в SESSION
⏩ End-to-end encryption: Secure messengers and messaging
⏩ OXEN. The State of Private Messaging Applications
⏩ OXEN. Loki’s Exploration into the Onion Routing Space
⏩ OXEN Lokinet on GitHub
⏩ Hackernoon. Net neutrality via blockchain: analyzing Loki Network’s onion routing mixnet
⏩ Lokinet F.A.Q.

Threema

Threema messenger

Threema – швейцарський месенджер з відкритим кодом (ліцензія Open Source AGPLv3), підтримкою повного наскрізного E2EE-шифрування і відповідністю стандартам кібербезпеки GDPR/ISO 27001 (останній аудит проводився у 2020 році). Підтримуються усі популярні операційні системи – встановити додаток можна через репозиторії GooglePlay, F-Droid, Apple Store. Додаток платний – для встановлення необхідно здійснити одноразовий платіж в розмірі 4,99$, що є цілком слушним, адже зменшує кількість/активність спамерів.

При реєстрації додаток не вимагає від користувача ні номера телефону, ні електронної пошти. Дані, включаючи ключі шифрування, зберігаються на мобільному пристрої у зашифрованому вигляді. Додати співрозмовника можна за: 1) URL-посиланням; 2) ідентифікатором (Threma ID); 3) QR-кодом.

Можна запланувати і налаштувати резервне копіювання зі збереженням на власний сервер або SD-карту пам’яті. Синхронізація контактів є необов’язковою, але якщо користувач вирішить її увімкнути – контакти зберігатимуться на сервері Threema в знеособленому хешованому вигляді. Окрім цього, є можливість примусово вимкнути синхронізацію лише для вибраних контактів.

Threema Cryptography

Алгорит шифрування Threema.

Список усіх функціональних можливостей Threema:

  • аудіо та відео виклики;
  • голосові повідомлення;
  • mobile/desktop додатки, web-клієнт;
  • групові й приватні чати, канали;
  • смайлики, емодзі, гіфки, опитування;
  • пересилання файлів різного формату (макс. розмір – 100 Мб);
  • встановлення PIN-коду і парольної фрази на додаток і чати;
  • Режим Perfect Forward Secrecy (PFS) активний по замовчуванню;
  • блокування екрана по таймеру, блокування скріншотів;
  • блокування невідомих користувачів;
  • блокування попереднього перегляду посилань (по замовчуванню);
  • приховання індикації набору та звітів про прочитання; 
  • розширене керування сповіщеннями;
  • експорт чатів і профілю користувача.

Threema compare

Threema Secure Messenger

Мобільний додаток відіграє роль основного в Threema. З нього дуже зручно керувати застосунком для Desktop (ПК), контролювати тривалість сесій (їх до речі може бути декілька на різних комп’ютерах). Але є одна умова – десктопний додаток залежить від заряду батареї смартфона. Відповідно, якщо мобільний пристрій вимкнеться – сесія на Desktop буде завершена.

Threema Desktop

Бізнес-модель Threema базується на комерційних продуктах: Threema Work, Threema OnPrem, Threema Education, Threema Broadcast, Threema Gateway. Окремо хочеться згадати про Threema Work. Це кросплатформний і багатофункціональний додаток для організації роботи в корпоративних системах. Адміністратор має змогу керувати обліковими записами користувачів, видавати доступи, створювати ботів і канали оповіщення. Можна підключити вбудовану MDM-систему. У червні 2022 року швейцарська поліція змінила свій месенджер на Threema Work для всіх своїх підрозділів.

Цікаво знати: Станом на січень 2022 року Threema є єдиним додатком для чату, дозволеним для спілкування між військовослужбовцями швейцарської армії.

Threema in Swiss Army

З недоліків:

❌ Threema неможливо використовувати окремо від мобільного додатку. Desktop-версія має дещо обмежений функціонал;
❌ Threema є централізованим месенджером. У звіті про прозорість вказано, що за рішенням суду Threema може надавати «інформацію, яка є доступною», а саме: публічний ключ, дата створення акаунту, останній вхід, хешовані номер і електронна пошта (якщо були додані), а також повідомлення, файли, дзвінки, push-сповіщення (детальніше).
❌ Користувачі фіксували епізодичні проблеми відправки повідомлень, які не надходили адресату через невідому помилку;
❌ У січні 2023 року в інтернеті розгорівся скандал, пов’язаний з Threema. В жовтні 2022 року команда комп’ютерних науковців зі швейцарського університету ETH Zurich виявила 7 вразливостей в додатку Threema. Професори заявили, що Threema не має ані «прямої безпеки», ані посткомпромісної безпеки. Виявлені уразливості належали до 3 різних моделей загроз: мережевий зловмисник, скомпрометований сервер і вимушений доступ. Результати цих досліджень опубліковані на сайті: https://breakingthe3ma.app/ Через деякий час представники компанії заявили, що криптографічний протокол було оновлено, а знайдені вразливості стосуються старішої версії протоколу, тож не мають значення – усіх їх й так було виправлено. По суті Threema просто проігнорували роботу університету ETH Zurich, що викликало обурення в останніх: «Їх тон був досить зневажливим, стверджуючи, що це старіша версія, і вони вже виправили всі виявлені проблеми. Але Трима змогли сказати це тільки завдяки нашій роботі та відповідальному розкриттю»;
❌ Threema виявлена в так званому Реєстрі організаторів поширення інформації Російської Федерації, що змушує їх за законом РФ №97 ділитися даними з ФСБ.
❌ Як повідомляють деякі блогери і журналісти (див. посилання нижче), розмови українських і не тільки посадовців були неодноразово перехоплені міжнародними спецслужбами через месенджер Threema. Сама компанія зазначає, що вони нікому і нічого не передають без рішення суду Швейцарії, а додаткову інформацію по урядовим запитам можна отримати у них на сайті на сторінці Transpareny Report.

Оцінка: Threema – зручний і простий в роботі месенджер, який відповідає марці “Зроблено в Швейцарії”. З точки зору функціонала та інтерфейсу – тут все продумано, доведено до робочого зразка. Інформація про вихідний код розміщена у публічному доступі, тож кожен може ознайомитись з технічними деталями, які криються за лаштунками цього месенджера. Threema можна рекомендувати для різних вікових та соціальних категорій як альтернатива WhatsApp. Однак цей месенджер є централізованим, за запитом відповідних органів передає користувацькі дані, а отже не гарантує абсолютної конфіденційності. У плані шифрування програє Signal.

Список посилань:

⏩ Придбати або завантажити Threema APK на офіційному сайті
⏩ Методика шифрування Threema
⏩ Порівняння Threema з Telegram, Signal, WhatsApp
⏩ Чим WhatsApp поступається Threema?
⏩ Чому необхідно перейти з WhatsApp на Threema?
⏩ Threema Code Audit
⏩ Threema на Github
⏩ BugBounty Threema
⏩ Youtube-канал. Юрій Швець про перехоплення розмов українських посадовців спецслужбами США в месенджері Threema.
⏩ Youtube-канал. Юрій Бутусов про перехоплення електронною розвідкою НАТО інформації, яку представники спецслужб передавали через месенджер Threema.
⏩ Expert Analysis Reveals Cryptographic Weaknesses in Threema Messaging App
⏩ Threema disputes crypto flaws disclosure, prompts security flap
⏩ Threema claims encryption flaws never had a real-world impact
⏩ Security Proof of Threema’s Communication Protocol: Ibex

Briar

Briar

BRIAR – одноранговий P2P-месенджер з E2EE-шифруванням та відкритим кодом (ліцензія GNU Open Source GPLv3), працює на базі децентралізованої TOR-мережі (на протоколі безпеки транспортного рівня Bramble Transport Protocol v4 (BTP)). Заснований Майклом Роджерсом, який вивчав однорангові мережі більше 10 років й зробив внесок до таких проєктів як Freenet та Limewire. Головні розробники – Торстен Ґроте і Юліан Дем. З повним складом можна ознайомитись на офіційному веб-сайті.

Ідея та концепція Briar:

Briar – це програма для обміну повідомленнями, розроблена для активістів, журналістів та всіх, хто потребує безпечного, легкого та надійного способу спілкування. На відміну від традиційних програм обміну повідомленнями, Briar не покладається на центральний сервер – повідомлення синхронізуються безпосередньо між пристроями користувачів. Якщо Інтернет не працює, Briar може синхронізуватися через Bluetooth або Wi-Fi, забезпечуючи надсилання інформації під час кризи. Якщо Інтернет працює, Briar може синхронізуватися через мережу Tor, захищаючи користувачів та їхні контакти від стеження.

Наші довгострокові плани виходять далеко за рамки обміну повідомленнями: ми використовуватимемо можливості синхронізації даних Briar для підтримки безпечних розподілених програм, включаючи картографування кризових ситуацій і спільне редагування документів. Наша мета — дати людям у будь-якій країні можливість створити безпечні місця, де вони зможуть обговорювати будь-які теми, планувати заходи та організовувати громадські рухи.

Створення акаунта в Briar. Займає не більше хвилини часу і не вимагає розкриття жодних персональних даних. Просто оберіть нікнейм (Увага: змінити його потім неможливо, це частина вашого ідентифікатора) і задайте надійний багатозначний пароль. Аби розпочати листування необхідно на головному екрані додатка натиснути на кнопку “Додати контакт дистанційно” (Add contact distance) або “Додати користувача поруч” (Add contact nearby) та пройти процедуру двосторонньої верифікації. Якщо ви додали контакт дистанційно – відкриється форма, де потрібно вставити посилання на профіль вашого співрозмовника (типу briar://identificator), а своє посилання відправити співрозмовнику, скориставшись кнопкою “Share” (Поділитись). Далі натиснути “Continue” (Продовжити), ввести нік співрозмовника (можна вказати довільно) й натиснути “Add contact” (Додати контакт).

Ваш співрозмовник на своєму пристрої має виконати абсолютно ту саму процедуру. Якщо обидва усе вірно виконали – на екрані з’явиться сповіщення “Pending Contact Requests” (Розпочато процедуру схвалення контакту). Щоб ця процедура успішно завершилася необхідно бути одночасно обом онлайн. У висновку, через декілька секунд з’явиться зелений індикатор навпроти аватарки співрозмовника, який означає що він доданий до списку контактів і готовий до зв’язку.

Якщо ви хочете додати користувача локально – LAN/Bluetooth, то все що потрібно – це дотримуючись вказівок Briar, засканувати QR-код в один одного на пристрої. Контакти додані таким шляхом будуть автоматично позначені як “Верифіковані”. 

How add contacts in Briar messenger

В Briar також можна розвивати ком’юніті й знайомити свої контакти між собою. Для цього треба у розмові з контактом перейти в налаштування та натиснути “Make Introduction”. Після цього обрати іншого користувача, з яким треба познайомити. Далі додати коментар до дії й натиснути “Make introduction”. Обидва побачать сповіщення у себе в приватних повідомленнях, яке їм потрібно схвалити (натиснути “Accept”). Після того як схвалять – кожен з’явиться у списку контактів один одного. 

Повідомлення в месенджері Briar відправляються анонімно через TOR-мережу (підтримуються три режими: автоматичний, з допомогою мостів, без мостів). Варто зауважити, що одноранговий P2P-зв’язок передбачає, що для обміну повідомленнями абоненти повинні перебувати online. Однак, якщо ви не підключені до інтернету і знаходитесь локально поруч, то в Briar передбачена така цікава функція як LAN-месенджер, тобто передача даних по Bluetooth або локальну Wi-Fi мережу. Ще одна перевага: програма не збирає жодних метаданих, а інформація користувачів зберігається тільки на їх пристроях. Фактично, усі канали в Briar надійно захищені від стеження, перехоплення і втручання. Якщо потрібно терміново видалити обліковий запис – достатньо розлогінитись і видалити Briar зі свого пристрою.

Briar Messenger

Повний список функцій Briar:

  • групові чати, форуми, блоги;
  • приватні RSS-стрічки (можна додати feed з будь-якого сайту);
  • автовидалення повідомлень (через 7 днів);
  • обмін зображеннями;
  • можливість повного очищення історії повідомлень поточного чату;
  • довільна зміна імені співрозмовника;
  • обмін повідомленнями через Bluetooth;
  • обмін повідомленнями через спільний Wi-Fi;
  • дистанційний обмін повідомленнями через файл з флешки або SD-картки;
  • функція завантаження Briar через точку доступу на смартфоні співрозмовника (якщо знаходиться поруч);
  • функція “познайомити друзів” (Make Introduction) для спрощеного додавання контактів;
  • робота офлайн (вимкнення споживання додатком інтернету);
  • налаштування сповіщень і нагадувань;
  • налаштування теми оформлення і аватару;
  • блокування скріншотів (включено по замовчуванню);
  • доступ по PIN-коду, автоблокування екрану (по таймеру);
  • Punic Button App (тривожна кнопка, яка виконає будь-яку задану дію, наприклад негайне самознищення).

Briar Messenger

Briar підтримує операційні системи Linux та Android (Google Play/F-Droid). Є Desktop-додаток для ПК, який можна застосовувати автономно – окремо від мобільного (!). За необхідності можна вимкнути споживання інтернету та перевести роботу месенджера на локальну мережу (Wi-Fi/Bluetooth).

15 червня 2023 року розробники Briar презентували додатковий функціонал – Briar Mailbox. Це додаток, який завантажується окремо на пристрій користувача і дозволяє надсилати зашифровані повідомлення контактам, які знаходяться офлайн. Щойно контакт з’явиться онлайн, Briar автоматично синхронізує всі повідомлення. Це рішення покликано усунути відсутність асинхронної доставки повідомлень, яка є неможливою при P2P-з’єднанні.

Briar Mailbox

Briar – повністю безкоштовний. В команду залучені спеціалісти на волонтерській основі, які фінансуються донатерами, громадськими організаціями, грантодавцями. Охочі можуть теж приєднатися, долучитися до перекладу Briar на різні мови (станом на момент написання статті локалізований на 30 мовах світу).

ℹ️ Цікаво знати: У лютому 2022-го після початку російської інвазії засуджений засновник WikiLeaks Джуліан Ассанж порекомендував українцям встановити безпечний месенджер Briar.

З можливих недоліків:

❌ відсутність підтримки пристроїв Apple;
❌ відсутність Desktop-додатка для Windows;
❌ неможливо змінити нікнейм (в стані розгляду на GitLab);
❌ відсутність голосових повідомлень, аудіо та відео викликів;
❌ відсутність надсилання файлів і документів (крім зображень);
❌ відсутність надсилання голосових повідомлень;
❌ неможливо робити знімки на льоту у чаті;
❌ таймер зникаючих повідомлень має лише один часовий проміжок в 7 днів;
❌ скріншоти блокуються по замовчуванню, немає можливості самостійно керувати функцією on/off;
❌ додаток для ПК поки що працює в бета-режимі, відсутні деякі функції;
❌ відсутність в документації опису роботи модуля Briar Mailbox;
❌ відсутність синхронізації між кількома пристроями.

Читайте також:   ТОП пошукових систем для OSINT

Оцінка: Briar – легкий анонімний месенджер, створений на засадах GNU/OpenSource. Ідеально для приватного листування. Споживає мінімум трафіку і не вимогливий до ресурсів. Використовуючи однорангову розподілену мережу P2P (відсутність серверів, дані зберігаються локально на пристроях користувачів), він фактично унеможливлює витік інформації та цензуру. Його також можна використовувати у різноманітних цілях і ситуаціях, наприклад в локальній мережі, коли немає Інтернету. Підійде усім, хто цінує конфіденційність і вільне програмне забезпечення.

Список посилань:

⏩ F.A.Q Briar
⏩ Завантажити APK-файл Briar
⏩ Керівництво Briar українською
⏩ Briar Changelog
⏩ Briar News
⏩ Briar Messenger Threat Model
⏩ Список публікацій в ЗМІ про Briar
⏩ Briar в Twitter
⏩ Briar and Bramble: A Vision for Decentralized Infrastructure

CWTCH

CWTCH

Cwtch – це децентралізований одноранговий P2P-месенджер з відкритим кодом (ліцензія Open Source MIT), заснований канадійською некомерційною організацією Open Privacy Research Society на базі сервісів TOR v3 Onion. Додаток підтримує різні пристрої і операційні системи. До речі, Cwtch (/kʊtʃ/, англ. “Keutch”) – це давнє валлійське слово, яке тлумачиться як «обійми, котрі створюють безпечне місце».

При реєстрації потрібно лише вказати ім’я. Усі дані зберігаються на локальному пристрої. Щоби почати обмінюватися повідомленнями необхідно обмінятися ключами-посиланнями (ідентифікаторами) і бути одночасно онлайн з активним TOR-з’єднанням. За принципом роботи Cwtch нагадує Briar.

Функціональні можливості CWTCH:

  • групові чати;
  • архівування чатів;
  • обмін файлами;
  • імпорт/експорт профіля;
  • налаштування теми оформлення;
  • форматування текстових повідомлень;
  • блокування невідомих контактів;
  • підтрика мультикаунтів.

Cwtch messenger settings

CWTCH linux

Протокол CWTCH є відкритим і будь-хто може приймати участь у його розробці і тестуванні, удосконалювати функціонал, інтерфейс, і таке інше. Проєкт утримується за рахунок власних коштів і донатів.

З недоліків:

❌ відсутність підтримки Orbot (щоб керувати налаштуваннями TOR на стороні);
❌ відсутність аудіо/відео викликів;
❌ відсутній додаток під iOS;
❌ помічена певна нестабільність в роботі, додаток ще перебуває в стані активної розробки.

Оцінка: CWTCH – маленький і простий в роботі анонімний месенджер, який може бути альтернативою Briar. Його технологія проста і водночас дієва – елементарний P2P через TOR.

Список посилань:

⏩ Документація по CWTCH
⏩ GIT-репозиторій CWTCH
⏩ CWTCH Changelog

TOX

TOX messenger

TOX – це одноранговий P2P месенджер з відкритим кодом (ліцензія GNU Open Source GPLv3), підтримує децентралізовану DHT-мережу для обміну повідомленнями, які захищені наскрізним E2EE-шифруванням. В основу роботи покладений однойменний протокол TOX і такі криптографічні стандарти як: NaCI, PFS, DHT, Libsodium, Curve25519, XSalsa20, Poly1305.

Розробники заявляють:

Tox створюють люди, які ним користуються — люди, яким набридли існуючі опції, які шпигують за нами, відслідковують нас, піддають цензурі та не дають нам інновацій. Немає ні корпоративних інтересів, ні прихованих планів. Просто простий і безпечний обмін повідомленнями, яким легко користуватися.

Tox розробляють розробники-волонтери, які витрачають на це свій вільний час, вірячи в ідею проекту. Tox не є компанією чи іншою юридичною організацією. Наразі ми не приймаємо пожертви як проект, але ви можете зв’язатися з розробниками індивідуально.

Tox гнучкий, його легко встановити на різних платформах, підтримує голосові та відеовиклики. Реєстрація не потребує жодних ідентифікаційних даних від користувача. Контакти додаються за ідентифікатором (ID), який можна переслати або відсканувати сканером QR-кодів. Ключі шифрування зберігаються локально на пристрої користувача. Є можливість змінити мережеві налаштування і працювати через проксі (HTTP, SOCKS5), обрати відповідний порт підключення (TCP/UDP) або навіть використовувати власний серверний вузол (bootstrap node), через який будуть відправлятися усі повідомлення.

aTox messengers

В TOX-клієнтах підтримується імпорт та експорт профілю, можна відправляти файли будь-якого формату об’ємом до 100 Мб, створювати приватні групи, змінювати статуси, експортувати профіль, створювати знімки екрана на льоту, пересилати фрагменти коду і багато іншого.

Варто зауважити, що TOX передбачає одноранговий P2P-зв’язок, тому співрозмовники та учасники груп технічно можуть дізнатися IP-адреси один-одного. Щоб уникнути розкриття, рекомендується використовувати VPN.

uTox

Список функціональних можливостей месенджера TOX:

  • Open Source протокол;
  • Децентралізована архітектура (DHT);
  • Наскрізне E2EE шифрування;
  • Підтримка P2P;
  • Сумісність з VPN;
  • Підтримка SOCKS5;
  • Аудіовиклики і аудіоконференції;
  • Відеоконференції;
  • Теми;
  • Смайлики.

З недоліків:

❌ відсутність вичерпної документації по проєкту, незалежний аудит безпеки не проводився;
❌ у роботі додатка були зареєстровані вразливості: CVE-2021-44847, Tox Handshake Vulnerable, RCE 0Day. Вихідний код деяких клієнтів, наприклад qTox – не відповідає стандартам кібербезпеки (відсутність досконалої валідації даних);
❌ деякі клієнти TOX є відносно нестабільними. Наприклад uTox під Linux працює в альфа-режимі;
❌ незрозуміло хто і як утримує Tox (показовою у цьому питанні є скандальна історія відокремлення від Tox Foundation).

Оцінка: TOX – легкий і компактний месенджер. Споживає мінімум ресурсів, володіє широким функціоналом і цікавими можливостями. Кросплатформність, простота та легкість роботи з профілями робить його гнучким і універсальним інструментом онлайн-комунікації. Месенджер недооцінений й стане до вподоби IT-спеціалістам, програмістам, сисадмінам, лінуксоїдам для децентралізованого колективного та приватного спілкування/листування. TOX також може бути заміною Skype і інших подібних платформ для онлайн-колаборації. Додаток є некомерційним, а тому підтримується на волонтерських засадах й потребує ретельного аудиту і тестування.

Список посилань:

⏩ Wiki Docs TOX
⏩ F.A.Q. Tox
⏩ TOX on Reddit
⏩ TOX on GitHub
⏩ TOX Directory
⏩ The Tox Reference

XMPP Conversations

Conversations — це один з кращих та найнадійніших Jabber-клієнів з відкритим кодом (ліцензія GNU Open Source GPLv3), заснований Даніелем Гультшем на федеративному децентралізованому протоколі XMPP (відомий з 1998 року, розшифровується як Extensible Messaging and Presence Protocol).

Додаток Conversations багатомовний, підтримує різні типи шифрування: OTR (до версії 1.23.12), OMEMO (з підтримкою PFS), OpenPGP. З’єднання з серверами захищене по протоколу TLS.

Encyption comparsion in Jabber

Порівняння різних типів шифрування по протоколу XMPP

На жаль, поки що Conversations доступний тільки на ОС Android (F-Droid), але один і той самий обліковий запис можна з легкістю використати в інших сумісних Desktop-додатках на базі XMPP, наприклад: Pidgin, Dino, Adium, Gajim. Для iOS існує 100% аналог Conversations – ChatSecure.

Як створити Jabber-акаунт з допомогою Conversations?

  1. Завантажуємо додаток Conversations на смартфон.
  2. Запускаємо його, після чого на дисплеї з’явиться вікно “Join to conversations” з пропозицією створити новий акаунт. Буде два варіанти – “Створити акаунт” (Create account) та позначений сірим кольором “Використати мого власного провайдера” (Use my own provider). Перший варіант передбачає створення акаунта на сервері Conversations. Другий варіант передбачає використання власного сервера або сервера іншого провайдера. Ми рекомендуємо обирати другий варіант. У якості провайдера можна, наприклад, використати такі публічні сервери:
    • anonym.im – сервер, орієнтований на приватність і безпеку. IP-адреси та Email користувачів не зберігаються (окрім тих, з яких здійснюються невдалі спроби входу), завантажені файли зберігаються на сервері максимум 3 дні, присутній вбудований захист від spam. Неактивні акаунти протягом 180 днів автоматично вилучаються. Сервер показав 100% результат відповідності вимогам безпеки XMPP- дивись тут.
    • thesecure.biz – сервер від розробників додатка Converse.js. Показує непогані результати тесту відповідності вимогам XMPP.
    • Calyx Public Jabber/XMPP Server – сервер некомерційної організації Calyx Institute. Не веде спостережень і журналів, підтримує OTR. Тест відповідності сервера можна переглянути тут. UPDATE: станом на 22.07.2023 реєстрація обмежена.
  3. Отже, тиснемо другий варіант і потрапляємо на екран, де треба вказати реєстраційні дані сервера:
    • Поле Jabber ID – унікальне_ім’я_користувача@hostname_сервера.
    • Поле Password – задаємо складний пароль.
  4. Відмічаємо пташкою опцію – “Register new account on the server” й тиснемо “Next”.
  5. Внизу з’явиться напис “Connecting” (Підключення). Коли акаунт створиться, додаток запропонує вам встановити аватар (можна пропустити), а в особисті повідомлення надійде привітання з успішною реєстрацією на сервері. 
  6. Тепер щоби додати співрозмовника, необхідно у верхньому кутку програми натиснути на іконку користувача з плюсиком та ввести його jabber-адресу: ім’я@сервер. Далі ваш співрозмовник повинен схвалити зустрічний запит (натиснути в себе “Authorize”) і додати вас у свій список контактів.
  7. Для початку листування відкрийте новий діалог і в правому верхньому куті натисніть іконку замочок, оберіть шифрування: OTR, OMEMO або OpenPGP на вибір (якщо сервер підтримує їх). Після цього надіслані повідомлення почнуть з’являтися в чаті.
  8. В цілях безпеки бажано додатково верифікувати один одного. Для цього внизу у чаті з’явиться підказка “Unknown OTR Fingerprint”. Необхідно натиснути по ній і обрати один з трьох варіантів верифікації: “Сканувати 2D баркод”, “Задати контрольне питання”, “Верифікувати вручну”. Найпростіше обрати останній.

Усі вищевказані операції зі створення акаунта Jabber і додавання співрозмовника слід проводити в суворій послідовності з обох сторін, перебуваючи в статусі online. Як бачимо, реєстрація в Джаббер анонімна – від вас не вимагається жодних мобільних номерів чи email-адрес. Додаток Conversations фіксує лише IP-адресу, тому можете використовувати VPN.

Як створити акаунт у Джаббері

ℹ️ На замітку: Для Linux Desktop рекомендуємо використовувати клієнт Pidgin. Він сумісний з XMPP Converations та іншими подібними додатками. Процедура реєстрації у ньому майже аналогічна. Тільки, щоб почати зашифроване листування попередньо треба завантажити й встановити в Pidgin плагін OTR plugin.

Як створити акаунт в Jabber з допомогою Linux

Створення Jabber акаунта з допомогою Pidgin в OS Linux

Список функціональних можливостей XMPP Conversations:

  • групові чати;
  • аудіо та відео дзвінки (з шифруванням WebRTC); 
  • голосові повідомлення;
  • обмін файлами і зображеннями та їх налаштування (до 10 Мб);
  • автовидалення повідомлень (24 години, 7 днів, 30 днів, 6 місяців);
  • вкл/викл редагування повідомлень;
  • вкл/викл індикації набору та звітів про доставку повідомлень;
  • TOR-з’єднання (через Orbot);
  • експорт історії повідомлень;
  • гарячі клавіші (кнопка швидкої дії);
  • режим тиші;
  • приховання ідентифікатора пристрою;
  • сповіщення про невідомі контакти;
  • налаштування теми і оформлення додатка;
  • налаштування звуків і сповіщень;
  • мультиакаунти.

Settings of Conversations messenger

Бізнес-модель Conversations побудова на добровільних внесках, кожен бажаючий може придбати програму в онлайн-магазині Google Play, де вона коштує $4 й таким чином підтримати автора. Охочі також можуть долучитися до проєкту на волонтерських засадах для пошуку та виправлення багів, розробки нового функціоналу або просто для надання свіжих ідей.

Окрім Conversations, існує чимало альтернативних месенджерів з підтримкою XMPP: AstraChat, Xabber, Psi, Converse.js, Dark Messenger та інші, але вони поступаються йому за тими чи іншими критеріями. Цікавим є mcabber, який дозволяє вести листування через інтерфейс командного рядка. Conversations визнано найдосконалішим та найпростішим клієнтом на базі XMPP. Міжнародна організація EFF віддала йому максимальний бал (ChatSecure), а проєкт Prism Break включив у список найзахищеніших месенджерів.

ℹ️ Цікаво знати: В розсекречених документах Едварда Сноудена є згадка, що співробітники АНБ використовували Jabber у якості каналу зв’язку для внутрішньої комунікації. До речі, перехоплений чат з OTR (Off-the-Record Messaging) їм так і не вдалося розшифрувати.

No decrypt available OTR

З можливих недоліків:

❌ в Conversations доступна лише мобільна Android-версія, відсутнє єдине рішення для всіх платформ. Тож доведеться компонувати додатки від різних постачальників (Android + Desktop (Linux/Windows) + macOS/iOS). При такому підході треба тестувати вихідний код додатків, аби виключити можливі вразливості на рівні клієнта. Так, у 2020 році фахівці з кібербезпеки виявили ряд вразливостей в додатку Cisco Jabber для ОС Windows. В тому ж Pidgin дослідники регулярно знаходять й виправляють вразливості, так що варто бути обачними;
❌ відсутність групових конференц-викликів;
❌ необхідно ретельно підбирати публічний Jabber-сервер для реєстрації. Він має бути добре захищеним, в іншому випадку його можуть просто зламати (подібне сталося з хакерами Conti, які очевидно використовували “дірявий” сервер для листування. Усі їхні чати згодом з’явились у вільному доступі). Адміністратор сервера може збирати метадані. Тому в ідеалі рекомендується розгортати власний Jabber-сервер з увімкненим шифруванням і onion-маршрутизацією.

Оцінка: Месенджер Conversations у поєднанні з захищеним Jabber-сервером – це інструмент високого рівня надійності, приватності, конфіденційності. Багатошаровий захист “SSL/TLS + OMEMO (PFS) + OTR + TOR” робить його незамінним та гарантує користувачу необхідну захищеність. Створений на засадах одного з кращих протоколів обміну повідомленнями XMPP. Must-have для любителів “old school”. Як кажуть: “Старий друг краще нових двох”.

⏩ Conversations on GitHub
⏩ Інструкція як користуватись Conversations
⏩ Список Jabber-серверів
⏩ Ще один список Jabber-серверів
⏩ Безпечний Jabber-сервер від творців CalyxOS
⏩ Книга “XMPP: The Definitive Guide“
⏩ Chatting in Secret While We’re All Being Watched

Element

Element messenger

Element (раніше Riot.im) – це безкоштовна (Open Source Apache 2.0) платформа для онлайн-комунікації на базі федеративного децентралізованого протоколу Matrix з підтримкою наскрізного E2EE-шифрування. Месенджер заснували творці Matrix. Проєкт багатомовний і кросплатформний (Linux/Windows/Android/Mac/iOS, веб-клієнт). Особливістю є те, що кожен може підняти власний Matrix-сервер і почати використовувати Element.

Element founders and Matrix co-creators Matthew Hodgson and Amandine Le Pape

Засновники Element і співтворці Matrix – Метью Ходжсон та Амандін Ле Пап

Пряма мова від розробників:

Ми створили унікальну систему, яка поєднує справжнє наскрізне шифрування, перевірку пристрою з перехресним підписом, відкриту децентралізовану мережу та цифровий суверенітет. Кожна з цих речей є складною; доставити всі чотири – це абсолютний розум.

Але ми зробили це та сховали всю цю складність за чудово чистим і зручним інтерфейсом. Ми в нашій стихії, розробляючи це; ми сподіваємося, що ви використовуєте його в своїй стихії.

Лише учасники розмови можуть бачити розмову. Ті, хто бере участь у розмові, є організаторами розмови та зберігають дані. Жодного постачальника послуг, який стежить, і жодного підслуховувача.

Element comnpare2

Реєстрація в Element.io не займає багато часу і проходить без номера телефону, потрібно вказати лише email (можна потім видалити). Перш ніж почати користуватися, треба обрати публічний Matrix-сервер. По замовчуванню пропонується домашній сервер від Matrix.org.

Додати користувача в контакти можна по QR-коду або перейшовши за посиланням запрошення. Після цього контакт має схвалити ваш запит. Підтримується взаємна верифікація. Ключі шифрування зберігаються на пристрої користувача.

Повний перелік функцій Element.io:

  • аудіо та відео виклики (з можливістю поділитися екраном);
  • конференц-виклики, підтримка дзвінків з додатком Jitsi;
  • блокування контактів;
  • приватні, групові чати;
  • голосові повідомлення;
  • публічні спільноти (rooms), простори (spaces);
  • заборона створення скріншотів;
  • вимкнення індикації набору повідомлення;
  • вимкнення попереднього перегляду URL-посилань;
  • приховання дати і часу відправки повідомлення;
  • доступ до чатів по PIN-коду;
  • налаштування теми оформлення;
  • форматування тексту, стікери, гіфки, емодзі, смайлики, реакції;
  • експорт чатів (JSON/CSV/HTML);
  • підтримка API;
  • пересилання файлів різного формату (до 100 Мб);
  • інтеграції з іншими додатками/платформами.

Settings of Element.io messenger app

В екосистемі Matrix діють сотні публічних онлайн-спільнот та просторів зі змістовними тематичними обговореннями, до яких можна долучитися з допомогою додатка Element, скориставшись вбудованим пошуком “View Room Directory”:

Matrix rooms

Desktop-додаток працює без обмежень і є потужним інструментом з адміністрування та ведення онлайн-комунікації:

Element Desktop messenger

Бізнес-модель Element побудована на продажі комерційних продуктів: Element One, Element Home, Element Enterprise та інших. Деякі з них успішно застосовуються державними закладами Франції та Німеччини.

Існує чимало альтернатив Element, ось кращі на наш погляд:

  • RocketChat – умовно безкоштовна платформа для онлайн-комунікації, сертифікована згідно ISO 27001;
  • FluffyChat – не поступається Element, підтримує мультиакаунти, рекомендуємо;
  • Syphon – легкий, не вимогливий до ресурсів, але поки що в режимі Alpha;
  • SchildiChat – базується на функціоналі Element з певними покращеннями;
  • Weechat – Element з інтерфейсом командного рядка.

З можливих недоліків:

❌ Реєстрація передбачає розкриття email адреси;
❌ Недостатня документація архітектури додатка, немає даних щодо незалежного аудиту і тестування безпеки;
❌ Фотографії профілю, реакції та нікнейми користувачів не шифруються;
❌ Відсутність мультиакаунтів (в розробці);
❌ Зафіксовані деякі вразливості (джерело 1, джерело 2, джерело 3, джерело 4);
❌ Власники серверів можуть збирати метадані.

Оцінка: Element – багатофункціональний месенджер-комбайн, побудований на принципах суверенітету даних. Його можна застосовувати для різних цілей та завдань: як засіб надання технічної підтримки своїм клієнтам, канал комунікації з підписниками/шанувальниками, інструмент для співпраці між учасниками команди, побудови відкритих спільнот, майданчик для публікації матеріалів, стрічка новин і т.д. Завдяки чисельним інтеграціям він є альтернативою таким відомим платформам як Slack та Microsoft Teams. За характером нагадує Telegram. Варто пам’ятати лиш одне, Matrix – відносно молодий протокол і багато що у ньому ще доробляється та покращується, для досягнення конфіденційності бажано використовувати власний сервер. Це допоможе зберегти метадані недоторканими.

Список посилань:

⏩ Element User Guide
⏩ Matrix F.A.Q.
⏩ Matrix specification
⏩ Matrix moderation guide
⏩ Matrix Synapse
⏩ Element Help & Support
⏩ Element Privacy Policy
⏩ Matrix documentation for Synapse
⏩ Matrix GDPR Compliance
⏩ RoadMap Element
⏩ Кейси використання Element
⏩ Список публічних серверів Matrix

Wire

WIRE private messenger

Wire – платформа корпоративного рівня для онлайн-комунікації та колаборації, з відкритим кодом (GNU Open Source GPLv3) та підтримкою наскрізного E2EE-шифрування. Відповідає стандартам безпеки ISO/CCPA/GDPR/SOX. Заснована у 2014 році ко-фаундером Skype Яном Фріісом. В розробці також приймали участь інженери з досвідом роботи у таких компаніях як Skype, Microsoft, Apple, Nokia. Штаб-квартира знаходиться в місті Цуг, Швейцарія.

Janus Friis, засновник Wire.

Янус, Фрііс – засновник Wire.

В основу Wire покладено принцип Zero Trust Архітектури і власна реалізація Signal Protocol. Wire підтримує різні операційні системи. Для реєстрації можна вказати лише email. Мобільний і десктопний додатки можна використовувати як автономні застосунки. Присутній також веб-клієнт Wire з доступом через браузер.

WIRE features

Функціональні можливості Wire:

  • приватні, групові чати і дзвінки (до 100 осіб);
  • відео виклики і відеоконференції;
  • автознищення повідомлень;
  • голосові повідомлення;
  • обмін файлами (до 100 Мб);
  • приховання набору повідомлень і статусу прочитання;
  • функція демонстрація дисплею;
  • функція поділитися геолокацією;
  • функція пінг (перевірка доступності користувача);
  • інтеграції з іншими додатками/технологіями;
  • боти для надсилання сповіщень;
  • доступ по PIN-коду;
  • підтримка авторизації SSO/SAML/SCIM;
  • підтримка асинхронного зв’язку;
  • захист аудіопотоку від розпізнавання мови з кодуванням CBR;
  • підтримка сеансів між 8 пристроями;
  • функція адміністрування та контроль учасників корпоративної мережі.

WIRE messenger

WIRE compare

Wire утримується швейцарською компанією Wire Swiss GmbH і заробляє на комерційних продуктах: Wire Enterprise та Wire Government. Обслуговує понад 1800 державних і корпоративних клієнтів у всьому світі, включаючи уряди держав “Великої сімки” G7.  Wire відзначений нагородами як одна з найбезпечніших платформ для онлайн-комунікації.

З недоліків:

❌ Додаток збирає чимало метаданих (модель пристрою, IP-адреса, Cookie, геолокація, дата і час активності);
❌ Був зафіксований інцидент, коли Wire зберігав список контактів в незашифрованому текстовому вигляді (plain text);
❌ Адміністрація залишає за собою право вилучати неактивні акаунти, блокувати їх, якщо вони порушують Умови використання;
❌ Додаток вимогливий до ресурсів пристрою.

Оцінка: Wire – це хороша альтернатива Skype, зроблена за смаком і останніми технологіями. Пропонує комплексну інфраструктуру з усіма необхідними компонентами, інструментами, інтеграціями, політиками безпеки, функціями адміністрування. Ідеально для швидкої, зручної і конфіденційної віддаленої роботи всередині компанії чи організації. Для персональної комунікації, ведення  листування існують конкретно направлені рішення.

Список посилань:

⏩ Wire Privacy Whitepaper
⏩ Wire Privacy Policy
⏩ Skype co-founder backs Wire – to take on Skype
⏩ Wire Cryptography Audit
⏩ Wire on GitHub
⏩ Wire in GooglePlay
⏩ Wire in AppleStore

Wickr

WickrMe

Wickr – це пропрієтарна платформа (вихідний код закритий) для миттєвого обміну повідомленнями в інтернеті, заснована у 2012 році в Сан-Франциско (США) експертами з безпеки. 25 червня 2021 року Wickr придбала компанія Amazon Web Services (AWS). Wickr використовує модель на основі Zero Trust Aрхітектури, наскрізне E2EE шифрування, включно з усіма основними алгоритмами: Perfect Forward Secrecy (PFS), RSA, SHA, ECDH. Загалом, криптографії у Wickr виділена значна увага – працює окремий штат дослідників на чолі з доктором Джоелем Алвеном.

У 2022 році компанія AWS заявила, що припиняє підтримку безкоштовної версії Wickr ME, щоб зосередитись на комерційних версіях месенджера – AWS Wickr, Wickr Pro, Wickr Enterprise. Ціновий діапазон починається з 5$/міс.

Для реєстрації у Wickr необхідно лише вказати ім’я. Немає прив’язки до номера телефону чи електронної пошти. Додаток багатоплатформний, його можна без проблем використовувати окремо в різних операційних системах і різних девайсах – ПК, планшеті, смартфоні. Зашифровані повідомлення тимчасово зберігаються на серверах Wickr і видаляються після доставки одержувачу. Ключі шифрування зберігаються локально на пристрої користувача. Пошук контактів здійснюється по імені (ніку).

Список функціональних можливостей Wickr: 

  • групові чати (до 500 осіб);
  • аудіо та відео дзвінки, конференції (до 70 осіб);
  • онлайн-стрімінг;
  • шаринг дисплею;
  • таймер самознищення повідомлень;
  • функція поділитися геолокацією;
  • файлообмінник (до 5 Гб);
  • сповіщення про скріншоти;
  • доступ по PIN-коду;
  • підтримка SSO та MDM-систем.

Треба зазначити, що Wickr збирає метадані, але вони захищені хешуванням, зокрема це: дата реєстрації, назва/модель пристрою, час останнього користування, загальна кількість відправлених/отриманих повідомлень, версію додатка, аватарку (якщо завантажена).

Wickr Desktop Call

Wickr

Wickr має власну програму Bug Bounty, до якої залучає усіх бажаючих для тестування та пошуку вразливостей. У 2015 році фундація із захисту персональних даних Electronic Frontier Foundation (EFF) включила Wickr до списку кращих компаній за зусилля щодо захисту конфіденційності користувачів: «Ми вдячні Wickr за його тверду позицію щодо прав користувачів, прозорості та конфіденційності».

Бізнес-модель Wickr формується на наданні послуг комерційним структурам, державним організаціям, військовим і правоохоронним органам.

З недоліків:

❌ Централізована архітектура;
❌ Закритий вихідний код.

Оцінка: Wickr – це корпоративний месенджер високого класу, який поєднує у собі стандартні функції онлайн-комунікації, функції безпеки та team-менеджменту – віддаленої колаборації і адміністрування. Програма відповідає сучасним зразкам і стандартам безпеки даних: HIPAA, FINRA, FOIA, FRA. Якщо ви представляєте компанію чи організацію, працюєте в продажах чи державному секторі й шукаєте безпечний аналог Skype/Viber – Wickr стане достойним варіантом.

Список посилань:

⏩ Wickr Support
⏩ Wickr Privacy Policy
⏩ Wickr Secure Messaging Protocol
⏩ Wickr’s Messaging Protocol
⏩ Wickr Pricing

Status.im

Status.im – це децентралізована Open Source (Mozilla Public License 2.0) платформа, заснована у 2020 році на технології Blockchain та крипто-мережі Ethereum Name Service (ENS). Відповідає вимогам GDPR. Поєднує у собі відразу декілька функцій: месенджер, крипто-гаманець з можливістю проведення транзакцій, Web3-браузер. Status підтримує усі популярні операційні системи: Mac, Windows, Linux, Android, iOS.

Програма легка, не потребує від користувача жодних приватних даних і побудована на принципах анонімності. Після реєстрації вам присвоюється ідентифікатор та рандомне (випадкове) ім’я, яке можна змінити за додаткову плату + додатково отримати свій eth.домен. Можна окремо встановити мобільний та десктопний додатки. Перший має досить самодостатній функціонал.

Status Desktop

В цілях безпеки користувачу пропонується згенерувати кодові фрази (seed phrase), за якими можна потім відновити акаунт, а також проводити операції з криптовалютою. Пара ключів шифрування та список контактів зберігаються на пристрої користувача. З метаданих можуть оброблятися: IP-адреса (хешована), ідентифікатор пристрою, адреса гаманця Ethereum.

У програмі можна обмінюватися фото та аудіо файлами. Є групові і приватні чати, публічні спільноти. Повідомлення шифруються наскрізно E2EE та проходять через вузли децентралізованої мережі Ethereum під час доставки. Status використовує стек однорангових повідомлень (P2P) та алгоритм Pefect Forward Secrecy (PFS). Історія повідомлень зберігається на вузлах Status до 30 днів. Але ви можете створити власний вузол (node) або зберігати повідомлення безпосередньо на своєму пристрої.

Решта функціональних можливостей Status.im:

  • блокування скріншотів;
  • розширене керування рендерінгом URL-посилань;
  • розширене керування сповіщеннями;
  • додавання контактів по QR-коду;
  • керування доступом до камери;
  • заборона діалогів від невідомих користувачів;
  • приховання аватару;
  • вибір тем оформлення (light, dark, system);
  • налаштування використання мобільного інтернету;
  • публічні чати;
  • функція закріплення повідомлень.

Окрім цього, в додатку вбудований криптогаманець, який можна використовувати для безпечного надсилання та зберігання крипто-токенів ERC20 (включаючи ETH, SNT, DAI) і токенів ERC721, а також NFT-токенів.

Comparsion Private Messenger

Порівняння Status.im з популярними месенджерами. Детальніше>>

Status має BugBounty і Реферальну програму. Останній аудит проводився у 2019 році. З іншими аудитами можна ознайомитись в GitHub. Кожен бажаючий може стати амбасадором. Компанія також веде розробку інших цікавих проєктів, наприклад Keycard (hardware-гаманець), Teller (криптобіржа), Embark, Nimbus, Subspace та інші.

З недоліків:

❌ відсутність аудіо та відео викликів;
❌ зміна імені користувача платна – необхідно сплатити внутрішньою валютою 10 SNT (~ 1$);
❌ відсутній блокувальник реклами у вбудованому браузері;
❌ відсутня підтримка деяких смартфонів і операційних систем, додаток офіційно перевірено на Android 7+ та iOS 13+. Месенджер ще перебуває в стані активної розробки.

Оцінка: Status.im однозначно цікавий месенджер, який сподобається шанувальникам криптовалют. Елегантний інтерфейс і багатофункціональність робить його зручним та корисним. Питання лише в одному, чи буде месенджер активно розвиватися у випадку, якщо почнеться спад популярності або падіння вартості Ethereum. Поки що Status.im залишає приємне враження – відчувається компетентний якісний підхід та креативність творчої думки.

Список посилань:

⏩ Status.im on GitHub
⏩ Status issues
⏩ Status F.A.Q.
⏩ Status Discuss forum
⏩ PDF-звіт Status Whitepaper
⏩ Status.im: The Life of Message
⏩ Status.im: Privacy vs Convenience

Таблиця порівняння захищених месенджерів

⏩ Відкрити таблицю порівняння в Google Speadsheets

Висновки

1. Ідеального рішення, яке б покривало усі смаки, забаганки, вимоги, потреби – не існує. Різні платформи = різні протоколи – для різних людей, ідей, потреб, завдань.

2. Захищеність, конфіденційність і анонімність – різні речі. Чимало додатків справді є безпечними і захищеними, але не анонімними, адже збирають ідентифікаційні дані користувачів.

3. Конфіденційність і безпека часто можуть ставати на заваді зручності та комфорту. І навпаки. У більшості випадків треба від чогось відмовлятися – або у сторону безпеки (напр., Briar, Tox, XMPP Conversations), або у бік комфорту (напр., Signal, Threema).

4. Відправник і одержувач можуть мати різні гарантії безпеки. Для “стерильно” безпечного зв’язку важливо, щоб ОБИДВА користувачі використовували один і той самий додаток, канал, протокол. В іншому випадку, розкриття даних одержувача може ставити під сумнів безпеку відправника.

5. Спецслужби і різні розвідувальні агенства на сьогодні теоретично та практично можуть контролювати практично будь-який централізований месенджер, який має власника. В сучасних умовах безкоштовно досягти абсолютної анонімності складно, а іноді неможливо.

6. Якщо ваш мобільний пристрій зламано, скомпрометовано або він просто не справний – жодний захищений месенджер не допоможе. За даними компанії Trend Micro, на сьогодні більш ніж 8 мільйонів китайських смартфонів у Східній Європі заражені зловмисним ПЗ, вшитим ще на стадії виготовлення. Тож починайте з пошуку і покупки ЯКІСНОГО смартфона та встановлення операційної системи, націленої на безпеку, наприклад: LineageOS, GrapheneOS, CalyxOS. Все, що нижче Android 12/13 – є вразливим. Деякі рекомендації ЄС по налагодженню мобільного пристрою >>

***

Отже, зібравши та проаналізувавши найбільш вдалі, на нашу точку зору, рішення, ми розбили їх на групи під окремі задачі та категорії:

⭐ Signal, Threema – централізовані месенджери з акцентом на безпеку. Їх бізнес-модель прозора, а робота проста і чітка. Signal заснований і утримується некомерційною організацією. Threema – умовно безкоштовний продукт, розроблений по канонах Швейцарії. Алгоритми шифрування обох додатків відповідають сучасним стандартам. Вихідний код є у публічному доступі. Signal і Threema – кращі рішення у категорії “зручність/приватність”. Вони підійдуть для усіх вікових груп та соціальних верств. Багатомовні, кросплатформні, не вимагають складних налаштувань і не споживають надто багато ресурсів. Сумісні з різними пристроями й операційними системами. Ідеально для листування з людьми вашого кола. Однак, пам’ятайте: вони обидва є централізованими і збирають метадані (хоч й в обмежених кількостях). Хто кращий – складно сказати. Signal вимагає розкриття номера телефону та синхронізує контакти з серверами. Threema – не просить номер телефону при реєстрації, однак може передавати метадані за запитом урядових структур. Тому, якщо прагнете підвищеної секретності, конфіденційності і анонімності або не довіряєте цим постачальникам – гортайте нижче.
⭐ Briar, XMPP Conversations – децентралізовані, автономні месенджери, які включають усі засоби безпечної передачі даних, такі як: P2P, E2EE, OTR, OMEMO, PGP, TOR. Можуть працювати в різних умовах та режимах, є сумісними з іншими протоколами/додатками/технологіями. В їх роботі майже не помічено якихось критичних багів чи вразливостей. Briar, наприклад, дозволяє обмінюватися повідомленнями без інтернету через LAN-мережу, а Conversations використовувати власний Jabber-сервер як вузол для передачі даних по протоколу XMPP. Підійде для журналістів, активістів, хакерів, військових, спеціалістів з інформаційної та комп’ютерної безпеки та інших людей в зонах/нішах підвищеного ризику.
⭐ Tox, Element – є найбільш гнучкими та функціональними месенджерами, які можуть послужити заміною Skype, Slack, Teams. Побудовані на децентралізованих протоколах Tox і Matrix відповідно, гарантують користувачам високий захист від перехоплення і витоку даних. Багатофункціональні, універсальні – підтримують аудіо та відео дзвінки, різноманітні інтеграції. Element, наприклад, це ціла платформа, яка може конкурувати з Telegram і дозволяє організовувати конференц-дзвінки, працювати з аудиторіями, формувати онлайн-ком’юніті тощо. Це хороші і надійні рішення для різного виду онлайн-колаборації, спілкування між учасниками спільнот, спільної роботи над проєктами. Підійде IT-спеціалістам, сисадмінам, лінуксоїдам, геймерам.
⭐ Wire, Wickr – месенджери корпоративного рівня, орієнтовані на компанії, організації, державні установи. Надають користувачам хмарну інфраструктуру для онлайн-комунікації та віддаленого співробітництва, включаючи різні ексклюзивні сервіси/функції. Ідеально для користувачів, яким потрібно безпечно спілкуватися зі своєю командою та клієнтами.
⭐ Session, CWTCH, Status – месенджери, які пропонують різні типи і варіанти конфіденційності, засновані на децентралізації. Session працює на базі власної ONION-мережі, CWTCH – P2P на базі TOR, а Status – P2P на базі Blockchain-технології мережі Ethereum. Усі вони на різний смак та підійдуть для листування з особами не вашого кола. Єдине, вони вимагають певного досвіду в мережевій архітектурі, а деякі функції присутні в режимі beta.

Додаткові посилання

⏩ Comparsion of Instant Messengers
⏩ Bkil – Secure Chat Сomparsion
⏩ Practical Application of EFF’s Guide to Choosing a Messenger
⏩ Apps Features Matrix
⏩ Centralized Apps
⏩ EFF Secure Messaging Scorecard
⏩ Secure Messaging Apps
⏩ DivestOS – Messenger Comparsion Table
⏩ Privacytools.io – Instant Messaging
⏩ Privacyguides – Real Time Communications
⏩ Messenger Comparsion
⏩ Wikipedia – Comparison of cross-platform instant messaging clients
⏩ Wikipedia – Comparison of instant messaging protocols
⏩ Wikipedia – Comparsion of LAN messengers
⏩ Wikipedia – Comparsion of VoIP Software
⏩ Exodus – The Privacy Audit Platform of Android Apps
⏩ Styran.com – Безпечні месенджери

Підпиcатися

Підписуйтесь на новини та отримуйте нові публікації на свою електронну пошту!

👉 Також долучайтеся і читайте нас в Twitter і LinkedIn!

Konrad Ravenstone
Konrad Ravenstone
Спеціаліст з кібербезпеки, аудитор, OSINT-аналітик, Penetration Tester в KR. Laboratories. Досліджує інтернет-технології з 2011 року. Впроваджує кіберзахист інформаційних систем та електронних ресурсів на всіх рівнях.
Усі записи
5 3 голосів
Рейтинг статті
Підписатися
Сповістити про
guest
0 Коментарі
Вбудовані Відгуки
Переглянути всі коментарі
Варто прочитати:
0
Цікаво почути Вашу думку!x
Отримати комерційну пропозицію
Оформити заявку
Замовити консультацію

Заповніть, будь ласка, форму й наш спеціаліст зв’яжеться з Вами та надасть безкоштовну консультацію!

Замовити дзвінок

Вкажіть, будь ласка, контактний номер телефону. Наш менеджер миттєво зв’яжеться з Вами!

Цей сайт використовує cookie для зберігання даних. Продовжуючи використовувати сайт, Ви даєте згоду на роботу з цими файлами.