Личные тайны: как защитить свою переписку в мессенджерах
Рассказывает руководитель проекта «Банки.ру — мобильная связь и интернет» Антонина Самсонова.
Сейчас мы пользуемся тем, о чём раньше не могли и мечтать. Интернет на каждом шагу, гаджеты на любой вкус, электронные деньги, телемедицина, «умные» дома.
Но у любой медали есть обратная сторона. За цифровые блага мы вынуждены платить утратой конфиденциальности. В сети «гуляют» наши личные данные, злоумышленники могут залезть в электронный кошелёк, а личная переписка часто становится достоянием общественности.
Можно ли в таких условиях защитить свои тайны и личную жизнь? Давайте разбираться.
От кого мы защищаемся
Чтобы понять, насколько серьёзные методы защиты стоит применять, нужно определиться, от кого мы хотим защитить нашу переписку.
Все мы люди, ситуации и темы для обсуждения бывают разные, у всех есть личная жизнь. Если ваши близкие и коллеги не хакеры, а обычные пользователи, то достаточно простой защиты устройства. Пароль на вход и своевременное обновление операционной системы. И обязательно следить за тем, чтобы ваши устройства (полностью или частично) не попадали в чужие руки.
К примеру, вы общаетесь со смартфона и используете один из следующих мессенджеров: WhatsApp, Viber и Telegram. Сильная сторона этих программ (и их же слабость) — использование номера телефона в качестве уникального идентификатора.
Не имея доступа к номеру, никто в вашу переписку не заберётся. Но номер телефона — это ваша SIM-карта. Любой человек, у которого в руках оказался ваш телефон или сама SIM-карта, автоматически становится вами для мессенджера.
Если вспомнить, как часто злоумышленники совершают кражи данных с помощью перевыпуска SIM-карт, такой способ защиты уже не выглядит надёжным.
Тут нам приходит на помощь двухфакторная аутентификация: если защитить мессенджер ещё и паролем, никто, кроме вас, не доберётся до личных сообщений.
С этим разобрались. А кто ещё может читать ваши сообщения? Прежде всего, администраторы самих мессенджеров, спецслужбы и злоумышленники. И тут всё гораздо интереснее.
End-to-end-шифрование
Большинство специалистов по безопасности признают метод end-to-end-шифрования одним из самых надёжных. Он защищает практически от любого несанкционированного проникновения в переписку.
Данные передаются в сети и хранятся на сервере администратора мессенджера в зашифрованном виде, а ключи доступны только участникам разговора. Таким образом, ни спецслужбы, ни администрация мессенджера, ни злоумышленники доступа к ключам не получат.
Давайте разберёмся, как это работает. В начале сеанса связи у каждого из собеседников генерируются по два ключа. Один ключ — открытый — передаётся по сети собеседнику и работает для зашифровки сообщения.
Второй — закрытый — остаётся на устройстве. Закрытый ключ используется для расшифровки сообщений. Расшифровать данные можно только при помощи этого ключа. Он никуда не передаётся, переписка становится защищённой.
Все ли популярные мессенджеры автоматически используют end-to-end-шифрование? К сожалению, нет. И тут нам приходят на помощь специалисты по безопасности и обнаружению целенаправленных атак.
До недавнего времени большинство мессенджеров не шифровало сообщения. Так, в Telegram end-to-end-шифрование реализовано только в функции секретных чатов, которая появилась в конце 2013 года. В этом случае никто не сможет получить доступ к сообщениям или подменить информацию (ни провайдер, ни разработчик мессенджера).
Важно понимать, что секретные чаты, а значит и end-to-end-шифрование, доступны только пользователям мобильных устройств. В десктопных версиях эта функция отсутствует (исключением является macOS). Недавно end-to-end-шифрование на базе Signal стало использоваться другими программами: WhatsApp, Facebook Messenger и Google Allo.
Viber внедрил протокол Proteus, но это практически Signal. В целом, обычный пользователь может считать свою переписку в этих мессенджерах защищённой. Но от взлома путём кражи аккаунтов iCloud или Google Account эти мессенджеры не защитят, так как они делают резервные копии истории переписки в облаке в незашифрованном виде. Тогда как Signal, WIRE и Telegram не копируют историю переписки в облако.
Андрей Воронов
технический директор Cezurity
Опасные и безопасные сети
Сейчас много разговоров ведётся о небезопасности открытых Wi-Fi. О том, что при использовании конфиденциальных данных в общих сетях следует соблюдать осторожность. Это, безусловно, так.
Особенное внимание надо уделить платёжным данным. Не рекомендуется использовать мобильный банк в общей сети Wi-Fi, так как пароль легко перехватить (а также подсмотреть через плечо).
А что же с мессенджерами? Как ни странно, открытые Wi-Fi-сети не представляют никакой угрозы тайне вашей переписки, если мессенджер использует end-to-end-шифрование. Если же ваши данные не шифруются, то легко могут «утечь» в сеть.
Большой брат следит за тобой
Любимая страшилка со времен разоблачений Сноудена состоит в том, что спецслужбы, хоть наши, хоть чужие, постоянно за всеми следят.
На этой волне люди начинают защищаться любыми доступными способами: заклеивают глазки камер на устройствах, удаляются из социальных сетей, используют вымышленные аккаунты. Тайна переписки в таких условиях становится ещё важнее для пользователя.
Давайте взглянем трезво, могут ли спецслужбы получить доступ к нашей переписке?
Предположим, администрация мессенджера не использует end-to-end-шифрование, но шифрует данные, передаваемые по сети. То есть перехватывать их нет смысла.
Но на сервере мессенджера они хранятся в открытом, либо в легко дешифруемом администрацией виде. Значит, при необходимости у администрации эти данные можно запросить. И она имеет право их предоставить.
Не стоит забывать также и о том, что, как я уже писала выше, получить данные можно, просто завладев устройством пользователя или получив к нему удалённый доступ. Поэтому современные антивирусы, своевременное обновление ПО и оригинальные пароли защитят ваше устройство и вашу личную жизнь от большинства угроз.
Но если всего вышеперечисленного вам недостаточно, чтобы чувствовать себя защищённым, то вот совет от директора департамента анализа защищенности Digital Security Алексея Тюрина.
Если вам нужно максимально безопасно использовать конкретный мессенджер, который не поддерживает end-to-end-шифрование, единственный рабочий и проверенный вариант — использовать шифрование PGP. Это специальная программа и библиотека функций, позволяющая не только шифровать текст, но и использовать цифровую подпись для файлов и данных.
Зашифрованные PGP данные представляют собой текст, который можно отправить в мессенджере, по почте, распечатать на принтере и передать лично. Ни администраторы мессенджера, ни злоумышленники не смогут посмотреть содержимое вашей переписки.
Но нужно помнить о метаданных: им всё ещё доступен список собеседников, время отправки сообщений и IP-адрес, по которому можно установить ваше местоположение с точностью до города.
Алексей Тюрин
директор департамента анализа защищенности Digital Security
Личные тайны: как защитить свою переписку в мессенджерах
Рассказывает руководитель проекта «Банки.ру — мобильная связь и интернет» Антонина Самсонова.
Сейчас мы пользуемся тем, о чём раньше не могли и мечтать. Интернет на каждом шагу, гаджеты на любой вкус, электронные деньги, телемедицина, «умные» дома.
Но у любой медали есть обратная сторона. За цифровые блага мы вынуждены платить утратой конфиденциальности. В сети «гуляют» наши личные данные, злоумышленники могут залезть в электронный кошелёк, а личная переписка часто становится достоянием общественности.
Можно ли в таких условиях защитить свои тайны и личную жизнь? Давайте разбираться.
От кого мы защищаемся
Чтобы понять, насколько серьёзные методы защиты стоит применять, нужно определиться, от кого мы хотим защитить нашу переписку.
Все мы люди, ситуации и темы для обсуждения бывают разные, у всех есть личная жизнь. Если ваши близкие и коллеги не хакеры, а обычные пользователи, то достаточно простой защиты устройства. Пароль на вход и своевременное обновление операционной системы. И обязательно следить за тем, чтобы ваши устройства (полностью или частично) не попадали в чужие руки.
К примеру, вы общаетесь со смартфона и используете один из следующих мессенджеров: WhatsApp, Viber и Telegram. Сильная сторона этих программ (и их же слабость) — использование номера телефона в качестве уникального идентификатора.
Не имея доступа к номеру, никто в вашу переписку не заберётся. Но номер телефона — это ваша SIM-карта. Любой человек, у которого в руках оказался ваш телефон или сама SIM-карта, автоматически становится вами для мессенджера.
Если вспомнить, как часто злоумышленники совершают кражи данных с помощью перевыпуска SIM-карт, такой способ защиты уже не выглядит надёжным.
Тут нам приходит на помощь двухфакторная аутентификация: если защитить мессенджер ещё и паролем, никто, кроме вас, не доберётся до личных сообщений.
С этим разобрались. А кто ещё может читать ваши сообщения? Прежде всего, администраторы самих мессенджеров, спецслужбы и злоумышленники. И тут всё гораздо интереснее.
End-to-end-шифрование
Большинство специалистов по безопасности признают метод end-to-end-шифрования одним из самых надёжных. Он защищает практически от любого несанкционированного проникновения в переписку.
Данные передаются в сети и хранятся на сервере администратора мессенджера в зашифрованном виде, а ключи доступны только участникам разговора. Таким образом, ни спецслужбы, ни администрация мессенджера, ни злоумышленники доступа к ключам не получат.
Давайте разберёмся, как это работает. В начале сеанса связи у каждого из собеседников генерируются по два ключа. Один ключ — открытый — передаётся по сети собеседнику и работает для зашифровки сообщения.
Второй — закрытый — остаётся на устройстве. Закрытый ключ используется для расшифровки сообщений. Расшифровать данные можно только при помощи этого ключа. Он никуда не передаётся, переписка становится защищённой.
Все ли популярные мессенджеры автоматически используют end-to-end-шифрование? К сожалению, нет. И тут нам приходят на помощь специалисты по безопасности и обнаружению целенаправленных атак.
До недавнего времени большинство мессенджеров не шифровало сообщения. Так, в Telegram end-to-end-шифрование реализовано только в функции секретных чатов, которая появилась в конце 2013 года. В этом случае никто не сможет получить доступ к сообщениям или подменить информацию (ни провайдер, ни разработчик мессенджера).
Важно понимать, что секретные чаты, а значит и end-to-end-шифрование, доступны только пользователям мобильных устройств. В десктопных версиях эта функция отсутствует (исключением является macOS). Недавно end-to-end-шифрование на базе Signal стало использоваться другими программами: WhatsApp, Facebook Messenger и Google Allo.
Viber внедрил протокол Proteus, но это практически Signal. В целом, обычный пользователь может считать свою переписку в этих мессенджерах защищённой. Но от взлома путём кражи аккаунтов iCloud или Google Account эти мессенджеры не защитят, так как они делают резервные копии истории переписки в облаке в незашифрованном виде. Тогда как Signal, WIRE и Telegram не копируют историю переписки в облако.
Андрей Воронов
технический директор Cezurity
Опасные и безопасные сети
Сейчас много разговоров ведётся о небезопасности открытых Wi-Fi. О том, что при использовании конфиденциальных данных в общих сетях следует соблюдать осторожность. Это, безусловно, так.
Особенное внимание надо уделить платёжным данным. Не рекомендуется использовать мобильный банк в общей сети Wi-Fi, так как пароль легко перехватить (а также подсмотреть через плечо).
А что же с мессенджерами? Как ни странно, открытые Wi-Fi-сети не представляют никакой угрозы тайне вашей переписки, если мессенджер использует end-to-end-шифрование. Если же ваши данные не шифруются, то легко могут «утечь» в сеть.
Большой брат следит за тобой
Любимая страшилка со времен разоблачений Сноудена состоит в том, что спецслужбы, хоть наши, хоть чужие, постоянно за всеми следят.
На этой волне люди начинают защищаться любыми доступными способами: заклеивают глазки камер на устройствах, удаляются из социальных сетей, используют вымышленные аккаунты. Тайна переписки в таких условиях становится ещё важнее для пользователя.
Давайте взглянем трезво, могут ли спецслужбы получить доступ к нашей переписке?
Предположим, администрация мессенджера не использует end-to-end-шифрование, но шифрует данные, передаваемые по сети. То есть перехватывать их нет смысла.
Но на сервере мессенджера они хранятся в открытом, либо в легко дешифруемом администрацией виде. Значит, при необходимости у администрации эти данные можно запросить. И она имеет право их предоставить.
Не стоит забывать также и о том, что, как я уже писала выше, получить данные можно, просто завладев устройством пользователя или получив к нему удалённый доступ. Поэтому современные антивирусы, своевременное обновление ПО и оригинальные пароли защитят ваше устройство и вашу личную жизнь от большинства угроз.
Но если всего вышеперечисленного вам недостаточно, чтобы чувствовать себя защищённым, то вот совет от директора департамента анализа защищенности Digital Security Алексея Тюрина.
Если вам нужно максимально безопасно использовать конкретный мессенджер, который не поддерживает end-to-end-шифрование, единственный рабочий и проверенный вариант — использовать шифрование PGP. Это специальная программа и библиотека функций, позволяющая не только шифровать текст, но и использовать цифровую подпись для файлов и данных.
Зашифрованные PGP данные представляют собой текст, который можно отправить в мессенджере, по почте, распечатать на принтере и передать лично. Ни администраторы мессенджера, ни злоумышленники не смогут посмотреть содержимое вашей переписки.
Но нужно помнить о метаданных: им всё ещё доступен список собеседников, время отправки сообщений и IP-адрес, по которому можно установить ваше местоположение с точностью до города.
Алексей Тюрин
директор департамента анализа защищенности Digital Security
Личные тайны: как защитить свою переписку в мессенджерах
