Однозначно это так. Согласен с Вамы коллега. Лучшый способ зашиты это личная встреча на зашищенной от технических устройств територии. Имеющую ,,проблему с законом,, информацию лучше передать устно,без всякого документирования. А лучше такие заказы брать у доверенных и проверенных заказчиков.
Свяжитесь с нами в мессанджерах или по телефону.
+79214188555
-
Наш баннер Разместите наш баннер на своем сайте уже сегодня !
-
Правила форума - обязательны к прочтению !
СУПАЕР!!!
Точно!!!)))
Рейтинг защищенных мессенджеров 2022
Вам когда-нибудь приходилось шептать другому человеку что-то на ухо, чтобы больше никто не услышал? Скорее всего, это в своей жизни делал каждый. В наши дни многие люди проводят больше времени в переписках в интернете, чем в общении лицом к лицу. Вам когда-нибудь случается говорить, писать или отправлять что-то, что другие не должны услышать, прочитать или увидеть? Если да, то в таком случае лучше всего пользоваться мессенджером с шифрованием.
В этой статье рассказывается о том, зачем нужен защищённый мессенджер. Мы рассмотрим последние версии нескольких защищённых мессенджеров и сервисов, а также важные характеристики при их выборе. У каждого из таких приложений есть достоинства и недостатки, каждое предлагает разный подход к обеспечению безопасности данных.
Зачем нужен защищённый мессенджер
Когда вы с кем-то переписываетесь в интернете, казалось бы, только вы и собеседник участвуете в общении. Однако, как показывают примеры прошлого, существует немало лиц, которое пытаются шпионить за общением людей в интернете. Это может быть корпоративное наблюдение или правительственные организации, которые следят не конкретно за вами, а за всеми подряд.
• Корпорации хотят читать переписку людей, чтобы точнее отправлять целенаправленную рекламу или продавать вашу персональную информацию тому, кто больше заплатит.
• Хакеры хотят использовать эту информацию для кражи ваших персональных данных, денег, продажи ваших планов конкурентам или шантажа.
• Правительства хотят знать обо всём, что вы думаете и делаете. Быть может, при этом они даже смогут поймать пару террористов.
Если вы не пользуетесь защищённым мессенджером, одна или сразу все категории описанных выше лиц могут легко перехватить ваши данные, если захотят.
Сейчас всё стало ещё хуже, поскольку множество людей работают и учатся из дома из-за пандемии коронавируса. Внутри компаний безопасность обычно выше, чем дома у их сотрудников. Это означает, что рабочая переписка подвергается более серьёзной угрозе, нежели раньше.
По этой причине сейчас наблюдается расцвет новых мессенджеров, которые обещают конфиденциальность, защиту, анонимность или всё сразу. Однако, по той или иной причине, эти обещания чаще всего не выполняются. Некоторые защищают сообщения только во время передачи, оставляя их доступными для чтения сотрудниками самого сервиса. Другие принадлежат компаниям с плохой репутацией в плане защиты конфиденциальности. Некоторые были взломаны АНБ или другими службами разведки разных стран. Однако, ещё не всё потеряно.
Лучшие защищённые мессенджеры с шифрованием
В этой статье описаны протестированные за последние годы мессенджеры. Они считаются лучшими для безопасного обмена сообщениями.
Signal — самое безопасное приложение для обмена сообщениями
Signal является одним из двух мессенджеров, которые выиграли от проблем с конфиденциальностью WhatsApp в начале нынешнего года. Рекомендация пользоваться им от Илона Маска привлекла немало новых клиентов. С тех пор Signal продолжает получать повышенное внимание.
Signal считается самым безопасным мессенджером. Поначалу созданный компанией Open Whisper Systems, он обладает настолько хорошим протоколом шифрования Signal Protocol, что многие другие сервисы, включая гигантов вроде WhatsApp, пользуются протоколами на его основе. Signal применяет сквозное шифрование, у него открытый исходный код, и он полностью бесплатный. Можно создавать исчезающие сообщения, сервис успешно проходил сторонний аудит и публикует отчёты прозрачности.
Мало того, этот сервис рекомендуют одни из наиболее известных людей в мире информационной безопасности, такие как Брюс Шнайер и Эдвард Сноуден.
Однако, есть у Signal и недостатки. Главной проблемой может считаться необходимость ввести номер телефона при регистрации. Это привязывает все действия внутри приложения к вашей персоне, что многим может не понравиться.
Впрочем, есть способы обойти это требования. Или можно пользоваться другими мессенджерами из данного списка.
Плюсы:
• Сквозное шифрование.
• Алгоритмы шифрования: протокол передачи сигналов с Perfect Forward Secrecy (PFS) для текстовых сообщений, голосовых сообщений и видеозвонков.
• Открытый исходный код.
• Самоуничтожающиеся сообщения.
• Публикация отчётов прозрачности и проверок безопасности.
• Запись минимального объёма информации.
• Отсутствие записи IP-адреса.
• Может заменить СМС-приложение на вашем устройстве.
• Акцент на частных пользователей.
• Бесплатный.
Минусы:
• Для регистрации нужно указать номер телефона.
• Не поддерживает двухфакторную аутентификацию.
Wickr Me — мессенджер с самоудаляемыми сообщениями
Wickr является ещё одним отличным вариантом для безопасного общения. Линейка продуктов Wickr состоит из бесплатных и платных версий для частных лиц и организаций. В данном случае мы говорим о бесплатной частной версии Wickr Me.
Примечание: компания работает над расширением ассортимента своих продуктов. Сейчас предлагается Wickr Pro, вариант для персонального применения или небольших групп с разными платными тарифами. Ещё есть Wickr Enterprise, масштабируемая изощрённая платформа для совместной работы. Существует Wickr RAM для применения в военных целях.
Wickr Me использует тот же код, что и коммерческие предложения этого производителя. Здесь отсутствуют лишь некоторые функциональные возможности. Wickr Me и Signal являются лучшими по безопасности, но у них есть несколько функциональных различий, которые могут стать ключевыми при выборе.
• Wickr Me применяет анонимные учётные записи. Не нужно вводить номер телефона, адрес электронной почты и другую персональную информацию для создания аккаунта.
• Signal позволяет пользователям решать, будут сообщения удаляться или нет. Wickr Me такого выбора не оставляет. Все сообщения и вложения удаляются без участия пользователя. Можно только выбирать, сколько времени пройдёт до удаления. Если анонимность для вас важна и вы не собираетесь перечитывать свою переписку, этот мессенджер может отлично подойти для вас.
Плюсы:
• Сквозное шифрование на стороне клиента.
• Алгоритмы шифрования: AES 256, ECDH521 и RSA 4096 с идеальной прямой секретностью (PFS).
• Анонимные аккаунты.
• Удаляющиеся после прочтения сообщения и вложения.
• Публикация отчётов прозрачности и аудитов безопасности.
• Удаление контента спустя заданное время.
• Не ведётся запись IP-адресов и идентификаторов устройств.
• Не записываются пользовательские метаданные.
• Соответствие требованиям GDPR.
Минусы:
• Код публично доступен на GitHub, но не является открытым.
• Необычное управление сообщениями.
• Располагается в США.
Примечание: в качестве альтернативы бесплатной версии Wickr Me можно воспользоваться базовой версией Wickr Pro с большим числом функциональных возможностей.
Wire — безопасный обмен сообщениями и совместная работа
Wire представляет собой инструмент корпоративного общения с хорошей репутацией. Тут есть защищённый обмен сообщениями, групповой чат, обмен файлами и возможность безопасно работать с внешними клиентами. В данном случае мы рассматриваем Wire Personal, защищённый менеджер для частных лиц. По данным стороннего тестирования, протокол Proteus в основе этого мессенджера является надёжным. Как и Signal, Wire Personal обладает открытым исходным кодом и самоуничтожающимися сообщениями. Здесь также требуется персональная информация для создания учётной записи. Это может быть номер телефона или адрес электронной почты. Для таких случаев всегда можно использовать временную электронную почту.
Судя по применяемым технологиям, Wire Personal можно назвать отличным мессенджером для частных лиц. Недостатком является всего около 500000 пользователей. Кроме того, компания объявила ставку на корпоративных пользователей. Нужно иметь это в виду при долгосрочном выборе зашифрованного мессенджера.
Плюсы:
• Сквозное шифрование.
• Алгоритмы шифрования: протокол Proteus, WebRTC (DTLS, KASE, SRTP) с PFS.
• Открытый исходный код.
• Самоуничтожающиеся сообщения.
• Публикация отчётов прозрачности и аудитов безопасности.
• Соответствие требованиям GDPR.
• Wire Personal доступен бесплатно.
Минусы:
• Для регистрации нужно указать номер телефона или адрес электронной почты.
• Запись некоторых персональных данных.
• Не поддерживается двухфакторная аутентификация.
• Количество пользователей составляет около полумиллиона.
• Компания с недавних пор делает ставку на корпоративный рынок.
Threema — анонимный мессенджер без сбора персональных данных
Threema является не самым известным конфиденциальным мессенджером. Он существует более 8 лет, и в нём около 5 млн пользователей. Это достаточно зрелый продукт, который при этом не смог заполучить большого числа пользователей, на уровне Telegram или Signal. Но это не делает его менее пригодным для применения в определённых ситуациях.
Приложение можно использовать полностью анонимно. Если вы не захотите привязывать адрес электронной почты или номер телефона, пользователя можно будет определить исключительно по случайным образом создаваемому идентификатору, у которого нет связи ни с какими персональными данными. Частные ключи хранятся на устройствах пользователей, поэтому только сами пользователи могут прочитать присылаемые им сообщения.
Примечание: есть возможность выполнять резервное копирование идентификатора Threema, контактов, групп и других данных в Threema Safe. Копии могут храниться на серверах компании или в любом выбранном вами месте.
Threema предлагает версию для предприятий и образовательных учреждений, а также расширение для трансляции сообщений в группы Threema. Есть интерфейс прикладного программирования для использования сети сообщений Threema с собственным программным обеспечением.
Относительная неизвестность Threema при определённых обстоятельствах может рассматриваться как достоинство. Любой желающий шпионить, взламывать и т.д. наверняка выберет сервис со значительно большим числом пользователей. В незаметности есть свои преимущества.
В настоящее время бесплатной версии Threema не существует. Можно купить приложение в магазине Threema или в магазинах Google и Apple.
Плюсы:
• Сквозное шифрование.
• Шифрование с открытым исходным кодом NaCl.
• Анонимная работа без указания номера телефона и адреса электронной почты.
• Текстовые и голосовые сообщения, голосовые и видеозвонки, обмен файлами, опросы, группы и списки рассылки.
• Работает в браузерах и мобильных приложениях, защищённый чат на персональных компьютерах.
• Завершён переход к открытому исходному коду.
• IP-адреса и метаданные не записываются.
• Используются собственные серверы для повышения безопасности и конфиденциальности.
• Регулярно проводится аудит безопасности и выпускаются отчёты о прозрачности.
• Отвечает требованиям GDPR.
Минусы:
• Мало пользователей.
• Нет двухфакторной аутентификации.
• Отсутствует бесплатная версия.
Telegram — приложение для безопасного обмена сообщениями с более чем 500 млн пользователей
Telegram стал крупнейшим выгодополучателем от проблем с конфиденциальностью WhatsApp в начале года. Что именно приобрёл этот мессенджер? Десятки миллионов пользователей за несколько недель.
Не имеет особого значения, насколько защищённым и конфиденциальным является мессенджер, если в нём у вас нет собеседников. Когда в сервисе больше миллиарда пользователей, как в случае с WhatsApp или Facebook Messenger, очень вероятно, что у ваших знакомых, родственников или коллег по работе тоже есть там учётная запись. Если же в сервисе меньше миллиона пользователей, вероятность наличия аккаунта там у нужных людей небольшая.
Telegram находится где-то посередине между двумя этими крайностями. Количество ежемесячно активных пользователей здесь составляет более 500 млн. Это значит, что у ваших собеседников может быть аккаунт в Telegram. К тому же сервис бесплатный.
Набор функциональных возможностей у него постоянно расширяется, но есть кое-какие опасения. По умолчанию переписка не использует сквозное шифрование. Зашифрованы только голосовые звонки и секретные чаты. Если вы пользуетесь другими режимами работы, общение будет не самым защищённым. Даже если использовать сервис со сквозным шифрованием, протокол шифрования MTProto вызывает некоторые сомнения. Кроме того, сервис записывает больше пользовательских данных, чем некоторые его конкуренты.
Подойдёт вам Telegram или нет, зависит от сценариев применения и чего именно вы опасаетесь. Для кого-то богатый набор функциональных возможностей и большая пользовательская база перевешивают недостатки в плане безопасности и конфиденциальности. Если вы решите попробовать Telegram, желательно пользоваться качественным сервисом VPN. Это позволит скрыть реальный IP-адрес и местоположение, так что можно будет не опасаться, что сервис их записывает.
Плюсы:
• Сквозное шифрование.
• Алгоритмы шифрования: MTProto, собственный протокол.
• Приложения с открытым исходным кодом и Telegram Database Library.
• Самоуничтожающиеся сообщения.
• Можно входить в учётную запись с разных устройств одновременно.
• Поддержка двухфакторной авторизации.
• Отвечает требованиям GDPR.
Минусы:
• При регистрации нужно указывать номер телефона.
• Сквозное шифрование применяется только при голосовых звонках и в секретных чатах.
• Серверы без открытого исходного кода.
• Отсутствие публикации официальных сторонних аудитов.
• Записываются IP-адреса и другие метаданные.
Каких мессенджеров и практик при обмене сообщениями нужно избегать
Теперь вы знаете лучшие мессенджеры, поэтому пора поговорить о том, с какими мессенджерами лучше не связываться.
WhatsApp (принадлежит Facebook)
WhatsApp может зашифровывать пользовательские сообщения, но это не делает их защищёнными. Этот мессенджер принадлежит Facebook и работает по законам США. Есть несколько причин держаться от WhatsApp подальше:
• WhatsApp собирает метаданные о пользователях, которые могут использоваться на Facebook или передаваться государственным учреждениям. Записываются имя пользователя, IP-адрес, номер телефона, история местоположения, сотовая сеть, контакты, тип устройства.
• Facebook и WhatsApp обязаны отдавать зашифрованные приложения пользователей британской полиции в соответствии с требованиями нового соглашения.
• Судя по существующим отчётам, правительства могут легко получить доступ к зашифрованным данным WhatsApp через «WhatsApp Web».
• В начале 2020 года появилась информация о крупных изменениях в политике конфиденциальности WhatsApp. Эти изменения позволяют передавать больше данных в руки Facebook.
Keybase (сейчас принадлежит Zoom)
Популярность приложения Keybase со временем увеличивалась, а в 2020 году его купил Zoom.
Как известно, Zoom является не той компанией, которая уважает пользовательскую безопасность и конфиденциальность. С этим сервисом в последние годы связано немало скандалов. Также у него есть сомнительные связи с Китаем. Было замечено, что через Китай проходят пользовательские данные.
В результате порекомендовать к использованию Keybase в настоящее время невозможно.
Обычные незашифрованные СМС-сообщения
Хотя это не какое-то конкретное приложение, не помешает повторить много раз дававшийся совет. Если вы хотите получить конфиденциальность или защиту, не пользуйтесь стандартными незашифрованными текстовыми сообщениями.
Эти сообщения могут легко прочитать операторы мобильной связи и те, с кем они делятся данными. Также незашифрованные данные подвержены атакам типа «человек посередине» и их могут перехватить устройства Stingray.
Нужно понимать, что это относится и к СМС-сообщениям, которые отправляются через приложение Signal. Если установить Signal в качестве приложения по умолчанию для работы с СМС, появится возможность отправлять и получать их. Вот только сообщения останутся незашифрованными.
На какие характеристики смотреть при выборе мессенджера с шифрованием
На что нужно обращать внимание в процессе выбора мессенджера или сервиса с шифрованием? Даже если у вас есть какие-то необычные запросы, в любом случае нужно обращать внимание на следующее:
• Сквозное шифрование.
• Стороннее тестирование и обзоры.
• Открытый исходный код.
• Самоликвидация данных.
• Минимальный сбор пользовательских данных.
• Специфические необходимые вам функциональные возможности.
• Анонимный вход.
Сквозное шифрование
Сквозное шифрование является главной характеристикой защищённых мессенджеров. Когда оно есть, только отправитель и получатель могут видеть сообщения. Даже представители самого мессенджера не смогут прочитать эти сообщения. Если у сервиса нет сквозного шифрования, его нельзя назвать защищённым.
Чтобы обеспечивать защиту, сквозное шифрование должно дополняться двумя требованиями. Во-первых, необходимо применять надёжные алгоритмы шифрования. Во-вторых, сквозное шифрование должно применяться к вашим сообщениям. Давайте посмотрим на эти условия более пристально.
Надёжные алгоритмы шифрования
Алгоритм шифрования должен быть таким, чтобы никто не смог его взломать. Или же реальнее сказать, чтобы на его взлом ушло очень много времени, миллионы и миллиарды лет. Обычно это не проблема, поскольку мессенджеры применяют надёжные алгоритмы шифрования. Алгоритмы вроде протокола Signal были проанализированы криптографами и они пришли к выводу, что степень защиты у них достаточно высокая. Если же сервис не применяет проверенные алгоритмы шифрования, это не означает, что защита слабая, но нужно иметь это в виду.
Сквозное шифрование должно быть включено
От сквозного шифрования не будет пользы, если по умолчанию оно выключено. Самые защищённые мессенджеры используют сквозное шифрование всегда. Про Telegram такого сказать нельзя. В этом мессенджере сквозное шифрование изначально есть только в секретных чатах и в голосовых сообщениях.
Стороннее тестирование и обзоры
Одна из проблем работы с мессенджерами заключается в том, что необходимо проверять их обещания. Следует найти ответ на несколько вопросов:
• Что именно сервис называет защищённым? Для одного сервиса это подход с отсутствием разглашения, шифрование и дешифрование всех сообщений в клиенте без доступа к вашим паролям и ключам шифрования со стороны сервера. Другие могут использовать протокол TLS для шифрования данных в процессе передачи, самостоятельно зашифровывая данные на своих серверах и сохраняя ключи шифрования. В обоих случаях сервисы говорят о надёжности, но это разная надёжность.
• Природа стоящих перед пользователем угроз. Нужно понимать, против чего вы пытаетесь защититься. Если вы хотите избежать слежки со стороны посторонних в интернете, это одно дело. Если же вы хотите защитить свои сообщения в том случае, когда государственная служба вроде АНБ получила доступ к серверам, всем данных на них и ключам шифрования, это совсем другой уровень защиты. Какой именно вариант нужен вам, зависит от сценариев работы.
Когда вы ответили на первые два вопроса, наступает пора решать, подходит ли сервис под ваши требования. Как это сделать?
Можно ли самому проверять обещания сервиса? Никогда не помешает знать, что сервис обладает открытым исходным кодом. Сможете ли вы самостоятельно проанализировать этот код и понять, что все обещания выполнены? Большинство людей не смогут. Как не смогут они провести тесты на проникновение или любые другие тесты, которые позволят проверить степень защищённости сервиса.
Лучшие VPN-сервисы 2022 года
Здесь на помощь приходят сторонние тесты, аудиты и обзоры. Многие компании в наше время нанимают третьих лиц для проверки возможностей своих сервисов. Процесс тестирования в разных случаях может отличаться, как и объём публикуемых результатов тестов. В любом случае, подобный подход может внушить хотя бы некоторое чувство уверенности в том, что вы имеете дело с защищённым мессенджером.
Открытый исходный код
Открытый исходный код также повышает уверенность в том, что сервис выполнит свои обещания. Не потому, что вы самостоятельно изучите содержимое этого кода и увидите, что нет никаких бэкдоров и уязвимостей. Существует немало специалистов в этой области, которые сделают это за вас. В интернете есть люди, которые могут и делают проверку исходного кода, чтобы уличить разработчиков во лжи или же подтвердить, что они говорят правду.
Чем популярнее приложение, тем больше людей анализируют его код и при наличии проблем сообщают о них всему миру. Тот факт, что существуют люди, которые готовы проверить открытый код, приводит к более быстрому устранению ошибок. Если какие-то уязвимости были оставлены специально, об этом тоже станет известно.
Самоуничтожение контента
Идея обеспечения защиты и конфиденциальности при помощи автоматического уничтожения контента существует давно. В современных мессенджерах эту идею взяли на вооружение.
Некоторые сервисы позволяют автоматически уничтожать определённые сообщения спустя заданное время после прочтения. Wickr Me вообще полностью основан на идее самоуничтожения сообщений. Все сообщения и вложенные в них файлы стираются спустя определённое время. В зависимости от ваших вариантов применения это может быть важной возможностью.
Ограниченный сбор данных
Если все ваши сообщения надёжно зашифрованы, это не означает, что у сервиса нет данных о вас. Большинство сервисов собирают определённое количество информации о своих пользователях. Это может быть адрес электронной почты, номер телефона, IP-адрес, в какое время вы подключались, к кому подключались и т.д. Сбор подобной информации не показывает содержимое ваших сообщений, но всё равно ухудшает конфиденциальность.
В зависимости от стоящих перед вами угроз объём собираемой о пользователях информации может быть важным или нет. Если это важно, вы можете уменьшить влияние сбора данных при помощи VPN. VPN позволит скрыть ваш настоящий IP-адрес и местоположение от всех приложений, сервисов и сайтов, которыми вы пользуетесь.
Нужно понимать, что VPN не является панацеей и не скрывает все ваши метаданные. Это один из многих инструментов обеспечения конфиденциальности, которым необходимо пользоваться для обеспечения базовой цифровой защиты. VPN будет надёжно шифровать трафик между вашим устройством и своим сервером, скрывая IP-адрес и местоположение.
Определённые функции
Защита и конфиденциальность мессенджера мало что значат, если там нет нужных вам функциональных возможностей. К счастью, большинство лучших мессенджеров продолжают расширять функциональность, поэтому скорее всего вы найдёте хотя бы в одном из них всё, что вам нужно. Например, многим нужна работа на разных операционных системах. Зато далеко не всем нужно отправлять голосовые и видеосообщения.
Нужно уделять внимание такому аспекту, как совместимость. Это значит, что выбранный вами мессенджер должен быть у тех, с кем вы собираетесь общаться. Число пользователей в сервисе Telegram довольно быстро растёт и уже перевалило за отметку в 400 млн. У большинства сервисов пользователей меньше. В зависимости от обстоятельств может потребоваться пожертвовать частью защиты и конфиденциальности, чтобы общаться с теми, с кем вам необходимо.
Вопросы и ответы
Цель этой статьи заключается в том, чтобы предложить на выбор несколько лучших защищённых мессенджеров. Выбор вы можете сделать сами. Однако у многих людей для этого не хватает навыков и они задают один вопрос:
Какой мессенджер является самым защищённым и конфиденциальным?
Дать один подходящий всем ответ не представляется возможным. Можно посмотреть на тех, чьему мнению вы доверяете. Например, военные пользуются мессенджерами Signal и Wickr во время ведения боевых действий.
Заключение
Защищённые мессенджеры являются отличной альтернативой стандартной электронной почте. С этим согласен даже Эдвард Сноуден, а он наверняка разбирается в этом лучше всех нас.
Защищённые мессенджеры и сервисы из этой статьи применяют слегка отличающиеся подходы к обеспечению вашей конфиденциальности. Вы можете прочитать о различиях между ними, их достоинствах и недостатках. После этого можно будет принять более взвешенное решение о том, какой из этих сервисов лучше подходит под ваши потребности.
Вам когда-нибудь приходилось шептать другому человеку что-то на ухо, чтобы больше никто не услышал? Скорее всего, это в своей жизни делал каждый. В наши дни многие люди проводят больше времени в переписках в интернете, чем в общении лицом к лицу. Вам когда-нибудь случается говорить, писать или отправлять что-то, что другие не должны услышать, прочитать или увидеть? Если да, то в таком случае лучше всего пользоваться мессенджером с шифрованием.
В этой статье рассказывается о том, зачем нужен защищённый мессенджер. Мы рассмотрим последние версии нескольких защищённых мессенджеров и сервисов, а также важные характеристики при их выборе. У каждого из таких приложений есть достоинства и недостатки, каждое предлагает разный подход к обеспечению безопасности данных.
Зачем нужен защищённый мессенджер
Когда вы с кем-то переписываетесь в интернете, казалось бы, только вы и собеседник участвуете в общении. Однако, как показывают примеры прошлого, существует немало лиц, которое пытаются шпионить за общением людей в интернете. Это может быть корпоративное наблюдение или правительственные организации, которые следят не конкретно за вами, а за всеми подряд.
• Корпорации хотят читать переписку людей, чтобы точнее отправлять целенаправленную рекламу или продавать вашу персональную информацию тому, кто больше заплатит.
• Хакеры хотят использовать эту информацию для кражи ваших персональных данных, денег, продажи ваших планов конкурентам или шантажа.
• Правительства хотят знать обо всём, что вы думаете и делаете. Быть может, при этом они даже смогут поймать пару террористов.
Если вы не пользуетесь защищённым мессенджером, одна или сразу все категории описанных выше лиц могут легко перехватить ваши данные, если захотят.
Сейчас всё стало ещё хуже, поскольку множество людей работают и учатся из дома из-за пандемии коронавируса. Внутри компаний безопасность обычно выше, чем дома у их сотрудников. Это означает, что рабочая переписка подвергается более серьёзной угрозе, нежели раньше.
По этой причине сейчас наблюдается расцвет новых мессенджеров, которые обещают конфиденциальность, защиту, анонимность или всё сразу. Однако, по той или иной причине, эти обещания чаще всего не выполняются. Некоторые защищают сообщения только во время передачи, оставляя их доступными для чтения сотрудниками самого сервиса. Другие принадлежат компаниям с плохой репутацией в плане защиты конфиденциальности. Некоторые были взломаны АНБ или другими службами разведки разных стран. Однако, ещё не всё потеряно.
Лучшие защищённые мессенджеры с шифрованием
В этой статье описаны протестированные за последние годы мессенджеры. Они считаются лучшими для безопасного обмена сообщениями.
Signal — самое безопасное приложение для обмена сообщениями
Signal является одним из двух мессенджеров, которые выиграли от проблем с конфиденциальностью WhatsApp в начале нынешнего года. Рекомендация пользоваться им от Илона Маска привлекла немало новых клиентов. С тех пор Signal продолжает получать повышенное внимание.
Signal считается самым безопасным мессенджером. Поначалу созданный компанией Open Whisper Systems, он обладает настолько хорошим протоколом шифрования Signal Protocol, что многие другие сервисы, включая гигантов вроде WhatsApp, пользуются протоколами на его основе. Signal применяет сквозное шифрование, у него открытый исходный код, и он полностью бесплатный. Можно создавать исчезающие сообщения, сервис успешно проходил сторонний аудит и публикует отчёты прозрачности.
Мало того, этот сервис рекомендуют одни из наиболее известных людей в мире информационной безопасности, такие как Брюс Шнайер и Эдвард Сноуден.
Однако, есть у Signal и недостатки. Главной проблемой может считаться необходимость ввести номер телефона при регистрации. Это привязывает все действия внутри приложения к вашей персоне, что многим может не понравиться.
Впрочем, есть способы обойти это требования. Или можно пользоваться другими мессенджерами из данного списка.
Плюсы:
• Сквозное шифрование.
• Алгоритмы шифрования: протокол передачи сигналов с Perfect Forward Secrecy (PFS) для текстовых сообщений, голосовых сообщений и видеозвонков.
• Открытый исходный код.
• Самоуничтожающиеся сообщения.
• Публикация отчётов прозрачности и проверок безопасности.
• Запись минимального объёма информации.
• Отсутствие записи IP-адреса.
• Может заменить СМС-приложение на вашем устройстве.
• Акцент на частных пользователей.
• Бесплатный.
Минусы:
• Для регистрации нужно указать номер телефона.
• Не поддерживает двухфакторную аутентификацию.
Wickr Me — мессенджер с самоудаляемыми сообщениями
Wickr является ещё одним отличным вариантом для безопасного общения. Линейка продуктов Wickr состоит из бесплатных и платных версий для частных лиц и организаций. В данном случае мы говорим о бесплатной частной версии Wickr Me.
Примечание: компания работает над расширением ассортимента своих продуктов. Сейчас предлагается Wickr Pro, вариант для персонального применения или небольших групп с разными платными тарифами. Ещё есть Wickr Enterprise, масштабируемая изощрённая платформа для совместной работы. Существует Wickr RAM для применения в военных целях.
Wickr Me использует тот же код, что и коммерческие предложения этого производителя. Здесь отсутствуют лишь некоторые функциональные возможности. Wickr Me и Signal являются лучшими по безопасности, но у них есть несколько функциональных различий, которые могут стать ключевыми при выборе.
• Wickr Me применяет анонимные учётные записи. Не нужно вводить номер телефона, адрес электронной почты и другую персональную информацию для создания аккаунта.
• Signal позволяет пользователям решать, будут сообщения удаляться или нет. Wickr Me такого выбора не оставляет. Все сообщения и вложения удаляются без участия пользователя. Можно только выбирать, сколько времени пройдёт до удаления. Если анонимность для вас важна и вы не собираетесь перечитывать свою переписку, этот мессенджер может отлично подойти для вас.
Плюсы:
• Сквозное шифрование на стороне клиента.
• Алгоритмы шифрования: AES 256, ECDH521 и RSA 4096 с идеальной прямой секретностью (PFS).
• Анонимные аккаунты.
• Удаляющиеся после прочтения сообщения и вложения.
• Публикация отчётов прозрачности и аудитов безопасности.
• Удаление контента спустя заданное время.
• Не ведётся запись IP-адресов и идентификаторов устройств.
• Не записываются пользовательские метаданные.
• Соответствие требованиям GDPR.
Минусы:
• Код публично доступен на GitHub, но не является открытым.
• Необычное управление сообщениями.
• Располагается в США.
Примечание: в качестве альтернативы бесплатной версии Wickr Me можно воспользоваться базовой версией Wickr Pro с большим числом функциональных возможностей.
Wire — безопасный обмен сообщениями и совместная работа
Wire представляет собой инструмент корпоративного общения с хорошей репутацией. Тут есть защищённый обмен сообщениями, групповой чат, обмен файлами и возможность безопасно работать с внешними клиентами. В данном случае мы рассматриваем Wire Personal, защищённый менеджер для частных лиц. По данным стороннего тестирования, протокол Proteus в основе этого мессенджера является надёжным. Как и Signal, Wire Personal обладает открытым исходным кодом и самоуничтожающимися сообщениями. Здесь также требуется персональная информация для создания учётной записи. Это может быть номер телефона или адрес электронной почты. Для таких случаев всегда можно использовать временную электронную почту.
Судя по применяемым технологиям, Wire Personal можно назвать отличным мессенджером для частных лиц. Недостатком является всего около 500000 пользователей. Кроме того, компания объявила ставку на корпоративных пользователей. Нужно иметь это в виду при долгосрочном выборе зашифрованного мессенджера.
Плюсы:
• Сквозное шифрование.
• Алгоритмы шифрования: протокол Proteus, WebRTC (DTLS, KASE, SRTP) с PFS.
• Открытый исходный код.
• Самоуничтожающиеся сообщения.
• Публикация отчётов прозрачности и аудитов безопасности.
• Соответствие требованиям GDPR.
• Wire Personal доступен бесплатно.
Минусы:
• Для регистрации нужно указать номер телефона или адрес электронной почты.
• Запись некоторых персональных данных.
• Не поддерживается двухфакторная аутентификация.
• Количество пользователей составляет около полумиллиона.
• Компания с недавних пор делает ставку на корпоративный рынок.
Threema — анонимный мессенджер без сбора персональных данных
Threema является не самым известным конфиденциальным мессенджером. Он существует более 8 лет, и в нём около 5 млн пользователей. Это достаточно зрелый продукт, который при этом не смог заполучить большого числа пользователей, на уровне Telegram или Signal. Но это не делает его менее пригодным для применения в определённых ситуациях.
Приложение можно использовать полностью анонимно. Если вы не захотите привязывать адрес электронной почты или номер телефона, пользователя можно будет определить исключительно по случайным образом создаваемому идентификатору, у которого нет связи ни с какими персональными данными. Частные ключи хранятся на устройствах пользователей, поэтому только сами пользователи могут прочитать присылаемые им сообщения.
Примечание: есть возможность выполнять резервное копирование идентификатора Threema, контактов, групп и других данных в Threema Safe. Копии могут храниться на серверах компании или в любом выбранном вами месте.
Threema предлагает версию для предприятий и образовательных учреждений, а также расширение для трансляции сообщений в группы Threema. Есть интерфейс прикладного программирования для использования сети сообщений Threema с собственным программным обеспечением.
Относительная неизвестность Threema при определённых обстоятельствах может рассматриваться как достоинство. Любой желающий шпионить, взламывать и т.д. наверняка выберет сервис со значительно большим числом пользователей. В незаметности есть свои преимущества.
В настоящее время бесплатной версии Threema не существует. Можно купить приложение в магазине Threema или в магазинах Google и Apple.
Плюсы:
• Сквозное шифрование.
• Шифрование с открытым исходным кодом NaCl.
• Анонимная работа без указания номера телефона и адреса электронной почты.
• Текстовые и голосовые сообщения, голосовые и видеозвонки, обмен файлами, опросы, группы и списки рассылки.
• Работает в браузерах и мобильных приложениях, защищённый чат на персональных компьютерах.
• Завершён переход к открытому исходному коду.
• IP-адреса и метаданные не записываются.
• Используются собственные серверы для повышения безопасности и конфиденциальности.
• Регулярно проводится аудит безопасности и выпускаются отчёты о прозрачности.
• Отвечает требованиям GDPR.
Минусы:
• Мало пользователей.
• Нет двухфакторной аутентификации.
• Отсутствует бесплатная версия.
Telegram — приложение для безопасного обмена сообщениями с более чем 500 млн пользователей
Telegram стал крупнейшим выгодополучателем от проблем с конфиденциальностью WhatsApp в начале года. Что именно приобрёл этот мессенджер? Десятки миллионов пользователей за несколько недель.
Не имеет особого значения, насколько защищённым и конфиденциальным является мессенджер, если в нём у вас нет собеседников. Когда в сервисе больше миллиарда пользователей, как в случае с WhatsApp или Facebook Messenger, очень вероятно, что у ваших знакомых, родственников или коллег по работе тоже есть там учётная запись. Если же в сервисе меньше миллиона пользователей, вероятность наличия аккаунта там у нужных людей небольшая.
Telegram находится где-то посередине между двумя этими крайностями. Количество ежемесячно активных пользователей здесь составляет более 500 млн. Это значит, что у ваших собеседников может быть аккаунт в Telegram. К тому же сервис бесплатный.
Набор функциональных возможностей у него постоянно расширяется, но есть кое-какие опасения. По умолчанию переписка не использует сквозное шифрование. Зашифрованы только голосовые звонки и секретные чаты. Если вы пользуетесь другими режимами работы, общение будет не самым защищённым. Даже если использовать сервис со сквозным шифрованием, протокол шифрования MTProto вызывает некоторые сомнения. Кроме того, сервис записывает больше пользовательских данных, чем некоторые его конкуренты.
Подойдёт вам Telegram или нет, зависит от сценариев применения и чего именно вы опасаетесь. Для кого-то богатый набор функциональных возможностей и большая пользовательская база перевешивают недостатки в плане безопасности и конфиденциальности. Если вы решите попробовать Telegram, желательно пользоваться качественным сервисом VPN. Это позволит скрыть реальный IP-адрес и местоположение, так что можно будет не опасаться, что сервис их записывает.
Плюсы:
• Сквозное шифрование.
• Алгоритмы шифрования: MTProto, собственный протокол.
• Приложения с открытым исходным кодом и Telegram Database Library.
• Самоуничтожающиеся сообщения.
• Можно входить в учётную запись с разных устройств одновременно.
• Поддержка двухфакторной авторизации.
• Отвечает требованиям GDPR.
Минусы:
• При регистрации нужно указывать номер телефона.
• Сквозное шифрование применяется только при голосовых звонках и в секретных чатах.
• Серверы без открытого исходного кода.
• Отсутствие публикации официальных сторонних аудитов.
• Записываются IP-адреса и другие метаданные.
Каких мессенджеров и практик при обмене сообщениями нужно избегать
Теперь вы знаете лучшие мессенджеры, поэтому пора поговорить о том, с какими мессенджерами лучше не связываться.
WhatsApp (принадлежит Facebook)
WhatsApp может зашифровывать пользовательские сообщения, но это не делает их защищёнными. Этот мессенджер принадлежит Facebook и работает по законам США. Есть несколько причин держаться от WhatsApp подальше:
• WhatsApp собирает метаданные о пользователях, которые могут использоваться на Facebook или передаваться государственным учреждениям. Записываются имя пользователя, IP-адрес, номер телефона, история местоположения, сотовая сеть, контакты, тип устройства.
• Facebook и WhatsApp обязаны отдавать зашифрованные приложения пользователей британской полиции в соответствии с требованиями нового соглашения.
• Судя по существующим отчётам, правительства могут легко получить доступ к зашифрованным данным WhatsApp через «WhatsApp Web».
• В начале 2020 года появилась информация о крупных изменениях в политике конфиденциальности WhatsApp. Эти изменения позволяют передавать больше данных в руки Facebook.
Keybase (сейчас принадлежит Zoom)
Популярность приложения Keybase со временем увеличивалась, а в 2020 году его купил Zoom.
Как известно, Zoom является не той компанией, которая уважает пользовательскую безопасность и конфиденциальность. С этим сервисом в последние годы связано немало скандалов. Также у него есть сомнительные связи с Китаем. Было замечено, что через Китай проходят пользовательские данные.
В результате порекомендовать к использованию Keybase в настоящее время невозможно.
Обычные незашифрованные СМС-сообщения
Хотя это не какое-то конкретное приложение, не помешает повторить много раз дававшийся совет. Если вы хотите получить конфиденциальность или защиту, не пользуйтесь стандартными незашифрованными текстовыми сообщениями.
Эти сообщения могут легко прочитать операторы мобильной связи и те, с кем они делятся данными. Также незашифрованные данные подвержены атакам типа «человек посередине» и их могут перехватить устройства Stingray.
Нужно понимать, что это относится и к СМС-сообщениям, которые отправляются через приложение Signal. Если установить Signal в качестве приложения по умолчанию для работы с СМС, появится возможность отправлять и получать их. Вот только сообщения останутся незашифрованными.
На какие характеристики смотреть при выборе мессенджера с шифрованием
На что нужно обращать внимание в процессе выбора мессенджера или сервиса с шифрованием? Даже если у вас есть какие-то необычные запросы, в любом случае нужно обращать внимание на следующее:
• Сквозное шифрование.
• Стороннее тестирование и обзоры.
• Открытый исходный код.
• Самоликвидация данных.
• Минимальный сбор пользовательских данных.
• Специфические необходимые вам функциональные возможности.
• Анонимный вход.
Сквозное шифрование
Сквозное шифрование является главной характеристикой защищённых мессенджеров. Когда оно есть, только отправитель и получатель могут видеть сообщения. Даже представители самого мессенджера не смогут прочитать эти сообщения. Если у сервиса нет сквозного шифрования, его нельзя назвать защищённым.
Чтобы обеспечивать защиту, сквозное шифрование должно дополняться двумя требованиями. Во-первых, необходимо применять надёжные алгоритмы шифрования. Во-вторых, сквозное шифрование должно применяться к вашим сообщениям. Давайте посмотрим на эти условия более пристально.
Надёжные алгоритмы шифрования
Алгоритм шифрования должен быть таким, чтобы никто не смог его взломать. Или же реальнее сказать, чтобы на его взлом ушло очень много времени, миллионы и миллиарды лет. Обычно это не проблема, поскольку мессенджеры применяют надёжные алгоритмы шифрования. Алгоритмы вроде протокола Signal были проанализированы криптографами и они пришли к выводу, что степень защиты у них достаточно высокая. Если же сервис не применяет проверенные алгоритмы шифрования, это не означает, что защита слабая, но нужно иметь это в виду.
Сквозное шифрование должно быть включено
От сквозного шифрования не будет пользы, если по умолчанию оно выключено. Самые защищённые мессенджеры используют сквозное шифрование всегда. Про Telegram такого сказать нельзя. В этом мессенджере сквозное шифрование изначально есть только в секретных чатах и в голосовых сообщениях.
Стороннее тестирование и обзоры
Одна из проблем работы с мессенджерами заключается в том, что необходимо проверять их обещания. Следует найти ответ на несколько вопросов:
• Что именно сервис называет защищённым? Для одного сервиса это подход с отсутствием разглашения, шифрование и дешифрование всех сообщений в клиенте без доступа к вашим паролям и ключам шифрования со стороны сервера. Другие могут использовать протокол TLS для шифрования данных в процессе передачи, самостоятельно зашифровывая данные на своих серверах и сохраняя ключи шифрования. В обоих случаях сервисы говорят о надёжности, но это разная надёжность.
• Природа стоящих перед пользователем угроз. Нужно понимать, против чего вы пытаетесь защититься. Если вы хотите избежать слежки со стороны посторонних в интернете, это одно дело. Если же вы хотите защитить свои сообщения в том случае, когда государственная служба вроде АНБ получила доступ к серверам, всем данных на них и ключам шифрования, это совсем другой уровень защиты. Какой именно вариант нужен вам, зависит от сценариев работы.
Когда вы ответили на первые два вопроса, наступает пора решать, подходит ли сервис под ваши требования. Как это сделать?
Можно ли самому проверять обещания сервиса? Никогда не помешает знать, что сервис обладает открытым исходным кодом. Сможете ли вы самостоятельно проанализировать этот код и понять, что все обещания выполнены? Большинство людей не смогут. Как не смогут они провести тесты на проникновение или любые другие тесты, которые позволят проверить степень защищённости сервиса.
Лучшие VPN-сервисы 2022 года
Здесь на помощь приходят сторонние тесты, аудиты и обзоры. Многие компании в наше время нанимают третьих лиц для проверки возможностей своих сервисов. Процесс тестирования в разных случаях может отличаться, как и объём публикуемых результатов тестов. В любом случае, подобный подход может внушить хотя бы некоторое чувство уверенности в том, что вы имеете дело с защищённым мессенджером.
Открытый исходный код
Открытый исходный код также повышает уверенность в том, что сервис выполнит свои обещания. Не потому, что вы самостоятельно изучите содержимое этого кода и увидите, что нет никаких бэкдоров и уязвимостей. Существует немало специалистов в этой области, которые сделают это за вас. В интернете есть люди, которые могут и делают проверку исходного кода, чтобы уличить разработчиков во лжи или же подтвердить, что они говорят правду.
Чем популярнее приложение, тем больше людей анализируют его код и при наличии проблем сообщают о них всему миру. Тот факт, что существуют люди, которые готовы проверить открытый код, приводит к более быстрому устранению ошибок. Если какие-то уязвимости были оставлены специально, об этом тоже станет известно.
Самоуничтожение контента
Идея обеспечения защиты и конфиденциальности при помощи автоматического уничтожения контента существует давно. В современных мессенджерах эту идею взяли на вооружение.
Некоторые сервисы позволяют автоматически уничтожать определённые сообщения спустя заданное время после прочтения. Wickr Me вообще полностью основан на идее самоуничтожения сообщений. Все сообщения и вложенные в них файлы стираются спустя определённое время. В зависимости от ваших вариантов применения это может быть важной возможностью.
Ограниченный сбор данных
Если все ваши сообщения надёжно зашифрованы, это не означает, что у сервиса нет данных о вас. Большинство сервисов собирают определённое количество информации о своих пользователях. Это может быть адрес электронной почты, номер телефона, IP-адрес, в какое время вы подключались, к кому подключались и т.д. Сбор подобной информации не показывает содержимое ваших сообщений, но всё равно ухудшает конфиденциальность.
В зависимости от стоящих перед вами угроз объём собираемой о пользователях информации может быть важным или нет. Если это важно, вы можете уменьшить влияние сбора данных при помощи VPN. VPN позволит скрыть ваш настоящий IP-адрес и местоположение от всех приложений, сервисов и сайтов, которыми вы пользуетесь.
Нужно понимать, что VPN не является панацеей и не скрывает все ваши метаданные. Это один из многих инструментов обеспечения конфиденциальности, которым необходимо пользоваться для обеспечения базовой цифровой защиты. VPN будет надёжно шифровать трафик между вашим устройством и своим сервером, скрывая IP-адрес и местоположение.
Определённые функции
Защита и конфиденциальность мессенджера мало что значат, если там нет нужных вам функциональных возможностей. К счастью, большинство лучших мессенджеров продолжают расширять функциональность, поэтому скорее всего вы найдёте хотя бы в одном из них всё, что вам нужно. Например, многим нужна работа на разных операционных системах. Зато далеко не всем нужно отправлять голосовые и видеосообщения.
Нужно уделять внимание такому аспекту, как совместимость. Это значит, что выбранный вами мессенджер должен быть у тех, с кем вы собираетесь общаться. Число пользователей в сервисе Telegram довольно быстро растёт и уже перевалило за отметку в 400 млн. У большинства сервисов пользователей меньше. В зависимости от обстоятельств может потребоваться пожертвовать частью защиты и конфиденциальности, чтобы общаться с теми, с кем вам необходимо.
Вопросы и ответы
Цель этой статьи заключается в том, чтобы предложить на выбор несколько лучших защищённых мессенджеров. Выбор вы можете сделать сами. Однако у многих людей для этого не хватает навыков и они задают один вопрос:
Какой мессенджер является самым защищённым и конфиденциальным?
Дать один подходящий всем ответ не представляется возможным. Можно посмотреть на тех, чьему мнению вы доверяете. Например, военные пользуются мессенджерами Signal и Wickr во время ведения боевых действий.
Заключение
Защищённые мессенджеры являются отличной альтернативой стандартной электронной почте. С этим согласен даже Эдвард Сноуден, а он наверняка разбирается в этом лучше всех нас.
Защищённые мессенджеры и сервисы из этой статьи применяют слегка отличающиеся подходы к обеспечению вашей конфиденциальности. Вы можете прочитать о различиях между ними, их достоинствах и недостатках. После этого можно будет принять более взвешенное решение о том, какой из этих сервисов лучше подходит под ваши потребности.
Последнее редактирование модератором:
12 защищённых мессенджеров для безопасного общения.
Как показывают мировые события, безопасность общения и защита личных данных в любой момент может коснуться каждого. Мессенджеры — одни из наиболее используемых приложений. Именно в них мы делимся самой частной и закрытой информацией. В этой статье я собрал 12 мессенджеров, которые заботятся о защите вашей личности, информации и безопасности общения.
Briar (Android)
Briar был создан для безопасного общения активистов, журналистов и всех остальных, с кого могут спросить за «базар». В отличие от аналогов (например, Telegram), у Briar нет центрального сервера. Вся переписка синхронизируется напрямую между устройствами пользователей.
В случае отсутствия соединения с интернетом Briar может использовать Bluetooth или Wi-Fi. А при наличии сети синхронизация работает на базе Tor. Исходники открыты.
Telegram (Windows, Mac, Android, iOS, веб)
Telegram от товарища Дурова — один из самых популярных мессенджеров на данный момент. И для многих он является синонимом приватности и анонимности. Однако не следует забывать, что возможности защиты ваших данных немного отличаются между платформами. А об анонимности речь вообще не идёт, хотя многие думают, что в Telegram она есть.
В Telegram можно делиться любым привычным контентом, создавать чаты (до 200 000 человек) и каналы. Не стоит забывать про ботов. Есть поддержка голосовых и видео звонков.
По умолчанию переписка не зашифрована, что позволяет синхронизировать общение между клиентами. Для активации end-to-end шифрования нужно использовать специальные секретные чаты.
Ключи шифрования и вся информация по умолчанию хранится на серверах компании. Секретные чаты являются исключением.
Исходный код клиентов открыт, а исходный код серверной части закрыт. Есть возможность использования API для собственных разработок.
Signal (Windows, macOS, Android, iOS)
В продвижении приватных мессенджеров, и в частности Signal, очень помог неуловимый Сноуден. Если он им пользуется и его до сих пор не поймали, значит, можно пользоваться и нам.
Signal создан на основе TextSecure и RedPhone. Здесь можно общаться тет-а-тет и создавать групповые чаты. Никакие данные никогда не передаются на сервера компании. End-to-end шифрование между устройствами включено по умолчанию. Можно совершать голосовые и видео звонки.
Весь исходный код открыт.
Wire (Windows, macOS, Android, iOS, веб)
Самым неожиданным в Wire для пользователей окажется, что мессенджер платный. Тариф Wire Pro обойдётся в [imath]5,83, а тариф Wire Enterprise — в[/imath]9,5
В мессенджере доступны групповые чаты, видео и аудио звонки, конференции, и всё это с end-to-end шифрованием. Из дополнительных возможностей стоит выделить: возможность поделиться экраном, создание гостевых комнат (для общения с людьми извне), управление командными параметрами, синхронизация между устройствами.
Исходники клиентов и серверной части открыты.
Threema (Android, iOS, веб)
Threema разрабатывали с учётом безопасности данных пользователя. По умолчанию включено end-to-end шифрование, и ваша информация никогда не попадает на сервера компании.
В приложении можно делиться своим местоположением и использовать синхронизацию контактов. Есть голосовые и видео звонки.
Все исходные коды открыты.
Ricochet (Windows, macOS)
Ricochet считается экспериментальным проектом. Его суть заключается в том, что нельзя никому давать ни какие сведения о себе. То есть цель не только в безопасности ваших данных, но и анонимности.
Вы можете начать общение с кем угодно, не раскрывая свою личность и IP-адрес. Никто никогда не сможет узнать, с кем и когда вы переписывались. Серверная часть отсутствует, а соединение происходит с помощью P2P на базе сети Tor.
Ваш логин является секретным адресом сервера. Исходный код мессенджера открыт.
aTalk (Android)
По сравнению с остальными мессенджерами в этой статье, aTalk не такой уж и защищённый. Приложение работает на базе Jabber/XMPP, если вы ещё помните, что это такое. А соединение защищено end-to-end шифрованием с использованием протоколов OMEMO или OTR.
Session (Windows, macOS, Anroid, iOS)
Session — защищённый и анонимный мессенджер. Для регистрации не требуется указывать почту или номер телефона. Вместо этого вам назначается Session ID.
Серверов у компании нет. Вся работа происходит благодаря пользовательским серверам по всему миру. Вся информация передаётся в обезличенном виде, и никто не может получить к ней доступ или узнать, кому она принадлежит.
End-to-end шифрование, сокрытие IP, групповые чаты, открытые исходники.
Adamant Messenger (Windows, macOS, Android, iOS, веб)
Для работы Adamant Messenger использует блокчейн. Если быть совсем точным, то мессенджер работает на базе Ethereum. В комплекте идёт криптокошелёк для покупки и продажи валюты.
Общение зашифровано end-to-end с помощью таких алгоритмов, как Diffie-Hellman Curve25519, Salsa20, Poly1305, и подписано SHA-256 + Ed25519 EdDSA. Данные никогда не передаются на сервер.
Safe Text (Android, iOS, веб)
Safe Text разрабатывался с целью защиты данных и анонимности своих пользователей. Никто не может узнать, кто, с кем и когда переписывался.
Есть возможность удаления сообщений после отправки на устройствах получателя с поддержкой автоудаления. А снятие скриншотов запрещено приложением.
Status (Android, iOS)
Status работает на базе Ethereum. В приложении есть криптокошелёк и браузер с поддержкой децентрализации. Передача данных осуществляется на основе P2P-соединения между пользователями.
Исходники открыты.
Olvid (Android, iOS)
Никакие данные пользователей Olvid не отправляются на сервер, а для использования приложения не нужно предоставлять личные данные.
Данные передаются через «безопасные каналы».
Как показывают мировые события, безопасность общения и защита личных данных в любой момент может коснуться каждого. Мессенджеры — одни из наиболее используемых приложений. Именно в них мы делимся самой частной и закрытой информацией. В этой статье я собрал 12 мессенджеров, которые заботятся о защите вашей личности, информации и безопасности общения.
Briar (Android)
Briar был создан для безопасного общения активистов, журналистов и всех остальных, с кого могут спросить за «базар». В отличие от аналогов (например, Telegram), у Briar нет центрального сервера. Вся переписка синхронизируется напрямую между устройствами пользователей.
В случае отсутствия соединения с интернетом Briar может использовать Bluetooth или Wi-Fi. А при наличии сети синхронизация работает на базе Tor. Исходники открыты.
Telegram (Windows, Mac, Android, iOS, веб)
Telegram от товарища Дурова — один из самых популярных мессенджеров на данный момент. И для многих он является синонимом приватности и анонимности. Однако не следует забывать, что возможности защиты ваших данных немного отличаются между платформами. А об анонимности речь вообще не идёт, хотя многие думают, что в Telegram она есть.
В Telegram можно делиться любым привычным контентом, создавать чаты (до 200 000 человек) и каналы. Не стоит забывать про ботов. Есть поддержка голосовых и видео звонков.
По умолчанию переписка не зашифрована, что позволяет синхронизировать общение между клиентами. Для активации end-to-end шифрования нужно использовать специальные секретные чаты.
Ключи шифрования и вся информация по умолчанию хранится на серверах компании. Секретные чаты являются исключением.
Исходный код клиентов открыт, а исходный код серверной части закрыт. Есть возможность использования API для собственных разработок.
Signal (Windows, macOS, Android, iOS)
В продвижении приватных мессенджеров, и в частности Signal, очень помог неуловимый Сноуден. Если он им пользуется и его до сих пор не поймали, значит, можно пользоваться и нам.
Signal создан на основе TextSecure и RedPhone. Здесь можно общаться тет-а-тет и создавать групповые чаты. Никакие данные никогда не передаются на сервера компании. End-to-end шифрование между устройствами включено по умолчанию. Можно совершать голосовые и видео звонки.
Весь исходный код открыт.
Wire (Windows, macOS, Android, iOS, веб)
Самым неожиданным в Wire для пользователей окажется, что мессенджер платный. Тариф Wire Pro обойдётся в [imath]5,83, а тариф Wire Enterprise — в[/imath]9,5
В мессенджере доступны групповые чаты, видео и аудио звонки, конференции, и всё это с end-to-end шифрованием. Из дополнительных возможностей стоит выделить: возможность поделиться экраном, создание гостевых комнат (для общения с людьми извне), управление командными параметрами, синхронизация между устройствами.
Исходники клиентов и серверной части открыты.
Threema (Android, iOS, веб)
Threema разрабатывали с учётом безопасности данных пользователя. По умолчанию включено end-to-end шифрование, и ваша информация никогда не попадает на сервера компании.
В приложении можно делиться своим местоположением и использовать синхронизацию контактов. Есть голосовые и видео звонки.
Все исходные коды открыты.
Ricochet (Windows, macOS)
Ricochet считается экспериментальным проектом. Его суть заключается в том, что нельзя никому давать ни какие сведения о себе. То есть цель не только в безопасности ваших данных, но и анонимности.
Вы можете начать общение с кем угодно, не раскрывая свою личность и IP-адрес. Никто никогда не сможет узнать, с кем и когда вы переписывались. Серверная часть отсутствует, а соединение происходит с помощью P2P на базе сети Tor.
Ваш логин является секретным адресом сервера. Исходный код мессенджера открыт.
aTalk (Android)
По сравнению с остальными мессенджерами в этой статье, aTalk не такой уж и защищённый. Приложение работает на базе Jabber/XMPP, если вы ещё помните, что это такое. А соединение защищено end-to-end шифрованием с использованием протоколов OMEMO или OTR.
Session (Windows, macOS, Anroid, iOS)
Session — защищённый и анонимный мессенджер. Для регистрации не требуется указывать почту или номер телефона. Вместо этого вам назначается Session ID.
Серверов у компании нет. Вся работа происходит благодаря пользовательским серверам по всему миру. Вся информация передаётся в обезличенном виде, и никто не может получить к ней доступ или узнать, кому она принадлежит.
End-to-end шифрование, сокрытие IP, групповые чаты, открытые исходники.
Adamant Messenger (Windows, macOS, Android, iOS, веб)
Для работы Adamant Messenger использует блокчейн. Если быть совсем точным, то мессенджер работает на базе Ethereum. В комплекте идёт криптокошелёк для покупки и продажи валюты.
Общение зашифровано end-to-end с помощью таких алгоритмов, как Diffie-Hellman Curve25519, Salsa20, Poly1305, и подписано SHA-256 + Ed25519 EdDSA. Данные никогда не передаются на сервер.
Safe Text (Android, iOS, веб)
Safe Text разрабатывался с целью защиты данных и анонимности своих пользователей. Никто не может узнать, кто, с кем и когда переписывался.
Есть возможность удаления сообщений после отправки на устройствах получателя с поддержкой автоудаления. А снятие скриншотов запрещено приложением.
Status (Android, iOS)
Status работает на базе Ethereum. В приложении есть криптокошелёк и браузер с поддержкой децентрализации. Передача данных осуществляется на основе P2P-соединения между пользователями.
Исходники открыты.
Olvid (Android, iOS)
Никакие данные пользователей Olvid не отправляются на сервер, а для использования приложения не нужно предоставлять личные данные.
Данные передаются через «безопасные каналы».
Парадоксально, но факт: при всем разнообразии мессенджеров выбирать их обычно не приходится — люди просто пользуются тем же, чем их друзья и знакомые. Но что, если секретность действительно важна? В этой статье мы пройдемся по списку современных мессенджеров и посмотрим, какие гарантии защиты есть у каждого из них.
Недавно на «Хакере» был опрос «Какой мессенджер ты считаешь самым надежным для хакера?», и самый популярный ответ (Telegram) серьезно настораживал. Насколько все далеко зашло, если даже средний читатель «Хакера» уже потерял связь с реальностью после атаки маркетинг-хедкраба ?
Крабе отаке!!
Мы составили список мессенджеров, чтобы посмотреть, как у каждого из них обстоят дела с безопасностью. В подборку пошли как популярные, так и перспективные в плане безопасности программы. Предупреждаем, что углубляться в техническую сторону мы будем настолько, насколько это необходимо для среднего пользователя, не дальше.
Во многом мы повторили путь авторов серии статей Electronic Frontier Foundation под названием Secure Messaging Scorecard, но выбрали другие критерии — на наш взгляд, более важные.
Критерии
FOSS
Распространяется ли исходный код мессенджера на условиях одной из свободных лицензий? Если да, то ведется ли разработка открытым методом? Насколько тесно разработчики взаимодействуют с сообществом? Принимают ли pull request’ы? Все это важно учитывать при выборе.
Степень централизации
Здесь возможен один из трех вариантов:
• централизованный — требует сервера, возможно заблокировать. Пример: VK, Telegram, Facebook;
• федеративный — сеть из серверов, которые общаются друг с другом. Каноничные примеры: электронная почта, Jabber (XMPP), Riot Matrix;
• децентрализованный (имеется в виду P2P) — каждый клиент является одновременно и сервером.
Возможность анонимной регистрации и использования
Для некоторых сервисов телефон может понадобиться только для защиты от спама при регистрации, соответственно, очень просто использовать сервисы аренды номеров для SMS.
В остальных случаях мессенджер плотно привязан к телефону. Это плохо тем, что если не включена двухфакторная аутентификация, то при получении доступа к этому номеру можно зайти в аккаунт и слить все данные. Но даже если двухфакторка включена, все равно остается возможность удалить все данные с аккаунта. Ну и конечно, это, считай, регистрация по паспорту (используем реалии РФ, других не завезли).
Но не все так плохо. Есть мессенджеры, которые позволяют регистрироваться с использованием почтового ящика или учетной записи в социальной сети. Есть и такие, где учетную запись можно создать в самом мессенджере без привязки к чему-то.
Наличие End-to-End Encryption (E2EE)
Некоторые мессенджеры имеют такую функцию по умолчанию, в других ее можно включить, но есть и те, где сквозного шифрования просто нет.
Синхронизация E2EE-чатов
Опять же эта функция пока что встречается не так часто, как хотелось бы. Ее наличие сильно упрощает жизнь.
Уведомление о необходимости проверки отпечатков E2EE
При старте E2EE-чатов некоторые мессенджеры предлагают проверить отпечатки собеседников, другие не предлагают это открыто. Но не все мессенджеры имеют функцию проверки отпечатков.
Запрет делать скриншот секретного чата
Не самая полезная функция, потому что для обхода запрета достаточно, например, иметь под рукой второй телефон.
Групповые E2EE-чаты
Групповые E2EE-чаты обычно не такая уж необходимая функция, но весьма удобная. Правило «больше двух — говори вслух» стоит оставить для детей.
Уведомление о необходимости проверки отпечатков E2EE в групповых чатах
При добавлении нового собеседника, с которым не сверены отпечатки, в секретный групповой чат не все мессенджеры предлагают проверить его отпечатки. Из-за такого упущения теряется смысл секретных чатов.
Защита социального графа
Некоторые мессенджеры собирают информацию о контактах пользователя и другие данные, например кому звонил пользователь, как долго разговаривал. На эту тему есть интересная заметка.
WWW
Мы выбрали лишь часть критериев, которые могут сыграть роль при выборе мессенджера. Существуют и другие, но не всегда они связаны с безопасностью. Группа ученых из европейских университетов неплохо разложила все по полочкам в работе Obstacles to the Adoption of Secure Communication Tools (PDF). Также всегда полезно знакомиться с результатами независимого аудита, если они есть. Например, в случае с Signal такой аудит проводился (PDF).
Telegram
Лицензия: формально — GPLv3. Однако важная часть разработки закрыта. Если взглянуть на репозитории, то видно, что в последнее время какое-то движение наблюдалось только в вебовой версии. Увы, в таком виде это скорее иллюзия открытости
Степень централизации: централизованный
Возможность анонимной регистрации и работы: нет
Наличие E2EE: реализованы, но как дополнение. По умолчанию чаты не шифруются
Синхронизация E2EE-чатов: нет. Секретный чат можно использовать только с одного устройства, с другого доступа к нему уже не будет
Уведомление о проверке отпечатков E2EE: нет. Пользователи могут сами зайти в настройки, чтобы сравнить отпечатки
Запрет на скриншоты секретных чатов: есть, но работает не на всех устройствах
Групповые чаты E2EE: нет
Защита социального графа: нет
Мессенджер, созданный командой Павла Дурова, построен на технологии шифрования переписки MTProto. На данный момент частично заблокирован на территории России, но эта блокировка — отдельная тема для разговора.
Мессенджер неоднозначный. Вокруг него много шума, но оправдан ли он? Доступа к исходникам нет, чаты по умолчанию не шифруются, нет защиты социального графа (все твои контакты хранятся на серверах Telegram), нет групповых E2EE-чатов, E2EE-чаты не поддерживаются в настольной версии программы, только в мобильной, мессенджер централизованный, сообщения хранятся на сервере (и они, как уже было отмечено, не зашифрованы), и при всем этом отсутствует возможность анонимной регистрации.
Если ты хочешь использовать Telegram, то для защиты переписки не забывай создавать секретные чаты. В мобильной версии для этого нужно выбрать команду New Secret Chat. Из настольных версий секретные чаты поддерживают только некоторые (например, один из двух клиентов для macOS).
В секретном чате сообщения шифруются и не хранятся на серверах мессенджера. Также нельзя сделать скриншот секретного чата, но ничто не мешает сфотографировать такой чат с экрана.
Signal
Лицензия: AGPLv3
Степень централизации: централизованный
Возможность анонимной регистрации и работы: нет. Кроме номера телефона, других вариантов нет
Наличие E2EE: есть
Синхронизация E2EE-чатов: есть
Уведомление о проверке отпечатков E2EE: нет. Пользователям предлагается сосканировать QR-коды друг у друга или сравнить отпечатки
Запрет на скриншоты секретных чатов: можно включить или выключить
Групповые чаты E2EE: есть
Уведомление о необходимости проверки отпечатков E2EE в групповых чатах: нет
Защита социального графа: есть
Мессенджер Signal разработан американским стартапом Open Whisper Systems, где, кроме двоих основателей, работает всего несколько человек. Для шифрования сообщений используется созданный специально для него криптографический протокол — Signal Protocol. Он применяется для сквозного (end-to-end) шифрования звонков (голосовых и видео), а также обычных сообщений. Протокол Signal с тех пор стали использовать и другие мессенджеры: WhatsApp, Facebook Messenger, Google Allo.
Казалось бы, в этом случае любой мессенджер может стать таким же безопасным, как и Signal. Но, как показывает практика, — нет. В отличие от Signal, где шифрование включено по умолчанию, в этих мессенджерах оно выключено. Для его включения в Facebook Messenger нужно активировать Secret Conversations, а в Google Allo — режим инкогнито (Incognito Mode).
Хоть Signal и централизованный, но код открыт и распространяется по свободной лицензии. У Signal есть поддержка групповых E2EE-чатов, защита социального графа, поддерживаются исчезающие по таймеру сообщения.
Однако не стоит путать защиту с анонимностью. Signal не анонимен: при регистрации нужно указывать номер телефона, к которому мессенджер и привязывается. Что касается исчезающих сообщений, то эта фишка встречается и в других мессенджерах, например в Viber и Telegram (в меню секретного чата нужно выбрать команду Set self-destruct timer).
Нужно ли в мессенджерах уведомление о смене ключа?
• Да, и оно должно быть включено по умолчанию
• Сделать его опцией, чтобы основных пользователей не раздражало. Дотошные сами включат
• Только если при этом блокируется отправка новых сообщений до подтверждения, иначе в нем нет смысла
Viber
Лицензия: проприетарная
Степень централизации: централизованный
Возможность анонимной регистрации и работы: только по номеру телефона
Наличие E2EE: есть, по умолчанию. Также есть секретные и скрытые чаты, которые обеспечивают дополнительную безопасность
Синхронизация E2EE-чатов: нет. Созданный в мобильной версии секретный чат не отобразился в десктопной версии
Уведомление о проверке отпечатков E2EE: нет
Запрет на скриншоты секретных чатов: есть
Групповые чаты E2EE: есть
Уведомление о необходимости проверки отпечатков E2EE в групповых чатах: нет
Защита социального графа: нет
Viber — интересный мессенджер. С одной стороны, он проприетарный, централизованный, привязывается только к номеру телефона, не обеспечивает защиту социального графа. С другой стороны, сквозное шифрование основано на протоколе Signal и включено по умолчанию, даже в настольной версии. Для дополнительной безопасности существуют секретные чаты с возможностью общаться группой.
Секретные чаты позволяют настроить таймер самоуничтожения для каждого сообщения: оно будет удалено через установленное время после просмотра — как с твоего устройства, так и со всех устройств получателей. Сообщения секретного чата защищены от пересылки, а скриншоты или запрещены, или оставляют уведомление на экране чата.
Недавно на «Хакере» был опрос «Какой мессенджер ты считаешь самым надежным для хакера?», и самый популярный ответ (Telegram) серьезно настораживал. Насколько все далеко зашло, если даже средний читатель «Хакера» уже потерял связь с реальностью после атаки маркетинг-хедкраба ?
Крабе отаке!!
Мы составили список мессенджеров, чтобы посмотреть, как у каждого из них обстоят дела с безопасностью. В подборку пошли как популярные, так и перспективные в плане безопасности программы. Предупреждаем, что углубляться в техническую сторону мы будем настолько, насколько это необходимо для среднего пользователя, не дальше.
Во многом мы повторили путь авторов серии статей Electronic Frontier Foundation под названием Secure Messaging Scorecard, но выбрали другие критерии — на наш взгляд, более важные.
Критерии
FOSS
Распространяется ли исходный код мессенджера на условиях одной из свободных лицензий? Если да, то ведется ли разработка открытым методом? Насколько тесно разработчики взаимодействуют с сообществом? Принимают ли pull request’ы? Все это важно учитывать при выборе.
Степень централизации
Здесь возможен один из трех вариантов:
• централизованный — требует сервера, возможно заблокировать. Пример: VK, Telegram, Facebook;
• федеративный — сеть из серверов, которые общаются друг с другом. Каноничные примеры: электронная почта, Jabber (XMPP), Riot Matrix;
• децентрализованный (имеется в виду P2P) — каждый клиент является одновременно и сервером.
Возможность анонимной регистрации и использования
Для некоторых сервисов телефон может понадобиться только для защиты от спама при регистрации, соответственно, очень просто использовать сервисы аренды номеров для SMS.
В остальных случаях мессенджер плотно привязан к телефону. Это плохо тем, что если не включена двухфакторная аутентификация, то при получении доступа к этому номеру можно зайти в аккаунт и слить все данные. Но даже если двухфакторка включена, все равно остается возможность удалить все данные с аккаунта. Ну и конечно, это, считай, регистрация по паспорту (используем реалии РФ, других не завезли).
Но не все так плохо. Есть мессенджеры, которые позволяют регистрироваться с использованием почтового ящика или учетной записи в социальной сети. Есть и такие, где учетную запись можно создать в самом мессенджере без привязки к чему-то.
Наличие End-to-End Encryption (E2EE)
Некоторые мессенджеры имеют такую функцию по умолчанию, в других ее можно включить, но есть и те, где сквозного шифрования просто нет.
Синхронизация E2EE-чатов
Опять же эта функция пока что встречается не так часто, как хотелось бы. Ее наличие сильно упрощает жизнь.
Уведомление о необходимости проверки отпечатков E2EE
При старте E2EE-чатов некоторые мессенджеры предлагают проверить отпечатки собеседников, другие не предлагают это открыто. Но не все мессенджеры имеют функцию проверки отпечатков.
Запрет делать скриншот секретного чата
Не самая полезная функция, потому что для обхода запрета достаточно, например, иметь под рукой второй телефон.
Групповые E2EE-чаты
Групповые E2EE-чаты обычно не такая уж необходимая функция, но весьма удобная. Правило «больше двух — говори вслух» стоит оставить для детей.
Уведомление о необходимости проверки отпечатков E2EE в групповых чатах
При добавлении нового собеседника, с которым не сверены отпечатки, в секретный групповой чат не все мессенджеры предлагают проверить его отпечатки. Из-за такого упущения теряется смысл секретных чатов.
Защита социального графа
Некоторые мессенджеры собирают информацию о контактах пользователя и другие данные, например кому звонил пользователь, как долго разговаривал. На эту тему есть интересная заметка.
WWW
Мы выбрали лишь часть критериев, которые могут сыграть роль при выборе мессенджера. Существуют и другие, но не всегда они связаны с безопасностью. Группа ученых из европейских университетов неплохо разложила все по полочкам в работе Obstacles to the Adoption of Secure Communication Tools (PDF). Также всегда полезно знакомиться с результатами независимого аудита, если они есть. Например, в случае с Signal такой аудит проводился (PDF).
Telegram
Лицензия: формально — GPLv3. Однако важная часть разработки закрыта. Если взглянуть на репозитории, то видно, что в последнее время какое-то движение наблюдалось только в вебовой версии. Увы, в таком виде это скорее иллюзия открытости
Степень централизации: централизованный
Возможность анонимной регистрации и работы: нет
Наличие E2EE: реализованы, но как дополнение. По умолчанию чаты не шифруются
Синхронизация E2EE-чатов: нет. Секретный чат можно использовать только с одного устройства, с другого доступа к нему уже не будет
Уведомление о проверке отпечатков E2EE: нет. Пользователи могут сами зайти в настройки, чтобы сравнить отпечатки
Запрет на скриншоты секретных чатов: есть, но работает не на всех устройствах
Групповые чаты E2EE: нет
Защита социального графа: нет
Мессенджер, созданный командой Павла Дурова, построен на технологии шифрования переписки MTProto. На данный момент частично заблокирован на территории России, но эта блокировка — отдельная тема для разговора.
Мессенджер неоднозначный. Вокруг него много шума, но оправдан ли он? Доступа к исходникам нет, чаты по умолчанию не шифруются, нет защиты социального графа (все твои контакты хранятся на серверах Telegram), нет групповых E2EE-чатов, E2EE-чаты не поддерживаются в настольной версии программы, только в мобильной, мессенджер централизованный, сообщения хранятся на сервере (и они, как уже было отмечено, не зашифрованы), и при всем этом отсутствует возможность анонимной регистрации.
Если ты хочешь использовать Telegram, то для защиты переписки не забывай создавать секретные чаты. В мобильной версии для этого нужно выбрать команду New Secret Chat. Из настольных версий секретные чаты поддерживают только некоторые (например, один из двух клиентов для macOS).
В секретном чате сообщения шифруются и не хранятся на серверах мессенджера. Также нельзя сделать скриншот секретного чата, но ничто не мешает сфотографировать такой чат с экрана.
Signal
Лицензия: AGPLv3
Степень централизации: централизованный
Возможность анонимной регистрации и работы: нет. Кроме номера телефона, других вариантов нет
Наличие E2EE: есть
Синхронизация E2EE-чатов: есть
Уведомление о проверке отпечатков E2EE: нет. Пользователям предлагается сосканировать QR-коды друг у друга или сравнить отпечатки
Запрет на скриншоты секретных чатов: можно включить или выключить
Групповые чаты E2EE: есть
Уведомление о необходимости проверки отпечатков E2EE в групповых чатах: нет
Защита социального графа: есть
Мессенджер Signal разработан американским стартапом Open Whisper Systems, где, кроме двоих основателей, работает всего несколько человек. Для шифрования сообщений используется созданный специально для него криптографический протокол — Signal Protocol. Он применяется для сквозного (end-to-end) шифрования звонков (голосовых и видео), а также обычных сообщений. Протокол Signal с тех пор стали использовать и другие мессенджеры: WhatsApp, Facebook Messenger, Google Allo.
Казалось бы, в этом случае любой мессенджер может стать таким же безопасным, как и Signal. Но, как показывает практика, — нет. В отличие от Signal, где шифрование включено по умолчанию, в этих мессенджерах оно выключено. Для его включения в Facebook Messenger нужно активировать Secret Conversations, а в Google Allo — режим инкогнито (Incognito Mode).
Хоть Signal и централизованный, но код открыт и распространяется по свободной лицензии. У Signal есть поддержка групповых E2EE-чатов, защита социального графа, поддерживаются исчезающие по таймеру сообщения.
Однако не стоит путать защиту с анонимностью. Signal не анонимен: при регистрации нужно указывать номер телефона, к которому мессенджер и привязывается. Что касается исчезающих сообщений, то эта фишка встречается и в других мессенджерах, например в Viber и Telegram (в меню секретного чата нужно выбрать команду Set self-destruct timer).
Нужно ли в мессенджерах уведомление о смене ключа?
• Да, и оно должно быть включено по умолчанию
• Сделать его опцией, чтобы основных пользователей не раздражало. Дотошные сами включат
• Только если при этом блокируется отправка новых сообщений до подтверждения, иначе в нем нет смысла
Viber
Лицензия: проприетарная
Степень централизации: централизованный
Возможность анонимной регистрации и работы: только по номеру телефона
Наличие E2EE: есть, по умолчанию. Также есть секретные и скрытые чаты, которые обеспечивают дополнительную безопасность
Синхронизация E2EE-чатов: нет. Созданный в мобильной версии секретный чат не отобразился в десктопной версии
Уведомление о проверке отпечатков E2EE: нет
Запрет на скриншоты секретных чатов: есть
Групповые чаты E2EE: есть
Уведомление о необходимости проверки отпечатков E2EE в групповых чатах: нет
Защита социального графа: нет
Viber — интересный мессенджер. С одной стороны, он проприетарный, централизованный, привязывается только к номеру телефона, не обеспечивает защиту социального графа. С другой стороны, сквозное шифрование основано на протоколе Signal и включено по умолчанию, даже в настольной версии. Для дополнительной безопасности существуют секретные чаты с возможностью общаться группой.
Секретные чаты позволяют настроить таймер самоуничтожения для каждого сообщения: оно будет удалено через установленное время после просмотра — как с твоего устройства, так и со всех устройств получателей. Сообщения секретного чата защищены от пересылки, а скриншоты или запрещены, или оставляют уведомление на экране чата.
Безопасность приложений для обмена сообщениями: какие приложения лучше всего подходят для сохранения конфиденциальности?
Приложения для обмена сообщениями – это простое средство поддерживать связь с друзьями, семьей и коллегами. Однако при их использовании важно помнить о конфиденциальности и безопасности в интернете.
Основная проблема безопасности приложений для обмена сообщениями – это конфиденциальность. Она отражает, насколько личные сообщения доступны третьим сторонам, какие компании разрабатывают приложения и даже собирают ли государственные органы данные о гражданах. При оценке безопасности приложений для обмена сообщениями необходимо учитывать следующие ключевые моменты:
1. Сквозное шифрование
Используется ли в приложении сквозное шифрование? При сквозном шифровании личных сообщений ключи для и расшифровки есть только у отправителя и у получателя сообщений.
2. Открытый исходный код
Используется ли открытый исходный код? Открытый исходный код означает, что приложение открыто для внешнего контроля и аудита экспертами, что может оказаться полезно для привлечения внимания к слабым местам или уязвимостям в коде.
3. Исчезающие сообщения
Самоуничтожающиеся или исчезающие сообщения исчезают по истечении установленного периода времени, в зависимости от выбранных настроек.
4. Использование данных
Многие приложения для безопасного обмена сообщениями используют сквозное шифрование, однако они могут собирать данные о пользователях, называемые метаданными. Метаданные включают информацию о том, с кем вы разговариваете, как долго, на каком устройстве, ваш IP-адрес и номер телефона.
Какие приложения для обмена сообщениями самые безопасные?
Сейчас доступно множество приложений для обмена сообщениями. Одни из них более безопасны, другие – менее. В этой статье рассмотрено несколько самых популярных приложений для обмена сообщениями и описано, какие из них хранят данные в безопасности, а какие имеют слабую защиту.
(ПРИМЕЧАНИЕ: приложения в приведенном ниже списке перечислены без учета приоритета или предпочтений)
Signal
Что такое Signal?
Signal – это межплатформенная служба обмена зашифрованными сообщениями, предназначенная для голосовых вызовов со сквозным шифрованием и зашифрованных текстовых сообщений. Оно считается одним из самых безопасных приложений для обмена сообщениями на рынке.
Приложение Signal является бесплатным и доступно в операционных системах Android и iOS. Также существует настольная версия приложения для Windows, Mac и Linux. Для использования приложения достаточно только номера телефона.
Пользовательский интерфейс Signal аналогичен другим популярным приложениям для обмена сообщениями, таким как WhatsApp и Facebook Messenger. Возможности включают обмен личными сообщениями, групповые переписки, отправку стикеров, фотографий, передачу файлов, голосовые и видеозвонки.
Signal существует с 2013 года, но его популярность стремительно возросла в 2020 и 2021 годах.
Насколько безопасен Signal?
Signal не принадлежит ни одной из крупных технологических компаний, это проект с открытым исходным кодом, существующий за счет грантов и пожертвований. Это означает, в нем что нет рекламы, партнерских ссылок и скрытого отслеживания.
Диалоги в приложении Signal зашифрованы сквозным шифрованием. Это означает, что они не доступны никому (даже владельцам Signal), кроме самих участников.
Другие приложения для обмена сообщениями предлагают использовать сквозное шифрование опционально, однако в Signal оно используется по умолчанию.
В Signal используются самоуничтожающиеся исчезающие сообщения, которые автоматически удаляются по истечении заданного времени.
Signal старается не собирать избыточных данных о пользователях. Все сообщения, изображения и файлы приложения Signal хранится локально на телефоне.
Другие приложения, включая WhatsApp и Wire, используют протокол обмена сообщениями Signal для наиболее безопасных режимов.
Telegram
Что такое Telegram?
Telegram, основанный российским предпринимателем Павлом Дуровым, представляет собой кроссплатформенный сервис обмена сообщениями, впервые запущенный на iOS и Android в 2013 году. Основные функции Telegram такие же, как и у большинства других приложений для обмена сообщениями: можно отправлять сообщения другим пользователям Telegram, создавать групповые чаты, выполнять звонки, а также отправлять файлы и стикеры.
Насколько безопасен Telegram?
Telegram также использует сквозное шифрование. Шифрование Telegram не позволяет никому – ни одной компании, правительству, злоумышленникам или кому-либо еще, кроме участников двустороннего диалога, увидеть отправленные сообщения.
Однако Telegram использует это шифрование только для звонков и для функции «секретные чаты», а не для обычных чатов. Шифруются только данные, передаваемые от клиента к серверу. WhatsApp, который некоторые считают менее безопасным, с 2016 года использует сквозное шифрование сообщений, звонков и видеозвонков.
Причина в том, что Telegram, по большей части, использует облачные хранилища. По сути, все сообщения и фотографии хранятся на защищенном сервере. Это означает, что к ним можно получить доступ с любого подключенного устройства, что делает Telegram менее зависимым от платформы, чем другие приложения, например, WhatsApp.
Продажа пользовательских данных не является основой бизнес-модели Telegram, что положительно сказывается на его безопасности.
Существует возможность настройки исчезающих через определенное время после отправки и получения сообщений, файлов, фотографий и видео. После получения сообщения оно остается в чате в течение заданного времени (можно выбрать промежуток от одной секунды до одной недели), а затем исчезает.
Telegram привлекал хакеров для взлома шифрования и расшифровки сообщений, предложив вознаграждение в размере 300 000 долларов каждому, кто сможет это сделать. Конкурс завершился без победителей. У Telegram есть открытая программа поощрения за нахождение ошибок, стимулирующая исследователей в области безопасности сообщать обо всех проблемах безопасности в приложениях и протоколе Telegram. Участники, по чьим заявлениям в Telegram были внесены изменения, могут получить вознаграждение в размере от 500 до 100 000 долларов. Подобные конкурсы и программы помогают обнаруживать и исправлять потенциальные уязвимости.
Если учетная запись находится в неактивном состоянии в течение определенного времени (по умолчанию, шесть месяцев), она автоматически самоуничтожится с полным удалением всех сообщений и медиа.
Приложение для обмена зашифрованными сообщениями
Wire
Что такое Wire?
Wire, запущенное в 2014 году, позиционируется как приложение для безопасного обмена сообщениями. Компания Wire находится в Швейцарии – одной из самых благоприятных стран мира для разработки безопасных онлайн-сервисов и приложений для обмена сообщениями. Wire можно использовать в операционных системах Android, iOS, macOS, Windows и популярных браузерах.
Насколько безопасен Wire?
Wire также использует сквозное шифрование. Шифрование Wire работает прозрачно в фоновом режиме и не требует активации, поскольку постоянно включено.
Wire не продает аналитику и информации об использовании данных третьим лицам.
Как и Signal, Wire имеет открытый исходный код, доступный пользователям для изучения, проверки и улучшения (в данном случае через GitHub).
Внешние эксперты провели публичный аудит Wire. С опубликованными результатами аудита можно ознакомиться в интернете, если у вас нет времени или знаний для просмотра исходного кода.
Для регистрации в Wire необходим только адрес электронной почты, а не номер телефона.
Приложение полностью соответствует требованиям GDPR.
WhatsApp
Что такое WhatsApp?
WhatsApp имеет 1,5 миллиарда пользователей во всем мире и, вероятно, не нуждается в представлении. WhatsApp был одним из первых приложений для обмена сообщениями со сквозным шифрованием для безопасного общения. Мессенджером WhatsApp владеет Facebook – ассоциация, конфиденциальность учетных данных которой под сомнением.
Насколько безопасен WhatsApp?
В WhatsApp используется шифрование; пользователи получают явное предупреждение, если к конкретному чату не применяется сквозное шифрование.
WhatsApp не хранит сообщения на серверах, поэтому, если киберпреступники взломают платформу, они не смогут расшифровать сообщения.
Кроме того, в WhatsApp отсутствует ключ для просмотра зашифрованных сообщений. По умолчанию сообщения хранятся в WhatsApp таким образом, что с помощью iOS или Android можно создать их резервные копии в облаке.
В WhatsApp реализована двухэтапная проверка, повышающая безопасность учетной записи. Она осуществляется посредством установки PIN-кода, необходимого для проверки номера телефона на любом устройстве.
WhatsApp принадлежит Facebook, что иногда воспринимается как недостаток системы конфиденциальности. WhatsApp получает и передает информацию другим компаниям Facebook. Это означает, что данные передаются рекламодателям, которые используют их для таргетированной рекламы.
Threema
Что такое Threema?
Threema – это приложение для обмена сообщениями со сквозным шифрованием. В отличие от других приложений, для создания учетной записи Threema не требуется указывать адрес электронной почты или номер телефона, что обеспечивает пользователям очень высокий уровень анонимности. Возможности Threema включают обмен текстовыми и голосовыми сообщениями, голосовые и видеозвонки, групповые чаты и списки рассылки. Приложение Threema не является бесплатным. Компания-разработчик приложения Threema базируется в Швейцарии.
Насколько безопасен Threema?
Ключевым принципом Threema является ограничение метаданных. Во избежание злоупотребления данными, серверы Threema безвозвратно удаляют сообщения после доставки получателям.
Данные, которыми другие приложения обычно управляют на сервере, в Threema управляются локально на устройстве пользователя. Это означает, что любой разговор защищен от прослушивания.
В результате переход к расшифрованным соединениям не выполняется, поэтому никто, кроме предполагаемого адресата, не может прочитать сообщение.
Threema имеет открытый исходный код, поэтому пользователи самостоятельно могут проверить степень шифрования.
Однако приложение не поддерживает двухфакторную аутентификацию.
Wickr Me
Что такое Wickr Me?
Компания Wickr была основана в 2012 году группой экспертов по безопасности и защите конфиденциальности. Это одно из немногих приложений для безопасного обмена сообщениями, которое можно использовать действительно анонимно. У компании Wickr есть различные приложения, предназначенные для разных групп пользователей: Wickr Me, Wickr Pro, Wickr RAM и Wickr Enterprise. Wickr Me ориентирован на индивидуальных пользователей.
При регистрации в Wickr Me не требуется указывать адрес электронной почты или номер телефона. Это гарантирует, что приложение не имеет доступа к данным пользователей и не выполняет их сбор. Wickr можно также использовать в качестве инструмента для совместной работы, а не только приложения для обмена сообщениями, поскольку Wickr позволяет предоставлять доступ к экрану, местоположению и онлайн-статусами.
Насколько безопасен Wickr Me?
Приложение использует сквозное шифрование для всех сообщений и файлов, включая изображения и видео. Это гарантирует, что при передаче данных с одного устройства на другое посторонние лица не смогут получить к ним доступ.
Все сообщения Wickr шифруются локально на устройстве с использованием отдельного ключа для каждого сообщения. Это означает, что ключи для расшифровки сообщений есть только у пользователей Wickr. Помимо шифрования пользовательских данных и разговоров, в Wickr выполняется удаление метаданных из содержимого, передаваемого по сети.
Шифрование включено по умолчанию, а отчеты о прозрачности доступны всем пользователям Wickr.
Приложение поддерживает двухфакторную аутентификацию.
Wickr не фиксирует IP-адреса и другие метаданные.
Wickr – это приложение с открытым исходным кодом, а также поддерживает исчезающие сообщения.
В Wickr реализована функция, позволяющая пользователям обнаруживать снимки экрана: если кто-то сделает снимок экрана с отправленным сообщением, отправитель этого сообщения получит уведомление.
Viber
Что такое Viber?
Viber – это межплатформенное приложение для голосовой связи по IP и обмена мгновенными сообщениями, разработанное японской международной корпорацией Ratuken. Приложение можно загрузить бесплатно. Оно позволяет совершать бесплатные звонки, отправлять текстовые сообщения, изображения и видео другим пользователям Viber. Viber можно использовать для создания групповых чатов с участием до 250 человек и групповых звонков с участием до 20 человек одновременно.
Насколько безопасен Viber?
Если пользователи выбирают надлежащий метод передачи данных, Viber обеспечивает шифрование голосовых и видеочатов на мобильных устройствах и в основных операционных системах.
Раньше осуществлялась защита только личных коммуникаций, а теперь сквозным шифрованием также защищены групповые чаты.
Каждый чат Viber имеет цветовую маркировку в зависимости от уровня шифрования:
Зеленый – чат зашифрован, следовательно, соответствующий контакт является доверенным.
Серый – чат зашифрован, но соответствующий контакт не отмечен как доверенный.
Красный – проблема при аутентификации контакта.
Dust
Что такое Dust?
Приложение Dust, ранее известное как Cyber Dust предназначено для обмена личными сообщениями. Для обеспечения безопасности коммуникаций в приложении используется сквозное шифрование. На сайте приложения говорится: «Вы можете стирать свои сообщения с телефонов других людей. Они не хранятся на телефонах и серверах постоянно. Сообщения надежно зашифрованы и недоступны никому, даже нам».
Насколько безопасен Dust?
Приложение позволяет отправлять личные сообщения людям из списка контактов. Такие сообщения называются Dusts. Можно настроить сообщения, исчезающие в течение 24 часов или сразу после прочтения.
Можно также отправлять сообщения группе людей, которые каждый получатель читает в частном порядке. Такие сообщения называются Blasts.
Приложение Dust настроено так, что имена пользователей не отображаются в сообщениях. Кроме того, оно информирует, если из приложения сделан снимок экрана.
Приложение Dust не только является безопасным мессенджером, оно также имеет функцию контроля конфиденциальности и инструмент для сохранения конфиденциальности при поиске в сети.
iMessage
Что такое iMessage?
iMessage – это служба обмена мгновенными сообщениями, разработанная Apple и запущенная в 2011 году. iMessage работает исключительно на платформах Apple: iOS, macOS, iPadOS и watchOS.
Насколько безопасен iMessage?
iMessage обеспечивает сквозное шифрование данных, передаваемых между пользователями.
Потенциальная проблема безопасности – это возможность резервного копирования сообщений iMessages в iCloud. Сообщения, хранящиеся в облаке, зашифрованы ключами, контролируемыми Apple, поэтому, если ваш iCloud когда-либо был взломан, эти сообщения могли быть раскрыты.
Решение этой проблемы – для усиления безопасности не хранить личные сообщения на веб-платформах, таких как iCloud.
iMessage позволяет пользователям контролировать, сколько времени отображаются фото, видео и сообщения, прежде чем они исчезнут. Также можно указать, сколько раз получатель может просмотреть сообщение. Однако эта функция доступна только в iOS 10 и выше.
Line
Что такое Line?
Line – это бесплатное безопасное приложение для обмена сообщениями, созданное после цунами 2011 года в Японии. В результате стихийного бедствия многие обычные каналы связи вышли из строя. Приложение Line было разработано интернет-компанией Naver как средство связи для сотрудников.
Позже в том же году компания Naver представила приложение широкой публике в Японии, где оно стало невероятно популярным. Затем приложение завоевало популярность в Азии.
Насколько безопасен Line?
Line обеспечивает сквозное шифрование при условии, что пользователи соглашаются на использование этой функции. В приложении она называется «Letter Sealing».
Для регистрации в приложении можно использовать номер телефона или учетную запись Facebook.
Использование безопасного приложения для общения защищает от злоумышленников, пытающихся украсть ваши данные. Разные приложения имеют различные функции безопасности и общие функции, поэтому выбор конкретного приложения зависит от того, какие функции наиболее важны именно для вас.
Безопасность приложения для обмена сообщениями
Безопасность самих приложений очень важна, однако рекомендуется также следовать советам по обеспечению безопасности при обмене сообщениями:
1. Соблюдайте осторожность при использовании публичных сетей Wi-Fi
Публичные сети Wi-Fi часто являются бесплатными, однако они также являются источником проблем с безопасностью. Публичные сети, как правило, используются многими людьми, поэтому они часто становятся целью для злоумышленников. Злоумышленники могут легко перехватить отправляемые по Wi-Fi данные: фотографии, сообщения, пароли, имена пользователей и банковскую информацию. Использование VPN может помочь защититься от нарушений безопасности.
2. Избегайте отправки личной информации в приложениях для обмена сообщениями или в виде текстовых сообщений
>
Не сообщайте пароли, данные кредитных карт и другие личные данные в сообщениях. Остерегайтесь раскрытия личных данных незнакомцам, с которыми вы общаетесь посредством мгновенных сообщений. Злоумышленники могут использовать против вас даже такую на первый взгляд невинную информацию, как название вашего работодателя.
3. Будьте осторожны при переходе по ссылкам из сообщений
Чтобы не стать жертвой фишингового мошенничества, никогда не переходите по ссылкам в мгновенных сообщениях от людей, с которыми вы не знакомы и которым вы не доверяете и не встречались в реальной жизни.
4. Защитите телефон с помощью программы безопасности
Наряду с защитой устройства паролем или PIN-кодом, рекомендуется также использовать программу безопасности. Например, Kaspersky Internet Security для Android блокирует подозрительные приложения, веб-сайты и файлы, а также не дает шпионским программам отслеживать звонки, текстовые сообщения и местоположение.
Приложения для обмена сообщениями – это простое средство поддерживать связь с друзьями, семьей и коллегами. Однако при их использовании важно помнить о конфиденциальности и безопасности в интернете.
Основная проблема безопасности приложений для обмена сообщениями – это конфиденциальность. Она отражает, насколько личные сообщения доступны третьим сторонам, какие компании разрабатывают приложения и даже собирают ли государственные органы данные о гражданах. При оценке безопасности приложений для обмена сообщениями необходимо учитывать следующие ключевые моменты:
1. Сквозное шифрование
Используется ли в приложении сквозное шифрование? При сквозном шифровании личных сообщений ключи для и расшифровки есть только у отправителя и у получателя сообщений.
2. Открытый исходный код
Используется ли открытый исходный код? Открытый исходный код означает, что приложение открыто для внешнего контроля и аудита экспертами, что может оказаться полезно для привлечения внимания к слабым местам или уязвимостям в коде.
3. Исчезающие сообщения
Самоуничтожающиеся или исчезающие сообщения исчезают по истечении установленного периода времени, в зависимости от выбранных настроек.
4. Использование данных
Многие приложения для безопасного обмена сообщениями используют сквозное шифрование, однако они могут собирать данные о пользователях, называемые метаданными. Метаданные включают информацию о том, с кем вы разговариваете, как долго, на каком устройстве, ваш IP-адрес и номер телефона.
Какие приложения для обмена сообщениями самые безопасные?
Сейчас доступно множество приложений для обмена сообщениями. Одни из них более безопасны, другие – менее. В этой статье рассмотрено несколько самых популярных приложений для обмена сообщениями и описано, какие из них хранят данные в безопасности, а какие имеют слабую защиту.
(ПРИМЕЧАНИЕ: приложения в приведенном ниже списке перечислены без учета приоритета или предпочтений)
Signal
Что такое Signal?
Signal – это межплатформенная служба обмена зашифрованными сообщениями, предназначенная для голосовых вызовов со сквозным шифрованием и зашифрованных текстовых сообщений. Оно считается одним из самых безопасных приложений для обмена сообщениями на рынке.
Приложение Signal является бесплатным и доступно в операционных системах Android и iOS. Также существует настольная версия приложения для Windows, Mac и Linux. Для использования приложения достаточно только номера телефона.
Пользовательский интерфейс Signal аналогичен другим популярным приложениям для обмена сообщениями, таким как WhatsApp и Facebook Messenger. Возможности включают обмен личными сообщениями, групповые переписки, отправку стикеров, фотографий, передачу файлов, голосовые и видеозвонки.
Signal существует с 2013 года, но его популярность стремительно возросла в 2020 и 2021 годах.
Насколько безопасен Signal?
Signal не принадлежит ни одной из крупных технологических компаний, это проект с открытым исходным кодом, существующий за счет грантов и пожертвований. Это означает, в нем что нет рекламы, партнерских ссылок и скрытого отслеживания.
Диалоги в приложении Signal зашифрованы сквозным шифрованием. Это означает, что они не доступны никому (даже владельцам Signal), кроме самих участников.
Другие приложения для обмена сообщениями предлагают использовать сквозное шифрование опционально, однако в Signal оно используется по умолчанию.
В Signal используются самоуничтожающиеся исчезающие сообщения, которые автоматически удаляются по истечении заданного времени.
Signal старается не собирать избыточных данных о пользователях. Все сообщения, изображения и файлы приложения Signal хранится локально на телефоне.
Другие приложения, включая WhatsApp и Wire, используют протокол обмена сообщениями Signal для наиболее безопасных режимов.
Telegram
Что такое Telegram?
Telegram, основанный российским предпринимателем Павлом Дуровым, представляет собой кроссплатформенный сервис обмена сообщениями, впервые запущенный на iOS и Android в 2013 году. Основные функции Telegram такие же, как и у большинства других приложений для обмена сообщениями: можно отправлять сообщения другим пользователям Telegram, создавать групповые чаты, выполнять звонки, а также отправлять файлы и стикеры.
Насколько безопасен Telegram?
Telegram также использует сквозное шифрование. Шифрование Telegram не позволяет никому – ни одной компании, правительству, злоумышленникам или кому-либо еще, кроме участников двустороннего диалога, увидеть отправленные сообщения.
Однако Telegram использует это шифрование только для звонков и для функции «секретные чаты», а не для обычных чатов. Шифруются только данные, передаваемые от клиента к серверу. WhatsApp, который некоторые считают менее безопасным, с 2016 года использует сквозное шифрование сообщений, звонков и видеозвонков.
Причина в том, что Telegram, по большей части, использует облачные хранилища. По сути, все сообщения и фотографии хранятся на защищенном сервере. Это означает, что к ним можно получить доступ с любого подключенного устройства, что делает Telegram менее зависимым от платформы, чем другие приложения, например, WhatsApp.
Продажа пользовательских данных не является основой бизнес-модели Telegram, что положительно сказывается на его безопасности.
Существует возможность настройки исчезающих через определенное время после отправки и получения сообщений, файлов, фотографий и видео. После получения сообщения оно остается в чате в течение заданного времени (можно выбрать промежуток от одной секунды до одной недели), а затем исчезает.
Telegram привлекал хакеров для взлома шифрования и расшифровки сообщений, предложив вознаграждение в размере 300 000 долларов каждому, кто сможет это сделать. Конкурс завершился без победителей. У Telegram есть открытая программа поощрения за нахождение ошибок, стимулирующая исследователей в области безопасности сообщать обо всех проблемах безопасности в приложениях и протоколе Telegram. Участники, по чьим заявлениям в Telegram были внесены изменения, могут получить вознаграждение в размере от 500 до 100 000 долларов. Подобные конкурсы и программы помогают обнаруживать и исправлять потенциальные уязвимости.
Если учетная запись находится в неактивном состоянии в течение определенного времени (по умолчанию, шесть месяцев), она автоматически самоуничтожится с полным удалением всех сообщений и медиа.
Приложение для обмена зашифрованными сообщениями
Wire
Что такое Wire?
Wire, запущенное в 2014 году, позиционируется как приложение для безопасного обмена сообщениями. Компания Wire находится в Швейцарии – одной из самых благоприятных стран мира для разработки безопасных онлайн-сервисов и приложений для обмена сообщениями. Wire можно использовать в операционных системах Android, iOS, macOS, Windows и популярных браузерах.
Насколько безопасен Wire?
Wire также использует сквозное шифрование. Шифрование Wire работает прозрачно в фоновом режиме и не требует активации, поскольку постоянно включено.
Wire не продает аналитику и информации об использовании данных третьим лицам.
Как и Signal, Wire имеет открытый исходный код, доступный пользователям для изучения, проверки и улучшения (в данном случае через GitHub).
Внешние эксперты провели публичный аудит Wire. С опубликованными результатами аудита можно ознакомиться в интернете, если у вас нет времени или знаний для просмотра исходного кода.
Для регистрации в Wire необходим только адрес электронной почты, а не номер телефона.
Приложение полностью соответствует требованиям GDPR.
Что такое WhatsApp?
WhatsApp имеет 1,5 миллиарда пользователей во всем мире и, вероятно, не нуждается в представлении. WhatsApp был одним из первых приложений для обмена сообщениями со сквозным шифрованием для безопасного общения. Мессенджером WhatsApp владеет Facebook – ассоциация, конфиденциальность учетных данных которой под сомнением.
Насколько безопасен WhatsApp?
В WhatsApp используется шифрование; пользователи получают явное предупреждение, если к конкретному чату не применяется сквозное шифрование.
WhatsApp не хранит сообщения на серверах, поэтому, если киберпреступники взломают платформу, они не смогут расшифровать сообщения.
Кроме того, в WhatsApp отсутствует ключ для просмотра зашифрованных сообщений. По умолчанию сообщения хранятся в WhatsApp таким образом, что с помощью iOS или Android можно создать их резервные копии в облаке.
В WhatsApp реализована двухэтапная проверка, повышающая безопасность учетной записи. Она осуществляется посредством установки PIN-кода, необходимого для проверки номера телефона на любом устройстве.
WhatsApp принадлежит Facebook, что иногда воспринимается как недостаток системы конфиденциальности. WhatsApp получает и передает информацию другим компаниям Facebook. Это означает, что данные передаются рекламодателям, которые используют их для таргетированной рекламы.
Threema
Что такое Threema?
Threema – это приложение для обмена сообщениями со сквозным шифрованием. В отличие от других приложений, для создания учетной записи Threema не требуется указывать адрес электронной почты или номер телефона, что обеспечивает пользователям очень высокий уровень анонимности. Возможности Threema включают обмен текстовыми и голосовыми сообщениями, голосовые и видеозвонки, групповые чаты и списки рассылки. Приложение Threema не является бесплатным. Компания-разработчик приложения Threema базируется в Швейцарии.
Насколько безопасен Threema?
Ключевым принципом Threema является ограничение метаданных. Во избежание злоупотребления данными, серверы Threema безвозвратно удаляют сообщения после доставки получателям.
Данные, которыми другие приложения обычно управляют на сервере, в Threema управляются локально на устройстве пользователя. Это означает, что любой разговор защищен от прослушивания.
В результате переход к расшифрованным соединениям не выполняется, поэтому никто, кроме предполагаемого адресата, не может прочитать сообщение.
Threema имеет открытый исходный код, поэтому пользователи самостоятельно могут проверить степень шифрования.
Однако приложение не поддерживает двухфакторную аутентификацию.
Wickr Me
Что такое Wickr Me?
Компания Wickr была основана в 2012 году группой экспертов по безопасности и защите конфиденциальности. Это одно из немногих приложений для безопасного обмена сообщениями, которое можно использовать действительно анонимно. У компании Wickr есть различные приложения, предназначенные для разных групп пользователей: Wickr Me, Wickr Pro, Wickr RAM и Wickr Enterprise. Wickr Me ориентирован на индивидуальных пользователей.
При регистрации в Wickr Me не требуется указывать адрес электронной почты или номер телефона. Это гарантирует, что приложение не имеет доступа к данным пользователей и не выполняет их сбор. Wickr можно также использовать в качестве инструмента для совместной работы, а не только приложения для обмена сообщениями, поскольку Wickr позволяет предоставлять доступ к экрану, местоположению и онлайн-статусами.
Насколько безопасен Wickr Me?
Приложение использует сквозное шифрование для всех сообщений и файлов, включая изображения и видео. Это гарантирует, что при передаче данных с одного устройства на другое посторонние лица не смогут получить к ним доступ.
Все сообщения Wickr шифруются локально на устройстве с использованием отдельного ключа для каждого сообщения. Это означает, что ключи для расшифровки сообщений есть только у пользователей Wickr. Помимо шифрования пользовательских данных и разговоров, в Wickr выполняется удаление метаданных из содержимого, передаваемого по сети.
Шифрование включено по умолчанию, а отчеты о прозрачности доступны всем пользователям Wickr.
Приложение поддерживает двухфакторную аутентификацию.
Wickr не фиксирует IP-адреса и другие метаданные.
Wickr – это приложение с открытым исходным кодом, а также поддерживает исчезающие сообщения.
В Wickr реализована функция, позволяющая пользователям обнаруживать снимки экрана: если кто-то сделает снимок экрана с отправленным сообщением, отправитель этого сообщения получит уведомление.
Viber
Что такое Viber?
Viber – это межплатформенное приложение для голосовой связи по IP и обмена мгновенными сообщениями, разработанное японской международной корпорацией Ratuken. Приложение можно загрузить бесплатно. Оно позволяет совершать бесплатные звонки, отправлять текстовые сообщения, изображения и видео другим пользователям Viber. Viber можно использовать для создания групповых чатов с участием до 250 человек и групповых звонков с участием до 20 человек одновременно.
Насколько безопасен Viber?
Если пользователи выбирают надлежащий метод передачи данных, Viber обеспечивает шифрование голосовых и видеочатов на мобильных устройствах и в основных операционных системах.
Раньше осуществлялась защита только личных коммуникаций, а теперь сквозным шифрованием также защищены групповые чаты.
Каждый чат Viber имеет цветовую маркировку в зависимости от уровня шифрования:
Зеленый – чат зашифрован, следовательно, соответствующий контакт является доверенным.
Серый – чат зашифрован, но соответствующий контакт не отмечен как доверенный.
Красный – проблема при аутентификации контакта.
Dust
Что такое Dust?
Приложение Dust, ранее известное как Cyber Dust предназначено для обмена личными сообщениями. Для обеспечения безопасности коммуникаций в приложении используется сквозное шифрование. На сайте приложения говорится: «Вы можете стирать свои сообщения с телефонов других людей. Они не хранятся на телефонах и серверах постоянно. Сообщения надежно зашифрованы и недоступны никому, даже нам».
Насколько безопасен Dust?
Приложение позволяет отправлять личные сообщения людям из списка контактов. Такие сообщения называются Dusts. Можно настроить сообщения, исчезающие в течение 24 часов или сразу после прочтения.
Можно также отправлять сообщения группе людей, которые каждый получатель читает в частном порядке. Такие сообщения называются Blasts.
Приложение Dust настроено так, что имена пользователей не отображаются в сообщениях. Кроме того, оно информирует, если из приложения сделан снимок экрана.
Приложение Dust не только является безопасным мессенджером, оно также имеет функцию контроля конфиденциальности и инструмент для сохранения конфиденциальности при поиске в сети.
iMessage
Что такое iMessage?
iMessage – это служба обмена мгновенными сообщениями, разработанная Apple и запущенная в 2011 году. iMessage работает исключительно на платформах Apple: iOS, macOS, iPadOS и watchOS.
Насколько безопасен iMessage?
iMessage обеспечивает сквозное шифрование данных, передаваемых между пользователями.
Потенциальная проблема безопасности – это возможность резервного копирования сообщений iMessages в iCloud. Сообщения, хранящиеся в облаке, зашифрованы ключами, контролируемыми Apple, поэтому, если ваш iCloud когда-либо был взломан, эти сообщения могли быть раскрыты.
Решение этой проблемы – для усиления безопасности не хранить личные сообщения на веб-платформах, таких как iCloud.
iMessage позволяет пользователям контролировать, сколько времени отображаются фото, видео и сообщения, прежде чем они исчезнут. Также можно указать, сколько раз получатель может просмотреть сообщение. Однако эта функция доступна только в iOS 10 и выше.
Line
Что такое Line?
Line – это бесплатное безопасное приложение для обмена сообщениями, созданное после цунами 2011 года в Японии. В результате стихийного бедствия многие обычные каналы связи вышли из строя. Приложение Line было разработано интернет-компанией Naver как средство связи для сотрудников.
Позже в том же году компания Naver представила приложение широкой публике в Японии, где оно стало невероятно популярным. Затем приложение завоевало популярность в Азии.
Насколько безопасен Line?
Line обеспечивает сквозное шифрование при условии, что пользователи соглашаются на использование этой функции. В приложении она называется «Letter Sealing».
Для регистрации в приложении можно использовать номер телефона или учетную запись Facebook.
Использование безопасного приложения для общения защищает от злоумышленников, пытающихся украсть ваши данные. Разные приложения имеют различные функции безопасности и общие функции, поэтому выбор конкретного приложения зависит от того, какие функции наиболее важны именно для вас.
Безопасность приложения для обмена сообщениями
Безопасность самих приложений очень важна, однако рекомендуется также следовать советам по обеспечению безопасности при обмене сообщениями:
1. Соблюдайте осторожность при использовании публичных сетей Wi-Fi
Публичные сети Wi-Fi часто являются бесплатными, однако они также являются источником проблем с безопасностью. Публичные сети, как правило, используются многими людьми, поэтому они часто становятся целью для злоумышленников. Злоумышленники могут легко перехватить отправляемые по Wi-Fi данные: фотографии, сообщения, пароли, имена пользователей и банковскую информацию. Использование VPN может помочь защититься от нарушений безопасности.
2. Избегайте отправки личной информации в приложениях для обмена сообщениями или в виде текстовых сообщений
>
Не сообщайте пароли, данные кредитных карт и другие личные данные в сообщениях. Остерегайтесь раскрытия личных данных незнакомцам, с которыми вы общаетесь посредством мгновенных сообщений. Злоумышленники могут использовать против вас даже такую на первый взгляд невинную информацию, как название вашего работодателя.
3. Будьте осторожны при переходе по ссылкам из сообщений
Чтобы не стать жертвой фишингового мошенничества, никогда не переходите по ссылкам в мгновенных сообщениях от людей, с которыми вы не знакомы и которым вы не доверяете и не встречались в реальной жизни.
4. Защитите телефон с помощью программы безопасности
Наряду с защитой устройства паролем или PIN-кодом, рекомендуется также использовать программу безопасности. Например, Kaspersky Internet Security для Android блокирует подозрительные приложения, веб-сайты и файлы, а также не дает шпионским программам отслеживать звонки, текстовые сообщения и местоположение.
Самые безопасные приложения для обмена сообщениями
Какое приложение для обмена сообщениями наиболее безопасно? Когда речь идет о безопасности приложений для обмена сообщениями, сложно выбрать лучшее из наиболее известных: Signal, Telegram, WhatsApp и другие.
www.kaspersky.ru
Особенности шифрования популярных мессенджеров: выбираем самый безопасный
Блог компании FirstVDS
Информационная безопасность
*
Мессенджеры
*
Социальные сети и сообщества
По данным на осень 2021 года в тройку наиболее популярных мессенджеров в России входят WhatsApp, Viber и Telegram. Давайте выясним уровень конфиденциальности и безопасности каждого из них. Сделать это можно, только сравнив их с другими приложениями, поэтому рассмотрим также Skype, Facebook Messenger и ряд малоизвестных у нас мессенджеров: Signal, Riot, Threema, Wickr Me, Wire, Session. А еще возьмем популярный у обладателей «яблочных» устройств iMessage.
О терминологии
Несмотря на сходство в значениях, безопасность и конфиденциальность — вещи разные. Под конфиденциальностью в IT подразумевается отсутствие доступа к вашей информации любых сторонних лиц, включая даже разработчиков приложений. Под безопасностью — защита информации от распространения после ее сбора приложением. Таким образом, мессенджер может быть безопасным, но не конфиденциальным, то есть данные о вас собираются, но не утекают в сеть. А вот обратное (конфиденциально, но небезопасно) исключено. Если к вашей информации не может получить доступ никто (полная конфиденциальность), то приложение, через которое вы её отправляете, является также и полностью безопасным.
Критерии безопасности и конфиденциальности
Мы проанализировали 12 мессенджеров по 34 основным параметрам конфиденциальности и безопасности (все данные были взяты из открытых источников, в том числе с сайтов владельцев приложений). Рейтинг составлялся просто: приложения получали оценку по каждому из 34 параметров.
Оценки следующие: 0 баллов — уязвимостей не обнаружено, 1 балл — частичная уязвимость, 2 балла — полная уязвимость. Соответственно, чем больше штрафных баллов набрало приложение, тем меньший уровень конфиденциальности оно может предоставить пользователям и тем ниже оно расположилось в рейтинге.
Ведущие мессенджеры по количеству пользователей
1. Обеспечивает ли приложение защиту сообщений и вложений
Только 4 мессенджера из 12 рассматриваемых (Signal, Threema, Wire и Session) можно рекомендовать как безопасные, поэтому они не получают штрафных баллов. Владельцы iMessage, Facebook Messenger (здесь и далее — Messenger), Skype, WhatsApp и Wickr Me запятнали себя сотрудничеством с АНБ. В Riot и Viber давно не проводили независимую проверку кода и анализ безопасности, в Wickr Me проводили, но не предоставили никаких публичных данных. Viber, Telegram, Messenger, Skype, WhatsApp не обеспечивают полную защиту данных, а кроме того, шифрование в Telegram, Messenger и Skype не включено по умолчанию. Также Messenger, Skype и WhatsApp зарабатывают деньги на личных данных пользователей (например, так это делают в «детищах» Цукерберга. Таким образом, только Riot из сомнительных приложений получает 1 штрафной балл, остальные семь — по 2.
2. Юрисдикция управляющей компании
10 управляющих компаний связаны с США или Великобританией, и только две с более надежными странами в плане конфиденциальности: Threema зарегистрирован в Швейцарии, а Viber — в Люксембурге и Японии. Эти два приложения получают по 1 штрафному баллу, остальные — по 2.
3. Местоположение серверов управляющей компании
Здесь наиболее надежны Threema (их серверы располагаются по месту регистрации, в Швейцарии), остальные мессенджеры хранят свои данные в США, Великобритании и странах Евросоюза. Threema получает 1 балл, остальные — по 2.
4. Замешана ли компания в передаче данных спецслужбам
iMessage, Messenger, Skype и WhatsApp предоставляют пользовательские данные спецслужбам (по 2 балла каждому), остальные в этом замечены не были (без штрафа). Вот, например, как это происходит со Скайпом, в качестве доказательства в суде компания разрешает использовать сохраненную переписку из служебных чатов.
5. Встроены ли в приложение элементы наблюдения за пользователями
Прослушивание через Skype — известная функция, которую могут использовать спецслужбы, получив разрешение от владельцев приложения. Поэтому Скайп единственный, кто получает штрафные баллы по этому пункту.
6. Предоставляет ли компания отчет о прозрачности
Владельцы трех приложений из 12, Riot, Telegram и Viber, не предоставляют таких отчетов (их не удалось найти в открытом доступе), поэтому их продукты получают по 2 штрафных балла.
Показатели частоты использования мессенджеров среди всех социальных платформ в млрд чел.
Показатели частоты использования мессенджеров среди всех социальных платформ в млрд чел.
7. Общая позиция компании в отношении конфиденциальности клиентов
Только владельцы Riot, Signal, Threema, Wire и Session заявляли, что заботятся о конфиденциальности пользователей, в остальных компаниях не считают это приоритетным, поэтому их мессенджеры получают по 2 балла. Например, владельцы мессенджера Riot заявляют об этом на своем сайте: Element | Secure collaboration and messaging (слоган внизу).
8. Источники финансирования
Компании Apple (iMessage), Meta (Messenger, WhatsApp), Microsoft (Skype), Rakuten (Viber) и Amazon (Wickr Me) не вызывают доверия из-за их связей с передачей личных данных третьим лицам (см. ряд ссылок выше). Этим мессенджерам добавлено по 2 балла. Остальные приложения финансируются отдельными лицами или обществами, не запятнавшими себя подобными действиями.
9. Собирает ли компания-владелец данные пользователей
Собирают все, кроме владельцев Riot, Signal, Threema, Vire и Session, поэтому последние пять не получают штрафных баллов. А вот какие сведения о пользователях собирают для своих владельцев половина мессенджеров из нашего списка.
10. Собирает ли приложение пользовательские данные
Session единственный свободен от сбора какой-либо информации, Signal, Threema, Wickr Me, Wire осуществляют частичный сбор (метаданные, 1 балл), остальные — максимально подробный с контактами, публикуемым контентом, историей поиска, а Messenger даже с финансовой информацией (по 2 балла). В этой статье подробно рассматривается мессенджер Session и указывается, что приложение не интересует ни ваша геолокация, ни данные об устройстве, ни метаданные.
11. Отправляются ли данные пользователей и/или метаданные материнской компании и/или третьим лицам
Никаких данных не отправляют Riot и Session (без штрафа), частично это делают Signal, Threema и Wickr Me, отправляющие номер сотового, указанного при регистрации (1 балл). Все остальные отправляют в управляющую компанию данные о пользователях и метаданные в полном объеме (по 2 балла). Вот, например, как обстоят дела у Wire: (доказана фиксация личных данных пользователей).
12. Включено ли шифрование по умолчанию
Включено во всех мессенджерах, за исключением Messenger, Skype и Telegram, за что последним начисляется по 2 штрафных балла.
13. Какие криптографические алгоритмы используются
iMessage и Skype используют устаревший SHA-1, что повышает их уязвимость (получают по 2 балла). Остальные приложения используют более совершенные криптографические алгоритмы. Правда, в Microsoft заявляли почти два года назад, что собираются отказаться от SHA-1 в пользу SHA-2, но это касалось только ОС Windows, про Skype там речи не было.
14. Имеют ли приложения полностью открытый исходный код
Исходный код Riot, Signal, Wire и Session открыт, у Telegram и Threema открыт частично (этим двум по 1 баллу), у остальных полностью закрыт (по 2 балла).
Популярность мессенджеров по странам на 2021 год (источник: https://www.similarweb.com/)
15. Есть ли возможности для проверки приложений на соответствие исходному коду
Полностью такую возможность предоставляет только Telegram и частично (для устройств Android) — Signal и Threema (этим двум 1 балл). Все остальные не предусмотрели подобный функционал, за что им начислено по 2 балла.
Проверка на подлинность исходного кода — важный момент, поскольку модифицированные приложения представляют серьезную угрозу для безопасности клиентов. Telegram добавил возможность такой проверки в январе 2020 года, а позже это не раз подтверждал и сам Павел Дуров. Теперь любой желающий, обладающий навыками работы с соответствующими программами, может проверить, что его версия приложения собрана из оригинального исходного кода (он опубликован на GitHub).
16. Можно ли зарегистрироваться в приложении анонимно
Возможность анонимной регистрации предоставляют только Riot, Threema, Wickr Me и Session (без штрафа), остальные требуют указывать персональные данные (по 2 балла).
17. Можно ли добавить контакт без сохранения данных на сервере
Это возможно только в Threema, Viber и Session (они не получают штрафных баллов), во всех остальных приложениях для добавления контактов задействуется сервер, на котором и хранится данная информация. Это повышает уязвимость, так как в случае взлома сервера злоумышленникам будет доступна вся база контактов. Вот как это работает с Threema (обращения к серверу есть, но сами хэш-значения там не хранятся — сервер служит лишь местом для их мгновенного сравнения, после чего все данные запросов сразу же удаляются оттуда).
18. Можно ли вручную проверить цифровые отпечатки устройств (fingerprints) контактов
Это возможно везде, кроме iMessage, Skype и Telegram, которым начисляется по 2 штрафных балла.
«Фингерпринт» — это уникальный идентификатор устройства (представлен в виде 32-битного кода), который составляется при обработке входящих данных. Фингерпринты позволяют идентифицировать устройства с точностью почти 95%.
19. Уязвимость к MITM атакам
Ни одно из приложений не может похвастаться защитой от MITM атак (мы не смогли найти таких доказательств), поскольку все они позволяют изменять данные службы каталогов.
MITM атака или «атака посредника» — это кратковременное вмешательство, целью которого является перехват трафика с перенаправлением его в собственную систему злоумышленника. В результате вся информация становится скомпрометированной. MITM атаки трудно отследить, поскольку длятся они не более 10-15 минут.
20. Получает ли пользователь уведомление, если цифровой отпечаток устройства (fingerprint) контакта изменяется
Riot, Signal, Threema, Viber и Wickr Me просигнализируют об этом, Wire только в том случае, если контакт был предварительно подтвержден (верифицирован), за что ему 1 штрафной балл, а всем остальным по 2, поскольку уведомлений об этом они не присылают.
Несмотря на очевидные дыры в безопасности, WhatsApp продолжает уверенно удерживать лидирующие позиции в значимых странах (источник: https://www.similarweb.com/)
21. Хешируется ли личная информация (номер мобильного телефона, список контактов и т. д.)
Полностью личные данные хешируют Riot, Threema и Wickr Me (без штрафа), частично — Signal и Wire (1 балл), остальные нет (по 2 балла).
Хеширование позволяет обезопасить данные пользователей в случае, если приложение будет взломано, так как расшифровать хешированную информацию практически невозможно.
22. Генерирует ли приложение ключи шифрования
Почти все рассматриваемые мессенджеры генерируют и хранят ключи шифрования на самих устройствах или на серверах. Единственное приложение, по которому не удалось получить такой информации — Skype, за что он получает 1 штрафной балл.
23. Могут ли сообщения быть прочитаны компанией
Messenger, Skype, Telegram и WhatsApp допускают чтение сообщений сотрудниками управляющих компаний, за что штрафуются на 2 балла. Вот так обстоят дела с Telegram(и уже по одному этому показателю конфиденциальным мессенджером назвать его никак нельзя).
24. Гарантирует ли приложение «совершенную прямую секретность» (FPS)
7 из 12 приложений обеспечивают такое шифрование сообщений, за исключением WhatsApp, iMessage, Threema и Session (по 2 балла). По Skype такой информации снова не нашлось, а Telegram меняет ключ шифрования только через каждые 100 подключений, что делает его более уязвимым к компрометации как сеансовых, так и долговременных ключей. Поэтому данным двум мессенджерам начисляется по 1 баллу.
В идеале приложение должно генерировать новый ключ шифрования для каждого сеанса, что значительно снижает уязвимость пользовательских данных.
25. Шифрует ли приложение метаданные
Полностью это делают Signal, Threema, Wickr Me и Session (без штрафа), частично — Riot, Viber и Wire (по 1 баллу), остальные мессенджеры метаданные не шифруют (по 2 балла).
Метаданные — это важная общая информация, описывающая характеристики данных, или, проще говоря, данные о данных. Конкретные примеры метаданных: информация об отправителе и получателе, время отправления сообщения, вид вложения (если оно есть).
26. Использует ли приложение протоколы TLS/Noise для шифрования сетевого трафика
Эти протоколы используют все, кроме Telegram, поэтому последний штрафуется двумя баллами.
Noise представляет собой современный фреймворк, с помощью которого создаются лучшие на сегодняшний день криптографические алгоритмы. Это существенно повышает взломостойкость приложений.
Любимые социальные платформы в процентах от общего числа пользователей (источник: MessengerPeople: Your Experts for Professional Messenger Communication)
27. Использует ли приложение безопасное соединение с SSL сертификатом
Такая информация подтверждена для iMessage, Signal, Threema, Wickr Me, Wire, Session, по остальным мессенджерам на этот счет нет никакой информации, поэтому им будет выставлена оценка «сомнительно» (1 балл). Доказательства использования SSL сертификатов у iMessage датируются аж 2013 годом.
28. Шифрует ли приложение данные на устройстве (касается только iOS и Android)
Нет информации по Messenger, Skype, Telegram, Viber и Whats App (1 балл каждому), остальные приложения поддерживают шифрование данных.
29. Использует ли приложение двухфакторную аутентификацию
Двухфакторную аутентификацию поддерживают только семь мессенджеров: Signal, Telegram, Threema, WhatsApp, Wickr Me, Wire, Session, остальные пять получают по 2 штрафных балла.
30. Шифруются ли сообщения при резервном копировании в облако
Есть шифрование у Riot, Threema, WhatsApp (без штрафа), отсутствует шифрование у iMessage (2 балла). Signal, Wickr Me, Wire, Session не поддерживают облачные сервисы, поэтому тоже не штрафуются. По оставшимся приложениям в открытом доступе такой информации нет (по 1 баллу).
31. Регистрирует ли компания временные метки (timestamps) и IP-адреса
Не делают этого Signal, Threema, Wickr Me и Session, что повышает конфиденциальность пользователей. Частичная регистрация замечена у Wire (1 балл), остальные фиксируют время отправки и получения сообщений и IP-адреса (по 2 балла).
32. Регулярность проведения аудита кода и независимого анализа безопасности
За последние пять лет это делали только Threema, Wire и Session, более пяти лет назад — Signal, Telegram, Wickr Me (им по 1 баллу), остальные — никогда (получают по 2 балла штрафа). Вот, например, подтверждение аудита кода для Signal и Threema.
33. Есть ли подробная документация по проекту
Частично задокументирована разработка всех приложений, кроме Skype, который штрафуется на 2 балла, остальные — на 1, поскольку подробной документации не предоставляла ни одна компания-разработчик.
34. Есть ли функция автоудаления сообщений
Такая функция есть у всех мессенджеров, кроме iMessage, Riot, Skype и Threema, за что последним начисляются штрафные баллы.
Показатели роста WhatsApp с 2019 по 2020 год. Россия продемонстрировала наиболее впечатляющий годовой рост — ровно на 17%, что позволило ей ворваться в пятерку главных любителей мессенджера (источник: MessengerPeople: Your Experts for Professional Messenger Communication)
Общий рейтинг приложений
После подсчета штрафных баллов (они высчитывались из 68 возможных, поскольку у нас 34 пункта и максимум 2 балла за каждый) получилась следующая картина:
Threema — 13
Session — 15
Signal — 16
Wire — 20
Wickr Me — 24
Riot — 26
Viber — 38
WhatsApp — 45
Telegram — 45
Messenger — 48
iMessage — 51
Skype — 59
Таким образом, ни одно приложение нельзя назвать полностью конфиденциальным, а все популярные в России мессенджеры и вовсе оказались в нижней части рейтинга. Конечно, вряд ли это повлияет на их популярность, но тем, кто заботится о сохранности своих данных и своей безопасности, стоит задуматься.
Интересно, что западные специалисты в целом того же мнения о лидерах нашего рейтинга, так как первая пятёрка с небольшими перестановками лидирует практически везде. Например, здесь говорится о преимуществах Threema перед Signal. А в этом обзоре авторы еще и выводят WhatsApp за пределы даже безопасных приложений, причем с железной аргументацией. В завершение несколько любопытных фактов о популярных мессенджерах.
Популярные китайские социальные платформы: знаете хоть одну из первой десятки? (источник: MessengerPeople: Your Experts for Professional Messenger Communication)
Интересные факты об уязвимостях WhatsApp, Telegram, Skype и Viber
В августе 2018 года разработчики WhatsApp отказались от сквозного шифрования сообщений пользователей и официально объявили об открытии доступа к любой переписке сотрудникам спецслужб. Подробнее.
Несмотря на наличие механизма двухфакторной аутентификации, данные для входа в WhatsApp на смартфонах хранились в незашифрованном виде, что пару лет назад привело к массовой утечке кодов безопасности. Проблема наблюдалась на Android-устройствах с рут-доступом, то есть правами суперпользователя. Подробнее.
Тогда же один из известных специалистов по кибербезопасности, Нил Кравец, раскритиковал Telegram за несоответствие мессенджера заявленным требованиям безопасности. Эксперт выяснил, что «Телеграм» не полностью шифрует данные, которые хранятся на сервере в незашифрованном виде, и опытным путём определил, что даже зашифрованные данные могут быть легко расшифрованы хакерами из-за целого ряда уязвимостей. Подробнее.
В конце 2019 года аккаунты некоторых пользователей Telegram были взломаны путем перехвата злоумышленниками СМС с кодом подтверждения входа в аккаунт. Подробнее.
В том же 2019 году была выявлена уязвимость Skype, когда сторонние пользователи могли просматривать контакты и фотографии, обходя экран блокировки. Также у них была возможность даже открывать браузер «жертвы». Подробнее.
А вот совсем недавняя новость: хакеры используют «Скайп», чтобы заражать ПК с установленной ОС Windows. В результате компьютер попадает под удаленное управление через Skype API. Подробнее.
И еще интересная новость, на этот раз про Viber: известную уже более пяти лет уязвимость разработчики так и не исправили. Опасность этой уязвимости в том, что любой пользователь из вашего контакт-листа может получить доступ к вашему компьютеру через Windows версию Viber. Подробнее.
НЛО прилетело и оставило здесь промокод для читателей нашего блога:— 15% на все тарифы VDS (кроме тарифа Прогрев) — HABRFIRSTVDS.
Только зарегистрированные пользователи могут участвовать в опросе. Войдите, пожалуйста.
Каким мессенджером вы пользуетесь чаще всего?
84.34%
Telegram
210
23.29%
WhatsApp
58
8.84%
Viber
22
11.65%
Другой
29
habr.com
Блог компании FirstVDS
Информационная безопасность
*
Мессенджеры
*
Социальные сети и сообщества
По данным на осень 2021 года в тройку наиболее популярных мессенджеров в России входят WhatsApp, Viber и Telegram. Давайте выясним уровень конфиденциальности и безопасности каждого из них. Сделать это можно, только сравнив их с другими приложениями, поэтому рассмотрим также Skype, Facebook Messenger и ряд малоизвестных у нас мессенджеров: Signal, Riot, Threema, Wickr Me, Wire, Session. А еще возьмем популярный у обладателей «яблочных» устройств iMessage.
О терминологии
Несмотря на сходство в значениях, безопасность и конфиденциальность — вещи разные. Под конфиденциальностью в IT подразумевается отсутствие доступа к вашей информации любых сторонних лиц, включая даже разработчиков приложений. Под безопасностью — защита информации от распространения после ее сбора приложением. Таким образом, мессенджер может быть безопасным, но не конфиденциальным, то есть данные о вас собираются, но не утекают в сеть. А вот обратное (конфиденциально, но небезопасно) исключено. Если к вашей информации не может получить доступ никто (полная конфиденциальность), то приложение, через которое вы её отправляете, является также и полностью безопасным.
Критерии безопасности и конфиденциальности
Мы проанализировали 12 мессенджеров по 34 основным параметрам конфиденциальности и безопасности (все данные были взяты из открытых источников, в том числе с сайтов владельцев приложений). Рейтинг составлялся просто: приложения получали оценку по каждому из 34 параметров.
Оценки следующие: 0 баллов — уязвимостей не обнаружено, 1 балл — частичная уязвимость, 2 балла — полная уязвимость. Соответственно, чем больше штрафных баллов набрало приложение, тем меньший уровень конфиденциальности оно может предоставить пользователям и тем ниже оно расположилось в рейтинге.
Ведущие мессенджеры по количеству пользователей
1. Обеспечивает ли приложение защиту сообщений и вложений
Только 4 мессенджера из 12 рассматриваемых (Signal, Threema, Wire и Session) можно рекомендовать как безопасные, поэтому они не получают штрафных баллов. Владельцы iMessage, Facebook Messenger (здесь и далее — Messenger), Skype, WhatsApp и Wickr Me запятнали себя сотрудничеством с АНБ. В Riot и Viber давно не проводили независимую проверку кода и анализ безопасности, в Wickr Me проводили, но не предоставили никаких публичных данных. Viber, Telegram, Messenger, Skype, WhatsApp не обеспечивают полную защиту данных, а кроме того, шифрование в Telegram, Messenger и Skype не включено по умолчанию. Также Messenger, Skype и WhatsApp зарабатывают деньги на личных данных пользователей (например, так это делают в «детищах» Цукерберга. Таким образом, только Riot из сомнительных приложений получает 1 штрафной балл, остальные семь — по 2.
2. Юрисдикция управляющей компании
10 управляющих компаний связаны с США или Великобританией, и только две с более надежными странами в плане конфиденциальности: Threema зарегистрирован в Швейцарии, а Viber — в Люксембурге и Японии. Эти два приложения получают по 1 штрафному баллу, остальные — по 2.
3. Местоположение серверов управляющей компании
Здесь наиболее надежны Threema (их серверы располагаются по месту регистрации, в Швейцарии), остальные мессенджеры хранят свои данные в США, Великобритании и странах Евросоюза. Threema получает 1 балл, остальные — по 2.
4. Замешана ли компания в передаче данных спецслужбам
iMessage, Messenger, Skype и WhatsApp предоставляют пользовательские данные спецслужбам (по 2 балла каждому), остальные в этом замечены не были (без штрафа). Вот, например, как это происходит со Скайпом, в качестве доказательства в суде компания разрешает использовать сохраненную переписку из служебных чатов.
5. Встроены ли в приложение элементы наблюдения за пользователями
Прослушивание через Skype — известная функция, которую могут использовать спецслужбы, получив разрешение от владельцев приложения. Поэтому Скайп единственный, кто получает штрафные баллы по этому пункту.
6. Предоставляет ли компания отчет о прозрачности
Владельцы трех приложений из 12, Riot, Telegram и Viber, не предоставляют таких отчетов (их не удалось найти в открытом доступе), поэтому их продукты получают по 2 штрафных балла.
Показатели частоты использования мессенджеров среди всех социальных платформ в млрд чел.
Показатели частоты использования мессенджеров среди всех социальных платформ в млрд чел.
7. Общая позиция компании в отношении конфиденциальности клиентов
Только владельцы Riot, Signal, Threema, Wire и Session заявляли, что заботятся о конфиденциальности пользователей, в остальных компаниях не считают это приоритетным, поэтому их мессенджеры получают по 2 балла. Например, владельцы мессенджера Riot заявляют об этом на своем сайте: Element | Secure collaboration and messaging (слоган внизу).
8. Источники финансирования
Компании Apple (iMessage), Meta (Messenger, WhatsApp), Microsoft (Skype), Rakuten (Viber) и Amazon (Wickr Me) не вызывают доверия из-за их связей с передачей личных данных третьим лицам (см. ряд ссылок выше). Этим мессенджерам добавлено по 2 балла. Остальные приложения финансируются отдельными лицами или обществами, не запятнавшими себя подобными действиями.
9. Собирает ли компания-владелец данные пользователей
Собирают все, кроме владельцев Riot, Signal, Threema, Vire и Session, поэтому последние пять не получают штрафных баллов. А вот какие сведения о пользователях собирают для своих владельцев половина мессенджеров из нашего списка.
10. Собирает ли приложение пользовательские данные
Session единственный свободен от сбора какой-либо информации, Signal, Threema, Wickr Me, Wire осуществляют частичный сбор (метаданные, 1 балл), остальные — максимально подробный с контактами, публикуемым контентом, историей поиска, а Messenger даже с финансовой информацией (по 2 балла). В этой статье подробно рассматривается мессенджер Session и указывается, что приложение не интересует ни ваша геолокация, ни данные об устройстве, ни метаданные.
11. Отправляются ли данные пользователей и/или метаданные материнской компании и/или третьим лицам
Никаких данных не отправляют Riot и Session (без штрафа), частично это делают Signal, Threema и Wickr Me, отправляющие номер сотового, указанного при регистрации (1 балл). Все остальные отправляют в управляющую компанию данные о пользователях и метаданные в полном объеме (по 2 балла). Вот, например, как обстоят дела у Wire: (доказана фиксация личных данных пользователей).
12. Включено ли шифрование по умолчанию
Включено во всех мессенджерах, за исключением Messenger, Skype и Telegram, за что последним начисляется по 2 штрафных балла.
13. Какие криптографические алгоритмы используются
iMessage и Skype используют устаревший SHA-1, что повышает их уязвимость (получают по 2 балла). Остальные приложения используют более совершенные криптографические алгоритмы. Правда, в Microsoft заявляли почти два года назад, что собираются отказаться от SHA-1 в пользу SHA-2, но это касалось только ОС Windows, про Skype там речи не было.
14. Имеют ли приложения полностью открытый исходный код
Исходный код Riot, Signal, Wire и Session открыт, у Telegram и Threema открыт частично (этим двум по 1 баллу), у остальных полностью закрыт (по 2 балла).
Популярность мессенджеров по странам на 2021 год (источник: https://www.similarweb.com/)
15. Есть ли возможности для проверки приложений на соответствие исходному коду
Полностью такую возможность предоставляет только Telegram и частично (для устройств Android) — Signal и Threema (этим двум 1 балл). Все остальные не предусмотрели подобный функционал, за что им начислено по 2 балла.
Проверка на подлинность исходного кода — важный момент, поскольку модифицированные приложения представляют серьезную угрозу для безопасности клиентов. Telegram добавил возможность такой проверки в январе 2020 года, а позже это не раз подтверждал и сам Павел Дуров. Теперь любой желающий, обладающий навыками работы с соответствующими программами, может проверить, что его версия приложения собрана из оригинального исходного кода (он опубликован на GitHub).
16. Можно ли зарегистрироваться в приложении анонимно
Возможность анонимной регистрации предоставляют только Riot, Threema, Wickr Me и Session (без штрафа), остальные требуют указывать персональные данные (по 2 балла).
17. Можно ли добавить контакт без сохранения данных на сервере
Это возможно только в Threema, Viber и Session (они не получают штрафных баллов), во всех остальных приложениях для добавления контактов задействуется сервер, на котором и хранится данная информация. Это повышает уязвимость, так как в случае взлома сервера злоумышленникам будет доступна вся база контактов. Вот как это работает с Threema (обращения к серверу есть, но сами хэш-значения там не хранятся — сервер служит лишь местом для их мгновенного сравнения, после чего все данные запросов сразу же удаляются оттуда).
18. Можно ли вручную проверить цифровые отпечатки устройств (fingerprints) контактов
Это возможно везде, кроме iMessage, Skype и Telegram, которым начисляется по 2 штрафных балла.
«Фингерпринт» — это уникальный идентификатор устройства (представлен в виде 32-битного кода), который составляется при обработке входящих данных. Фингерпринты позволяют идентифицировать устройства с точностью почти 95%.
19. Уязвимость к MITM атакам
Ни одно из приложений не может похвастаться защитой от MITM атак (мы не смогли найти таких доказательств), поскольку все они позволяют изменять данные службы каталогов.
MITM атака или «атака посредника» — это кратковременное вмешательство, целью которого является перехват трафика с перенаправлением его в собственную систему злоумышленника. В результате вся информация становится скомпрометированной. MITM атаки трудно отследить, поскольку длятся они не более 10-15 минут.
20. Получает ли пользователь уведомление, если цифровой отпечаток устройства (fingerprint) контакта изменяется
Riot, Signal, Threema, Viber и Wickr Me просигнализируют об этом, Wire только в том случае, если контакт был предварительно подтвержден (верифицирован), за что ему 1 штрафной балл, а всем остальным по 2, поскольку уведомлений об этом они не присылают.
Несмотря на очевидные дыры в безопасности, WhatsApp продолжает уверенно удерживать лидирующие позиции в значимых странах (источник: https://www.similarweb.com/)
21. Хешируется ли личная информация (номер мобильного телефона, список контактов и т. д.)
Полностью личные данные хешируют Riot, Threema и Wickr Me (без штрафа), частично — Signal и Wire (1 балл), остальные нет (по 2 балла).
Хеширование позволяет обезопасить данные пользователей в случае, если приложение будет взломано, так как расшифровать хешированную информацию практически невозможно.
22. Генерирует ли приложение ключи шифрования
Почти все рассматриваемые мессенджеры генерируют и хранят ключи шифрования на самих устройствах или на серверах. Единственное приложение, по которому не удалось получить такой информации — Skype, за что он получает 1 штрафной балл.
23. Могут ли сообщения быть прочитаны компанией
Messenger, Skype, Telegram и WhatsApp допускают чтение сообщений сотрудниками управляющих компаний, за что штрафуются на 2 балла. Вот так обстоят дела с Telegram(и уже по одному этому показателю конфиденциальным мессенджером назвать его никак нельзя).
24. Гарантирует ли приложение «совершенную прямую секретность» (FPS)
7 из 12 приложений обеспечивают такое шифрование сообщений, за исключением WhatsApp, iMessage, Threema и Session (по 2 балла). По Skype такой информации снова не нашлось, а Telegram меняет ключ шифрования только через каждые 100 подключений, что делает его более уязвимым к компрометации как сеансовых, так и долговременных ключей. Поэтому данным двум мессенджерам начисляется по 1 баллу.
В идеале приложение должно генерировать новый ключ шифрования для каждого сеанса, что значительно снижает уязвимость пользовательских данных.
25. Шифрует ли приложение метаданные
Полностью это делают Signal, Threema, Wickr Me и Session (без штрафа), частично — Riot, Viber и Wire (по 1 баллу), остальные мессенджеры метаданные не шифруют (по 2 балла).
Метаданные — это важная общая информация, описывающая характеристики данных, или, проще говоря, данные о данных. Конкретные примеры метаданных: информация об отправителе и получателе, время отправления сообщения, вид вложения (если оно есть).
26. Использует ли приложение протоколы TLS/Noise для шифрования сетевого трафика
Эти протоколы используют все, кроме Telegram, поэтому последний штрафуется двумя баллами.
Noise представляет собой современный фреймворк, с помощью которого создаются лучшие на сегодняшний день криптографические алгоритмы. Это существенно повышает взломостойкость приложений.
Любимые социальные платформы в процентах от общего числа пользователей (источник: MessengerPeople: Your Experts for Professional Messenger Communication)
27. Использует ли приложение безопасное соединение с SSL сертификатом
Такая информация подтверждена для iMessage, Signal, Threema, Wickr Me, Wire, Session, по остальным мессенджерам на этот счет нет никакой информации, поэтому им будет выставлена оценка «сомнительно» (1 балл). Доказательства использования SSL сертификатов у iMessage датируются аж 2013 годом.
28. Шифрует ли приложение данные на устройстве (касается только iOS и Android)
Нет информации по Messenger, Skype, Telegram, Viber и Whats App (1 балл каждому), остальные приложения поддерживают шифрование данных.
29. Использует ли приложение двухфакторную аутентификацию
Двухфакторную аутентификацию поддерживают только семь мессенджеров: Signal, Telegram, Threema, WhatsApp, Wickr Me, Wire, Session, остальные пять получают по 2 штрафных балла.
30. Шифруются ли сообщения при резервном копировании в облако
Есть шифрование у Riot, Threema, WhatsApp (без штрафа), отсутствует шифрование у iMessage (2 балла). Signal, Wickr Me, Wire, Session не поддерживают облачные сервисы, поэтому тоже не штрафуются. По оставшимся приложениям в открытом доступе такой информации нет (по 1 баллу).
31. Регистрирует ли компания временные метки (timestamps) и IP-адреса
Не делают этого Signal, Threema, Wickr Me и Session, что повышает конфиденциальность пользователей. Частичная регистрация замечена у Wire (1 балл), остальные фиксируют время отправки и получения сообщений и IP-адреса (по 2 балла).
32. Регулярность проведения аудита кода и независимого анализа безопасности
За последние пять лет это делали только Threema, Wire и Session, более пяти лет назад — Signal, Telegram, Wickr Me (им по 1 баллу), остальные — никогда (получают по 2 балла штрафа). Вот, например, подтверждение аудита кода для Signal и Threema.
33. Есть ли подробная документация по проекту
Частично задокументирована разработка всех приложений, кроме Skype, который штрафуется на 2 балла, остальные — на 1, поскольку подробной документации не предоставляла ни одна компания-разработчик.
34. Есть ли функция автоудаления сообщений
Такая функция есть у всех мессенджеров, кроме iMessage, Riot, Skype и Threema, за что последним начисляются штрафные баллы.
Показатели роста WhatsApp с 2019 по 2020 год. Россия продемонстрировала наиболее впечатляющий годовой рост — ровно на 17%, что позволило ей ворваться в пятерку главных любителей мессенджера (источник: MessengerPeople: Your Experts for Professional Messenger Communication)
Общий рейтинг приложений
После подсчета штрафных баллов (они высчитывались из 68 возможных, поскольку у нас 34 пункта и максимум 2 балла за каждый) получилась следующая картина:
Threema — 13
Session — 15
Signal — 16
Wire — 20
Wickr Me — 24
Riot — 26
Viber — 38
WhatsApp — 45
Telegram — 45
Messenger — 48
iMessage — 51
Skype — 59
Таким образом, ни одно приложение нельзя назвать полностью конфиденциальным, а все популярные в России мессенджеры и вовсе оказались в нижней части рейтинга. Конечно, вряд ли это повлияет на их популярность, но тем, кто заботится о сохранности своих данных и своей безопасности, стоит задуматься.
Интересно, что западные специалисты в целом того же мнения о лидерах нашего рейтинга, так как первая пятёрка с небольшими перестановками лидирует практически везде. Например, здесь говорится о преимуществах Threema перед Signal. А в этом обзоре авторы еще и выводят WhatsApp за пределы даже безопасных приложений, причем с железной аргументацией. В завершение несколько любопытных фактов о популярных мессенджерах.
Популярные китайские социальные платформы: знаете хоть одну из первой десятки? (источник: MessengerPeople: Your Experts for Professional Messenger Communication)
Интересные факты об уязвимостях WhatsApp, Telegram, Skype и Viber
В августе 2018 года разработчики WhatsApp отказались от сквозного шифрования сообщений пользователей и официально объявили об открытии доступа к любой переписке сотрудникам спецслужб. Подробнее.
Несмотря на наличие механизма двухфакторной аутентификации, данные для входа в WhatsApp на смартфонах хранились в незашифрованном виде, что пару лет назад привело к массовой утечке кодов безопасности. Проблема наблюдалась на Android-устройствах с рут-доступом, то есть правами суперпользователя. Подробнее.
Тогда же один из известных специалистов по кибербезопасности, Нил Кравец, раскритиковал Telegram за несоответствие мессенджера заявленным требованиям безопасности. Эксперт выяснил, что «Телеграм» не полностью шифрует данные, которые хранятся на сервере в незашифрованном виде, и опытным путём определил, что даже зашифрованные данные могут быть легко расшифрованы хакерами из-за целого ряда уязвимостей. Подробнее.
В конце 2019 года аккаунты некоторых пользователей Telegram были взломаны путем перехвата злоумышленниками СМС с кодом подтверждения входа в аккаунт. Подробнее.
В том же 2019 году была выявлена уязвимость Skype, когда сторонние пользователи могли просматривать контакты и фотографии, обходя экран блокировки. Также у них была возможность даже открывать браузер «жертвы». Подробнее.
А вот совсем недавняя новость: хакеры используют «Скайп», чтобы заражать ПК с установленной ОС Windows. В результате компьютер попадает под удаленное управление через Skype API. Подробнее.
И еще интересная новость, на этот раз про Viber: известную уже более пяти лет уязвимость разработчики так и не исправили. Опасность этой уязвимости в том, что любой пользователь из вашего контакт-листа может получить доступ к вашему компьютеру через Windows версию Viber. Подробнее.
НЛО прилетело и оставило здесь промокод для читателей нашего блога:— 15% на все тарифы VDS (кроме тарифа Прогрев) — HABRFIRSTVDS.
Только зарегистрированные пользователи могут участвовать в опросе. Войдите, пожалуйста.
Каким мессенджером вы пользуетесь чаще всего?
84.34%
Telegram
210
23.29%
58
8.84%
Viber
22
11.65%
Другой
29
ÐÑобенноÑÑи ÑиÑÑÐ¾Ð²Ð°Ð½Ð¸Ñ Ð¿Ð¾Ð¿ÑлÑÑнÑÑ Ð¼ÐµÑÑенджеÑов: вÑбиÑаем ÑамÑй безопаÑнÑй
Ðо даннÑм на оÑÐµÐ½Ñ 2021 года в ÑÑÐ¾Ð¹ÐºÑ Ð½Ð°Ð¸Ð±Ð¾Ð»ÐµÐµ попÑлÑÑнÑÑ Ð¼ÐµÑÑенджеÑов в РоÑÑии вÑодÑÑ WhatsApp, Viber и Telegram. ÐавайÑе вÑÑÑним ÑÑÐ¾Ð²ÐµÐ½Ñ ÐºÐ¾Ð½ÑиденÑиалÑноÑÑи и безопаÑноÑÑи каждого из ниÑ...
habr.com
Частный детектив. Армения. Ереван.
Приватный уровень доступа
Даже не удивлен , что здесь делает новое приложение "мессенджер" , где даже зареган сам Илон Маск) Это большого стоит)
