На фоне событий в США резко выросла популярность защищённого мессенджера Signal — c 6000 до 26 000 скачиваний в день. В этой программе реализована стойкая криптография и сквозное шифрование, она распространяется с открытым исходным кодом и работает на известных криптографических протоколах (в отличие от проприетарного MProto).
Но теперь разработчики Signal столкнулись с новой угрозой. Правительство США пытается скомпрометировать защиту мессенджера и опять получить доступ к переписке пользователей. В 2016 году им удалось получить судебную повестку на изъятие переписки одного пользователя, но из-за сквозного шифрования там нечего было изымать.
Единственные данные, которые Signal может предоставить по запросу правительственных служб или по судебной повестке — только те данные, которые она хранит о пользователе. Это:
- дата создания аккаунта в Unix-времени;
- дата последнего использования в Unix-времени.
Обзор Signal — Месенджер без слежки / Шифрование, приватность и видеозвонки
Досье пользователя, которое Signal предоставил по судебному запросу. Скриншот из судебных документов
«Мы разработали Signal таким образом, чтобы персональные данные хранились у клиентов, а не у нас, — пишут разработчики. — Signal использует сквозное шифрование, так что мы никогда не имеем доступа к содержимому сообщений, которые вы отправляете. Они видны только вам и предполагаемым получателям. Однако Signal также применяет эту философию дизайна и к остальным вашим данным».
В отличие от любых других популярных мессенджеров, у Signal нет доступа к контактам, социальному графу, групповым данным, информации о состоянии в группах, имени профиля, аватару профиля, данным о местоположении, истории поиска и так далее. В коде программы отсутствуют трекеры, реклама или код для аналитики. Абсолютно вся информация зашифрована, кроме даты создания аккаунта и даты последнего использования, как показано на скриншоте.
Кадр из лекции Мокси Марлинспайка на конференции по информационной безопасности Chaos Computer Club в декабре 2019 года с демонстрацией учётных данных его личного аккаунта Signal
«Поскольку мы создали Signal, чтобы полностью избежать хранения какой-либо конфиденциальной информации, я могу выйти на сцену перед тысячами людей и публично опубликовать все данные своей учётной записи, не раскрыв при этом ничего, кроме того, как давно у меня установлен Signal (с тех пор, как я последний раз поменял телефон) и последней даты, когда я его использовал (это сегодня, кстати)», — говорит Мокси Марлинспайк (Moxie Marlinspike), известный хакер, криптоанархист и основной разработчик программы.
Главная слабость Signal и подобных мессенджеров — привязка к конкретному номеру телефона. Например, если посторонний присоединится к некоей группе, то увидит телефонные номера всех участников этой группы. Этот приём использовала полиция Гонконга, чтобы установить личности протестующих в WhatsApp, Signal и Telegram-.
С другой стороны, остальные данные аккаунта злоумышленник не получит даже по судебному запросу.
«Если вы попросите генерального директора любой другой крупной коммуникационной платформы публично опубликовать свои учётные данные со своей платформы, он этого не сделает, — пишет Мокси. — Я их не виню — это много данных, которыми неудобно делиться с вами, — но это поднимает вопрос о том, насколько комфортно делиться теми же данными с ними [властями]».
Любая американская компания обязана выполнять правила американского законодательства и предъявлять данные по судебному запросу, будь то WhatsApp или Signal. Но в случае Signal ей просто нечего будет предъявить.
В некоторых странах после утечек из WhatsApp даже военных и политиков переводят на обязательное использование криптомессенджеров Signal и Wickr. Например, такие правила установлены для бойцов 82-й воздушно-десантной дивизии армии США и для коммуникации членов консервативной партии Великобритании. Так что наличие на телефоне Signal — не признак подозрительной активности, а скорее признак наличия здравого смысла.
Отсутствие персональных данных во владении компании — единственная стратегия, которая позволяет обеспечить безопасность этих данных, уверены создатели Signal. Соответственно, доверие к любой компании сводится не к доверию сохранности наших личных данных, а к доверию их инженерным способностям и ноу-хау для разработки программного обеспечения, которое не допустит передачи личных данных от пользователя и гарантирует, что они хранятся только у него и больше никому не доступны, включая саму компанию.
Signal — это некоммерческая организация 501(с)(3), поэтому программное обеспечение было и останется свободным и бесплатным. «Наша миссия заключается в повышении конфиденциальности в интернете, поэтому мы публикуем нашу технологию и делимся знаниями, чтобы побудить другие компании использовать её в своих собственных продуктах и услугах», — пишет Мокси Марлинспайк. Сегодня на протоколе Signal работают некоторые другие мессенджеры, хотя и они и не реализовали строгий отказ от сбора персональной информации о пользователях и продолжают хранить на своих серверах контакты, разговоры, фотографии и прочие данные для каждого аккаунта.
Например, WhatsApp тоже использует защищённый протокол Signal, однако передаёт в материнскую компанию Facebook социальный граф пользователя. То же самое относится к коммерческим компаниям Telegram FZ LLC и Telegram Messenger Inc. В случае Signal на сервер передаётся только усечённый хеш каждого телефонного номера из списка контактов. Такой хеш нельзя сбрутить напрямую, хотя и о полной секретности речи не идёт.
Конечно, существуют более защищённые и надёжные мессенджеры со сквозным шифрованием, без указания телефонного номера и других идентификаторов. Например, P2P-система прямого обмена шифрованными сообщениями Matrix с клиентским программным обеспечением типа Riot и другими клиентами.
Интерфейс клиента Riot для пиринговой криптосети Matrix
Но пока эти программы не очень дружественны к пользователям. Например, чтобы в десктопном клиенте Riot отменить отправку подтверждений о прочтении, нужно отредактировать файл конфигурации /etc/riot/config.json.
Источник: habr.com
Приложение Signal — особенности мессенджера, как настроить
По данным Reuters – одного из крупнейших мировых новостных агентств – ряды поклонников мессенджера Signal ежедневно увеличиваются примерно на один миллион человек. Чем вызвана такая популярность приложения, которым еще несколько лет назад почти никто не пользовался?
Что такое мессенджер Signal
Signal – это удобный мessenger для онлайн-общения, который отличается от других подобных сервисов высокой надежностью и непревзойденной приватностью. Своей популярностью он обязан двум известным людям, в свое время разрекламировавшим его: Эдварду Сноудену и Илону Маску.
До этого мало кто знал о существовании приложения, разработанного и выпущенного исследователем компьютерной безопасности Мокси Марлинспайком еще в середине 2013 года.
Платное ли приложение
Messenger Signal – это полностью бесплатное приложение, благодаря чему можно пользоваться всеми его функциями на безвозмездной основе. Нет необходимости оплачивать междугороднюю связь при видео-общении или голосовых звонках в другие регионы.
Отправка SMS и MMS также осуществляется бесплатно, так как мессенджер использует передачу данных на телефоне.
Важным плюсом является то, что за бесплатное использование приложения не придется расплачиваться просмотром рекламы – ее в Signal просто нет.
Особенности мессенджера
Messenger Signal предоставляет пользователям стандартные для большинства подобных средств общения возможности:
- видеосвязь;
- обмен текстовыми и аудио сообщениями;
- пересылка фото и прочих файлов;
- создание групповых чатов.
Но у приложения имеются и некоторые важные особенности, среди которых стоит выделить: открытый исходный код, шифрование, отказ от сбора данных.
Сквозное шифрование
Данная технология позволяет совершенно безопасно обмениваться любой информацией и не бояться, что ее сможет перехватить посторонний. Доступ ко всем сообщениям и файлам имеется лишь у тех пользователей, которые общаются в чате. Прочитать зашифрованную переписку не смогут даже разработчики Messenger Signal.
Возможность шифровать сообщения присутствует и в некоторых других менеджерах, но в ограниченных режимах. В Телеграм, в частности, для обмена конфиденциальной информацией необходимо создать секретный чат. При обычной переписке сквозное шифрование не применяется.
Конфиденциальность контактов и защищенные анклавы
Messenger Signal, в отличие от других подобных приложений, не собирает метаданные, которые WhatsApp, к примеру, использует для подбора рекламных предложений, совпадающих с интересами потребителей. Единственное исключение – телефонные номера пользователей.
Политика открытости
Приложение Signal придерживается принципов политики открытости. Исходный код мессенджера может изучить любой специалист, желающий убедиться в надежности и безопасности приложения.
Ознакомиться с исходными кодами других популярных разработок для онлайн-общения очень сложно или невозможно, так как они не публикуются в открытом доступе.
Преимущества и недостатки
Как любое приложение, Signal имеет свои плюсы и минусы. Помимо возможности сохранить свою конфиденциальность при общении стоит отметить следующие преимущества разработки:
- высокое качество звука и стабильность соединения;
- возможность отправлять длинные сообщения и файлы разных типов (стикеры, видео, аудио, фото, анимированные изображения);
- наличие двухфакторной аутентификации;
- очистка чата по таймеру.
К недостаткам можно отнести отсутствие браузерной версии мессенджера, которая имеется и у Telegram, и у WhatsApp. Также стоит помнить о том, что обычные SMS и MMS сообщения, которые можно отправлять с помощью Signal, никак не шифруются. Это означает, что все смски мобильные операторы будут хранить в своих базах в открытом виде. Поэтому, если приватность стоит на первом месте, не стоит пользоваться данной функцией мессенджера Signal.
И еще один недостаток, вытекающий из главной особенности приложения – максимальной конфиденциальности – это отсутствие публичных каналов, как, например, в Телеграм. В Сигнале возможно только приватное общение. На этом обзор недостатков можно считать исчерпывающим.
Как настроить мессенджер Signal
Установить мессенджер можно на любое устройство: ПК, ноутбук, планшет, телефон. Приложение оптимизировано для работы на всех основных операционных системах: Андроид, Линукс, Win, iOS, Mac. После установки messenger Signal необходимо настроить.
PIN-код Signal
Пин-код необходимо установить еще в процессе регистрации. Он понадобится после смены устройства для быстрого восстановления всех настроек и сохраненных контактов. Без использования PIN-кода вся информация может быть утеряна.
Кроме того, если не использовать эту опцию, другой пользователь, получивший в дальнейшем тот же мобильный номер, может легко заполучить и полный доступ к профилю.
Настройки конфиденциальности
Для тех, кто серьезно относится к своей конфиденциальности, имеется весьма полезная функция – клавиатура, мгновенно стирающая историю ввода. А если еще и заблокировать доступ к приложению – прочитать переписку не сможет никто. Любой человек, попытавшийся зайти в мессенджер с привязанного устройства, должен будет ввести пароль.
Привязка устройств
Еще одна очень полезная настройка – привязка устройства. Если пользователь одновременно пользуется, например, смартфоном, планшетом и ноутбуком, он сможет заходить в свой профиль с любого гаджета.
Максимальное количество устройств, которые можно привязать, ограничено пятью, но, как показывает практика, этого достаточно для подавляющего большинства потребителей. Для привязки нового устройства нужно зайти в настройки и отсканировать штрихкод.
Чтобы доступ к профилю не получил другой человек, необходимо время от времени просматривать список подключенных устройств и удалять те, которые больше не используются.
Резервные копии чатов
Функция резервного копирования позволяет сохранять историю всех переписок. Причем записываться она будет в память самого смартфона или планшета, в обход облачного сервиса. Если данная функция покажется полезной, важно не забыть установить пароль для доступа к сохраненным перепискам.
Можно ли взломать Сигнал
Несмотря на высокий уровень безопасности, мессенджер не безупречен. В 2020 году приложение Сигнал было взломано хакерами из Израиля. С помощью программы, предназначенной для сбора данных, хранящихся на устройстве, злоумышленники похитили и расшифровали сообщения многих пользователей.
В 2022 году хакеры завладели базой, в которой хранилось около 2000 мобильных номеров, использованных при регистрации. После этого всем пользователям пришлось восстанавливать свои аккаунты и заново проходить процедуру регистрации.
Несмотря на эти два случая, можно сделать вывод, что messenger Signal – это весьма надежное приложение (по сравнению с аналогичными), обеспечивающее максимально конфиденциальное общение. Современные технологии защиты данных, сквозное шифрование и открытый код гарантируют практически полную приватность. А с помощью правильных настроек его можно сделать еще безопаснее и удобнее в использовании.
Источник: streletzcoder.ru