Читаем Искусство быть невидимым полностью

Искусство быть невидимым

Разработчики сторонних приложений для обмена текстовыми сообщениями могут заявить, что используют шифрование, но это шифрование может быть недостаточно надежным. На что следует обратить внимание? Если в приложении для обмена текстовыми сообщениями применяется сквозное шифрование, значит, что у третьих лиц нет ключа и он хранится только на устройствах. Также обратите внимание, что если одно из устройств заражено вредоносной программой, то любое шифрование бесполезно.

Существует три основные разновидности приложений для обмена сообщениями.

• Без шифрования — т. е. кто угодно может прочитать ваши сообщения.

• С шифрованием, но не сквозным — т. е. переписку может прочитать третье лицо, например интернет-провайдер, поскольку ему известен ключ.

• Со сквозным шифрованием — т. е. третьи лица не смогут прочитать сообщения, поскольку ключи хранятся только на устройствах конечных пользователей.

К сожалению, большинство общеизвестных мессенджеров, таких как AIM, не обеспечивают должный уровень конфиденциальности. Это касается даже приложений Whisper и Secret. Количество пользователей Whisper исчисляется миллионами, и оно позиционируется как анонимное, однако специалисты обнаружили нестыковки. Whisper отслеживает перемещение своих пользователей, а Secret иногда раскрывает личность пользователя.

Еще одно приложение для обмена сообщениями — это Telegram[10], в нем используется шифрование, и его считают отличной альтернативой WhatsApp. Он работает на устройствах с Android, iOS и Windows. Однако специалисты выяснили, что серверы Telegram можно скомпрометировать и получить доступ к критическим данным⁷³. Кроме того, им удалось без труда извлечь зашифрованные приложением Telegram сообщения даже после их удаления с устройства.⁷⁴

Итак, теперь, когда мы отсеяли несколько популярных вариантов, что остается?

Много чего. Когда вы откроете App Store или Google Play, ищите приложения с поддержкой технологии под названием Off the Record (OTR). Это надежный протокол сквозного шифрования текстовых сообщений, который применяется в некоторых приложениях.⁷⁵

Идеальное приложение для обмена текстовыми сообщениями также должно включать в себя технологию Perfect Forward Secrecy (PFS). Напомню, что это означает генерирование произвольного сессионного ключа, который гарантирует надежность системы. Даже если один из ключей скомпрометирован, с его помощью невозможно прочитать сообщения в будущих сессиях.

Существует несколько приложений с поддержкой как OTR, так и PFS.

Одно из них называется ChatSecure, оно совместимо с операционной системой Android и iOS.⁷⁶ Также в этом приложении реализована технология, известная как закрепление сертификата. Это означает, что приложение применяет цифровой сертификат, который удостоверяет личность пользователя и хранится на устройстве. При каждом контакте с серверами ChatSecure сертификат в приложении на вашем устройстве сравнивается с сертификатом в базе. Если сертификаты не совпадают, сессия прерывается. Еще один приятный момент — приложение ChatSecure также шифрует логи, которые хранятся на устройстве, т. е. неактивные данные.⁷⁷

Пожалуй, лучшее из подобных приложений с открытым кодом — это Signal компании Open Whisper Systems. Это приложение работает в операционных системах iOS и Android. (см. signal.org/ru/)

Следующее заслуживающее вашего внимания приложение для обмена сообщениями — это CryptoCat. Оно доступно для iPhone и компьютеров под управлением операционной системы Windows, macOS и Linux. Однако у него нет версии для Android.⁷⁸

И на момент написания данной книги разработчики Tor Project, которые ранее создали Tor Browser, как раз выпустили приложение Tor Messenger. Как и браузер, мессенджер применяет сквозное шифрование и скрывает реальный IP-адрес, чтобы сообщения невозможно было отследить. (Однако обратите внимание, что, как и при работе с Tor Browser, выходные узлы могут быть скомпрометированы.) И, как и со всем программным обеспечением Tor, новичку довольно трудно разобраться с этим приложением, но, потратив время и приложив усилия, вы получите полную анонимность переписки.⁷⁹

Также существуют и коммерческие приложения со сквозным шифрованием. Однако тут необходимо оговорить, что это программное обеспечение проприетарно и без независимой экспертизы нельзя быть уверенным в его надежности и безопасности. Одно из таких приложений, Silent Phone, применяет сквозное шифрование. Хотя Silent Phone все-таки хранит часть информации в логах, это делается только в целях совершенствования работы. Ключи шифрования хранятся на устройстве. Это означает, что правительство и правоохранительные органы не смогут вынудить компанию Silent Circle выдать ключи им.

Итак, мы обсудили шифрование данных при передаче и при хранении, а также поговорили о сквозном шифровании, технологиях PFS и OTR. А что же насчет других сервисов, а не приложений, например веб-почты? Что же насчет паролей?