Выбираем самый безопасный мессенджер

Вопрос безопасности переписки как никогда актуален в наше время. Давно уже не является тайной, что все крупные интернет компании, сканируют сообщения своих пользователей. Помимо этого, целый ряд условия в их политики конфиденциальности предполагает раскрытие ваших данных по требованию законодательства. Такие пункты есть в политике таких компаний как google, facebook и microsoft. Когда, мы планировали эту публикацию, у нас было желание сделать самостоятельный обзор безопасности всех популярных программ для online общения, однако нас опередили. Поэтому, мы публикуем перевод с английского очень качественного материала на эту тему, с некоторыми нашими комментариями. Материал взят у Electronic Frontier Foundation — ведущей некоммерческой организации защищающей гражданские свободы в цифровом мире. Начиная с 2014 года, EFF проводит аудит интернет мессенджеров и отвечает на следующий вопрос.

Какое из приложений действительно заботиться о безопасности ваших мгновенных сообщений или какой мессенджер самый безопасный?

В своём аудите EFF структурировала информацию в виде таблицы, в которой рассматривается 7 ключевых критериев, по которым и оценивалась общая безопасность мессенджера. Вот эти критерии: 1. Зашифрованы ли сообщения при передаче  Этот пункт требует, чтобы бы все сообщения были зашифрованы в процессе передачи. Таким образом третье лицо, например ваш провайдер или сотовый оператор, не сможет прочитать содержимое вашей переписки, если перехватит её. 2. Зашифрованы ли сообщения ключом, доступа к которому нет у компании владельца мессенджера Вопрос предполагает наличие end-to-end шифрования. Это значит, что ключи нужные для чтения сообщений генерируются конечными устройствами. Эти ключи никуда не передаются без явного желания пользователей. Тем самым компания оператор мессенджера не в состоянии читать переписку своих клиентов. 3. Существует ли механизм независимой проверки подлинности собеседника Этот пункт предполагает существование встроенного в приложение метода проверки подлинности абонентов и целостности канала связи. Два приемлемых решения:

• Интерфейс позволяющий проверить отпечаток (хеш) открытого ключа абонента с ранее сохраненным значением, вручную или по другому каналу связи.
• Протокол обмена ключами с сравнением короткой текстовой строки, такой как  Socialist Millionaire’s* протокол.

*вопрос криптографии который рассматривает двух миллионеров которые хотят сравнить своё состояние не раскрывая данные о его количестве Другие решения возможны, но любое из них должно удостоверять личности абонентов и целостность канала связи. Во время тестирования, определялось простое наличие подобного механизма, а не то насколько он удобен или безопасен. 4. Находятся ли ранее отправленные сообщение в безопасности, в случае утери ключа Данный вопрос предполагает, что приложение обеспечивает конфиденциальность, при которой вся переписка шифруется недолговечными ключами, которые в последствие уничтожаются. Крайне важно, что эти ключи не могут быть никем восстановлены, даже если получен доступ к долговременным закрытым ключам обеих сторон. Это гарантирует, что если пользователи удаляли локальную копию переписки, переписка будет окончательно удалена. Обратите внимание, что для этого требуется выполнение условия номер 2 —  end-to-end шифрования. 5. Открыт ли исходный код приложения для независимого аудита Этот вопрос предполагает, что значительная часть исходного кода опубликована в открытом доступе и позволяет создать совместимую реализацию продукта. Не смотря на это, нет требования, чтобы код был выпущен под какой-либо свободной лицензией. Единственно требование, чтобы код который отвечает за шифрование и связь был доступен для обзора с целью выявления ошибок, программных закладок, а так же структурных проблем. 6. Хорошо ли документирован крипто — дизайн Этот пункт предполагает, четкое и подробное объяснение криптографии используемой в приложении. Предпочтительно, чтобы этот документ был написан в форме понятной и предназначенной для рассмотрения профессиональными криптографами. Документ должен отвечать на следующие вопросы:

• Какие алгоритмы и параметры (размер ключа шифрования) используются в процессе шифрования и аутентификации. 
• Как ключи генерируются, хранятся и передаются между пользователями 
• Жизненный цикл ключей, процесс отзыва
• Четкое изложение сценариев при которых обеспечивается защита, а так же сценариев при которых использование приложения не является безопасным