Всякие мессенджеры, опасные-безопасные (кто нас продаёт)

28.09.2017

В общем вот две ссылки (тема от Касперского Организация Electronic Frontier Foundation (EFF) не так давно опубликовала серьезный аналитический материал, оценив степень безопасности и приватности огромного количества мобильных и онлайн-мессенджеров.):
небезопасные мессенджеры
безопасные мессенджеры

Если кому в лом читать и разбираться, коротко суть такова:

  • максимальное число оценочных баллов – 7
  • самые популярные мессенджеры получили всего 2 балла (Skype, Hangouts, Viber, WhatsApp, SnapChat)

Пример оценки:

Отстающий среди защищенных мессенджеров Yahoo шифрует переписку пользователей только во время передачи данных. Поэтому в компании Yahoo могут читать вашу переписку или передавать ее в правоохранительные органы (конечно, если будут вынуждены).
Yahoo! Messenger не поддерживает верификацию контактов и не защищает историю переписки (злоумышленник, укравший текущий ключ, прочитает и старые сообщения).

Код мессенджера Yahoo недоступен для оценки сторонними специалистами, а используемые методы шифрования нигде подробно не описаны. И наконец, компания уже больше года не приглашала специалистов для проведения независимого аудита безопасности Yahoo! Messenger.

То есть что и как они делают никто проверить не может.

Про безопасные (хотя разумно считать их условно безопасными, учитывая реалии)

Критерии присуждения заветных баллов:
1. Шифруются ли данные при передаче?
2. Защищены ли данные от чтения сервис-провайдерами?
3. Может ли пользователь удостовериться в подлинности личности своего собеседника?
4. Защищена ли история переписки от расшифровки при перехвате текущего ключа (в этом вопросе подразумевается, что ключ шифрования должен постоянно меняться, а использованные ключи безопасно удаляться вместе с теми случайными данными, на основе которых они были построены)?
5. Открыт ли программный код решения?
6. Описаны ли детально используемые методы шифрования?
7. Проводился ли за последние 12 месяцев независимый аудит безопасности?

И, как бы ни казалось удивительным, но даже Telegram, распиаренный и так и эдак, не является лидером.

Что с этим со всем теперь делать?
Ну мы, после небольшого исследования, переехали на Signal от Whisper Systems. По функционалу почти стопроцентно повторяет WhatsApp, не нужно дополнительно регистрировать сип-аккаунт и прочее-прочее-прочее. Верифицируешься по смс, добавляешь контакты и вперёд звонить, писать, отправлять файлы. Утверждается, что всё это безопасно, пока, скажем так.