Самые защищенные мессенджеры. Какой мессенджер самый безопасный: разрушаем мифы
Каковы критерии защищенности мессенджера? Что безопаснее — WhatsApp или Telegram? Эксперты рассказали, каким системам мгновенного обмена сообщениями можно доверять.
Артем Баранов, ведущий вирусный аналитик ESET Russia :
Главное требование к мессенджеру — end-to-end шифрование (E2ЕE) по умолчанию . Технология предполагает, что мессенджер хранит ключи шифрования только на устройстве пользователя, не отправляя их на сервер. Второй критерий — надежный протокол шифрования . Если эти условия соблюдены, никто не сможет получить доступ к пересылаемым данным.
Е2ЕЕ по умолчанию поддерживают WhatsApp, Viber и Apple iMessage. В специальном режиме работы (секретные чаты) Е2ЕЕ есть в Telegram, бета-версии Facebook Messenger и Google Allo. Остальные популярные мессенджеры (Microsoft Skype и Google Hangouts) сообщения не шифруют.
Чувствительный вопрос безопасности мессенджеров — надежность протокола шифрования. Единственный одобренный протокол Е2ЕЕ — Signal. Его используют мессенджеры WhatsApp, Facebook Messenger и Google Allo. В Viber реализована часть протокола Signal — криптографический протокол Double Ratchet и своя реализация. Собственная технология Viber закрыта для аудита, поэтому защищенность мессенджера не получила таких высоких оценок, как WhatsApp. Apple iMessage и Telegram используют свои реализации E2EE.
Наиболее защищенным мессенджером считается Signal компании Open Whisper Systems, который получил самые высокие оценки экспертов по безопасности. Он использует проверенный экспертами open source протокол (протокол Signal) и работает с ним по умолчанию.
Вместо резюме
Самый безопасный из популярных мессенджеров — WhatsApp. На втором месте Apple iMessage и Viber, на третьем — Facebook Messenger (бета-версия), Telegram и Google Allo. Skype небезопасен. Безусловный фаворит — Signal, но его аудитория несопоставима с числом пользователей упомянутых мессенджеров.
Павел Луцик, руководитель проектов направления информационной безопасности компании КРОК :
Большинство современных мессенджеров так или иначе стараются заботиться о безопасном обмене сообщениями или по крайней мере позиционировать себя именно так. Вообще защита (шифрование) передаваемого в интернете трафика — это общемировой тренд, которого придерживаются все крупнейшие разработчики.
На мой взгляд, наиболее безопасными мессенджерами можно считать следующие:
Telegram
Продукт использует сложный протокол шифрования MTProto и за его взлом обещают $200 тысяч. Ранее считался самым безопасным, но в последнее время в части защищенности в его сторону появляется все больше критики.
Threema
Использует для шифрования безопасный протокол, основанный на эллиптических кривых, а также механизм добавления новых контактов непосредственно при встрече (с помощью считывания QR-кодов).
Silent Text (Silent Circle)
В его разработке принимает участие Филипп Циммерманн — автор известной технологии PGP. Важная особенность мессенджера — возможность удалить любое уже отправленное сообщение. При этом ни на одном устройстве не останется и следа.
Согласно Фонду Электронных Рубежей (EFF), одной из наиболее известных правозащитных организаций в сфере высоких технологий, некоторые защищённые мессенджеры, предоставляют больший уровень безопасности против происков Большого Брата, чем другие аналоги. EFF провела свой собственный анализ существующих месседжеров по ряду внутренних критериев, среди которых попадались и такие, как «Является ли код открытым для независимого исследования?» или «Будут ли защищены данные, если ваши ключи будут украдены?».
Надо ли говорить, сколь малое число мессенджеров соответствовало вышеперечисленным требованиям?
И из этой пригоршни мессенджеров, полностью соответствовавших этим критериям, лишь немногие могли претендовать на звание «дружелюбный», по отношению к своим пользователям. Другими словами, это такие приложения, которые не требуют танцев с бубном при установке и наладке, и удобны для повседневного пользования для тех из нас, у кого нет диплома МГТУ или MIT. Нелишним будет отметить, что такие популярные мессенджеры, как WhatsApp , Facebook Messenger , Viber или Skype , находятся в самом низу этого списка, ввиду их выдающейся небезопасности. Впрочем, уже подрастает новое поколение приложений, в которых высокий уровень безопасности, органично сочетается с простотой применения.
Signal (оценка EFF - 7/7)
Сложно представить лучшую рекомендацию, чем тот факт, что этим мессенджером пользуется сам Эдвард Сноуден. Разработчик приложения, некоммерческая группа Open Whispers, не так давно объединила их защищённый мессенджер и криптостойкую голосовую платформу в одном приложении Signal.
Также изменениям подвергся и дизайн интерфейса, сделавший Signal универсальным приложением для всем, кто желает сохранить свои переговоры в тайне. Теперь у приложения есть защищенный чат, файлообменник и закодированная голосовая связь. При всём при этом, Signal выглядит, словно мессенджер-текстовик, который вы используете каждый день. К тому же, он предлагает шифрование типа «end-to-end» (прямая передача, от пользователя к пользователю) и функционал TOR’а.
Telegram (оценка EFF – 7/7)
Если нашего первого гостя рекомендует сам Эдвард Сноуден, то номер два нашего списка обожают плохие парни из радикальных организаций. И не мудрено, ведь благодаря этому творению Павла Дурова, АНБ и другим спецслужбам остаётся только кусать локти. Ведь даже тот факт, что они могут просканировать каждую линию связи, не поможет, если на выходе они получат совершеннейшую абракадабру, благодаря последним достижениям в области криптографии и шифрования. Плюс к этому, Telegram является мессенджером с децентрализованной инфраструктурой, что, по словам его разработчиков, делает его самым быстрым из всех мгновенных мессенджеров. Его дата-центры размещены по всему миру, благодаря чему, вы можете просто соединиться с ближайшим из них, экономя своё время. Также, по нашему мнению, это сильно осложняет процесс вашего отслеживания, через провайдера. Но даже это ещё не все его фичи. Помимо стандартных функций, вроде шифрования «end-to-end» или ликвидации всех ваших следов на серверах, вы также можете выставить период самоликвидации ваших сообщений, прямо с мобильного устройства. Так что, вы можете быть уверенными, что по завершению сессии, все ваши переговоры останутся в тайне.
Всё это безусловно радует доморощенных шпионов, но если вы захотите оставить свои сообщения на будущее, они могут быть запросто сохранены в специальном облачном хранилище, в которое вы сможете получить доступ с любого устройства на Android. И не забудьте про такую мелочь, как отсутствие ограничений на размер сообщений и длину разговорной цепочки, и тот факт, что вы можете передавать вместе с ними файлы, включая видео размером до 1Гб. Ну и конечно, там есть групповые чаты, в которых могут участвовать более ста человек, одновременно.
Threema (оценка EFF 6/7)
Threema, это мессенджер от одноимённой команды разработчиков из Германии, который может похвастать не только простым и элегантным дизайном, но и шифрованием «end-to-end» для всей вашей переписки, включая групповой чат, приватные сообщения и обмен файлами, а также располагает некоторым функционалом социальных сетей.
Именно в этом и заключается главное достоинство Threema. Он позволяет вам создавать скрытые группы для голосования, пересылать зашифрованные тексты и голосовые сообщения, подтверждать контактные данные, сканируя их личные QR-коды и многое другое. К тому же, вы можете обмениваться всевозможными файлами и ссылками, которые, можно предварительно просматривать, точно так же, как и на любом популярном мессенджере.
Wickr: Top-Secret Messenger (оценка EFF 5/7)
Wickr является детищем сумрачного разума известного хакера-активиста Nico Sell, появившегося на свет, в ходе одной из конференций DEFCON, с целью обеспечить активистов движения безопасной линией связи. В первую очередь, от правительственных спецслужб. В принципе, это удалось на славу, вот только использование армейских алгоритмов шифрования означает, что даже сами сервера Wickr не смогут идентифицировать владельцев аккаунтов. При всём, при этом, это приложение довольно известно: оно упоминалось в клипе на песню Игги Азалии «Black Widow», а также, в новостях проскальзывала информация, о том, что им пользуются некоторые австралийские политики, которые не хотят, чтобы их переговоры стали достоянием общественности.
С помощью этого приложения вы можете обмениваться сообщениями или файлами, с функцией самоуничтожения, которая может выставляться в переделах от нескольких секунд до шести дней. Причем, если вам нужно, данный период можно выставить индивидуально для каждого сообщения. Его создательница, Nico Sell, попыталась сделать своё творение максимально дружелюбным к своим пользователям, подарив ему быстрый и аккуратный интерфейс и до предела упрощённый процесс установки, при этом сохранив высочайший уровень защищённости передаваемой информации. Так что он запросто заменит все ваши WhatsApp, Facebook Messenger, Viber или Skype, сохранив, при этом, всё их сессии в виде ссылок-превью.
ChatSecure (оценка EFF 7/7)
Этот мессенджер расположился внизу списка, несмотря на высочайшие оценки EFF, из-за своего дизайна, который язык не поворачивается назвать «дружелюбным». Нет, он вполне комфортабелен для работы и полностью отвечает всем требованиям EFF, вплоть до «Должным образом ли задокументированы все данные по безопасности?», как и первая пара, но всё-таки, по части удобства до лидеров ему далековато.
В сущности, ChatSecure – это защищенный чат с открытым кодом, поддерживающим шифрование «off-the-Record», поверх XMPP. И, что самое привлекательное в его установке, вы сможете повысить защищенность своих Facebook- или Google-аккаунтов, создав новые на серверах XMPP или воспользовавшись сетью Tor, или же, как вариант, создав свой собственный сервер, для повышения защищенности.
Являясь приложением с открытой лицензией, ChatSecure может работать с любой другой платформой, поддерживающей OTR или XMPP, вроде Adium, Jitsi и им подобные. Среди его недостатков - некоторая сложность в установке и настройке, по сравнению с остальными программами, но без сомнения, это один из наиболее защищенных мессенджеров на Android Market .
Сохранность персональной информации в теории не слишком заботит рядового пользователя, пока его не коснется кража конфиденциальных данных. Как минимум несколько раз в год хакерам удается взломать очередное облачное хранилище или защищенные мессенджеры и рассекретить пикантные фотографии знаменитостей из мира кинематографа, музыки и спорта.
Но если стремление увидеть самую выдающуюся часть тела Дженнифер Лопес можно понять, то, что же привлекает взломщиков в аккаунтах обычных людей? Ответ лежит на поверхности – это деньги, вернее сказать, возможности их получения. Какие данные могут получить злоумышленники, открыв для себя доступ к персональному профилю пользователя? Информации, которая может сослужить дурную службу своему законному владельцу, немало:
- Пин и CVV-коды банковских карточек;
- Номера расчетных счетов;
- Кодовые слова;
- Реквизиты вкладов и кредитных карт.
И на этом перечень опасной информации не ограничивается. Конечно, многие пользователи, увидев данный список, подумали про себя, что им не занимать бдительности, и разве что недалекий человек будет так свободно хранить в своем аккаунте в мессенджере пин-код от банковской карты. Безусловно, ситуации бывают разные.
Простой пример: фрилансер выполнил комплекс работ по договоренности и должен получить оплату своих услуг. Общение с заказчиком происходит через популярное приложение, и у исполнителя спрашивают номер карты или кошелька в системе электронной коммерции WebMoney. Знакомая ситуация? Необходимость передачи подобной информации возникает ежечасно по всему миру, именно поэтому мошенники постоянно находятся в поиске совершенных методов взлома.
Характеристики лучших защищенных мессенджеров
Риск разглашения конфиденциальных данных существует всегда, каким бы защищенным с технической точки зрения приложение не было. Однако это не значит, что в любой момент пользователь может обнаружить исчезновение денег со своей банковской карты.
Информация в оповещении сообщит название устройства, с которого выполнен вход, и предупредит о возможности смены пароля, если авторизацию произвел кто-то чужой. Описанная практика – лишь один из десятков методов обеспечения безопасности конфиденциальных данных. Между популярными мессенджерами наблюдается соперничество в данном аспекте. Чтобы сохранять активных пользователей и привлекать новую аудиторию, всемирно известные корпорации ежегодно тратят миллионы долларов на контроль безопасности систем.
Отличительная особенность самого безопасного мессенджера заключается в необходимости подтверждения входа в аккаунт с нового устройства. Обозначенная мера позволяет предотвратить хищение конфиденциальных данных. Суть метода такова: если злоумышленник похитит данные для входа в аккаунт пользователя и попытается ими воспользоваться, например, авторизоваться в профиле через свой смартфон, на электронную почту владельца аккаунта или привязанный номер телефона придет сообщение с уведомлением.
Все крупные и не очень корпорации сотрудничают с правоохранительными органами, подчиняясь законодательству стран, в которых они работают. Google, Apple, Facebook, Skype, WhatsApp, Viber и многие другие соцсети и мессенджеры делятся с властями некоторым количеством пользовательских данных. Кто-то сливает больше, кто-то меньше, но горькая правда в том, что это делают все.
Показательные борцы за свободу не моргнув глазом выдадут все ваши секреты. Например, создатели популярного мессенджера Viber, которых, согласно российскому законодательству, обязали перенести серверы на территорию РФ, выполнили требования властей в конце прошлого года. Официально такой шаг объясняют необходимостью хранения персональных данных на серверах внутри страны, но все мы знаем истинные мотивы: дело в желании спецслужб получить доступ к переписке.
Под «легче» в данном случае понимается то, что для слежки даже не требуется взаимодействие с операторами сотовых сетей: все необходимые инструменты имеются в распоряжении соответствующих органов. Это же касается WhatsApp, Skype и других мессенджеров, не говоря уже об обычных СМС. Более того, читать вашу переписку могут не только спецслужбы, но и конкуренты, враги и вообще любой, кто воспользуется услугами специальных сервисов. Стоят они недорого и легко гуглятся по запросу «распечатка СМС».
Под любой нашей статьёй на тему СМС предприимчивые дельцы предлагают свои услуги
Когда правоохранительные органы не могут добыть нужные им данные с помощью имеющихся рычагов давления, они идут на радикальные меры. Буквально в начале марта за отказ сотрудничать с полицией Бразилии был задержан вице-президент латиноамериканского отделения Facebook. Предметом споров стала информация о пользователях соцсети, якобы причастных к распространению наркотиков.
В декабре 2015-го бразильский суд заблокировал на территории страны WhatsApp (принадлежит Facebook) после отказа предоставить информацию о переписке предполагаемых преступников. В итоге пострадали все: полиция отключила около 100 миллионов местных пользователей, вызвав бурную реакцию в соцсетях и негодование главы Facebook Марка Цукерберга (Mark Zuckerberg).
Ещё более показательным в борьбе за неприкосновенность персональных данных является противостояние и ФБР, которое пока так и не получило своей развязки. Спецслужбы говорят о предотвращении терактов и обеспечении национальной безопасности, не желая признавать, что таким способом преступность не победить. Главный же юрисконсульт Apple на слушаниях в конгрессе заявил, что, даже если бы у спецслужб появилась возможность взломать любой iPhone, преступники в любом случае нашли бы способы тайной коммуникации, и привёл в качестве примера мессенджер Telegram.
Против лома есть приём
Представитель Apple прав: способов защищённой переписки существует масса и придуманы они далеко не вчера. Детище Павла Дурова Telegram первым приходит на ум из-за своей популярности и невзламываемой репутации: назначенную ещё в далёком 2013-м награду в 200 000 долларов за взлом зашифрованной переписки Telegram до сих пор никто не получил.
Такая неуязвимость объясняется самим принципом работы защищённых мессенджеров вообще и Telegram в частности. В последнем используется специально разработанный протокол MTProto и двухслойное шифрование с 256-битным AES-ключом: они обеспечивают высокую скорость и надёжность. А ещё в Telegram, помимо обычных чатов, есть так называемые секретные (Secret Chats). В них переписка шифруется без участия сервера, а все сообщения пересылаются напрямую с устройства отправителя на устройство получателя (peer-to-peer). Даже если предположить, что данные удастся перехватить, расшифровать их без ключей, хранящихся на устройствах участников беседы, будет просто невозможно.
Ещё одно преимущество P2P-передачи состоит в том, что работу мессенджера нельзя заблокировать: когда нет серверов, блокировать просто-напросто нечего.
Правительства авторитарных стран часто грешат блокировками неугодных сервисов. Например, все знают о заблокированном почти на всей территории Китая Facebook. В октябре прошлого года из-за отказа предоставить возможность слежки за пользователями оказался сначала частично, а затем и полностью заблокированным в Иране. Избежать подобных ситуаций можно с помощью P2P-связи, реализовать которую Павел Дуров пообещал после этого инцидента.
Аналогичный подход используется в различных защищённых мессенджерах с end-to-end-шифрованием. Способ передачи ключей может отличаться, но принцип остаётся неизменным: информация пересылается напрямую с устройства на устройство без участия промежуточных серверов.
Что-то подобное, возможно, скоро появится и в Facebook Messenger. Журналисты издания The Information раскопали в коде iOS-приложения довольно любопытные комментарии. Они указывают на некий аналог Apple Pay, позволяющий оплачивать товары и отправлять деньги пользователям, а также сопутствующую этому функциональность секретных чатов. О способе реализации таких бесед пока сложно судить: Facebook может пойти по пути Telegram и внедрить шифрование, а может просто добавить возможность скрывать отдельные переписки и контакты. Во всяком случае, даже если решение будет принято в пользу первого варианта, привлечь пользователей и доказать им, что секретные чаты в Messenger действительно безопасны, окажется не так уж просто.
Как же быть
Тем, для кого надёжность канала коммуникации играет не последнюю роль, стоит обратить внимание на защищённые мессенджеры с упомянутым шифрованием. Пригодятся они не только параноикам, но и всем, кто связан с бизнесом и имеет доступ к любой мало-мальски важной информации, не предназначенной для чужих глаз. Доступных решений существует огромное количество, но мы не станем рассматривать их все, а остановимся на трёх наиболее удобных.
Секретные чаты Telegram
Благодаря широкому распространению мессенджера секретные чаты можно назвать идеальным вариантом. Они гарантируют безопасность пересылаемой информации, имеют функцию самоуничтожения сообщений (включая фото и файлы) через определённое время и не позволяют пересылать переписку другим людям. Для большей безопасности с одним пользователем можно создать несколько бесед и обсуждать в них различные темы.
Создать секретный чат просто: жмём иконку New Message → New Secret Chat и выбираем нужный контакт. Начать переписку можно будет, как только человек появится в Сети. Из-за отсутствия промежуточных серверов отправить сообщение в офлайн нельзя. При этом все неотправленные сообщения хранятся только на вашем устройстве. Понять, что чат секретный, а не обычный, можно по иконке замка рядом с именем контакта.
В отличие от Telegram, изначально заточен под максимальную безопасность. Мессенджер также довольно популярен в своей нише, бесплатен и имеет клиенты для всех десктопных и мобильных платформ. Confide использует end-to-end-шифрование и не хранит сообщения нигде, кроме устройств отправителя и получателя. Более того, мессенджер даже не отображает текст полученного сообщения целиком, а разбивает его на блоки и показывает по частям при наведении курсора или касании пальцем. Прочитанные сообщения сразу же уничтожаются. Тех, кто захочет сохранить содержимое с помощью скриншота экрана, будет ждать неудача: текст мгновенно удалится, а отправитель получит уведомление о провалившейся попытке собеседника.
Аккаунт в Confide привязывается к email, после регистрации можно подключить свои соцсети и разрешить доступ к контактам. Если у кого-то из ваших знакомых установлено приложение, вы сможете безопасно переписываться, отправлять фото и документы.
А это приложение уже для настоящих параноиков. Оно платное, не такое удобное, имеет менее дружелюбный интерфейс, но ещё больше повёрнуто на безопасности и работает только с прямым шифрованием. Здесь не используется ни номер телефона, ни email. Для работы Threema нужна пара ключей, которые вы сами сгенерируете при первом запуске: один из них приватный и хранится на вашем устройстве, другой - публичный и отправляется вашему собеседнику. После этого вам присвоят идентификатор, по которому вас можно найти. Добавить контакт можно и по email или телефону (если человек привязал их к аккаунту), а также с помощью сканирования QR-кода при личной встрече (это самый безопасный вариант).
Threema позволяет обмениваться не только текстовыми сообщениями, но и фото, видео, документами и геометками. Есть приложения для iOS, Android и Windows Phone.
Signal
А что вы думаете по поводу защищённых мессенджеров: стоит ли переходить на них или это только для параноиков? Расскажите, пользуетесь ли вы безопасными чатами, и если да, то каким отдали предпочтение и почему.
