В описании к мессенджеру WhatsApp указано, что он работает по принципу сквозного шифрования. Эта черта считается одним из главных достоинств программы. Но далеко не всем пользователям понятно, что стоит за таким названием. Для многих людей будет логичным вопрос: «Что это - сквозное шифрование WhatsApp?».
Особенности
В классических мессенджерах следующая схема переписки между пользователями: сообщение отправляется с первого устройства на сервера разработчика, а оттуда оно доставляется до адресата. В современных приложениях, к которым относится в Ватсап , она немного изменена.
Теперь сообщение еще до отправки шифруется на смартфоне. На сервер оно приходит не в виде набранного текста, а в форме хаотичных для человека символов. Оттуда сообщение перенаправляется на смартфон или планшет адресата, где дешифруется. Ключом шифрования называется какая-то последовательность символов, определяющая «азбуку» шифра. Это некая форма алфавита. Но в случае Вацапа, ключ уникальный для каждого устройства. Вернее, их два: первый отвечает за преобразование текста при отправке, второй - при получении.
Взломать такую систему возможно только в случае знания этого ключа шифрования WhatsApp. А он записан непосредственно на устройстве пользователя. Такова современная защита в мессенджере.
Настройка сквозного шифрования
Разработчиками WhatsApp не предусмотрено отключение сквозного шифрования. Это упомянуто даже на официальном сайте приложения. Такое решение вполне логично, ведь для пользователей всегда была важна сохранность и безопасность личной информации. А если деактивировать эту функцию, то и защищенность уйдет.
Однако стоит упомянуть, что не все так категорично. Если вы ищете, как убрать сквозное шифрование в Вацапе, то такой способ есть. Достаточно установить на смартфон или планшет старую версию Ватсапа, где данная функция отсутствовала.
Но в таком случае никто не сможет гарантировать, что в ваши переписки не заберутся посторонние люди. При этом нужно учитывать, что для установки старой версий программы нужно будет отключить защиту на мобильном устройстве.
В случае с Android все просто, достаточно активировать режим «Установка с неизвестных источников» в меню настроек разработчика. А вот для iOS потребуется джейлбрейк - вариант взлома - который может привести к поломке iPhone или iPad.
Внимание: на официальной странице WhatsApp отсутствует раздел, где можно найти старые версии. Это значит, что придется загружать приложение со сторонних ресурсов, на которых могут содержаться вирусы.
WhatsApp недавно обновил свой протокол шифрования, чтобы успокоить даже самых параноидальных пользователей. Так называемый сквозной протокол шифрования обещает, что «только вы и человек, с которым вы общаетесь, можете читать то, что отправлено». Никто, даже WhatsApp, не имеет доступа к вашему контенту.
Протокол безопасности описывается в блоге:
Когда вы отправляете сообщение, единственным человеком, который может его прочитать, является личный или групповой чат, на который вы отправляете это сообщение. Этого сообщения не видит никто. Не киберпреступники. Не хакеры. Не репрессивные органы. Даже мы. Сквозное шифрование помогает сделать связь через WhatsApp private - вроде как беседы лицом к лицу.
Новая функция также доступна на самых разных мобильных платформах, включая iPhone, Android, Windows и многих других. Вы даже можете использовать сквозную функцию шифрования на WhatsApp Web, платформа обмена сообщениями, предназначенная для ПК или Mac.
Кроме того, WhatsApp сообщает в разделе часто задаваемых вопросов, что функция включена всегда:
Важно: сквозное шифрование активируется, если все стороны используют последнюю версию WhatsApp. Сквозное шифрование отключить невозможно.
Обновление до сквозного шифрования
Однако вам нужно будет убедиться, что шифрование включено. Для этого: обновите WhatsApp до последней версии и попросите человека или группу, с которой вы общаетесь, сделать то же самое. Нет необходимости в дополнительном приложении или функции.
Чтобы убедиться, что функция обновлена, запустите чат и нажмите на имя своего друга или членов семьи вверху. Затем вы попадете на страницу своей контактной информации, которая отобразит, будут ли ваши сообщения зашифрованы, как вы можете видеть в выделенной части на рисунке ниже.
Если чат не зашифрован, нажмите на шифрование, чтобы просмотреть QR-код и уникальный 60-значный номер. WhatsApp говорит, что уникальный «ключ» делится только между получателями сообщений, причем каждый ключ уникален для каждого чата.
Затем вы можете делиться цифрами или кодом с друзьями или семьей. Если ваш друг или члены семьи находятся поблизости, вам повезло. Вы можете сканировать код друг друга, чтобы убедиться, что ваши чаты активированы. Если они далеко, отправьте им 60-значный код с помощью SMS, электронной почты и т. д. Через кнопку совместного доступа на вашем iPhone, Android или телефоне Windows.
Вот и все, ваши чаты теперь зашифрованы.
WhatsApp все еще сохраняет ваши данные
Будьте осторожны. Согласно WhatsApp legal, информация о дате и времени хранится на серверах WhatsApp в течение короткого периода времени:
WhatsApp может сохранять информацию о дате и времени, связанные с успешно доставленными сообщениями и номерами мобильных телефонов, участвующих в сообщениях, а также любую другую информацию, которую WhatsApp юридически вынуждена собирать. Файлы, которые отправляются через службу WhatsApp, будут находиться на наших серверах после доставки в течение короткого периода времени, но будут удалены и лишены любой идентифицируемой информации в течение короткого периода времени в соответствии с нашими общедоступными политиками хранения.
Это означает, что ваши метаданные или информация о ваших данных потенциально уязвимы для хакеров - это одна из проблем, которая заставляет пользователей беспокоиться.
Что это значит? Это означает, что информация - например, когда было сделано изображение, когда оно было принято, и т. д. - может храниться на серверах WhatsApp в течение короткого периода времени. И хотя само изображение, скорее всего, не присутствует, информация об изображении, документе, видео и т. д. остается.
Кроме того, ваши метаданные также могут быть доступны маркетинговым группам, что соответствует другому недавнему обновлению, которое позволяет чат-приложению «общаться с бизнесом и организациями». Этот бит информации был сделан, когда приложение было объявлено бесплатным для всех пользователей мира.
WhatsApp анонсировала с обновлением, что сторонних объявлений или спама не будет, но неопределенная фраза «общение с предприятиями и организациями» по-прежнему оставляет открытые ворота интерпретации.
В частности, изменения были сделаны. И большинство пользователей, похоже, очень довольны обновлением, которое обещает защитить вашу информацию.
Есть ли причины для беспокойства?
Ранее голландский разработчик обнаружил, что информация о временной шкале приложения была доступна с помощью программного обеспечения под названием WhatSpy Public, что, по-видимому, может «показать хронологию онлайн-статуса отслеживаемого пользователя».
Дизайнер программного обеспечения Майкель Зверинк вызвал много беспокойства, доказав, что он может «шпионить» за пользователями с его приложением.
Пока еще не видно, может ли приложение отслеживать пользователей с последним сквозным обновлением шифрования. Но пользователи должны быть предупреждены: шифрование не является полностью надежной.
Что вы об этом думаете? Вы используете WhatsApp? Вас беспокоит безопасность данных во время использования приложения? Вы регулярно обновляете приложение? Сообщите нам об этом в комментариях ниже.
Сквозное шифрование, или end-to-end encryption (E2EE), считается панацеей от настойчивых попыток хакеров и силовых ведомств ознакомиться с онлайновой перепиской. Смысл E2EE часто сводится к тому, что ключи хранятся только на устройствах собеседников и не попадают на сервер… но это не совсем так. Давай посмотрим, как в действительности обстоят дела с E2EE, на примере популярных мессенджеров.
Шифрование в мессенджерах
Написать эту статью меня подтолкнуло исследование Obstacles to the Adoption of Secure Communication Tools (PDF). Как выяснили его авторы, «подавляющее большинство участников опроса не понимают основную концепцию сквозного шифрования». Проще говоря, люди обычно выбирают мессенджер сердцем, а не мозгом.
Начнем с того, что E2EE имеет свои особенности в каждом мессенджере. В Signal оно почти образцовое. В WhatsApp формально такое же, как в Signal, за исключением одного очень важного момента: смена основного ключа абонента WhatsApp не блокирует отправку ему сообщений. Максимум можно включить бесполезное уведомление (которое отключено в дефолтных настройках). В Viber сквозное шифрование неактивно по умолчанию, да и появилось только в шестой версии. В Telegram E2EE также используется только в секретных чатах, причем реализованы они довольно странно.
Конфликт Роскомнадзора с Telegram вообще создал отличную рекламу последнему. Рядовые пользователи теперь считают творение Дурова настоящей занозой в спине спецслужб (или чуть пониже ее), которые ничего не могут сделать с пуленепробиваемым инновационным сервисом. Поклонники Telegram сравнивают его с Signal и утверждают о превосходстве первого.
Однако в криптографии не бывает чудес, и особенно - в прикладной. Многие математически красивые идеи оказываются безнадежно испорчены реализацией, когда удобство и подконтрольность ставят выше безопасности и приватности (а так происходит практически всегда).
Исходно в мессенджерах применялся протокол OTR (Off-the-Record). Он использует симметричное шифрование AES в режиме CTR, протокол обмена ключами DH и хеш-функцию SHA-1. Схема AES-CTR обеспечивает так называемое «спорное» (в хорошем смысле) шифрование и возможность отрицания авторства текста, если его перехватят. Всегда можно сослаться на то, что перехвативший трафик сам изменил шифротекст так, чтобы он соответствовал другому варианту расшифровки той же длины. Например, вместо «сходи за хлебом» получилось «отрави королеву» - технически это возможно, и такое свойство специально заложено в алгоритм.
Протокол OTR выполняет аутентификацию собеседников и шифрует переписку между ними. Он безопасен до тех пор, пока участники разговора регулярно проверяют отпечатки открытых ключей друг друга и противостоят атакам по другим векторам (включая социальный инжиниринг).
Главный недостаток OTR заключается в том, что после отправки нового ключа требуется дождаться подтверждения от собеседника. Если он офлайн, то связь будет временно невозможна. Одним из выходов стал алгоритм Double Ratchet (DR), разработанный пять лет назад Тревором Перрином и Мокси Марлинспайком в Open Whisper Systems. Сегодня DR используется в Signal, WhatsApp, Viber и многих других мессенджерах, поддерживающих сквозное шифрование по умолчанию или как отдельную опцию (секретные чаты).
Сквозное шифрование
Схема E2EE использует комбинацию из криптографических систем с открытым и закрытым ключом. Она очевидна в общих чертах и довольно сложна на уровне деталей. В ней используется масса взаимосвязанных ключей, часть из которых обязательно попадает на сервер и, более того, обязательно загружается на него до начала переписки, чтобы ее можно было начать в произвольный момент. Давай рассмотрим ее подробнее.
Начало схемы ты наверняка знаешь, поскольку оно стандартно для всех систем асимметричного шифрования, - генерируется пара ключей. Это необходимо потому, что криптосистемы с одним ключом (вроде AES) использовать в переписке в чистом виде слишком трудно. С ними пришлось бы как-то организовывать защищенный канал для передачи ключа (например, встречаться лично), а потом делать это снова при каждой его смене.
Тут же все как в привычном PGP: есть два собеседника (Алиса и Боб), каждый из которых генерирует свою пару ключей. Затем они обмениваются публичными ключами, сохраняя в тайне парные им секретные. Публичные ключи передаются по открытому каналу (на то они и публичные, пусть перехватывают на здоровье) и служат для двух целей: они позволяют зашифровать сообщение и проверить его подпись. Соответственно, секретные ключи используются для расшифровки и формирования подписи.
INFO
Термин «сообщение» используется здесь в широком смысле. Сообщением может быть текст, медиафайл или служебные метаданные, которыми мессенджер обменивается с сервером. Часть этих данных содержит временные метки, состояние клиентского приложения и новые ключи.
К сожалению, в чистом виде схема асимметричного шифрования также не годится для мессенджеров, поскольку эти сервисы ориентированы на интенсивную онлайновую переписку в виде цепочки коротких сообщений. Они должны отображаться в строго определенном порядке, а собеседник может в любое время оказаться офлайн и нарушить структуру диалога.
К тому же шифровать множество коротких сообщений одним ключом - плохая идея. Всего за день переписки их создаются сотни (если не тысячи). Во многих сообщениях количество шифротекста минимальное и предсказуемое (смайлик, стикер). Также у них есть стандартные заголовки, которые упрощают криптоанализ.
Особенность переписки в мессенджерах в том, что из-за типовых метаданных за короткое время атакующий может перехватить большой объем предсказуемого шифротекста. Его львиная доля будет соответствовать известному открытому тексту. Если она будет шифроваться одним ключом, то при успешной атаке окажутся скомпрометированными все ранее написанные сообщения и даже те, которые собеседники напишут в будущем.
Чтобы этого не происходило, в мессенджерах предусмотрены такие свойства, как прямая и обратная секретность. Они подразумевают невозможность прочитать отправленные ранее и написанные в будущем сообщения, имея на руках только текущий ключ шифрования. Для этого используется многослойное шифрование с переходом от асимметричной к симметричной криптографии и дополнительные ключи с разным временем жизни.
Многие из Вас успели заметить, что после обновления WhatsApp в некоторых чатах появилось уведомление о защите шифрованием:
Сообщения которые вы отправляете в данный чат, и звонки теперь защищены шифрованием. Узнать больше.
Предлагаем Вам рассмотреть эту тему более подробно. Мессенджер включил по умолчанию всем своим пользователям шифрование звонков, сообщений, фото, видео и любой другой информации, т.е. вся ваша личная жизнь будет теперь недоступна для прослушивания или взлома как хакерами, органами власти, так и даже сотрудниками самого WhatsApp.
Как включить Ватсап шифрование на iPhone
Шифрование по умолчание уже включено у всех пользователей и не требует отдельной активации, но если вы хотите проверить, точно ли все мои сообщения, в определенном чате, шифруются проделайте следующее действия:
Как активировать WhatsApp шифрование на Андроиде
Шифрование включено по умолчанию, но чтобы проверить все наверняка сделайте следующее:
Если в чате вы увидите надпись "Сообщения, которые вы отправляете в данный чат не зашифрованы", то скорее всего у вашего собеседника старая версия приложения и ему необходимо установить последнее обновление.
Многие из Вас успели заметить, что после обновления WhatsApp в некоторых чатах появилось уведомление о защите шифрованием:
Сообщения которые вы отправляете в данный чат, и звонки теперь защищены шифрованием. Узнать больше.
Предлагаем Вам рассмотреть эту тему более подробно. Мессенджер включил по умолчанию всем своим пользователям шифрование звонков, сообщений, фото, видео и любой другой информации, т.е. вся ваша личная жизнь будет теперь недоступна для прослушивания или взлома как хакерами, органами власти, так и даже сотрудниками самого WhatsApp.
Как включить Ватсап шифрование на iPhone
Шифрование по умолчание уже включено у всех пользователей и не требует отдельной активации, но если вы хотите проверить, точно ли все мои сообщения, в определенном чате, шифруются проделайте следующее действия:
Как активировать WhatsApp шифрование на Андроиде
Шифрование включено по умолчанию, но чтобы проверить все наверняка сделайте следующее:
Если в чате вы увидите надпись "Сообщения, которые вы отправляете в данный чат не зашифрованы", то скорее всего у вашего собеседника старая версия приложения и ему необходимо установить последнее обновление.