Мессенджеры нынче суперпопулярны. Позвонить сегодня по телефону, когда есть возможность отправить сообщение, причем бесплатно, в некоторых кругах уже считается чуть ли не дурным тоном. А как отправлять SMS-ки знают вообще только аксакалы, а молодое поколение и не подозревает, что SMS можно пересылать другим людям. Но чем больше мы пользуемся мессенджерами, тем больше нас начинает охватывать беспокойство о том, насколько безопасно хранится и передается то, что мы пишем и отправляем нашим контактам? Не смогут ли злобные хакеры стащить картинки в неглиже, а усатый товарищ майор прочитать о черном нале?
Проблема приватности или как говорят американцы «прайваси» встала в полный рост, и вызвала беспокойство в законотворческих коллективах до принятия целого вороха законов, указов, нормативных актов. Бешенству принтера подверглись практически все страны мира, где уже более-менее слезли с деревьев и наконец-то осознали, что информация тоже товар, причем очень ценный, а чем его больше, тем он дороже. Ни для кого не секрет, что информацией о своих пользователях во всю приторговывают социальные сети. Да, что там сети, вон тот же Gmail еще в самом начале объявил, что мы даем вам бесплатную почту, а вы смотрите рекламу, которую мы вам показываем, анализируя тексты ваших писем. Ох как жесто́к современный мир! Но вернемся к мессенджерам, к этим «волшебным палочкам», при помощи которых общаются друг с другом миллиарды людей, и попробуем разобраться, на каких же принципах строится безопасность в одних из самых популярных мессенджерах.
Но, прежде чем приступить к небольшому диванному исследованию, необходимо определиться, от каких напастей должен защищать мессенджер. Во-первых, пользователей беспокоит то, что их сообщения передаются по сети в незащищенном виде, и их могут перехватить злобные, чаще всего русские (отличающиеся повышенной степенью свирепости), хакеры, которые перехватят, скопируют, растиражируют. Данный сценарий вполне возможен, особенно если подключаться к открытым точкам доступа, ведь хозяин такой точки доступа может открыть ее специально, дабы отлавливать доверчивых любителей бесплатного Wi-Fi и копировать чувствительные данные, передаваемые через его инфраструктуру. Во-вторых, граждане обеспокоены, что государство перехватит их сообщения и будет их использовать против самих пользователей. Как правило, страхи основаны на том, что в чатах обсуждаются мелкие правонарушения и способы как еще объегорить родное или иноземное государство.
Вот с этими тревогами и попробуем разобраться, насколько они обоснованы.
На момент написания статьи, количество пользователей, использующих WhatsApp, уже составляет два миллиарда человек. А с учетом того, что WhatsApp был куплен Facebook-ом, то стоит ожидать, что аудитория мессенджера будет только расти. Такие крупные компании просто обязаны думать о безопасности данных своих пользователей. И если вдруг выясняется, что в системе есть огреха, позволяющая нарушать право на неприкосновенность жизни пользователя сервиса, а еще если эту тему подхватят журналисты, то только репутационный риск обойдется компании оператора в кругленькую сумму. Поэтому за безопасностью пользовательских данных в WhatsApp следят.
Времена, когда мессенджеры передавали данные по сети в незашифрованном виде канули в прошлое незнамо сколько лет тому назад. Нынче, ни один из более-менее массовых мессенджеров не передает по сети данные в открытом виде. Вообще и никак, таков современный стандарт, где иные способы передачи данных и не предусмотрены. Нет, конечно можно вспомнить времена, где разговоры по сотовому телефону никак не шифровались и их мог подслушать практически любой обладатель совместимого приемника, но сейчас любой разговор передается в зашифрованном виде, за исключением случаев когда шифрование отключается намеренно, например, при проведении операции по поимке террористов или других недобросовестных бородачей.
Поэтому беспокоится о перехвате ваших данных по сети нужно только в очень редких, исключительных случаях. И никакой хакер не будет заморачиваться с расшифровкой пакетов с чатом, ведь на эту операцию у него уйдут годы, если не десятилетия. Гораздо проще проявить социальную инженерию и поставить троянское приложение на телефон «клиента».
А вот со вторым страхом, все немного сложнее. WhatsApp по умолчанию, всегда и везде, за исключением только незаурядных ситуаций, использует так называемое сквозное шифрование. Данный тип шифрования применяется как для обычных чатов из двух человек, так и для групповых чатов, с большим количеством участников. Дополнительно, WhatsApp хоть и использует серверную транспортную модель (все сообщения пересылаются между пользователями посредством передачи их через сервера WhatsApp), но сообщения (а заодно и все вложения, разговоры и прочее), там не хранятся длительное время. Они хранятся только тот период, который необходим для доставки сообщения получателю.
Идентификация пользователя WhatsApp происходит посредством привязки его логина к номеру мобильного телефона. И основным устройством, отвечающим за сквозное шифрование, является именно смартфон пользователя. Если вы пользуетесь приложением WhatsApp или же работаете через Web-версию WhatsApp Web, то ваш мобильный должен быть подключен к сети. Иначе, работа во всех остальных подключенных приложениях будет недоступна. Именно с этим фактом и связано периодическое «зависание» WhatsApp Web. Телефон либо уснул, остановив работу мобильного приложения WhatsApp, либо просто временно потерял сеть. Но зачем же нужен подключенный к сети телефон, нельзя ли просто использовать приложение на компьютере?
Нет, нельзя. Сквозное шифрование в WhatsApp предполагает наличие только одного источника, который оперирует динамически изменяемыми ключами (или сертификатами). Эти ключи постоянно меняются, что делает работу по подбору «отмычки» — бессмысленной затеей. А без телефона в сети не будет происходить шифрование сообщений, а также их расшифровка. Поэтому, при работе с приложениями WhatsApp требуется наличие вашего смартфона с установленным мобильным приложением WhatsApp и подключением к глобальной сети.
Сквозное шифрование в WhatsApp
А можно ли прочитать сообщения на серверах оператора? Ответ на этот вопрос не однозначен. С одной стороны, WhatsApp честно заявляет, что сквозное шифрование является по сути шифрованием точка-точка, и ключи для шифровки/дешифровки есть только на двух оконечных устройствах. А передаются по каналам связи, в том числе и через сервера WhatsApp все данные только в зашифрованном виде. И никто, кроме получателя не сможет расшифровать эти сообщения. С другой стороны, государственные аппараты всех стран мира, хотят иметь возможность читать то, что их граждане пишут друг другу. Поэтому наверняка, в WhatsApp есть возможность по решению суда подключить «прослушку» тем или иным образом. Но достоверно об этом никто не скажет.
Хранение переписки только на телефонах пользователей, равно как и всех пересылаемых файлов, фотографий и прочего, с одной стороны, повышает уровень конфиденциальности передаваемой информации, ведь если интересующиеся лица обратятся с просьбой о предоставлении «переписки», то WhatsApp просто разведет руками. Ведь данные-то они не хранят. С другой стороны, все, что вы писали и отправляли, получали и загружали, хранится только у вас и отправителя. Если данные удалите вы и вторая сторона, то они пропадут безвозвратно.
Как понять, шифруется ли чат с собеседником? Для этого в мобильной версии необходимо нажать на заголовок чата и посмотреть на вкладку «Шифрование». Если там стоит замочек, то все шифруется. Если нажать на эту вкладку, то откроется страничка с QR-кодом и цифрами, которые можно сравнить с такими же у собеседника. Аналогично работает проверка и у групп (где участвуют больше 2 пользователей).
А что до сторонних приложений? Например, WhatsApp web? Все сторонние приложения так или иначе работают через приложение, что установлено на мобильном. Поэтому проверять наличие или отсутствие шифрования стоит именно там. Но, сама связь, используемая сторонним приложением, например, WhatsApp web обязательно должна быть защищенной. WhatsApp web использует соединение https, стандартный способ шифрования, принятый в сети для веб-страниц. Поэтому использовать WhatsApp web приложение также безопасно, как и пользоваться приложением на смартфоне.
Telegram
Telegram активно набирает обороты за счет классных и бесплатных стикеров, а также из-за скандалов с беспомощными попытками его блокировки на 1/6 части суши. На текущий момент в мире уже более 400 миллионов пользователей Telegram. Не обязательно это люди, отличные от пользователей WhatsApp или других мессенджеров. Как правило, на телефоне установлено сразу несколько мессенджеров, поэтому можно с уверенностью сказать, что 400 миллионов из тех 2 миллиардов WhatsApp используют еще и Telegram.
Для успешного конкурирования с лидерами рынка мессенджеров, молодому Telegram нужна была история, что-то такое, что поставит его сразу же на ступеньку выше, сделает из него легенду. Так появилась легенда о том, что Telegram супер-безопасный сервис, который не сдался «произволу» российской системы правосудия (и не только российской), не поддался всем попыткам его заблокировать, сдюжил и вышел победителем из неравной схватки с государственной машиной (мессенджер в конце концов разблокировали на территории РФ). Но давайте попробуем разобраться, насколько он безопаснее того же WhatsApp.
В отличие от WhatsApp внутреннее устройство Telegram работает по принципу облака. Все, что вы пишите или отправляете через Telegram сохраняется на серверах этого самого Telegram. Поэтому отправив файлик другу, вы можете поменять 10 телефонов, а файлик так и останется у вас в доступе. В некоторых конфигурациях можно вообще не хранить файлы у себя на телефоне, обходиться только облаком. Разумеется, что передача всех данных между абонентами шифруется. Перехватить и расшифровать сообщения или файлы так же трудно, как и у других современных мессенджеров. Но, поскольку вся переписка и файлы хранятся на серверах Telegram, то... Компания заявляет, что использует распределенное хранилище ключей шифрования с использованием нескольких хранилищ в разных юрисдикциях. И для получения доступа к переписке потребуется получить судебные решения сразу из нескольких стран (там, где располагаются сервера Telegram), иначе расшифровать сообщения будет невозможно. Собственно, именно на этом факте Telegram упорно и отшивал все нападки российского правосудия.
Но, размазывание ключа шифрования по разным странам вовсе не означает, что ваши сообщения не может читать сам Telegram. Нет, там, конечно, не сидит Абдулла или Деррик и не читают ваши сообщения, не разглядывают ваши фотокарточки. Более того, такие операции скорее всего если и доступны в принципе, то только 1-2 специалистам в компании вообще. Все обрабатывается машинными алгоритмами, автоматически, точно так же, как это делает Facebook, ВКонтакте или Gmail. Да и анализ данных проводится обезличено. Никому не интересны переживания конкретной Маши из Воронежа из-за негодяя Серёги или страдания Никитоса по поводу накрывшейся поездки в Турцию. Алгоритмы интересуют обобщенные выжимки, социальные слепки настроений, их изменения. А уже после, на основе этих данных строятся предположения, планы и стратегии как можно повлиять на исход голосования или восприятие новой сумочки от Armani.
В Telegram, как и в других популярных мессенджерах, зарегистрироваться можно только по номеру мобильного телефона. Поэтому ни о какой анонимности при использовании Telegram речи идти не может. В любой момент времени точно известно, что вот это вот сообщение принадлежит Марине Николаевне Кульбакиной, проживающей на 3-й улице Строителей, дом 5, а вон то, Игорю Ивановичу Печкину, деревня Простоквашино, Ростовской области.
Для обеспечения «еще большей безопасности» Telegram предлагает функцию двустороннего чата со сквозным шифрованием. Точно таким же, как и в WhatsApp. Если с обычным шифрованием пользоваться Telegram можно с любого устройства, достаточно только залогиниться на нем, и нет необходимости всегда держать телефон в сети, т.к. шифрование происходит по ключам получаемым с серверов Telegram, то в так называемых «Секретных чатах» просмотреть сообщения можно только с того устройства, с которого этот чат и был инициирован. Все данные шифруются на устройстве, передаются в зашифрованном виде по шифрованному каналу до серверов Telegram, там не расшифровываются и передаются получателю. И только получатель может расшифровать сообщения. Может ли Telegram расшифровать такие сообщения если захочет, сказать затруднительно. Далеко не весь исходный код системы открыт и может быть проанализирован специалистами. Дополнительно для обеспечения пущей безопасности в Telegram встроены механизмы по удалению сообщений, в том числе и автоматической.
Кстати, так как Telegram открыл свои API (программные интерфейсы), то написать приложение или запустить новый веб-сервис для работы с Telegram может любой желающий, обладающий необходимой квалификацией. Но в этом же таится и опасность. Уже сейчас существует как минимум с десяток клиентов Telegram, при помощи которых можно переписываться, перезваниваться и так далее. Но стоит ли доверять их авторам? Если сложно, считай невозможно, расшифровать передаваемые сообщения, ключи от данных в облаке тоже не раздобыть простым наскоком, то сливать информацию из неофициального клиента, куда как проще.
Безопаснее ли Telegram чем WhatsApp? Исходя из тех функций, что реализованы в мессенджере, можно смело утверждать, что безопасность обоих мессенджеров находится на достаточном уровне. Но, использование перманентного сквозного шифрования в WhatsApp делает его безопаснее Telegram в плане защиты пользовательских данных.
Viber
Viber одно время был чуть ли не самым популярным мессенджером. Именно он первым поселился у меня на смартфоне (не считая трупа от Google с наименованием HangsOut или как он тогда там назывался), но потом как-то дорожка успеха повела в низ и мессенджер начал расти не так активно, как конкуренты, а то и вообще терять пользователей. На текущий момент Viber я держу на телефоне только исключительно в целях совместимости, вдруг какой ретроград мне напишет, да некоторые сервисы (доставка, банки и еще что-то) мне туда что-то отправляют изредка. Но Viber все еще остается на плаву, он сохраняет популярность в постсоветском пространстве. Рассмотрим и его тоже. В порядке совместимости.
Сквозное шифрование в Viber
Сообщения и способ передачи информации между абонентами в Viber фактически совпадает с методикой принятой в WhatsApp. Все данные шифруются при помощи сквозного шифрования и передаются через сервера Viber. Ключи шифрования хранятся на устройствах пользователей, на серверах ничего не расшифровываются. Данные хранятся на сервере пока получатель не получит сообщение, затем все удаляется с сервера. Модель простая и безопасная. Но, опять же не известно, есть ли возможность у самой Viber получить расшифрованные сообщения или нет. Например, по сигналу от сервера, клиентское приложение пересылает по нужному адресу все расшифрованные сообщения. Такой сценарий вполне возможен, не только с Viber, но и с другими мессенджерами, чей исходный код не публичен.
Однако, в работе Viber с дополнительными устройствами, есть существенное отличие от WhatsApp. Приложение Viber, будучи установленным, например, на ПК, может работать автономно, без подключенного к сети мобильного с приложением Viber (приложение WhatsApp работает только если смартфон находится в сети). Это означает, что … что с ключами и шифрованием в Viber не все так просто и есть либо какой-то путь синхронизации ключей между телефоном и приложениями на ПК, разумеется, через сервера Viber, либо в системе отсутствует периодическая смена ключей, что несколько снижает общую защищенность системы от несанкционированного доступа к сообщениям.
Что же в итоге?
Все рассмотренные выше мессенджеры обеспечивают достаточный и разумный уровень безопасности от несанкционированного доступа, да, впрочем, и от санкционированного. С небольшими нюансами, разумеется. WhatsApp и Viber используют сквозное шифрование и по идее не имеют никакого доступа к данным пользователей. Telegram использует сквозное шифрование для секретных чатов, а серверное шифрование для всех остальных, закрывая таким образом несанкционированный доступ к данным и затрудняя санкционированный.
Исходя из этого, получается, что получить доступ к переписке, файлам, отправленными пользователями, звонкам, проще не на узлах операторов, а на оконечных устройствах: смартфонах, планшетах и компьютерах. Если операторы мессенджеров профессионалы в своем деле, разбираются в методах обеспечения безопасности, умеют шифровать и расшифровывать, то конечные пользователи, в подавляющем своем большинстве, таковыми специалистами не являются. А часто и вовсе пренебрегают какими-либо мерами безопасности. И подсадить программу-шпиона проще, чем пойти официальным способом и попробовать получить все от операторов. Хотя, часто вовсе не требуется получать доступ к переписке, достаточно только установить связи (контакты электронные, телефонные или физические) между пользователями, а затем благодаря оперативно-розыскной работе намайнить прочие доказательства незаконной деятельности.
Все три мессенджера — популярны. А там, где популярность, там расцветает бурным цветом анализ уязвимостей всех возможных видов. Непосвященному может показаться, что для обеспечения безопасности достаточно только установить пароль покрепче, да не давать свой телефон кому попало. Но в реальности, мессенджер это только вершина айсберга всей инфраструктуры передачи сообщения. «Дыра», через которую можно получить доступ к сообщениям, может быть обнаружена в любом приложении на смартфоне, в операционной системе (Android или iOS), и даже в самом железе из которого собран смартфон, ведь в любой более-менее «смышленой» железке может оказаться оставленным «черный вход» или обнаружена любая другая уязвимость. Но чем популярнее система, тем большие усилия прилагаются для поиска мест несанкционированного входа, но ищут их не только злобные русские хакеры (вообще свирепейшие), но и специалисты по кибер-безопасности, а при их нахождении они (уязвимости) так или иначе ликвидируются. Что делает продукт совершеннее и безопаснее.
Кстати, несмотря на все описанные выше меры обеспечения безопасности передачи и обработки данных, всегда остается шанс, что операторы оставляют для себя возможность доступа к пользовательским данным, ну и на всякий случай оставляют лазейку для государственных служб. Обезопасится от подобного можно используя только децентрализованные системы, желательно с открытым кодом. В таком случае за систему передачи нет единого ответственного и не к кому предъявить претензии. Такие системы разрабатываются, а есть уже и готовые, например, системы, работающие по протоколу Tox. Подобные мессенджеры дают куда более высокий уровень безопасности, нежели популярные WhatsApp или Telegram, но пользоваться ими не так удобно, как лидерами рынка.
