Який месенджер найбезпечніший?

Це запитують у нас найчастіше. Коротка відповідь – найбезпечніших немає. Є ті, якими користуємось ми, і якими користуються ті, з ким ми спілкуємось. Серед найпопулярніших – Signal, WhatsApp, Telegram, Viber та Facebook Messenger. Ми надаємо пріоритет месенджерам, у яких за замовчуванням використовується наскрізне шифрування. Наприклад, Signal або WhatsApp. Нам подобається модель, коли повідомлення надійно зашифровуються при надсиланні з вашого пристрою і розшифровуються лише на пристрої співрозмовника, а сервери розробників месенджера лише транспортують зашифроване повідомлення чи голосовий дзвінок. Але завжди є кілька “але”. Про них ми і поговоримо.

Що таке надійний месенджер?

Для популярних месенджерів надійність – це якість шифрування повідомлень при передачі. Щоб нікому, хто зміг би перехопити трафік, не вдалося розшифрувати повідомлення і прочитати його вміст або підслухати розмову. Але популярні месенджери не забезпечують надійну анонімність. Також не захищають у випадку, якщо у вас відібрали чи вкрали телефон – всі повідомлення залишаться на пристрої, якщо ви не готувались до цього.

Чи можна зламати акаунт зашифрованого месенджера?

Так, можна. Щоб увійти у ваш акаунт з іншого пристрою зазвичай потрібні номер вашого телефону і код підтвердження з SMS, або ж логін і пароль. Є безліч технічних і нетехнічних способів спробувати їх отримати. Наприклад, від імені служби технічної підтримки попросити вас повідомити код з SMS нібито для верифікації вашого акаунта. Або ж пошукати у злитих в мережу базах даних ваш єдиний пароль. У більшості випадків ми спостерігаємо саме такі, нетехнічні злами, оскільки вони неймовірно дешеві у реалізації, не потребують поглиблених знань чи ресурсів. Протидіяти таким зламам можна, налаштувавши двофакторну аутентифікацію та вивчивши найпоширеніші прийоми шахраїв.

Чи може хтось прочитати повідомлення на моєму телефоні?

Так, якщо у вас відображається вміст повідомлень на заблокованому екрані, то хтось зможе прочитати нещодавні та нові повідомлення, якщо просто побачить екран. Щоб цього не трапилось – вимкніть Відображення вмісту сповіщень на заблокованому екрані у налаштуваннях Сповіщень телефону. Зазвичай, ми одразу думаємо про складні методи зламу, але не варто забувати і про такі, начебто прості речі.

Чи може хтось прочитати повідомлення з мого найзашифрованішого (підставте назву) месенджера?

Так, якщо телефон або акаунт скомпрометовано. Якщо на телефоні встановлена шпигунська програма, то вона може передавати зловмисникам все, що ви набираєте на клавіатурі. Набагато ймовірніший і дешевший варіант – фізично відібрати у вас пристрій (наприклад, під час обшуку) або виманити доступ до акаунту (фішинг).

Чи можуть росіяни перехопити і прочитати повідомлення з месенджерів, якщо я спілкуюсь з людиною з тимчасово окупованих територій?

Ні. Повідомлення у популярних месенджерах передаються надійно зашифрованими, тому перехоплення не дозволить їх прочитати чи підслухати. Але в деяких випадках аналіз трафіку може допомогти з’ясувати, що з вами контактували і хто саме. Крім того, варто пам’ятати, що  окупанти можуть затримати людину і змусити показати всі повідомлення і історію комунікації у месенджерах.

Що робити, щоб максимально знизити ризик деанонімізації джерел?

• Для голосових дзвінків користуйтесь месенджерами, які не передають у відкритому вигляді ІР адресу ваших співрозмовників (FB Messenger). Або ж у налаштуваннях месенджера вимкніть Peer-to-peer дзвінки (Signal, Telegram). Найкращий варіант – якщо ви та ваші співрозмовники використовуватимете надійний VPN-сервіс для додаткового приховування трафіку.
• Якщо ж ви лише переписуєтесь в месенджерах – заздалегідь налаштуйте автовидалення повідомлень у бесіді, щоб у разі компрометації джерела зловмисники отримали мінімум інформації.

Що мені порадити джерелам, які знаходяться на окупованих територіях?

• Домовитись про слово-код, що сигналізує про небезпеку (стеження або полон);
• Надавати перевагу спілкуванню у месенджерах, а не телефонним дзвінкам чи SMS
• Перейменувати збережені контакти;
• Регулярно видаляти бесіди з чутливою інформацією (це правило стосується обох сторін);
• Вимкнути резервне копіювання архіву бесід у хмарне сховище (Google, iCloud);
• Вимкнути у налаштуваннях месенджера автозбереження зображень чи медіа у Галерею;
• Регулярно очищати історію браузера.

Як захистити переписки у месенджерах від зламу?

• Налаштувати двофакторну аутентифікацію у месенджерах;
• Перевірити у настройках Активні сесії (Пристрої) та видалити ті, якими не користуєтесь;
• Регулярно встановлювати оновлення для месенджерів та для операційної системи пристрою;
• Увімкнути приховування вмісту сповіщень на заблокованому екрані (Налаштування телефону – Сповіщення);
• Налаштувати надійні способи блокування екрану пристрою (PIN, пароль, TouchID, FaceID)
• Налаштувати додатковий PIN-код для входу у месенджер на телефоні;
• Регулярно видаляти старі повідомлення або налаштувати Автовидалення, щоб знизити ризик великого зливу.

Що означає “зашифрований месенджер”?

Зазвичай, під таким визначенням мають на увазі месенджер, який надійно шифрує дані при передачі повідомлень, не дозволяючи зловмисниками “підслухати” вміст розмови. При цьому на пристроях учасників вміст бесід доступний і додатково не шифрується. Тому для його додаткового захисту необхідно максимально убезпечити сам пристрій, встановивши надійний пароль, шифрування та антивірусний захист. Адже якщо сам пристрій скомпрометований – жоден найнадійніший месенджер не допоможе.

Додаткові запитання, які  ви часто задаєте і короткі відповіді на них:

Чи правда, що Signal найбезпечніший месенджер?

Частково правда. Signal один з найбезпечніших з популярних, бо:

• має шифрування за замовчуванням (ключі зберігаються лише у клієнтів);
• має відкритий код;
• це некомерційний проект;
• не збирає та не зберігає ніяких даних користувачів.

Чи можна використовувати Telegram для сенситивної комунікації?

Не бажано, бо Telegram за замовчуванням не має наскрізного шифрування як для повідомлень, так і для груп або метаданих. Дані зберігаються у хмарі, на серверах Telegram. 

Як деанонімовують користувачів Telegram?

Це можливо, якщо телефонний номер не прихований, доступне фото профілю, і пересилають повідомлення з відкритим посиланням на профіль.

Почув від знайомого з розвідки, що WhatsApp зламали? Мені вже переживати?

Якщо використовувати останню версію додатку з увімкненою двоетапною перевіркою, то можна не перейматися.

Що не так з Viber?

Viber позиціонують себе як зашифрований месенджер, але ніхто не бачив їхнього коду, щоб це підтвердити або перевірити. Цілком ок використовувати месенджер для спілкування з родичами на загальні теми, батьківських груп або чату будинку. Головне – не передавайте чутливу інформацію.

Чому ми всі не перейшли на більш анонімні месенджери (Wire, Threema, Wickr)?

Відповідь дуже проста – там нікого немає (бабусь, колег, друзів, інтернет-магазинів, сервісів). Плюс існує проблема унікальних метаданих.