Утверждает, что все зашифрованные мессенджеры уязвимы, и в особенности, Whatsapp. Материал наделал много шума, однако так ли все печально на самом деле? Компания-эксперт в области интернет-безопасности Open Whisper Systems утверждает, что ничего нового в The Guardian написано не было и на Вотсап “наехали” напрасно.

Прошлой весной Whatsapp выпустил крупнейшее обновление в своей истории — добавилась функция принудительного конечного шифрования, которая по сути означает, что никто, включая Whatsapp, не может прочитать вашу переписку. Вчерашнее расследование The Guardian представляет мнение эксперта, который заявляет, что Whatsapp умышленно оставил “черный ход” (backdoor) в своем коде для возможного перехвата сообщений спецслужбами и другими заинтересованными лицами. Сами же разработчики Whatsapp утверждают, что это совсем не так, и что потенциально небезопасное поведение их приложения — ни что иное как облегчение жизни своим многочисленным пользователям.

Безопасность переписки Whatsapp была разработана с помощью компании Open Whisper Systems, той самой, которая разработала самый безопасный мессенджер в мире — Signal, и в своем блоге компания подробно описывает как все работает. В Вотсап внедрен Signаl-протокол (а еще он внедрен в недавний Google Allo), который выдает каждому пользователю два ключа безопасности: публичный ключ, по которому его могут идентифицировать другие пользователи и личный приватный ключ, который будет закреплен на устройстве. Поскольку люди частенько меняют свои телефоны и перестанавливают приложения, связка ключей безопасности будет меняться соответственно этому. Пользователи могут убедиться в приватности своего общения внутри Whatsapp, проверяя код безопасности на каждом устройстве, участвующем в разговоре — если коды совпадают, это будет означать что перехват сообщений между собеседниками отсутствует (такой тип атаки называется man-in-the-middle, MITM).

Материал the Guardian основан на расследовании Тобиаса Белтера (Tobias Belter) . Он утверждает, что сервер Whatsapp можно взломать по запросам третьих лиц. То есть Вотсап может сгенерировать новый ключ безопасности и выдать его этим самым третьим лицам пока пользователи не заметят, что что-то произошло. В мессенджере Signal app любая подмена ключа безопасности результирует в невозможность отправки сообщения и в предупреждение безопасности, причем все это происходит до того, как пользователь соберется переправить сообщение заново и самостоятельно. В Whatsapp же пользователь получает уведомление о смене ключа, при этом сообщение будет автоматически перекодировано под новый ключ и отправлено адресату. То есть вы только потом сможете выяснить, действительно ли совпадает новый ключ с вашим адресатом. При том, что такую настройку о предупреждении в вашем Whatsapp еще необходимо включить вручную:

Подобное поведение Whatsapp в компании Open Whisper Systems объясняют идеологической простотой использования мессенджера. А еще, сервера Whatsapp не знают, кто включил настройку о предупреждении, а кто нет — поэтому попытка взлома может быть быстро обнаружена. Во всяком случае, “адвокаты” Whatsapp настаивают на том, что такую политику безопасности можно называть как угодно, но это не уязвимость и не backdoor. Это “особенность”.

Многие западные эксперты по безопасности соглашаются с выводами Open Whisper Systems:

It’s ridiculous that this is presented as a backdoor. If you don’t verify keys, authenticity of keys is not guaranteed. Well known fact.

Frederic Jacobs (@FredericJacobs)

Начавшийся с текстовых сообщений тренд на безопасные коммуникации затронул и «голос». В 2016 году о применении end-to-end-шифрования в голосовых вызовах объявили WhatsApp, Viber и ICQ. Для обеспечения защищенных звонков в 2014 году был запущен мессенджер Signal. Также два года назад о наличии шифрования в сервисе FaceTime заявляли и в компании Apple.

Одно из некогда популярных решений в этой области — Skype — ввел защиту «голоса» еще в конце нулевых, что огорчило западные спецслужбы.

Тем не менее, как отмечает в разговоре с «Газетой.Ru» редактор MForum Analytics, эксперт в области телекоммуникаций Алексей Бойко, переход абонентов на IP-телефонию и видеосвязь вызван прежде всего удобством использования и ценой. Фактически клиенту того или иного оператора необходимо заплатить только за пакет интернет-трафика, который все чаще является безлимитным.

Спикер допускает, что для некоторого процента пользователей важна именно приватность, но, безусловно, не для большинства. Такое же мнение высказал в беседе с «Газетой.Ru» и генеральный директор информационно-аналитического агентства TelecomDaily Денис Кусков. По его мнению,

число абонентов, переходящих на сервисные решения из-за заботы о конфиденциальности, не превышает 10%.

В целом эксперты на рынке сходятся в том, что интернет-сервисы действительно дают более высокий уровень конфиденциальности разговоров, нежели обычная мобильная связь.

Напомним, что операторы, согласно российскому законодательству, обязаны установить на свои сети СОРМ-1, позволяющую правоохранительным органам получить доступ к любому разговору. В 2014 году власти обеспокоились данными, которые передаются в сети, обязав провайдеров установить так называемую СОРМ-3. Благодаря системе разговор, представляющий собой информацию в цифровом формате, остается у оператора. Однако из-за кодирования разобраться в этом пакете данных, как и что именно говорил пользователь, а в какой момент он смотрел картинки с котиками, для правоохранителей остается тяжелоосуществимой задачей.


«В то же время не стоит переоценивать защищенность международных мессенджеров, она не равна 100%, а от некоторых сервисов у спецслужб различных стран, вероятно, есть пресловутые «ключи», — предупреждает Бойко.

Раздражающая приватность

Основатель «Общества защиты интернета» Леонид Волков рассказал «Газете.Ru», что не сталкивался с конкретными случаями прослушек голосовых вызовов в Skype, Viber или WhatsApp. 


По его словам, люди, уделяющие приватности повышенное внимание, предпочитают FaceTime. Но он затруднился ответить, чем именно обусловлен такой выбор: вкусовыми предпочтениями или же действительно мощной защитой самого сервиса.

Также Волков сообщил, что теоретически мессенджеры с поддержкой звонков нельзя считать полностью безопасными, но от теоретической уязвимости до практических перехватов лежит огромный путь.

«В первую очередь потому, что есть куда более простые пути получения информации: подсадить трояна, который будет снимать «голос» на устройстве», — поясняет IT-специалист.

Собеседник издания полагает, что такой способ в несколько раз эффективнее и дешевле. Об установке зловредного ПО на пользовательское устройство предупредил в разговоре с «Газетой.Ru» и эксперт компании ESET Russia Вячеслав Железняков.

При этом, по его мнению, данные, передаваемые через интернет, проще перехватывать, нежели в сетях операторов.

«Там есть много возможных точек подключения: в локальной сети, через общедоступный Wi-Fi, у провайдеров и т.п. Для этого не нужно дорогостоящее оборудование — достаточно обычного компьютера или планшета с хакерским софтом», — отметил спикер.

Но если используется стойкое шифрование, то, даже перехватив трафик, злоумышленник не сможет его «прослушать», продолжает Железняков.

Невозможность добраться спецслужбам до содержания вызовов, организованных с помощью интернет-соединения, может являться раздражителем для властей. Кусков назвал отсутствие СОРМ в коммуникационных сервисах проблемой с точки зрения государства.

Аналитик прогнозирует, что в дальнейшем будут идти «бои» между законодателями совместно с правоохранительными органами и владельцами мессенджеров для налаживания «сотрудничества».

Спикер не уверен, можно ли считать попыткой подчинить спецслужбам Skype, Viber и WhatsApp принятие «пакета Яровой», так как по-прежнему непонятно, каким образом будет работать закон и какие сведения по нему нужны ФСБ. Само ведомство на прошлой неделе заявило, что в рамках документа нет необходимости в обязательной сертификации средств шифрования в интернете.

Волков и вовсе назвал «пакет Яровой» бредом. «По нему будет писаться и храниться еще больше трафика, и, следовательно, будет еще сложнее найти в нем что-то ценное», — добавил эксперт.

Труднопредсказуемое будущее

Колоссальный рост популярности приложений с поддержкой голосовых вызовов во всем мире обусловлен, как и в прочих случаях с инновационными продуктами, развитием гаджетов и высокоскоростного мобильного интернета (3G и LTE).


После перехода российских операторов на пакетную модель предоставления своих классических услуг экономия от звонков через Skype или Viber стала сходить на нет. Но благодаря повсеместному распространению смартфонов и Wi-Fi-подключения остались комфортное использование приложений и возможность без лишних сложностей позвонить при поездке в другие страны.

Одним из последних трендов на рынке стало активное распространение видеоконтента. Явление не обошло стороной и сегмент коммуникационных интернет-сервисов. Так, по данным ICQ, почти 59% звонящих пользователей общаются по видеосвязи.

Бойко и Кусков считают, что в России трудно предсказывать будущее не только «голосовых» сервисов, но и любых других телеком-продуктов.

«У нас слишком высока вероятность политических решений, которые могут влиять на данный рынок», — предсказывает аналитик MForum.

Но спикер успокаивает: если не возникнет форс-мажоров, то можно не сомневаться в дальнейшем росте популярности различных международных мессенджеров в силу их глобальности и удобства реализации.

В перспективе ближайшего года власти могут разработать поправки к закону «О связи», которые будут регулировать деятельность интернет-сервисов. В частности, о такой возможности ранее заявлял руководитель Роскомнадзора Александр Жаров.

В подготовке юридических норм, которые коснутся работы голосовых вызовов в сети, могут быть заинтересованы и телеком-корпорации.

«У операторов связи России мало рычагов, которые бы позволили им удержать абонентов голосовых услуг и SMS. Если они не задействуют свое лобби, чтобы добиться от регуляторов рынка прямых запретов на действия конкурентов, то у них мало шансов», — заявил Бойко.

В то же время у компаний есть возможность работать в рамках сотрудничества с сервисами, получая от них долю в доходах в обмен на настройки сети, добавил эксперт.

Манипуляции с пропускной мощностью канала и скоростью передачи данных могут, наоборот, стать попыткой шантажа со стороны операторов, полагает Кусков. Но одна компания, по мнению аналитика, не сможет изменить ситуацию, а в случае сговора операторов подключится ФАС.

Несмотря на популярность мессенджера и заверения разработчиков, что безопасность WhatsApp и конфиденциальность «заложены» в ДНК утилиты, и что ни один аккаунт не прослушивается, к программе все же предъявляют претензии. Многие проблемы приложения применимы и к другим месенджерам, однако в вопросах безопасности сервис уступает конкурентам, по мнению специалистов. Так ли это?

Начало работы сервиса: о надежности не могло быть и речи

Истории о взломе Ватсап стали появляться чуть ли не каждую неделю с момента появления мессенджера. В начале истории приложения использовался канал XMPP. Сообщения передавались по слабо защищённому пути. Зашифрованные данные приложения взламывались простым скриптом. На ПК загружали вирусы через веб-версию, вскрывали всю историю чатов в корыстных целях и т.д.

В 2012 году разработчики решили проблему с безопасностью в WhatsApp – переписка стала максимально скрыта от посторонних и прослушка стала проблематичнее.

По утверждениям сотрудников компании, при разработке каждой новой версии вопрос безопасности выносится на первый план. Таким образом, её уровень заметно повышается. Какая же ситуация сейчас?

Сквозное шифрование и новое соглашение о конфиденциальности

Оконечное или сквозное шифрование – нововведение в политике безопасности и конфиденциальности в WhatsApp. Суть его заключается в том, что при каждой отправке любое по объёму и содержанию сообщение кодируется отдельным ключом, который есть только у отправителя и получателя. Данная схема исключает одновременную работу WhatsApp на двух и более устройствах, как, например, на ПК и смартфоне или на двух телефонах.

Код безопасности включает 60 цифр, поэтому то, что показывается на экране телефона, – всего лишь часть цепочки. Такая стратегия обезопасит общение между двумя и более людьми.

Каков механизм работы сквозного (end-to-end) шифрования? Устройство А запрашивает у сервера мессенджера открытый ключ. Отправляется сообщение от А к В, предварительно закодированного этим ключом. Устройство пользователя В расшифровывает сообщение после получения.

Это новшество работает только в новой версии мессенджера. Таким образом, более старые его варианты должны быть обновлены, чтобы данные были максимально защищены и чтобы быть уверенным, что информацию не прослушивают. При обновлении программа сама попросит принять новое соглашение о конфиденциальности.

В процессе установки обновлений нужно принять соглашение, однако сделать это нужно еще правильно.

В конце лета 2016 года Whatsapp обновили условия и политику конфиденциальности.

Аккаунты стали связывать с учетными записями людей в Facebook. Это означает, что сообщения теперь могут анализироваться в коммерческих целях, например, для улучшения конверсии таргетированной рекламы в Facebook. Можно ли этого избежать? К счастью, да.

Чтобы прослушивание было невозможным, при принятии соглашения необходимо нажать на сам текст с условиями конфиденциальности со стрелочкой справа. Далее пролистать до конца и убрать галочку. Таким образом, вы даёте знать, что не разрешаете использовать информацию из аккаунта для улучшения взаимодействия с рекламой и продуктами Facebook.

Как подтвердить код безопасности?

Это необязательная процедура, так как шифрование включается автоматически при обновлении приложения. Тем не менее, давайте рассмотрим, как можно проверить этот код безопасности.

Зайти в чат и нажать на контакт, тем самым открыв меню с несколькими пунктами. Выбрать раздел «Шифрование».

Перед вами появится QR-код и длинный набор цифр в три ряда. Вам предложат подтвердить код безопасности. Сделать это можно, нажав на «Сканировать код» или вручную. Наведите камеру телефона на код, который появился на экране телефона вашего собеседника. При этом неважно, Android это или iOS. Появившаяся зелёная галочка будет свидетельствовать об успешном сканировании. В ином случае можно просто визуально сравнить коды.

Что, если код не совпал? Возможно, по ошибке был просканирован код другого собеседника. Получатель сообщений может также пользоваться старой версией программы и, чтобы сообщения зашифровывались, ему необходимо .

Что можно сделать дополнительно, чтобы аккаунт не мог прослушиваться? Учесть возможности, предлагаемые сервисом: ограничить доступ к своему профилю (статусу, времени последнего посещения приложения, фотографиям и т.д.). Пользователи мессенджера могут также отключить оповещения о том, что сообщение прочитали.

С новой версией утилиты разработчики значительно повысили уровень безопасности данных в аккаунтах пользователей. Конечно, здесь не обойтись без подводных камней, в частности, это связь WhatsApp и Facebook. Тем не менее, со сквозным шифрованием прослушать разговоры теперь крайне тяжело третьим лицам.

Вы передаете личные сообщения, которое могут содержать конфиденциальные данные. Многих пользователей интересует, есть ли возможность скрыть их от посягательств посторонних? Хорошая новость для гостей нашего портала. WhatsApp безопасность – это не пустой звук для разработчиков мессенджера.

Whatsapp является одним из самых безопасных мессенджеров.

Наличие сквозного шифрования в последних версиях программы позволяет защитить себя и свою личную жизнь от посягательств мошенников.

Под надежной защитой находятся:

• текстовые сообщения,
• звонки,
• переданные документы,
• голосовые файлы,
• фото;

Мессенджер Whatsapp надежно шифрует ваши сообщения.

Как проверить уровень безопасности в Ватсап

Очень просто, вам не нужно ничего делать, все процессы происходят автоматически, не нуждаются в настройках параметров или создании отдельного секретного чата. На серверах программы не хранятся передаваемые между абонентами файлы, как только они доставлены, сразу же удаляются.

Не так давно было создано новое соглашение о конфиденциальности. Если вы установили messenger и получили такое предложение, принять это соглашение нужно обязательно. Просто нажмите на кнопку Согласен и безопасность Ватсап станет удобным инструментом защиты данных.

Ватсап представляет собой кроссплатформенное приложение, используемое миллионами пользователей. Многие абоненты беспокоятся о безопасности и защите своих личных данных при работе в мессенджере. Разработчики обращают внимание на то, что в WhatsApp безопасность на достаточно высоком уровне.

Защищенность мессенджера

Первое, на что следует обратить внимание, это на условия предоставления услуг в Ватсап. Разработчики прописали такие пункты, как защита личных данных, запрет на оскорбления и угрозы при переписке.

Немаловажными являются инструменты, предлагаемые для обеспечения безопасности. К примеру, здесь можно установить параметры, ограничивающие доступ к профилю пользователя (его статусу, фото, времени последнего посещения приложения).

Абонентам мессенджера дается возможность изменить настройки уведомления, отключив оповещения о прочтении отправленных другому контакту сообщений.

Шифрование

В WhatsApp шифрование позволяет обеспечить конфиденциальность переписки. В начале своей истории разработчики использовали канал XMPP. Сообщения передавались по незащищенному пути, и их легко можно было отследить. В 2012 году разработчики постарались исправить ситуацию. Тогда переписка стала достаточно защищенная и ее постарались максимально скрыть от посторонних.

Однако, в конце этого же года была найдена еще одна уязвимость в приложении. Через нее можно было взломать переписку любого пользователя и прочитать ее. Разработчики быстро справились с проблемой и выпустили новую версию мессенджера, в которой защите отводилось особое значение.

Время от времени в сети появляются сообщения блоггеров об уязвимости Ватсап . К примеру, один голландский студент отметил, что может прочитать даже зашифрованные сообщения в мессенджере. Связано это с самим процессом шифрования, в котором используется одна и та же фраза. Но проблема безопасности возникает, в основном, при использовании публичных точек беспроводного доступа к сети.

Несмотря на подобные сообщения, сами разработчики заявляют о том, что безопасность приложения увеличивается с каждой новой версией. Конфиденциальность переписки гарантируется еще и тем фактом, что сообщения хранятся на устройствах пользователей, а не на серверах. Поэтому доступ к истории чата имеют только отправители и получатели.