Самый безопасный интернет мессенджер для андроид. Безопасные чаты: существуют ли они, зачем нужны и почему это важно

Любой мессенджер можно взломать, но с некоторыми это происходит чаще. С какими именно, рассказали в компании Solar Security. Вот самые интересные факты из их исследования.

Что не так с мессенджерами на Android?

Исследование Solar Security показало, что самые проблемные места приложений-мессенджеров для платформы Android - это слабые алгоритмы хеширования, небезопасные реализации SSL, использование пустых паролей, слабые алгоритмы шифрования и небезопасные алгоритмы дополнения при шифровании.

Что это значит для нас ? Все это повышает риски компрометации хранимой на устройстве информации, а значит, увеличивает риск угона логинов и паролей пользователя, да и всей его переписки тоже. Достаточно подхватить трояна на смартфон и вот уже друзья удивляются, почему вы просите одолжить денег или пересылаете странные ссылки.

Но и это еще не все . Небезопасная реализация SSL приводит к тому, что при установлении защищенного соединения приложение проверяет не все параметры сертификата, а значит, его легко подменить и перехватить данные, передаваемые через мессенджер.

Что это значит для нас? Если вы по-прежнему используете общественный Wi-Fi (а почему это лучше не делать, вы можете прочитать ), нехорошие люди могут воспользоваться этой уязвимостью, чтобы пропустить через себя весь трафик между мессенджером жертвы и сервером, а значит, все ваши сообщения будет читать кто-то еще.

С iOS-версиями мессенджеров все тоже непросто

Те же уязвимости чаще всего встречаются и в приложениях для обмена сообщениями под платформу iOS - слабый алгоритм хеширования и шифрования, небезопасная реализация SSL.

Но уязвимости самого приложения, ослабляющие защищенность хранимой и обрабатываемой информации, для платформы iOS менее опасны. Если, конечно, вы не балуетесь джейлбрейком.

В итоге самым защищенным мессенджером оказался…

Больше всего баллов в исследовании Solar Security набрал мессенджер Signal, причем в версии для Android. Он, конечно, не сравним по аудитории с такими монстрами как WhatsApp или Viber, но зато в нем не нашли серьезных уязвимостей, а значит, можно утверждать, что он не по зубам троянам или известным эксплойтам, а данные пользователей в нем — как в швейцарском банке. Не зря его Сноуден рекомендует, в общем. С версией под iOS все немного хуже, тут Signal на четвертом месте, но отставание невелико.

В приложениях Facebook Messenger, Slack, Telegram, Skype, Viber и WhatsApp для Android был обнаружен схожий набор уязвимостей, однако в Facebook Messenger и Slack эти уязвимости встречались реже, и это позволило включить их в тройку лидеров. Этим обусловлены более высокие баллы Facebook Messenger и Slack - 1,8 и 1,7 баллов соответственно.

Хорошее качество кода продемонстрировал Facebook Messenger и в версии для iOS, вслед за ним в рейтинге самых защищенных мессенджеров для «айфонов» идут Viber и Skype - впрочем, с не самыми высокими баллами за защищенность.

А этими мессенджерами лучше не пользоваться

Настоящими лузерами стали китайские мессенджеры QQ International и WeChat. Оба приложения разрабатываются компанией Tencent Holdings, которая делает это явно спустя рукава — число обнаруженных уязвимостей в них очень велико.

Как оценивали мессенджеры

Анализ безопасности кода осуществлялся автоматически, с помощью решения Solar inCode — специального программного продукта для проверки безопасности приложений. Проанализировав приложения, Solar inCode формировал отчеты, в которых оценивался общий уровень защищенности приложения по пятибалльной системе, приводился список обнаруженных закладок, уязвимостей и ошибок, ранжированных по уровню критичности.

Все крупные и не очень корпорации сотрудничают с правоохранительными органами, подчиняясь законодательству стран, в которых они работают. Google, Apple, Facebook, Skype, WhatsApp, Viber и многие другие соцсети и мессенджеры делятся с властями некоторым количеством пользовательских данных. Кто-то сливает больше, кто-то меньше, но горькая правда в том, что это делают все.

Показательные борцы за свободу не моргнув глазом выдадут все ваши секреты. Например, создатели популярного мессенджера Viber, которых, согласно российскому законодательству, обязали перенести серверы на территорию РФ, выполнили требования властей в конце прошлого года. Официально такой шаг объясняют необходимостью хранения персональных данных на серверах внутри страны, но все мы знаем истинные мотивы: дело в желании спецслужб получить доступ к переписке.

Под «легче» в данном случае понимается то, что для слежки даже не требуется взаимодействие с операторами сотовых сетей: все необходимые инструменты имеются в распоряжении соответствующих органов. Это же касается WhatsApp, Skype и других мессенджеров, не говоря уже об обычных СМС. Более того, читать вашу переписку могут не только спецслужбы, но и конкуренты, враги и вообще любой, кто воспользуется услугами специальных сервисов. Стоят они недорого и легко гуглятся по запросу «распечатка СМС».

Под любой нашей статьёй на тему СМС предприимчивые дельцы предлагают свои услуги

Когда правоохранительные органы не могут добыть нужные им данные с помощью имеющихся рычагов давления, они идут на радикальные меры. Буквально в начале марта за отказ сотрудничать с полицией Бразилии был задержан вице-президент латиноамериканского отделения Facebook. Предметом споров стала информация о пользователях соцсети, якобы причастных к распространению наркотиков.

В декабре 2015-го бразильский суд заблокировал на территории страны WhatsApp (принадлежит Facebook) после отказа предоставить информацию о переписке предполагаемых преступников. В итоге пострадали все: полиция отключила около 100 миллионов местных пользователей, вызвав бурную реакцию в соцсетях и негодование главы Facebook Марка Цукерберга (Mark Zuckerberg).

Ещё более показательным в борьбе за неприкосновенность персональных данных является противостояние и ФБР, которое пока так и не получило своей развязки. Спецслужбы говорят о предотвращении терактов и обеспечении национальной безопасности, не желая признавать, что таким способом преступность не победить. Главный же юрисконсульт Apple на слушаниях в конгрессе заявил, что, даже если бы у спецслужб появилась возможность взломать любой iPhone, преступники в любом случае нашли бы способы тайной коммуникации, и привёл в качестве примера мессенджер Telegram.

Против лома есть приём

Представитель Apple прав: способов защищённой переписки существует масса и придуманы они далеко не вчера. Детище Павла Дурова Telegram первым приходит на ум из-за своей популярности и невзламываемой репутации: назначенную ещё в далёком 2013-м награду в 200 000 долларов за взлом зашифрованной переписки Telegram до сих пор никто не получил.

Такая неуязвимость объясняется самим принципом работы защищённых мессенджеров вообще и Telegram в частности. В последнем используется специально разработанный протокол MTProto и двухслойное шифрование с 256-битным AES-ключом: они обеспечивают высокую скорость и надёжность. А ещё в Telegram, помимо обычных чатов, есть так называемые секретные (Secret Chats). В них переписка шифруется без участия сервера, а все сообщения пересылаются напрямую с устройства отправителя на устройство получателя (peer-to-peer). Даже если предположить, что данные удастся перехватить, расшифровать их без ключей, хранящихся на устройствах участников беседы, будет просто невозможно.

Ещё одно преимущество P2P-передачи состоит в том, что работу мессенджера нельзя заблокировать: когда нет серверов, блокировать просто-напросто нечего.

Правительства авторитарных стран часто грешат блокировками неугодных сервисов. Например, все знают о заблокированном почти на всей территории Китая Facebook. В октябре прошлого года из-за отказа предоставить возможность слежки за пользователями оказался сначала частично, а затем и полностью заблокированным в Иране. Избежать подобных ситуаций можно с помощью P2P-связи, реализовать которую Павел Дуров пообещал после этого инцидента.

Аналогичный подход используется в различных защищённых мессенджерах с end-to-end-шифрованием. Способ передачи ключей может отличаться, но принцип остаётся неизменным: информация пересылается напрямую с устройства на устройство без участия промежуточных серверов.

Что-то подобное, возможно, скоро появится и в Facebook Messenger. Журналисты издания The Information раскопали в коде iOS-приложения довольно любопытные комментарии. Они указывают на некий аналог Apple Pay, позволяющий оплачивать товары и отправлять деньги пользователям, а также сопутствующую этому функциональность секретных чатов. О способе реализации таких бесед пока сложно судить: Facebook может пойти по пути Telegram и внедрить шифрование, а может просто добавить возможность скрывать отдельные переписки и контакты. Во всяком случае, даже если решение будет принято в пользу первого варианта, привлечь пользователей и доказать им, что секретные чаты в Messenger действительно безопасны, окажется не так уж просто.

Как же быть

Тем, для кого надёжность канала коммуникации играет не последнюю роль, стоит обратить внимание на защищённые мессенджеры с упомянутым шифрованием. Пригодятся они не только параноикам, но и всем, кто связан с бизнесом и имеет доступ к любой мало-мальски важной информации, не предназначенной для чужих глаз. Доступных решений существует огромное количество, но мы не станем рассматривать их все, а остановимся на трёх наиболее удобных.

Секретные чаты Telegram

Благодаря широкому распространению мессенджера секретные чаты можно назвать идеальным вариантом. Они гарантируют безопасность пересылаемой информации, имеют функцию самоуничтожения сообщений (включая фото и файлы) через определённое время и не позволяют пересылать переписку другим людям. Для большей безопасности с одним пользователем можно создать несколько бесед и обсуждать в них различные темы.

Создать секретный чат просто: жмём иконку New Message → New Secret Chat и выбираем нужный контакт. Начать переписку можно будет, как только человек появится в Сети. Из-за отсутствия промежуточных серверов отправить сообщение в офлайн нельзя. При этом все неотправленные сообщения хранятся только на вашем устройстве. Понять, что чат секретный, а не обычный, можно по иконке замка рядом с именем контакта.

В отличие от Telegram, изначально заточен под максимальную безопасность. Мессенджер также довольно популярен в своей нише, бесплатен и имеет клиенты для всех десктопных и мобильных платформ. Confide использует end-to-end-шифрование и не хранит сообщения нигде, кроме устройств отправителя и получателя. Более того, мессенджер даже не отображает текст полученного сообщения целиком, а разбивает его на блоки и показывает по частям при наведении курсора или касании пальцем. Прочитанные сообщения сразу же уничтожаются. Тех, кто захочет сохранить содержимое с помощью скриншота экрана, будет ждать неудача: текст мгновенно удалится, а отправитель получит уведомление о провалившейся попытке собеседника.

Аккаунт в Confide привязывается к email, после регистрации можно подключить свои соцсети и разрешить доступ к контактам. Если у кого-то из ваших знакомых установлено приложение, вы сможете безопасно переписываться, отправлять фото и документы.

А это приложение уже для настоящих параноиков. Оно платное, не такое удобное, имеет менее дружелюбный интерфейс, но ещё больше повёрнуто на безопасности и работает только с прямым шифрованием. Здесь не используется ни номер телефона, ни email. Для работы Threema нужна пара ключей, которые вы сами сгенерируете при первом запуске: один из них приватный и хранится на вашем устройстве, другой - публичный и отправляется вашему собеседнику. После этого вам присвоят идентификатор, по которому вас можно найти. Добавить контакт можно и по email или телефону (если человек привязал их к аккаунту), а также с помощью сканирования QR-кода при личной встрече (это самый безопасный вариант).

Threema позволяет обмениваться не только текстовыми сообщениями, но и фото, видео, документами и геометками. Есть приложения для iOS, Android и Windows Phone.

Signal

А что вы думаете по поводу защищённых мессенджеров: стоит ли переходить на них или это только для параноиков? Расскажите, пользуетесь ли вы безопасными чатами, и если да, то каким отдали предпочтение и почему.

Telegram, Wickr и другие безопасные альтернативы WhatsApp

В закладки

Ответ на вопрос, почему куш сорвал именно Telegram во многом лежит на поверхности. При том, что приложение изначально было заявлено как тест протокола MTProto и до сих пор не успело обрасти хоть сколько-нибудь приличным набором функций, в «год Сноудена» его создатели больше всего акцентировали внимание именно на безопасности.

Самым действенным PR-ходом в этом отношении безусловно было смелое Павла Дурова взломать его личную переписку в Telegram за 200 тысяч долларов, озвученное 17 декабря 2013 года. Даже если бы какому-нибудь хакеру удалось бы найти брешь в самом протоколе и получить всю сумму, это все равно пошло бы на пользу мессенджеру: после устранения уязвимости он стал бы еще безопаснее в глазах пользователей.

В это же время сам по себе Telegram в каком-то смысле просто не мешал своему собственному успеху. Базовые функции приложение выполняет безупречно: выглядит чище и аккуратнее, чем WhatsApp, да еще и работает заметно быстрее, оставаясь нетребовательным к качеству сети. Не просто так в середине августа 2013-го Ян Кум. От перехода на Telegram многих останавливает его маленькая база пользователей («У меня все друзья в WhatsApp, а тут два с половиной человека!») и отсутствие некоторых функций: например, передачи голосовых сообщений.

Silent Text

Платформы: iOS, Android

Еще одной причиной успеха Telegram стал тот факт, что его конкуренты, мягко говоря, недружелюбны. Например, бесплатное приложение американского мессенджера Silent Text первым делом просит ввести некий «код активации», о предназначении которого можно узнать только посетив сайт компании Silent Circle.

Там же выясняется, что Silent Circle не только не дружелюбен, но еще и не дешев. Подписка на Silent Circle Mobile стоит около 10 долларов в месяц или 100 долларов в год. За эти деньги пользователь получает криптографическую защиту передачи голосовых, видео, текстовых сообщений и файлов до 100 мегабайт.

Silent Circle умеет не только шифровать сообщения через протокол SCIMP собственной разработки, но и отзывать уже отправленные по желанию пользователя, стирая все следы их существования. В приложении можно установить время, после которого открытое сообщение будет удалено с устройства получателя. Тем не менее, авторы не гарантируют защиты от пересылки или даже скриншота: поэтому отправлять послания все равно необходимо доверенному лицу.

Threema

Платформы: iOS, Android

Действительно достойным конкурентом Telegram можно назвать швейцарский мессенджер Threema . За него нужно единожды заплатить 2 доллара, зато он куда больше внимания уделяет безопасности переписки. Например, при первом посещении приложения пользователю необходимо поводить пальцем по экрану, чтобы сгенерировать уникальный идентификатор.

Авторы Threema рекомендуют для надежности добавлять новые контакты при встрече, сканируя QR-код с идентификатором с экрана друга. Тогда им будут присвоен максимальный уровень верификации. При желании можно воспользоваться и менее надежными способами: синхронизировать контакты или ввести ID вручную, передав его через небезопасные каналы.

Не уступая Telegram по дизайну, лаконичному и стильному, Threema по ощущениям не сильно отстаёт и в скорости. Само собой, авторы приложения гарантируют, что все сообщения шифруются прямо на устройстве, а прочитать их сможет только получатель и никто больше.

Сразу после новости о продаже WhatsApp пользовательская база Threema удвоилась : из 200 тысяч новых пользователей 80% оказались жителями Германии. Набрать такую же скорость роста, какую набрал Telegram, швейцарской компании мешает цена в 2 доллара и излишний для большинства людей уровень безопасности.

Confide

Платформы: iOS

Confide - еще один приятный и к тому же бесплатный мессенджер с заявленным шифрованием, который в отличие от Threema делает шаг в действительно интересном направлении: cообщение приходит к получателю в виде нескольких строк прямоугольников, которые открываются только тогда, когда пользователь наводит на них палец. Таким образом, полный текст послания не отображается на экране никогда.

Если же получатель все же попытается снять скриншот, то его автоматически выбросит в список контактов, а само сообщение будет тут же удалено. В то же время отправитель получит сигнал о том, что его послание попытались «снять». Более того, Confide не хранит сообщения как таковые: они в любом случае исчезают после прочтения.

SJ

Платформы: iOS

Еще одним «экстремальным» мессенджером с шифрованием является (сокращено от Safety Jabber). Его цена в App Store на момент написания заметки составляет 1690 рублей. За эти деньги разработчик предлагает действительно бескомпромиссный криптомесенджер, в котором пользователь может самостоятельно выбирать пары ключей при отправке сообщений.

Сообщения в SJ кодируются по алгоритму OpenPGP, а список контактов по менее безопасному AES. При этом, в приложении также можно общаться и через любые другие сервисы, поддерживающие Jabber, однако уже без надёжного шифрования.

Несмотря на свою внушительную стоимость, приложение SJ выглядит, мягко говоря, аляповато. Оно до сих пор не получило плоский дизайн в стиле iOS 7. Впрочем, аудитория этого мессенджера платит, очевидно, не за внешний вид.

Wickr и TigerText

Платформы: iOS, Android

Главная страница официального сайта Wickr встречает посетителей цитатой издания CNET: «Wickr - криптоприложение для iPhone, которым сможет пользоваться 3-летний ребёнок». На практике Wickr ощутимо проигрывает и в простоте, и в дизайне как Telegram, так и Threema. Кроме того, он уже доступен для Android.

Wickr позиционируется как приложение, которое не оставляет следов. Оно уничтожает ваши сообщения не только на смартфонах пользователей, но и на серверах. Кроме того, в самой программе есть функция полного и окончательного стирания, после выполнения которой сообщения нельзя восстановить даже специальными средствами.

Wickr осуществляет закодированную передачу почти всех видов контента, включая изображения, аудио и видео. Оно не позволяет копировать или пересылать сообщения или контент третьим лицам, а также препятствует съемке скриншотов. Авторы обещают армейский уровень шифрования.

У Wickr есть и «сводный брат» - очень близкое по духу, но чуть менее популярное приложение TigerText . У него куда более притягательный дизайн (без избытка красного цвета и аляповатых графических элементов). TigerText также умеет бесследно удалять сообщения со смартфона получателя и сервера.

Heml.is

Платформы: iOS, Android

Релиз Heml.is еще не состоялся, однако его нельзя не упомянуть хотя бы из-за того, насколько он громко о себе заявил. Когда многие подобные проекты проваливаются на различных краудфандинговых платформах, этому на сбор необходимой суммы в июле 2013 года

Наверное, у многих пользователей возникают мысли о том, насколько безопасно их общение в интернете. Не даром история о чтении спецслужбами переписки в WhatsApp вызвала негодование и горячие споры.

Правда, чуть позже все обвинения опроверг Ян Кум, создатель программы. По словам Яна, информация в WhatsApp шифруется end-to-end, потому посторонние не смогут читать личную переписку человека.

Эксперты считают самыми надёжными и защищёнными Telegram, WhatsApp и RedPhone, но не советуют доверять свои секреты Skype, Viber и Facebook Messenger.

RedPhone

Позволяет через интернет позвонить любому человеку, который тоже пользуется RedPhone. Зашифрованное соединение не требует других средств защиты, которые нередко оказываются малополезны.

Обмен ключей в RedPhone происходит через ZRTP, а голосовые данные шифруются с помощью AES — протокола. Но ключи остаются внутри устройства. От злоумышленников можно защититься, проверив "короткую строку авторизации" перед сеансом. В конце сеанса происходит кэширование ключей, чтобы использовать их в дальнейшем.

Минусы приложения: RedPhone не может связываться с абонентом, если на его гаджете нет этого приложения.

WhatsApp

Он очень популярен. WhatsApp позволяет бесплатно и быстро отправлять друг другу ролики, обычные текстовые сообщения и фото. Он работает на смартфонах, компьютерах и ноутбуках.

В WhatsApp по умолчанию работает end-to-end шифрование — оно позволяет передавать зашифрованную информацию без посредников. У приложения нет доступа к сообщению. Шифрование текста происходит так, что информация будет расшифрована только на устройстве адресата.

Telegram

Павел Дуров создал этот некоммерческий проект как безопасный менеджер. Благодаря протоколу MTProto информация в Telegram шифруется с применением разных технологий. Например, авторизация пользователя и шифрование информации выполняются по протоколу Диффи-Хеллмана и с использованием двух алгоритмов.

В "секретном чате" сообщения не только шифруются, но и самоуничтожаются сразу после того, как были прочитаны. Существует и онлайн-версия. Приложение даёт возможность создавать групповые (от нескольких до двухсот участников) чаты.

Исходный код Telegram открыт. Разработчики утверждают, что он никогда не будет платным.

Wickr (Android)

Подчеркнём, что у адресата сообщение тоже не сохраняется — всё, что ушло через Wickr, в отмеченное пользователем время стирается с устройства получателя. Потому Wickr не подходит сентиментальным пользователям, которые любят перечитывать переписку.

В приложении нельзя сделать скриншоты.

TextSecure (Android)

Используется собственный протокол V2. Поддерживаются групповые чаты. Любую информацию TextSecure засекречивает end-to-end шифрование. Отметим, что в TextSecure шифрование сообщений происходит на терминале пользователя, потому конфиденциальная информация защищена от посторонних даже в случае похищения или потери телефона.

Chadder

Этого защищённый мессенджер создан в Рочестерском технологическом институте. В Chabber исходящее сообщение после шифрования отправляется через специальный сервер. Текст открывается всего один раз, во время чтения адресатом.

Каждому пользователю предоставляется ключ, с помощью которого расшифровываются сообщения. В других приложениях — даже в популярном WhatsApp — такой функции нет.

Кроме того, мессенджер умеет автоматически уничтожать информацию через заранее заданный пользователем промежуток времени. Тем не менее при желании, можно сохранить сообщение.

Threema (Android, iOS)

Единственное в списке приложение, за которое придётся платить. Это ещё один, причём серьёзный, конкурент Telegram. Защита на высоком уровне.

Пользуясь приложением впервые, вы должны повести пальцем по экрану — таким образом генерируется уникальный идентификатор.

Новые контакты авторы Threema советуют вносить в телефон при личной встрече: для их добавления нужно сканировать с экрана устройства приятеля QR-код с идентификатором. Контакты, полученные таким образом, имеют самый высокий уровень верификации.

Есть и другие, не такие надёжные, способы: ID вводят вручную или же контакты синхронизируются.

У Threema есть и минус: такой уровень безопасности обойдётся аж в 2$.

Что касается надёжности мессенджеров, то Эдвард Сноуден рекомендует Signal, которым он пользуется ежедневно. Signal передаёт текст, фото и видео после сквозного шифрования на устройстве, и увидеть текст или изображение не могут ни злоумышленники, ни даже разработчики приложения.

Парадоксально, но факт: при всем разнообразии мессенджеров выбирать их обычно не приходится - люди просто пользуются тем же, чем их друзья и знакомые. Но что, если секретность действительно важна? В этой статье мы пройдемся по списку современных мессенджеров и посмотрим, какие гарантии защиты есть у каждого из них.

Недавно на «Хакере» был опрос « », и самый популярный ответ (Telegram) серьезно настораживал. Насколько все далеко зашло, если даже средний читатель «Хакера» уже потерял связь с реальностью после атаки маркетинг-хедкраба (на картинке)?

Мы составили список мессенджеров, чтобы посмотреть, как у каждого из них обстоят дела с безопасностью. В подборку пошли как популярные, так и перспективные в плане безопасности программы. Предупреждаем, что углубляться в техническую сторону мы будем настолько, насколько это необходимо для среднего пользователя, не дальше.

Во многом мы повторили путь авторов серии статей Electronic Frontier Foundation под названием Secure Messaging Scorecard , но выбрали другие критерии - на наш взгляд, более важные.

Критерии

FOSS

Распространяется ли исходный код мессенджера на условиях одной из свободных лицензий? Если да, то ведется ли разработка открытым методом? Насколько тесно разработчики взаимодействуют с сообществом? Принимают ли pull request’ы? Все это важно учитывать при выборе.

Степень централизации

Здесь возможен один из трех вариантов:

Возможность анонимной регистрации и использования

Для некоторых сервисов телефон может понадобиться только для защиты от спама при регистрации, соответственно, очень просто использовать сервисы аренды номеров для SMS.

В остальных случаях мессенджер плотно привязан к телефону. Это плохо тем, что если не включена двухфакторная аутентификация, то при получении доступа к этому номеру можно зайти в аккаунт и слить все данные. Но даже если двухфакторка включена, все равно остается возможность удалить все данные с аккаунта. Ну и конечно, это, считай, регистрация по паспорту (используем реалии РФ, других не завезли).

Но не все так плохо. Есть мессенджеры, которые позволяют регистрироваться с использованием почтового ящика или учетной записи в социальной сети. Есть и такие, где учетную запись можно создать в самом мессенджере без привязки к чему-то.

Наличие End-to-End Encryption (E2EE)

Некоторые мессенджеры имеют такую функцию по умолчанию, в других ее можно включить, но есть и те, где сквозного шифрования просто нет.

Синхронизация E2EE-чатов

Опять же эта функция пока что встречается не так часто, как хотелось бы. Ее наличие сильно упрощает жизнь.

Уведомление о необходимости проверки отпечатков E2EE

При старте E2EE-чатов некоторые мессенджеры предлагают проверить отпечатки собеседников, другие не предлагают это открыто. Но не все мессенджеры имеют функцию проверки отпечатков.

Запрет делать скриншот секретного чата

Не самая полезная функция, потому что для обхода запрета достаточно, например, иметь под рукой второй телефон.

Групповые E2EE-чаты

Групповые E2EE-чаты обычно не такая уж необходимая функция, но весьма удобная. Правило «больше двух - говори вслух» стоит оставить для детей.

Уведомление о необходимости проверки отпечатков E2EE в групповых чатах

При добавлении нового собеседника, с которым не сверены отпечатки, в секретный групповой чат не все мессенджеры предлагают проверить его отпечатки. Из-за такого упущения теряется смысл секретных чатов.

Защита социального графа

Некоторые мессенджеры собирают информацию о контактах пользователя и другие данные, например кому звонил пользователь, как долго разговаривал. На эту тему есть .

WWW

Мы выбрали лишь часть критериев, которые могут сыграть роль при выборе мессенджера. Существуют и другие, но не всегда они связаны с безопасностью. Группа ученых из европейских университетов неплохо разложила все по полочкам в работе Obstacles to the Adoption of Secure Communication Tools (PDF). Также всегда полезно знакомиться с результатами независимого аудита, если они есть. Например, в случае с Signal такой аудит проводился (PDF).

Telegram

Лицензия: формально - GPLv3. Однако важная часть разработки закрыта. Если взглянуть на репозитории, то видно, что в последнее время какое-то движение наблюдалось только в вебовой версии. Увы, в таком виде это скорее иллюзия открытости
Степень централизации: централизованный
нет
Наличие E2EE: реализованы, но как дополнение. По умолчанию чаты не шифруются
Синхронизация E2EE-чатов: нет. Секретный чат можно использовать только с одного устройства, с другого доступа к нему уже не будет
нет. Пользователи могут сами зайти в настройки, чтобы сравнить отпечатки
есть, но работает не на всех устройствах
Групповые чаты E2EE: нет
Защита социального графа: нет

Мессенджер, созданный командой Павла Дурова, построен на технологии шифрования переписки MTProto. На данный момент частично заблокирован на территории России, но эта блокировка - отдельная тема для разговора.

Мессенджер неоднозначный. Вокруг него много шума, но оправдан ли он? Доступа к исходникам нет, чаты по умолчанию не шифруются, нет защиты социального графа (все твои контакты хранятся на серверах Telegram), нет групповых E2EE-чатов, E2EE-чаты не поддерживаются в настольной версии программы, только в мобильной, мессенджер централизованный, сообщения хранятся на сервере (и они, как уже было отмечено, не зашифрованы), и при всем этом отсутствует возможность анонимной регистрации.

Если ты хочешь использовать Telegram, то для защиты переписки не забывай создавать секретные чаты. В мобильной версии для этого нужно выбрать команду New Secret Chat. Из настольных версий секретные чаты поддерживают только некоторые (например, один из двух клиентов для macOS).

В секретном чате сообщения шифруются и не хранятся на серверах мессенджера. Также нельзя сделать скриншот секретного чата, но ничто не мешает сфотографировать такой чат с экрана.

Signal

Лицензия: AGPLv3
Степень централизации: централизованный
Возможность анонимной регистрации и работы: нет. Кроме номера телефона, других вариантов нет
Наличие E2EE: есть
Синхронизация E2EE-чатов: есть
Уведомление о проверке отпечатков E2EE: нет. Пользователям предлагается сосканировать QR-коды друг у друга или сравнить отпечатки
Запрет на скриншоты секретных чатов: можно включить или выключить
Групповые чаты E2EE: есть
Уведомление о необходимости проверки отпечатков E2EE в групповых чатах: нет
Защита социального графа: есть

Мессенджер Signal разработан американским стартапом Open Whisper Systems, где, кроме двоих основателей, работает всего несколько человек. Для шифрования сообщений используется созданный специально для него криптографический протокол - Signal Protocol . Он применяется для сквозного (end-to-end) шифрования звонков (голосовых и видео), а также обычных сообщений. Протокол Signal с тех пор стали использовать и другие мессенджеры: WhatsApp, Facebook Messenger, Google Allo.

Казалось бы, в этом случае любой мессенджер может стать таким же безопасным, как и Signal. Но, как показывает практика, - нет. В отличие от Signal, где шифрование включено по умолчанию, в этих мессенджерах оно выключено. Для его включения в Facebook Messenger нужно активировать Secret Conversations, а в Google Allo - режим инкогнито (Incognito Mode).

Хоть Signal и централизованный, но код открыт и распространяется по свободной лицензии. У Signal есть поддержка групповых E2EE-чатов, защита социального графа, поддерживаются исчезающие по таймеру сообщения .

Однако не стоит путать защиту с анонимностью. Signal не анонимен: при регистрации нужно указывать номер телефона, к которому мессенджер и привязывается. Что касается исчезающих сообщений, то эта фишка встречается и в других мессенджерах, например в Viber и Telegram (в меню секретного чата нужно выбрать команду Set self-destruct timer).