Обзор политик безопасности популярных мессенджеров

Хорошо, когда все данные защищены и можно быть более-менее уверенным, что сервисы для общения предоставляют надежные политики безопасности и конфиденциальности. Хорошо понимать, как компании поступят с информацией о пользователях в тех или иных случаях. Для этого нужно быть осведомленным о том, что об этом думают сами компании. Аналитический отдел Falcongaze постарался облегчить вам эту задачу и сделал обзор 5 популярных мессенджеров: Viber, WhatsApp, Telegram, Facebook Messenger, Signal.  

Viber

• Политики безопасности

На главной странице сайта компания пишет, что своей основной миссией считает защиту приватности общения пользователей, чтобы им не пришлось выбирать, какие темы можно обсуждать в Viber. Именно поэтому все личные и групповые чаты защищены сквозным шифрованием. Это предполагает, что вся информация шифруется в момент отправки и расшифровывается в момент приема на устройстве получателя. Viber акцентирует внимание на том, что технология работает только во время пересылки.

«Как только сообщение доставлено, любой человек, который имеет доступ к вашему устройству, может прочитать его».

Даже у Viber нет доступа к сообщениям пользователей. На серверах переписка также не хранится.

Однако сообщения в чат-ботах не шифруются.

Сквозное шифрование используется в приложениях iOS, Android и для компьютера, начиная с версии 6.0. Однако компания гарантирует работу технологии только на актуальных версиях, а потому советует своевременно обновлять приложение.

Насчет сквозного шифрования высказался «Хакер» в 2017 году. В статье говорится, что сквозное шифрование действует до того момента, пока у злоумышленника нет физического доступа к вашему устройству. Как только он появится, преступник может дать себе доступ к вашей переписке, а вы этого и не заметите.

Чаты в сообществах Viber защищены SSL-шифрованием, которое обеспечивает зашифрованную связь между веб-сервисом и браузером.

Что касается голосовых сообщений, то Viber пишет, что на каждом устройстве создается ключ на одну сессию вызова. Сессионный ключ действует только на протяжении звонка и не сохраняется. Поток RTP аудио- или видеозвонка далее конвертируется в SRTP и шифруется с помощью алгоритма Salsa20, используя сессионный ключ.

Особенностью Viber является концепция вторичных устройств – ПК, iPad или планшет, которые синхронизированы с мобильным телефоном пользователя и видят ту же историю сообщений. Viber описывает работу сквозного шифрования следующим образом: ключ генерируется отдельно для каждого устройства, то есть если у получателя приложение установлено на двух девайсах, то у отправителя создаются ключи отдельно для каждого из них.

Идентификация происходит один раз для всех аккаунтов с помощью ID-ключа, который является одинаковым для всех устройств одного и того же аккаунта. Он генерируется основным девайсом и распространяется на вторичные. Идентификация помогает удостовериться, что злоумышленники не используют атаку Man-in-the-middle.

У Viber есть секретные чаты, где можно установить таймер самоуничтожения для каждого сообщения. В них делать скриншоты либо совсем невозможно, либо пользователям из чата покажут уведомление о том, что кто-то сделал скриншот. Сообщения в секретном чате нельзя переслать. Недавно Viber объявил, что исчезающие сообщения и защита от скриншотов теперь доступны и в обычных чатах.

Однако Viber не поддерживает функцию двухфакторной аутентификации с помощью кодов, отпечатка пальца или другого способа верификации.

• Политики конфиденциальности

Viber уверяет, что не читает и не прослушивает содержание сообщений или звонков, а также не хранит их после того, как они были доставлены. Компания собирает минимальное количество данных: регистрационные данные (имя, адрес электронной почты, дата рождения, возраст, номер телефона и иногда платежная информация), информация из соцсетей (в случае, если вы получаете доступ к Viber через, например, ВКонтакте, вы соглашаетесь предоставить компании доступ к информации с таких сайтов – к публичному профилю, списку друзей, электронной почте, месту проживания, информации о работе, образовании, интересах), информация об активности (статус соединения, информация об получении и просмотре сообщений, информация об входящих и исходящих звонках, их длина), информация об используемом устройстве (ID телефона, IP-адрес сеанса связи, информация об ОС, браузере, мобильном операторе).

Кстати, операционный директор Viber в своем интервью в 2018 году заверил, что в случае, если к компании обратятся спецслужбы с просьбой предоставить ключи дешифрования, то Viber не сможет их предоставить, потому что не видит их и не хранит.

• Утечки, взломы, уязвимости?

Судя по всему, за последние несколько лет в Viber не происходили утечки или взломы. Последний крупный инцидент случился аж в 2013 году, когда «сирийская электронная армия» сообщила о взломе Viber, обвинила его в шпионаже и предложила пользователям удалить приложение. Представители белорусско-израильской компании подтвердили факт взлома, но сообщили, что злоумышленники получили доступ только к панели управления системой поддержки пользователей. Хакеры не смогли получить данные о пользователях.

В 2017 году в Viber обнаружили уязвимость, которая позволяла прослушивать чужой разговор. В течение нескольких месяцев компания исправила эту проблему.

WhatsApp

• Политики безопасности

WhatsApp уверенно заявляет, что конфиденциальность и безопасность у них в ДНК.

Также, как и Viber, WhatsApp использует сквозное шифрование, которое гарантирует, что содержание сообщения доступно только участникам переписки. Даже WhatsApp не в курсе, о чем вы ведете разговор. Компания пишет, что все сообщения защищены протоколом шифрования Signal, который создан для того, чтобы не дать третьим лицам и самой компании доступ к содержанию сообщений и звонков.

Чтобы начать общение с пользователем WhatsApp, клиенту сначала нужно создать зашифрованную сессию. После того, как она создана, клиенты начинают обмениваться сообщениями. Они защищены специальным Message Key, который использует AES 256 (симметричный алгоритм блочного шифрования) в режиме CBC для шифрования и HMAC-SHA256 (алгоритм хеширования) для аутентификации.

Аудио- и видеозвонки также зашифрованы.

У каждого чата WhatsApp есть свой код безопасности, который можно найти в разделе «Данные контакта». Он представлен в виде либо QR-кода, либо 60-значного числа. Участники чата могут сравнить коды, чтобы убедиться, что их сообщения зашифрованы. Как пишет компания, код безопасности – это всего лишь видимая версия общего ключа чата. Сам ключ всегда держится в секрете.

Что касается платежной информации, WhatsApp пишет, что она хранится в зашифрованном виде в надежно защищенной сети. Однако сквозное шифрование не используется во время обработки платежей.

В WhatsApp предусмотрена функция «двухшаговой проверки». Она представляет собой шестизначный PIN-код, который вводит сам пользователь. При включении этой функции есть возможность указать адрес электронной почты, который может пригодится, если пользователь забудет PIN-код. Помните, что он отличается от регистрационного кода, который обычно приходит в SMS или по телефону.

В отличие от Viber, аккаунт WhatsApp подтверждается только на одном устройстве и только на одном номере телефона. В случае потери доступа к телефону, деактивация WhatsApp с другого устройства невозможна, как сообщает компания у себя на сайте.

У WhatsApp также есть функция исчезающих сообщений, которая включается вручную. Сообщения в групповом или индивидуальном чате будут исчезать спустя 7 дней. Такое сообщение можно переслать, скопировать его содержание и сохранить, а также сделать его скриншот, а другой пользователь не будет об этом знать.

Кстати, сообщения из WhatsApp хранятся у пользователя на телефоне, а не на серверах компании. Однако так происходит, если сообщение было доставлено пользователю. Если пользователь не находился в сети и сообщение не было доставлено, то оно хранится на серверах компании в течение 30 дней. После – оно будет удалено.

• Политики конфиденциальности

WhatsApp получает и собирает информацию в процессе работы и предоставления своих услуг. Он считывает информацию из аккаунта пользователя (телефонные номера, контакты, имя, фото профиля, сообщение из статуса), данные об использовании сервиса (диагностическая информация, информация о производительности), платежную информацию (подтверждения платежей), информацию об устройстве (модель, ОС, данные браузера, IP-адрес, мобильная сеть, номер телефона, идентификатор устройства), информацию о местоположении (если вы используете функцию определения местоположения), файлы cookie.

WhatsApp пишет, что будет собирать, хранить и передавать информацию, если она необходима для выполнения судебных приказов или запросов государственных органов, выявления и пресечения мошенничества и другой незаконной деятельности, а также для защиты прав собственности и безопасности пользователей, группы компаний Facebook или других лиц.

В случае, если правоохранительные органы обратились в компанию с требованием предоставить информацию о конкретном пользователе, и у них есть ордер, то WhatsApp оставляет за собой право уведомить об этом пользователя, если иное не предусмотрено законодательством.

В начале 2021 года WhatsApp обновили политику конфиденциальности. Всех пользователей поставили перед выбором: либо делиться персональными данными с Facebook, либо потерять возможность пользоваться мессенджером. Это вызвало отток пользователей. Они стали переходить на другие платформы – Signal, Telegram и т.д. В WhatsApp поспешили заверить пользователей, что данные изменения никак не влияют на конфиденциальность переписки.

• Утечки, взломы, уязвимости?

В мае 2019 года случилась крупная кибератака через видеозвонки в WhatsApp. С помощью уязвимости в системе видеозвонков злоумышленники отправляли вредоносные программы на устройства некоторых пользователей приложения. Не нужно было даже отвечать на звонок, чтобы стать жертвой атаки. Компания обновила защиту своей системы и предприняла дополнительные меры на основании полученной информации. В случившемся обвинили NSO Group – израильскую компанию, которая производит шпионское ПО.

В январе 2020 по сети распространилась новость о взломе основателя Amazon Джеффа Безоса через WhatsApp. По словам Павла Дурова, причиной стала уязвимость мессенджера. Хотя по отчету, предоставленному в ОНН, взлом аккаунта Безоса случился в ходе его переписки с наследным принцем Саудовской Аравии Мухаммедом ибн Салманом. Безос получил видеофайл с вирусом. Злоумышленники выгрузили большое количество информации с телефона владельца Amazon. Посольство Саудовской Аравии отрицало причастность страны к инциденту.

Один из специалистов информационной безопасности в июне 2020 года обнаружил, что один из доменов мессенджера (wa.me) сливает номера телефонов пользователей, а Google их индексирует. По словам исследователя, уязвимость была вызвана отсутствием файла robot.txt, в котором должны прописываться команды роботам не индексировать телефонные номера.

Telegram

• Политики безопасности

Telegram не пишет про то, что безопасность у него в крови, но тем не менее заявляет, что он гораздо безопаснее других мессенджеров. Он основан на протоколе MTProto, который создан для доступа к серверным API с мобильных приложений. Компания подчеркивает, что веб-браузер не является таким приложением. Протокол состоит из трех независимых компонентов: высокоуровневый компонент (язык запросов к API), криптографический (авторизационный) компонент и транспортный (способ передачи сообщений).

Павел Дуров и другие программисты Telegram разработали этот протокол. Они считают, что он надежен и обеспечивает скорость передачи больших файлов.

Telegram оснащен секретными чатами, которые используют шифрование «от устройства до устройства». В них предусмотрена функция самоуничтожения. Однако, если собеседник не находится онлайн, то сообщение не будет доставлено. Секретные чаты доступны только на тех устройствах, на которых они созданы. Если вы создадите секретный чат в приложении на телефоне, то не обнаружите его в версии для компьютера.

В приложении используется два слоя шифрования. Как объясняет Telegram, в обычных и групповых чатах используется шифрование клиент-сервер, а в секретных – клиент-клиент. Все данные всегда надежно зашифрованы.

«Шифрование основано на 256-битном симметричном шифровании AES, шифровании RSA 2048 и обмене ключами методом Диффи-Хеллмана».

Однако, если у злоумышленников есть физический доступ к вашему устройству, то шифрование вряд ли поможет.

Тем не менее у приложения есть функция двухэтапной авторизации. Помимо ввода кода из SMS нужно будет самостоятельно придумать дополнительный пароль.

Telegram пишет, что приложение является устойчивым к атакам на основе открытых текстов, атакам на основе адаптивно подобранного открытого текста, атакам на основе подобранного шифротекста, атакам повторного воспроизведения, атакам Man-in-the-middle.

Методы безопасности Telegram описаны хорошо, однако специалисты SecurityLab в 2018 провели исследование безопасности мессенджера и выяснили, что у него были проблемы в протоколе. При помощи командной строки эксперты смогли подключиться к другим контактам и обнаружить интервалы общения.

• Политики конфиденциальности

Как пишет компания, у Telegram есть 2 фундаментальных принципа относительно работы с данными о пользователях. Во-первых, компания не использует ее, чтобы показывать рекламу. Во-вторых, она хранит только те данные, которые необходимы для функционирования мессенджера в качестве безопасного и многофункционального сервиса.

Telegram считывает данные из аккаунта пользователя (номер телефона, имя профиля, фотографию и дополнительную информацию). Когда вы активируете двухэтапную авторизацию или храните документы, используя Telegram Passport, вы можете привязать к аккаунту свою электронную почту на случай, если потребуется восстановить пароль. Компания подчеркивает, что email будет использован только с этой целью. Никаких сообщений вроде «we miss you» и прочего.

Telegram также хранит и сообщения пользователей. Компания пишет, что она является облачным сервисом. Она хранит сообщения, фото, видео и документы из облачных чатов пользователей для того, чтобы они могли получить доступ к ним с любого устройства. В политике указывают, что все данные хранятся в зашифрованном виде.

Сообщения из секретных чатов не хранятся на серверах компании. Что касается документов, фотографий и видео, то они хранятся в зашифрованном виде, но компания периодически чистит свои серверы от таких файлов, чтобы сохранить место на дисках.

В приложении есть возможность создавать ботов. Важно заметить, что они независимы от Telegram, поэтому могут собирать информацию отличную от той, которую считывает мессенджер. Однако они обязаны запрашивать разрешение. Лучшим выходом будет прочтение политики конфиденциальности ботов перед тем, как предоставить им свои данные.

Если Telegram получит постановление суда, согласно которому некий пользователь N – террорист, его IP-адрес и номер телефона будут раскрыты правоохранительным органам.

• Утечки, взломы, уязвимости?

В 2019 году специалисты компании Symantec обнаружили, что в Telegram есть возможность для злоумышленников подменять файлы, которые передаются через мессенджер. Это происходило из-за использования внешнего хранилища.

В 2020 году специалисты по информационной безопасности обнаружили, что через Telegram-каналы веб-скиммеры стали извлекать пользовательские данные. Внедренные скрипты собирали всю платежную информацию. Ее получал специальный Telegram-бот и передавал в чат в виде обыкновенных сообщений.

Также в 2020 году у Telegram случилась утечка пользовательских данных, 70% их них принадлежали пользователям из Ирана, а 30% - из России. По словам компании, утечка случилась из-за злоупотребления функцией импорта контактов. В Telegram также добавили, что 60% базы данных не актуальны. Однако SecurityLab сообщила, что в 2020 утечек было несколько. Одна случилась в июне – про нее больше всего говорили, вторая произошла в мае – утекло сразу две базы данных.

Facebook Messenger

• Политики безопасности

На своей главной странице Facebook пишет, что то, с кем вы общаетесь и чем делитесь должно быть известно только вам. Компания работает над тем, чтобы Messenger был безопасным и приватным.

В мессенджере предусмотрена функция дополнительной безопасности. Если функция активна, то открыть приложение можно будет с помощью отпечатка пальца либо распознавания лица. Если возникнут проблемы с входом, то нужно будет ввести специальный код, который устанавливает пользователь заранее.

В Messenger предусмотрена двухфакторная аутентификация с помощью специального кода для входа. Его нужно будет подтверждать каждый раз при входе в аккаунт с нового устройства. Также можно настроить функцию получения уведомлений, если будет совершена попытка входа с нового устройства.

К безопасности компания применяет так называемый глубокий подход. Это означает, что Messenger накладывает несколько слоев защиты, чтобы подойти к предотвращению утечек и устранению уязвимостей с разных сторон. Компания пишет, что старается постоянно совершенствовать свою защиту. Она ищет, находит и исправляет разные баги.

Защита Messenger состоит из пяти компонентов:

1. Secure frameworks (эксперты безопасности пишут библиотеки и создают новые языки программирования, чтобы устранить большое количество багов – так компания преобразовала язык PHP в Hack);
2. Automated testing tools (инструменты постоянного анализа кода; например, в Facebook есть инструмент статистического анализа, который проверяет исходный код, и инструмент динамического анализа, который проверяет код на ошибки во время работы программы);
3. Peer & design reviews (все изменения в коде проходят обязательную проверку у экспертов);
4. Red team (команда специалистов, которая ищет уязвимости и придумывает, как еще можно взломать приложение);
5. Bug bounty program (компания вовлекает все сообщество информационной безопасности, чтобы улучшать свой продукт).

В 2019 году Facebook инвестировала в создание Центра Этики Искусственного Интеллекта и Информационных Систем вместе с Техническим университетом Мюнхена. Целью Центра было создание ИИ для решения критических вопросов конфиденциальности и безопасности.

В Messenger есть возможность начать секретную переписку, в которой можно отправлять сообщения, изображения, голосовые записи и видео. Она не поддерживает групповые сообщения, аудио- и видеовызовы, платежи. Сообщения в таких чатах защищены сквозным шифрованием. Секретная переписка также привязана к устройству. Если пользователь заходит в аккаунт с нового устройства, то на нем не будут показаны предыдущие секретные переписки, пока он не добавит новое устройство в доверенные.

В секретном чате есть функция самоуничтожения сообщений.

• Политики конфиденциальности

Facebook считывает информацию и контент, которые предоставляет пользователь, сообщества, на которые он подписан, платежную информацию (сведения о покупке и транзакции), информацию с устройств (ОС, версии ПО, уровень заряда аккумулятора, сила сигнала, объем доступной памяти, тип браузера, имена и типы приложений, ID устройств, игр, приложений и аккаунтов, ближайшие точки доступа Wi-Fi, мобильный оператор, язык, часовой пояс, номер мобильного телефона, IP-адрес, скорость соединения, файлы cookie). Также компания получает информацию о пользователях от партнеров, которые используют инструменты для бизнеса Facebook.

Эта информация используется для персонализации продуктов компании, а также для их улучшения. По словам Facebook, эти данные помогают в продвижении безопасности, целостности и защиты, а также в целях исследования и инноваций для общего блага.

 Рекламу компания предоставляет пользователям на основе их действий в продуктах Facebook, взаимодействия с другими компаниями, их действий на других сайтах и местоположении. Компания пишет, что, когда рекламодатель выбирает целевую аудиторию, она учитывает его пожелания, но не продает и не передает ему сведения о пользователях.

Facebook не разглашает данные о пользователях без их разрешения, кроме тех случаев, если этого требует закон.

Напомним, что в 2019 году Facebook стал менять стратегию в отношении пользовательских данных, так как все меньше людей использовали продукты компании. Цукерберг выложил на платформе пост, в котором описал новые принципы компании: личная переписка должна оставаться личной, использование сквозного шифрования, со временем информация о пользователях должна удаляться (Facebook больше не хранит сториз и переписку дольше, чем это необходимо), безопасность пользователей как основа их доверия компании, удобство использования продуктов, безопасное хранение данных.

• Утечки, взломы, уязвимости?

В сентябре 2018 года хакеры обнаружили уязвимость, которая поставила под угрозу данные 50 млн пользователей. Уязвимость позволяла получить доступ к личной информации. Марк Цукерберг заявил, что ни один аккаунт не был скомпрометирован. В целях безопасности Facebook вывели пользователей из системы, чтобы те снова ввели свои данные для входа, чтобы переустановить токены.

В марте 2019 года в Messenger нашли уязвимость, которая позволяла хакерам использовать браузер пользователя, чтобы увидеть, с кем он общался. К ноябрю проблема была исправлена.

В ноябре 2020 года специалист Google Project Zero Натали Сильванович обнаружила уязвимость в Messenger, которая позволяла злоумышленникам подключаться к звонкам пользователей и совершать аудиовызовы без их ведома. Эксперт сообщил, что проблема была связана с Session Description Protocol, который являлся частью WebRTC, и обрабатывал данные сессий. На данный момент уязвимость уже исправлена.

Signal

• Политики безопасности

Каждый чат в Signal оснащен индивидуальным кодом безопасности. С его помощью можно проверять защищенность сообщений и звонков. Если код безопасности был изменен, то Signal уведомит вас об этом. Компания пишет, что это позволяет проверять конфиденциальность коммуникаций с собеседником, а также защищаться от атак Man-in-the-middle.

Уведомление о коде безопасности отображается, когда у собеседника меняется телефон или он повторно устанавливает приложение.

Коды безопасности можно сравнить. Для этого нужно отсканировать QR-код собеседника на экране просмотра кода безопасности. Его также можно просмотреть, прослушать или скопировать в буфер обмена.

Проверенный код безопасности помечается галочкой рядом с именем собеседника.

Signal выложил в открытый доступ все библиотеки кодов, которые они используют. Компания также описала метод своего шифрования в 4-х документах:

• XEdDSA и VXEdDSA (создание подписей, совместимых с EdDSA, используя открытые и закрытые ключи);
• Extended Triple Diffie-Hellman (протокол, с помощью которого устанавливается секретный ключ для двух сторон; аутентификация происходит на основе открытого ключа);
• Double Ratchet (алгоритм, который используется для обмена сообщениями с помощью секретного ключа; ключ создается для каждого нового сообщения так, чтобы его нельзя было рассчитать, опираясь на предыдущие ключи);
• Sesame (алгоритм управления зашифрованными сессиями в режиме асинхронии и с использованием нескольких устройств).

У Signal есть специальный PIN-код, с помощью которого можно в будущем восстановить свой аккаунт. Он не привязан к номеру телефона и к серверам Signal. Также компания подчеркивает, что он не является резервной копией данных.

В мессенджере есть функция приватных групп. Signal пишет, что не имеет информации об участниках групп, ее названии, аватаре и других атрибутах. Сервер Signal также не знает о том, кто состоит в группах, потому что списки зашифрованы.

Signal пишет, что аудио- и видеозвонки защищены сквозным шифрованием.

• Политики конфиденциальности

Компания пишет, что не собирает и не хранит информацию о пользователях. Все сообщения зашифрованы, а потому недоступны для Signal и третьих лиц. Все, что пользователь отправляет – сообщения, фотографии, файлы – хранятся на локальном устройстве. То же самое касается и контактов пользователей. Эта информация доступна только на устройстве пользователя.

Информация, которой вы делитесь с Signal, включает следующие данные: данные из аккаунта (номер телефона), случайно сгенерированные токены аутентификации, ключи, push-токены и другая информация, которая необходима для совершения звонков и передачи сообщений. Signal минимизирует эту информацию настолько, насколько это возможно.

Signal также может дополнительно найти, кто из списка ваших контактов зарегистрирован в мессенджере. В этом случае информация о контактах будет криптографически хеширована, после чего отправлена на сервер.

Signal подчеркивает, что они создавали приложение так, чтобы информация находилась под контролем пользователя, а не компании. У них нет данных о пользователях, записанных открытым текстом, – данных о контактах, имени профиля, местонахождении, участия в группах, их названиях и аватарках, а также собеседниках переписки.

Однако Signal взаимодействует с третьими лицами, чтобы предоставлять пользователям некоторые из своих сервисов. Например, код верификации при регистрации присылает не компания, а третьи лица, которые связаны своей политикой конфиденциальности, а потому должны защищать вашу информацию.

Если вы используете такие сервисы, как YouTube, Spotify, Giphy и другие вместе с сервисами Signal, то в таком случае вы попадаете под политики конфиденциальности сторонних сервисов.

• Утечки, взломы, уязвимости?

В 2019 году эксперт по безопасности обнаружил уязвимость в Signal, которая давала возможность звонить на телефон жертвы, а жертве не нужно было самостоятельно поднимать телефон, чтобы ответить. Хакер делал это за нее – это позволяло подслушивать, что происходит вокруг пользователя. На данный момент уязвимость уже исправлена.

А в декабре 2020 на сайте BBC появилась новость о том, что израильская компания Cellebrite заявила о взломе шифрования мессенджера. Signal опубликовала опровержение, в котором говорится, что Cellebrite не могла взломать шифрование и никогда об этом не заявляла. Signal заявили, что то, что описала Cellebrite в своем блоге было простой операцией, для которой требуется физический доступ к устройству пользователя, а потому пост выглядел жалко.

Аналитический отдел Falcongaze заботится о безопасности и конфиденциальности пользователей, а потому надеется, что данный обзор поможет в выборе мессенджера для переписки. Знайте, какую информацию и кому вы доверяете.