# Threema

Threema é uma aplicação paga de mensagens instantâneas criptografadas multiplataforma desenvolvido pela Threema GmbH na Suíça e lançado em 2012. O serviço opera numa arquitetura descentralizada e oferece criptografia ponta a ponta. Os utilizadores podem fazer chamadas de voz e vídeo, enviar fotografias, arquivos e notas de voz, compartilhar locais e formar grupos. Ao contrário de muitas aplicações populares de mensagens seguras, o Threema não exige números de telemóvel ou endereço de e-mail para registo, apenas uma compra única que pode ser paga através de uma loja de aplicações ou anonimamente com Bitcoin ou dinheiro.
Threema está disponível para iOS e Android e possui clientes para Windows, macOS, Linux, e pode ser acedido via navegador web, mas requer uma aplicação móvel para funcionar.

## Características

O serviço afirma ser baseado nos princípios de privacidade desde a conceção, não exigindo um número de telefone ou outras informações de identificação pessoal. Isso ajuda a anonimizar os utilizadores até certo ponto.
Threema usa um ID de utilizador, criado após o lançamento inicial do aplicativo por um gerador aleatório, em vez de exigir um endereço de e-mail ou um número de telemóvel vinculado para enviar mensagens. É possível encontrar outros utilizadores por número de telefone ou endereço de e-mail se o utilizador permitir que a aplicação sincronize a sua agenda de contactos. Vincular um número de telefone ou endereço de e-mail a um ID Threema é opcional. Portanto, o serviço pode ser usado anonimamente. Os utilizadores podem verificar a identidade dos seus contactos do Threema digitalizando o seu código QR quando se encontrarem fisicamente. O código QR contém a chave pública do utilizador, que está criptograficamente vinculada ao ID e não será alterada durante a vida da identidade. Usando esse recurso de autenticação forte, os utilizadores podem garantir que possuem a chave pública correta dos seus parceiros de chat, o que fornece segurança adicional contra ataques man-in-the-middle. O Threema possui três níveis de autenticação (níveis de confiança da identidade do contacto). O nível de verificação de cada contacto é exibido no aplicativo Threema como pontos ao lado do contacto correspondente.
Para além de mensagens de texto, os utilizadores podem fazer chamadas de voz e de vídeo, enviar multimédia, localizações, mensagens de voz e ficheiros. Uma versão do aplicativo da web, Threema Web, pode ser usada em dispositivos desktop, mas apenas enquanto o telefone com a instalação do Threema do utilizador estiver online. Existe uma versão beta para usuários de iOS, onde é possível deixar o telefone offline e ainda usar o aplicativo para desktop.
Para além de de chats individuais, o Threema oferece chats em grupo para até 256 pessoas. Os utilizadores podem fazer chamadas de voz e de vídeo, enviar mensagens de texto e voz, multimédia, localizações e ficheiros de qualquer tipo (até 50 MB por ficheiro). Também é possível criar sondagens em chats pessoais ou de grupo.

## Programas

O Threema é desenvolvido pela empresa suíça Threema GmbH. Os servidores estão na Suíça e o desenvolvimento é baseado em Pfäffikon SZ. Em maio de 2021, o Threema tinha 10 milhões de utilizadores e a versão empresarial, Threema Work, era usada por 2 milhões de utilizadores em 5.000 empresas e organizações.
No final de julho de 2021, a Threema introduziu a capacidade para as empresas hospedarem o mensageiro nos seus próprios servidores, destinado principalmente a empresas com preocupações de privacidade significativamente elevadas.

### Clientes

Com o Threema Web, um cliente para navegadores da web, o Threema pode ser usado em outros dispositivos, como computadores desktop, embora apenas enquanto o dispositivo original estiver online.
Threema suporta opcionalmente smartwatches Android Wear e Android Auto. Threema lançou um suporte para videochamadas criptografadas de ponta a ponta em 10 de agosto de 2020. As chamadas são de pessoa para pessoa, com chamadas em grupo indisponíveis.
O aplicativo não permite a auto-eliminação de mensagens após período definido pelos interlocutores. O aplicativo impede capturas de tela em conversas quando configurado para isso.

### Arquitetura

Toda a comunicação via Threema é criptografada de ponta a ponta. Durante a configuração inicial, o aplicativo gera um par de chaves e envia a chave pública ao servidor, mantendo a chave privada no dispositivo do utilizador. A aplicação então criptografa todas as mensagens e ficheiros enviados a outros utilizadores do Threema com as suas respetivas chaves públicas. Depois de uma mensagem ser entregue com sucesso, ela é imediatamente excluída dos servidores.
O processo de criptografia usado pelo Threema é baseado na biblioteca de código aberto NaCl. Threema usa criptografia assimétrica baseada em CCE, com força de 256 bits. Threema oferece um recurso de "Registo de validação" que permite confirmar se as mensagens são criptografadas de ponta a ponta usando a biblioteca de Rede e Crioptografia NaCl. Em agosto de 2015, o Threema foi submetido a uma auditoria externa de segurança. Investigadoresdo cnlab confirmaram que o Threema permite criptografia segura de ponta a ponta e alegaram que não conseguiram identificar quaisquer pontos fracos na implementação. Os investigadores do cnlab também confirmaram que o Threema fornece anonimato aos seus utilizadores e lida com os contactos e outros dados do utilizador conforme anunciado.

## História

A Threema foi fundada em dezembro de 2012 por Manuel Kasper. A empresa foi inicialmente denominada de Kasper Systems GmbH. Martin Blatter e Silvan Engeler foram posteriormente recrutados para desenvolver uma aplicação Android que foi lançada no início de 2013.
No verão de 2013, as revelações de Snowden ajudaram a criar interesse na Threema, aumentando o número de utilizadores para centenas de milhares. Quando o Facebook assumiu o controle do WhatsApp em fevereiro de 2014, a Threema conquistou 200 mil novos utilizadores, duplicando a sua base de utilizadores em 24 horas. Cerca de 80% desses novos utilizadores vieram da Alemanha. Em março de 2014, Threema tinha 1,2 milhões de utilizadores.
Na primavera de 2014, as operações foram transferidas para a recém-criada Threema GmbH.
Em dezembro de 2014, a Apple listou a Threema como a aplicação mais vendida de 2014 na App Store alemã.
Em 2020, a Threema expandiu-se com videochamadas, planeia abrir o código-aberto das suas aplicações do lado do cliente e introduzir versões reproduzíveis deles, bem como introduzir o Threema Education, uma variação do Threema destinada a instituições de ensino.
Durante a segunda semana de 2021, a Threema viu uma quadruplicação dos downloads diários estimulados por polémicas mudanças de privacidade no serviço de mensagens WhatsApp. Um porta-voz da empresa também confirmou que a Threema alcançou o topo dos rankings de aplicações pagas na Alemanha, Suíça e Áustria. Esta tendência continuou na terceira semana do ano, com o responsável de Marketing & Vendas a confirmar que os downloads aumentaram dez vezes mais do que o normal, levando a “centenas de milhares de novos utilizadores todos os dias”.
Em outubro de 2022, investigadores da ETH Zurique relataram múltiplas vulnerabilidades que afetam a segurança do Threema contra ataques baseados em rede, servidor e cliente. Uma nova versão corrigindo esses problemas foi lançada em novembro de 2022 e as vulnerabilidades foram anunciadas publicamente em janeiro de 2023.

## Produtos relacionados

Threema Work: Em 25 de maio de 2016, a Threema Work, uma versão corporativa do Threema, foi lançada. A Threema Work oferece recursos estendidos de administração e implantação. A Threema Work é baseada num modelo de assinatura anual.
Threema Gateway: Em 20 de março de 2015, a Threema lançou um gateway para empresas. Semelhante a um gateway SMS, as empresas podem usá-lo para enviar mensagens aos utilizadores que possuem a Threema instalada. O código do Threema Gateway SDK está aberto para programadores e disponível no GitHub.
Threema Broadcast: Em 9 de agosto de 2018, a Threema lançou a Threema Broadcast, uma ferramenta para comunicação de cima para baixo. Semelhante aos e-mails em boletins informativos eletrónicos, as mensagens da Threema podem ser enviadas para qualquer número de assinantes do feed, e a Threema Broadcast permite criar chatbots.
Threema Education: Em 10 de setembro de 2020, a Threema lançou a Threema Education, uma versão do seu mensageiro voltada para instituições de ensino. A aplicação integra a Threema Broadcast e exige um pagamento único para cada dispositivo usado. Destina-se ao uso por professores, alunos e pais.
Threema OnPrem: Em 27 de julho de 2021, a Threema lançou a Threema OnPrem, uma versão do mensageiro que poderia ser hospedada nos servidores da própria empresa para fins de segurança máxima.

## Privacidade

Como os servidores da Threema estão localizados na Suíça, eles estão sujeitos à lei federal suíça sobre proteção de dados. O data center é certificado pelo ISO/IEC 27001. Vincular um número de telefone e/ou endereço de e-mail a um ID Threema é opcional; ao fazer isso, apenas os valores de soma de verificação (SHA-256 HMAC com uma chave estática) do endereço de e-mail e/ou número de telefone são enviados para o servidor. Devido ao pequeno número de combinações possíveis de dígitos de um número de telefone, o número de telefone associado a uma soma de verificação poderia ser determinado por força bruta. Os dados transmitidos são protegidos por TLS. Os dados do catálogo de endereços são mantidos apenas na memória volátil do servidor e são excluídos imediatamente após a sincronização dos contactos. Se um utilizador optar por vincular um número de telefone ou endereço de e-mail ao seu ID Threema, ele poderá remover o número de telefone ou endereço de e-mail a qualquer momento. Caso um utilizador perca o seu dispositivo (e a sua chave privada), ele poderá revogar o seu ID Threema se uma senha de revogação para esse ID tiver sido definida.
Os grupos são geridos exclusivamente nos dispositivos dos utilizadores e as mensagens de grupo são enviadas a cada destinatário como uma mensagem individual, encriptada com a respetiva chave pública. Assim, as composições dos grupos não são expostas diretamente ao servidor.
Os dados (incluindo ficheiros de média) armazenados nos dispositivos dos utilizadores são criptografados com AES 256. No Android, ele também pode ser protegido por uma palavra-passe.
Desde 2016, que a Threema GmbH publica um relatório de transparência onde são divulgadas os pedidos de informação das autoridades públicas.
Em 9 de março de 2017, a Threema foi listada no "Registo de organizadores de divulgação de informações na Internet" operado pelo Serviço Federal de Supervisão de Comunicações, Tecnologia da Informação e Meios de Comunicação de Massas da Federação Russa.
Em resposta, um porta-voz da Threema declarou publicamente: “Operamos sob a lei suíça e não temos permissão nem estamos dispostos a fornecer qualquer informação sobre os nossos utilizadores a autoridades estrangeiras”.
Em 29 de abril de 2021, a Threema ganhou um caso significativo no Supremo Tribunal Federal da Suíça contra o Departamento Federal Suíço de Polícia e Justiça, que desejava classificar a empresa como uma provedora de telecomunicações. Se tivessem perdido o caso, a Threema teria a obrigação legal de identificar os utilizadores e enviar as informações sobre os seus utilizadores às autoridades.
A partir de janeiro de 2022, as Forças Armadas Suíças sugeriram que as tropas deveriam usar a Threema em vez do WhatsApp, Telegram e Signal, citando o facto da Threema estar sediada na Suíça sem servidores nos Estados Unidos e, portanto, não sujeito à Lei CLOUD, prometendo também que os soldados seriam reembolsados pelo custo.

## Receção

Em fevereiro de 2014, a organização de consumidores alemã Stiftung Warentest avaliou vários aspectos de proteção de dados da Threema, WhatsApp, Telegram, BlackBerry Messenger e Line. Considerou a segurança da transmissão de dados entre clientes, os termos de uso dos serviços, a transparência dos prestadores de serviços, a disponibilidade do código-fonte e a disponibilidade geral das aplicações. A Threema foi a única aplicação classificada como 'não crítica' (unkritisch) em relação à proteção de dados e à privacidade, mas perdeu pontos devido à sua natureza de código fechado, embora isso tenha mudado para os seus clientes frontend desde o final de 2020.
Em conjunto com a Cryptocat e a Surespot, a Threema ficou em primeiro lugar num estudo que avalia a segurança e usabilidade de software de criptografia de mensagens instantâneas, conduzido pelo Grupo PSW Alemão em junho de 2014
Em novembro de 2015, Threema obteve uma pontuação de 6 em 7 pontos no - agora retirado e desatualizado - "Quadro de Resultados de Mensagens Seguras" da Electronic Frontier Foundation. Recebeu pontos por ter comunicações criptografadas em trânsito, ter comunicações criptografadas com chaves às quais o provedor não tem acesso (ou seja, ter criptografia ponta a ponta), possibilitar aos utilizadores verificar de forma independente a identidade dos seus correspondentes, ter comunicações passadas seguras se as chaves forem roubadas (ou seja, implementação de sigilo direto), ter o seu projeto de segurança bem documentado e ter concluído uma auditoria de segurança independente. A Threema perdeu um ponto porque o seu código-fonte não estava aberto à revisão independente (ou seja, não era de código aberto, embora no final de 2020 as suas aplicações front-end fossem de código aberto, deixando apenas o seu componente de servidor de código fechado).