По данным на осень 2021 года в тройку наиболее популярных мессенджеров в России входят WhatsApp, Viber и Telegram. Давайте выясним уровень конфиденциальности и безопасности каждого из них. Сделать это можно, только сравнив их с другими приложениями, поэтому рассмотрим также Skype, Facebook Messenger и ряд малоизвестных у нас мессенджеров: Signal, Riot, Threema, Wickr Me, Wire, Session. А еще возьмем популярный у обладателей «яблочных» устройств iMessage. Несмотря на сходство в значениях, безопасность и конфиденциальность — вещи разные. Под конфиденциальностью в IT подразумевается отсутствие доступа к вашей информации любых сторонних лиц, включая даже разработчиков приложений. Под безопасностью — защита информации от распространения после ее сбора приложением. Таким образом, мессенджер может быть безопасным, но не конфиденциальным, то есть данные о вас собираются, но не утекают в сеть. А вот обратное (конфиденциально, но небезопасно) исключено. Если к вашей информации не может получить доступ никто (полная конфиденциальность), то приложение, через которое вы её отправляете, является также и полностью безопасным. Мы проанализировали 12 мессенджеров по 34 основным параметрам конфиденциальности и безопасности (все данные были взяты из открытых источников, в том числе с сайтов владельцев приложений). Рейтинг составлялся просто: приложения получали оценку по каждому из 34 параметров. Оценки следующие: 0 баллов — уязвимостей не обнаружено, 1 балл — частичная уязвимость, 2 балла — полная уязвимость. Соответственно, чем больше штрафных баллов набрало приложение, тем меньший уровень конфиденциальности оно может предоставить пользователям и тем ниже оно расположилось в рейтинге. Только 4 мессенджера из 12 рассматриваемых (Signal, Threema, Wire и Session) можно рекомендовать как безопасные, поэтому они не получают штрафных баллов. Владельцы iMessage, Facebook Messenger (здесь и далее — Messenger), Skype, WhatsApp и Wickr Me запятнали себя сотрудничеством с АНБ. В Riot и Viber давно не проводили независимую проверку кода и анализ безопасности, в Wickr Me проводили, но не предоставили никаких публичных данных. Viber, Telegram, Messenger, Skype, WhatsApp не обеспечивают полную защиту данных, а кроме того, шифрование в Telegram, Messenger и Skype не включено по умолчанию. Также Messenger, Skype и WhatsApp зарабатывают деньги на личных данных пользователей (например, так это делают в «детищах» Цукерберга. Таким образом, только Riot из сомнительных приложений получает 1 штрафной балл, остальные семь — по 2. 10 управляющих компаний связаны с США или Великобританией, и только две с более надежными странами в плане конфиденциальности: Threema зарегистрирован в Швейцарии, а Viber — в Люксембурге и Японии. Эти два приложения получают по 1 штрафному баллу, остальные — по 2. Здесь наиболее надежны Threema (их серверы располагаются по месту регистрации, в Швейцарии), остальные мессенджеры хранят свои данные в США, Великобритании и странах Евросоюза. Threema получает 1 балл, остальные — по 2. iMessage, Messenger, Skype и WhatsApp предоставляют пользовательские данные спецслужбам (по 2 балла каждому), остальные в этом замечены не были (без штрафа). Вот, например, как это происходит со Скайпом, в качестве доказательства в суде компания разрешает использовать сохраненную переписку из служебных чатов. Прослушивание через Skype — известная функция, которую могут использовать спецслужбы, получив разрешение от владельцев приложения. Поэтому Скайп единственный, кто получает штрафные баллы по этому пункту. Владельцы трех приложений из 12, Riot, Telegram и Viber, не предоставляют таких отчетов (их не удалось найти в открытом доступе), поэтому их продукты получают по 2 штрафных балла. Только владельцы Riot, Signal, Threema, Wire и Session заявляли, что заботятся о конфиденциальности пользователей, в остальных компаниях не считают это приоритетным, поэтому их мессенджеры получают по 2 балла. Например, владельцы мессенджера Riot заявляют об этом на своем сайте: https://element.io/ (слоган внизу). Компании Apple (iMessage), Meta (Messenger, WhatsApp), Microsoft (Skype), Rakuten (Viber) и Amazon (Wickr Me) не вызывают доверия из-за их связей с передачей личных данных третьим лицам (см. ряд ссылок выше). Этим мессенджерам добавлено по 2 балла. Остальные приложения финансируются отдельными лицами или обществами, не запятнавшими себя подобными действиями. Собирают все, кроме владельцев Riot, Signal, Threema, Vire и Session, поэтому последние пять не получают штрафных баллов. А вот какие сведения о пользователях собирают для своих владельцев половина мессенджеров из нашего списка.  Session единственный свободен от сбора какой-либо информации, Signal, Threema, Wickr Me, Wire осуществляют частичный сбор (метаданные, 1 балл), остальные — максимально подробный с контактами, публикуемым контентом, историей поиска, а Messenger даже с финансовой информацией (по 2 балла). В этой статье подробно рассматривается мессенджер Session и указывается, что приложение не интересует ни ваша геолокация, ни данные об устройстве, ни метаданные. Никаких данных не отправляют Riot и Session (без штрафа), частично это делают Signal, Threema и Wickr Me, отправляющие номер сотового, указанного при регистрации (1 балл). Все остальные отправляют в управляющую компанию данные о пользователях и метаданные в полном объеме (по 2 балла). Вот, например, как обстоят дела у Wire: (доказана фиксация личных данных пользователей). Включено во всех мессенджерах, за исключением Messenger, Skype и Telegram, за что последним начисляется по 2 штрафных балла. iMessage и Skype используют устаревший SHA-1, что повышает их уязвимость (получают по 2 балла). Остальные приложения используют более совершенные криптографические алгоритмы. Правда, в Microsoft заявляли почти два года назад, что собираются отказаться от SHA-1 в пользу SHA-2, но это касалось только ОС Windows, про Skype там речи не было. Исходный код Riot, Signal, Wire и Session открыт, у Telegram и Threema открыт частично (этим двум по 1 баллу), у остальных полностью закрыт (по 2 балла). Популярность мессенджеров по странам на 2021 год (источник: https://www.similarweb.com/) Полностью такую возможность предоставляет только Telegram и частично (для устройств Android) — Signal и Threema (этим двум 1 балл). Все остальные не предусмотрели подобный функционал, за что им начислено по 2 балла. Проверка на подлинность исходного кода — важный момент, поскольку модифицированные приложения представляют серьезную угрозу для безопасности клиентов. Telegram добавил возможность такой проверки в январе 2020 года, а позже это не раз подтверждал и сам Павел Дуров. Теперь любой желающий, обладающий навыками работы с соответствующими программами, может проверить, что его версия приложения собрана из оригинального исходного кода (он опубликован на GitHub). Возможность анонимной регистрации предоставляют только Riot, Threema, Wickr Me и Session (без штрафа), остальные требуют указывать персональные данные (по 2 балла). Это возможно только в Threema, Viber и Session (они не получают штрафных баллов), во всех остальных приложениях для добавления контактов задействуется сервер, на котором и хранится данная информация. Это повышает уязвимость, так как в случае взлома сервера злоумышленникам будет доступна вся база контактов. Вот как это работает с Threema (обращения к серверу есть, но сами хэш-значения там не хранятся — сервер служит лишь местом для их мгновенного сравнения, после чего все данные запросов сразу же удаляются оттуда). Это возможно везде, кроме iMessage, Skype и Telegram, которым начисляется по 2 штрафных балла. «Фингерпринт» — это уникальный идентификатор устройства (представлен в виде 32-битного кода), который составляется при обработке входящих данных. Фингерпринты позволяют идентифицировать устройства с точностью почти 95%. Ни одно из приложений не может похвастаться защитой от MITM атак (мы не смогли найти таких доказательств), поскольку все они позволяют изменять данные службы каталогов. MITM атака или «атака посредника» — это кратковременное вмешательство, целью которого является перехват трафика с перенаправлением его в собственную систему злоумышленника. В результате вся информация становится скомпрометированной. MITM атаки трудно отследить, поскольку длятся они не более 10-15 минут. Riot, Signal, Threema, Viber и Wickr Me просигнализируют об этом, Wire только в том случае, если контакт был предварительно подтвержден (верифицирован), за что ему 1 штрафной балл, а всем остальным по 2, поскольку уведомлений об этом они не присылают. Полностью личные данные хешируют Riot, Threema и Wickr Me (без штрафа), частично — Signal и Wire (1 балл), остальные нет (по 2 балла). Хеширование позволяет обезопасить данные пользователей в случае, если приложение будет взломано, так как расшифровать хешированную информацию практически невозможно. Почти все рассматриваемые мессенджеры генерируют и хранят ключи шифрования на самих устройствах или на серверах. Единственное приложение, по которому не удалось получить такой информации — Skype, за что он получает 1 штрафной балл. Messenger, Skype, Telegram и WhatsApp допускают чтение сообщений сотрудниками управляющих компаний, за что штрафуются на 2 балла. Вот так обстоят дела с Telegram(и уже по одному этому показателю конфиденциальным мессенджером назвать его никак нельзя). 7 из 12 приложений обеспечивают такое шифрование сообщений, за исключением WhatsApp, iMessage, Threema и Session (по 2 балла). По Skype такой информации снова не нашлось, а Telegram меняет ключ шифрования только через каждые 100 подключений, что делает его более уязвимым к компрометации как сеансовых, так и долговременных ключей. Поэтому данным двум мессенджерам начисляется по 1 баллу. В идеале приложение должно генерировать новый ключ шифрования для каждого сеанса, что значительно снижает уязвимость пользовательских данных. Полностью это делают Signal, Threema, Wickr Me и Session (без штрафа), частично — Riot, Viber и Wire (по 1 баллу), остальные мессенджеры метаданные не шифруют (по 2 балла). Метаданные — это важная общая информация, описывающая характеристики данных, или, проще говоря, данные о данных. Конкретные примеры метаданных: информация об отправителе и получателе, время отправления сообщения, вид вложения (если оно есть). Эти протоколы используют все, кроме Telegram, поэтому последний штрафуется двумя баллами. Noise представляет собой современный фреймворк, с помощью которого создаются лучшие на сегодняшний день криптографические алгоритмы. Это существенно повышает взломостойкость приложений. Такая информация подтверждена для iMessage, Signal, Threema, Wickr Me, Wire, Session, по остальным мессенджерам на этот счет нет никакой информации, поэтому им будет выставлена оценка «сомнительно» (1 балл). Доказательства использования SSL сертификатов у iMessage датируются аж 2013 годом.  Нет информации по Messenger, Skype, Telegram, Viber и Whats App (1 балл каждому), остальные приложения поддерживают шифрование данных. Двухфакторную аутентификацию поддерживают только семь мессенджеров: Signal, Telegram, Threema, WhatsApp, Wickr Me, Wire, Session, остальные пять получают по 2 штрафных балла. Есть шифрование у Riot, Threema, WhatsApp (без штрафа), отсутствует шифрование у iMessage (2 балла). Signal, Wickr Me, Wire, Session не поддерживают облачные сервисы, поэтому тоже не штрафуются. По оставшимся приложениям в открытом доступе такой информации нет (по 1 баллу). Не делают этого Signal, Threema, Wickr Me и Session, что повышает конфиденциальность пользователей. Частичная регистрация замечена у Wire (1 балл), остальные фиксируют время отправки и получения сообщений и IP-адреса (по 2 балла). За последние пять лет это делали только Threema, Wire и Session, более пяти лет назад — Signal, Telegram, Wickr Me (им по 1 баллу), остальные — никогда (получают по 2 балла штрафа). Вот, например, подтверждение аудита кода для Signal и Threema. Частично задокументирована разработка всех приложений, кроме Skype, который штрафуется на 2 балла, остальные — на 1, поскольку подробной документации не предоставляла ни одна компания-разработчик. Такая функция есть у всех мессенджеров, кроме iMessage, Riot, Skype и Threema, за что последним начисляются штрафные баллы. Показатели роста WhatsApp с 2019 по 2020 год. Россия продемонстрировала наиболее впечатляющий годовой рост — ровно на 17%, что позволило ей ворваться в пятерку главных любителей мессенджера (источник: https://www.messengerpeople.com/) Общий рейтинг приложений После подсчета штрафных баллов (они высчитывались из 68 возможных, поскольку у нас 34 пункта и максимум 2 балла за каждый) получилась следующая картина: Threema — 13 Session — 15 Signal — 16 Wire — 20 Wickr Me — 24 Riot — 26 Viber — 38 WhatsApp — 45 Telegram — 45 Messenger — 48 iMessage — 51 Skype — 59 Таким образом, ни одно приложение нельзя назвать полностью конфиденциальным, а все популярные в России мессенджеры и вовсе оказались в нижней части рейтинга. Конечно, вряд ли это повлияет на их популярность, но тем, кто заботится о сохранности своих данных и своей безопасности, стоит задуматься. Интересно, что западные специалисты в целом того же мнения о лидерах нашего рейтинга, так как первая пятёрка с небольшими перестановками лидирует практически везде. Например, здесь говорится о преимуществах Threema перед Signal. А в этом обзоре авторы еще и выводят WhatsApp за пределы даже безопасных приложений, причем с железной аргументацией. В завершение несколько любопытных фактов о популярных мессенджерах. В августе 2018 года разработчики WhatsApp отказались от сквозного шифрования сообщений пользователей и официально объявили об открытии доступа к любой переписке сотрудникам спецслужб. Подробнее. Несмотря на наличие механизма двухфакторной аутентификации, данные для входа в WhatsApp на смартфонах хранились в незашифрованном виде, что пару лет назад привело к массовой утечке кодов безопасности. Проблема наблюдалась на Android-устройствах с рут-доступом, то есть правами суперпользователя. Подробнее. Тогда же один из известных специалистов по кибербезопасности, Нил Кравец, раскритиковал Telegram за несоответствие мессенджера заявленным требованиям безопасности. Эксперт выяснил, что «Телеграм» не полностью шифрует данные, которые хранятся на сервере в незашифрованном виде, и опытным путём определил, что даже зашифрованные данные могут быть легко расшифрованы хакерами из-за целого ряда уязвимостей. Подробнее. В конце 2019 года аккаунты некоторых пользователей Telegram были взломаны путем перехвата злоумышленниками СМС с кодом подтверждения входа в аккаунт. Подробнее. В том же 2019 году была выявлена уязвимость Skype, когда сторонние пользователи могли просматривать контакты и фотографии, обходя экран блокировки. Также у них была возможность даже открывать браузер «жертвы». Подробнее. А вот совсем недавняя новость: хакеры используют «Скайп», чтобы заражать ПК с установленной ОС Windows. В результате компьютер попадает под удаленное управление через Skype API. Подробнее. И еще интересная новость, на этот раз про Viber: известную уже более пяти лет уязвимость разработчики так и не исправили. Опасность этой уязвимости в том, что любой пользователь из вашего контакт-листа может получить доступ к вашему компьютеру через Windows версию Viber. Подробнее. НЛО прилетело и оставило здесь промокод для читателей нашего блога:— 15% на все тарифы VDS (кроме тарифа Прогрев) — HABRFIRSTVDS.   Системный администратор