Threema

Threema — гэта платная кросплатформавая праграма для абмену імгненнымі паведамленнямі з шыфраваннем, распрацаваная швейцарскай кампаніяй Threema GmbH і выпушчаная ў 2012 годзе. Сэрвіс працуе на аснове дэцэнтралізаванай архітэктуры і прапануе скразное шыфраванне. Карыстальнікі могуць здзяйсняць галасавыя і відэазванкі, адпраўляць фатаграфіі, файлы і галасавыя запісы, дзяліцца месцазнаходжаннем і ствараць групы. У адрозненне ад многіх іншых папулярных праграм для бяспечнага абмену паведамленнямі, Threema не патрабуе тэлефонных нумароў або адрасоў электроннай пошты для рэгістрацыі, толькі аднаразовую пакупку, якую можна аплаціць праз краму праграм або ананімна з дапамогай Bitcoin або наяўных.

Threema даступна на iOS і Android, а таксама мае кліенты для Windows, macOS, Linux і HarmonyOS. Доступ да іх можна атрымаць праз вэб-браўзер, але для працы патрабуецца мабільная праграма.

 Асаблівасці 
Сэрвіс сцвярджае, што ў аснове яго працы ляжаць прынцыпы privacy by design, якія не патрабуюць уводу нумара тэлефона ці іншай персанальнай інфармацыі. Гэта дазваляе ў пэўнай ступені ананімізаваць карыстальнікаў.

Threema выкарыстоўвае ідэнтыфікатар карыстальніка, створаны пасля першага запуску праграмы генератарам выпадковых лікаў, замест таго каб патрабаваць прывязаны адрас электроннай пошты ці нумар тэлефона для адпраўкі паведамленняў. Можна знайсці іншых карыстальнікаў па нумары тэлефона ці адрасе электроннай пошты, калі карыстальнік дазволіць праграме сінхранізаваць сваю адрасную кнігу. Прывязка нумара тэлефона ці адраса электроннай пошты да Threema ID неабавязковая. Такім чынам, сэрвісам можна карыстацца ананімна. Карыстальнікі могуць пацвердзіць асобу сваіх кантактаў Threema, адсканаваўшы іх QR-код пры фізічнай сустрэчы. QR-код утрымоўвае адкрыты ключ карыстальніка, які крыптаграфічна прывязаны да ідэнтыфікатара і не змяняецца на працягу ўсяго тэрміна яго дзеяння.  Выкарыстоўваючы гэтую функцыю строгай аўтэнтыфікацыі, карыстальнікі могуць пераканацца, што ў іх ёсць правільны адкрыты ключ ад партнёраў па чаце, што забяспечвае дадатковую абарону ад нападу «чалавек пасярэдзіне». Threema ведае тры ўзроўні аўтэнтыфікацыі (узроўні даверу да асобы кантакту). Узровень праверкі кожнага кантакту адлюстроўваецца ў праграме Threema у выглядзе кропак побач з адпаведным кантактам.

Акрамя абмену тэкставымі паведамленнямі, карыстальнікі могуць здзяйсняць галасавыя і відэазванкі, адпраўляць мультымедыя, месцазнаходжанне, галасавыя паведамленні і файлы. Вэб-версія праграмы, Threema Web, можа выкарыстоўвацца на настольных прыладах, але толькі пры ўмове, што тэлефон з усталяванай Threema карыстальніка знаходзіцца ў сетцы. Існуе бэта-версія для карыстальнікаў iOS, у якой можна адключыць тэлефон ад сеткі і пры гэтым карыстацца настольнай праграмай.

Акрамя асабістых чатаў, Threema прапаноўвае групавыя чаты да 256 чалавек. Карыстальнікі могуць здзяйсняць галасавыя і відэазванкі, адпраўляць тэкставыя і галасавыя паведамленні, мультымедыя, месцазнаходжання і файлы любога тыпу (да 50 МБ на файл). Таксама ў асабістых і групавых чатах можна ствараць апытанні. 

 Праграмнае забеспячэнне 
Threema распрацавана швейцарскай кампаніяй Threema GmbH. Серверы знаходзяцца ў Швейцарыі, а распрацоўка — у Pfäffikon SZ. Па стане на травень 2021 года Threema налічвала 10 мільёнаў карыстальнікаў, а бізнэс-версія Threema Work выкарыстоўвалася 2 мільёнамі карыстальнікаў у 5 000 кампаній і арганізацый.

У канцы ліпеня 2021 года Threema прадставіла магчымасць кампаніям размяшчаць мэсанджар на ўласным серверы, што ў першую чаргу прызначалася для кампаній, значна заклапочаных пытаннямі прыватнасці.

 Кліенты 

З дапамогай Threema Web, кліента для вэб-браўзераў, Threema можна выкарыстоўваць з іншых прылад, напрыклад з настольных камп’ютараў, але толькі датуль, пакуль арыгінальная прылада знаходзіцца ў сетцы.

Threema апцыянальна падтрымлівае смарт-гадзінікі Android Wear і Android Auto. Threema запусціла падтрымку скразных зашыфраваных відэазванкоў 10 жніўня 2020. Званкі ажыццяўляюцца ад чалавека да чалавека, групавыя званкі недаступныя.

Праграма не дазваляе выдаляць паведамленні самастойна па заканчэнні вызначанага часу, усталяванага суразмоўцамі. Праграма прадухіляе стварэнне скрыншотаў у гутарках, калі гэта прадугледжана наладамі.

 Архітэктура 
Уся сувязь праз Threema зашыфравана end to end. Пры першапачатковай наладзе праграма генеруе пару ключоў і адпраўляе публічны ключ на сервер, а прыватны ключ захоўвае на прыладзе карыстальніка. Затым праграма шыфруе ўсе паведамленні і файлы, якія адпраўляюцца іншым карыстальнікам Threema, іх адпаведнымі адкрытымі ключамі. Як толькі паведамленне паспяхова дастаўлена, яно неадкладна выдаляецца з сервераў. 

Працэс шыфравання, які выкарыстоўваецца Threema, заснаваны на бібліятэцы NaCl з адкрытым зыходным кодам. Threema выкарыстоўвае асіметрычнае шыфраванне на аснове ECC з трываласцю 256 біт. Threema прапануе функцыю «Validation Logging», якая дазваляе пацвердзіць скразное шыфраванне паведамленняў з дапамогай бібліятэкі сетак NaCl і крыптаграфіі. У жніўні 2015 года Threema прайшла знешні аўдыт бяспекі. Даследчыкі з cnlab пацвердзілі, што Threema дазваляе бяспечнае скразное шыфраванне, і сцвярджалі, што яны не змаглі выявіць недахопы ў рэалізацыі. Даследчыкі Cnlab таксама пацвердзілі, што Threema забяспечвае ананімнасць сваім карыстальнікам і апрацоўвае кантакты і іншыя даныя карыстальнікаў, ў адпаведнасці з заяўленымі характарыстыкамі.  

 Гісторыя 
Кампанія Threema была заснавана ў снежні 2012 года Мануэлем Касперам. Першапачаткова кампанія мела назву Kasper Systems GmbH. Пазней Марцін Блатэр і Сільван Энгелер былі прыцягнуты да распрацоўкі праграмы для Android, якая было выпушчана ў пачатку 2013 года.

Улетку 2013 года дзякуючы ўцечкам інфармацыі ад Сноўдэна цікавасць да Threema узрасла да сотняў тысяч карыстальнікаў. Калі Facebook паглынуў WhatsApp у лютым 2014 года, Threema атрымала 200 000 новых карыстальнікаў, падвоіўшы сваю карыстацкую базу за 24 гадзіны. Каля 80 % гэтых новых карыстальнікаў былі з Германіі. Да сакавіка 2014 года ў Threema было 1,2 мільёна карыстальнікаў.

Увесну 2014 года дзейнасць была перададзена нядаўна створанай кампаніі Threema GmbH.  

У снежні 2014 года кампанія Apple назвала Threema самай прадаванай праграмай 2014 года ў нямецкім App Store.

У 2020 годзе Threema пашырыць магчымасці відэазванкоў, плануе адкрыць зыходны код сваіх кліенцкіх праграм і прадставіць іх узнаўляльныя зборкі, а таксама выпусціць Threema Education, разнавіднасць Threema, прызначаную для адукацыйных устаноў.

У другі тыдзень 2021 года колькасць штодзённых загрузак Threema павялічылася ў чатыры разы, чаму спрыялі спрэчныя змены канфідэнцыяльнасці ў сэрвісе абмену паведамленнямі WhatsApp. Прадстаўнік кампаніі таксама пацвердзіў, што Threema паднялася на вяршыню чартаў платных праграм у Германіі, Швейцарыі і Аўстрыі. Гэтая тэндэнцыя захавалася і на трэцім тыдні года, калі кіраўнік аддзела маркетынгу і продажаў пацвердзіў, што колькасць загрузак павялічылася ў дзесяць разоў у параўнанні са звычайным, што прывяло да з’яўлення «сот тысяч новых карыстальнікаў кожны дзень».

У кастрычніку 2022 даследнікі з ETH Zurich паведамілі аб шматлікіх уразлівасцях, якія ўплываюць на абарону Threema ад сеткавых, серверных і кліенцкіх нападаў. У лістападзе 2022 года быў выпушчаны новы рэліз, які ўстараняе гэтыя праблемы, а ў студзені 2023 года аб уразлівасцях было абвешчана публічна.

 Падобныя тавары 
Threema Work: 25 мая 2016 г. выйшла Threema Work, карпаратыўная версія Threema. Threema Work прапануе пашыраныя магчымасці адміністравання і разгортванні. Threema Work заснавана на мадэлі гадавой падпіскі.

Threema Gateway: 20 сакавіка 2015 года Threema выпусціла шлюз для кампаній. Падобна SMS-шлюзу, кампаніі могуць выкарыстоўваць яго для адпраўкі паведамленняў сваім карыстальнікам, у якіх усталявана Threema. Код Threema Gateway SDK адкрыты для распрацоўшчыкаў і даступны на GitHub.

Threema Broadcast: 9 жніўня 2018 года Threema выпусціла Threema Broadcast — інструмент для рассылання паведамленняў зверху ўніз. Падобна электронным лістам у электронных рассыланнях, паведамленні Threema можна адпраўляць любой колькасці падпісчыкаў стужкі, а таксама Threema Broadcast дазваляе ствараць чат-боты.

Threema Education: 10 верасня 2020 года кампанія Threema выпусціла Threema Education — версію свайго месэнджэра, прызначаную для адукацыйных устаноў. Праграма інтэгруе Threema Broadcast і патрабуе аднаразовай аплаты за кожную выкарыстоўваную прыладу. Яно прызначана для выкладчыкаў, студэнтаў і бацькоў.

Threema OnPrem: 27 ліпеня 2021 года Threema выпусціла Threema OnPrem — версію месэнджара, якая можа быць размешчана на ўласных серверах кампаніі для забеспячэння максімальнай бяспекі.

 Прыватнасць 
Паколькі серверы Threema знаходзяцца ў Швейцарыі, на іх распаўсюджваецца федэральны закон Швейцарыі аб абароне даных. Цэнтр апрацоўкі даных мае сертыфікат ISO/IEC 27001.  Звязванне нумара тэлефона і/або адраса электроннай пошты з ідэнтыфікатарам Threema неабавязкова; пры гэтым на сервер адпраўляюцца толькі значэнні кантрольнай сумы (SHA-256 HMAC са статычным ключом) адраса электроннай пошты і/або нумара тэлефона.  З-за невялікай колькасці магчымых лічбавых камбінацый нумара тэлефона нумар тэлефона, звязаны з кантрольнай сумай, можа быць вызначаны brute force. Перадаваныя даныя абаронены TLS . Даныя адраснай кнігі захоўваюцца толькі ў энерганезалежнай памяці сервера і выдаляюцца адразу пасля сінхранізацыі кантактаў.  Калі карыстальнік вырашыў звязаць нумар тэлефона або адрас электроннай пошты са сваім ідэнтыфікатарам Threema, ён можа выдаліць нумар тэлефона або адрас электроннай пошты ў любы час.  Калі карыстальнік калі-небудзь страціць сваю прыладу (і прыватны ключ), ён можа адклікаць свой ідэнтыфікатар Threema, калі для гэтага ідэнтыфікатара быў усталяваны пароль аднаўлення. 

Кіраванне групамі ажыццяўляецца выключна на прыладах карыстальнікаў, а групавыя паведамленні адпраўляюцца кожнаму атрымальніку як асобнае паведамленне, які зашыфраванае адпаведным публічным ключом. Такім чынам, склады груп не падвяргаюцца прамому ўздзеянню сервера.

Даныя (уключаючы медыяфайлы), якія захоўваюцца на прыладах карыстальнікаў, шыфруюцца па алгарытме AES 256. На Android яны могуць быць дадаткова абаронены парольнай фразай. 

З 2016 года Threema GmbH публікуе справаздачу аб празрыстасці, у якой раскрываецца інфармацыя аб запытах дзяржаўных органаў. 

9 сакавіка 2017 года Threema была ўнесена ў «Рэестр арганізатараў распаўсюджвання інфармацыі ў сетцы Інтэрнэт», які вядзе Федэральная служба па наглядзе ў сферы сувязі, інфарматызацыі і СМІ РФ. 

У адказ прадстаўнік Threema публічна заявіў: «Мы працуем у адпаведнасці са швейцарскім заканадаўствам і не маем права і жадання падаваць якую-небудзь інфармацыю аб нашых карыстальніках замежным уладам».

29 красавіка 2021 года Threema выйграла значную справу ў Федэральным вярхоўным судзе Швейцарыі супраць Федэральнага дэпартамента паліцыі і юстыцыі Швейцарыі, які хацеў класіфікаваць кампанію як правайдара тэлекамунікацый. Калі б яны прайгралі справу, Threema мела б законнае патрабаванне ідэнтыфікаваць карыстальнікаў і адпраўляць інфармацыю аб сваіх карыстальніках у праваахоўныя органы. 

Са студзеня 2022 года Узброеныя сілы Швейцарыі прапанавалі войскам выкарыстоўваць Threema замест WhatsApp, Telegram і Signal, спаслаўшыся на тое, што Threema базуецца ў Швейцарыі без сервераў у Злучаных Штатах і, такім чынам, не падпарадкоўваецца Закону CLOUD, а таксама паабяцаўшы, што салдаты атрымаюць кампенсацыю. за кошт. 

 Крытыка 
У лютым 2014 г. нямецкая арганізацыя спажыўцоў Stiftung Warentest ацаніла некалькі аспектаў абароны даных у Threema, WhatsApp, Telegram, BlackBerry Messenger і Line . Ён улічваў бяспеку перадачы даных паміж кліентамі, умовы выкарыстання паслуг, празрыстасць пастаўшчыкоў паслуг, даступнасць зыходнага кода і агульную даступнасць праграм. Threema была адзінай праграмай, ацэненым як «некрытычнае» у дачыненні да абароны даных і канфідэнцыяльнасці, але страціў ацэнкі з-за сваёй прыроды з закрытым зыходным кодам, хоць гэта змянілася для яго інтэрфейсных кліентаў з канца 2020 года. 

Разам з Cryptocat і Surespot Threema заняла першае месца ў даследаванні па ацэнцы бяспекі і зручнасці выкарыстання праграмнага забеспячэння для шыфравання абмену імгненнымі паведамленнямі, праведзеным нямецкай групай PSW у чэрвені 2014 года 

Па стане на лістапад 2015 года Threema атрымала 6 з 7 балаў у «Ацэнкавай табліцы абароненых паведамленняў», складзенай Electronic Frontier Foundation (цяпер адкліканай і састарэлай). Яна атрымала балы за шыфраванне паведамленняў пры перадачы, шыфраванне паведамленняў ключамі, да якіх у правайдара няма доступу (г.зн. скразное шыфраванне), магчымасць незалежнай праверкі карыстальнікамі асобы сваіх суразмоўцаў, абарону мінулых паведамленняў у выпадку крадзяжу ключоў (г.зн. рэалізацыю forward secrecy), добрую дакументаванасць праекта бяспекі і праходжанне незалежнага аўдыту бяспекі. Кампанія страціла адзін бал з-за таго, што яе зыходны код не быў адкрыты для незалежнага аналізу (т. е. не меў адкрытага зыходнага кода, хоць у канцы 2020 года яе фронтэнд-праграм былі адчыненыя, пакінуўшы прапрыетарным толькі яе серверную частку).

 Гл. таксама 

 Параўнанне кліентаў абмену імгненнымі паведамленнямі

 Спасылкі 

 Знешнія спасылкі 


 Introduction to Threema 
 Alleged vulnerabilities

Катэгорыя:Праграмнае забеспячэнне для Android
Катэгорыя:Праграмнае забеспячэнне для iOS
Катэгорыя:Крыптаграфічнае праграмнае забеспячэнне
Катэгорыя:Праграмнае забеспячэнне, распрацаванае ў 2012 годзе
Катэгорыя:Праграмы імгненнага абмену паведамленнямі