Sicherheit braucht Opfer. Warum diejenigen, die den perfekten Messenger suchen, eine garantierte Enttäuschung sind

Jeden Tag senden wir Hunderte von Nachrichten, ohne darüber nachzudenken, was mit ihnen passiert. Jemand wählte den Boten bewusst, andere - auf den Rat von Freunden und wieder andere - wegen bunter Aufkleber. Äußerlich sehen sie alle gleich aus, aber hinter den Icons auf dem Bildschirm gibt es zwei Ansätze, die die gleiche Frage auf unterschiedliche Weise beantworten: Was ist wichtiger - Sicherheit oder Bequemlichkeit? Wer ist richtig und welchen Preis zahlen Sie für Ihre Wahl?

Ein Stock mit zwei Enden C auf einer Seite, "blau". Dies sind die sogenannten Cloud-Messenger, bei denen die gesamte Korrespondenz auf Servern gespeichert ist und der Zugriff von jedem Gerät aus geöffnet ist. Die Bequemlichkeit der Benutzer ist vor allem anderes. Telegram, discord, max, wechat sind alle um diese idee herum aufgebaut.

Auf der anderen Seite, grün. In ihrem Weltbild existiert Korrespondenz nur auf Endgeräten und ist so geschützt, dass auch Entwickler sie nicht lesen. WhatsApp, Signal und Viber sind alle auf Privatsphäre angewiesen, auch wenn sie die Funktionalität einschränken. Auf der anderen Seite des Buttons basiert das gesamte System der digitalen Privatsphäre auf Vertrauen. Aber es kam nicht aus der Luft: IT-Giganten packen seit Jahren komplexe Technologien in eine Verpackung von verständlichen Begriffen, so dass wir ohne nachzudenken auf "Senden" klicken konnten.

Das Hauptmerkmal des "Grünen" ist die End-to-End-Verschlüsselung. Für den Benutzer ist alles einfach: Die Nachricht wird vom Absender verschlüsselt und vom Empfänger entschlüsselt. Der Messenger-Server fungiert nur als Postbote, der nicht weiß, was im versiegelten Umschlag liegt. Und wenn er seine Finger dort steckt, wird er nur einen bedeutungslosen Satz von "Crackern" bekommen.

Hinter dieser „Einfachheit stehen Meilen mathematischer Berechnungen, technisches Elend und Kompromisse. Während Sie ein Smiley-Gesicht wählen, verhandeln die Geräte ein gemeinsames "Geheimnis". Die Aufgabe ist nicht einfach: Die Botschaft muss dem Anbieter, Betrügern, der CIA, Reptilien vom Mars und anderen Schrecken, die durch menschliche Paranoia erzeugt werden, verborgen bleiben.

Der zuverlässigste Weg, um einen gemeinsamen geheimen Schlüssel über einen öffentlichen Kanal zu erhalten, ohne ihn direkt zu übertragen, ist die Verwendung des Diffie-Hellman-Protokolls für elliptische Kurven. Um nicht in die Mathematik einzutauchen, erklären Studierende technischer Universitäten diesen Prozess durch eine visuelle Metapher zum Mischen von Farben. Stellen Sie sich vor, Petya und Vasya wollen den Zaun malen. Sie verhandeln öffentlich die Farbe Gelb und nehmen ein Glas. Jeder stellt heimlich einen anderen hinein: Petya ist rot, Vasya ist blau. Dann geben die Jungs die Mischung durch den Postboten Kolya zueinander: Petya schickt orange, Vasya - grün. Nach dem Austausch fügt Petya der grünen Mischung Rot hinzu und Vasya fügt Blau Orange hinzu. Da die Reihenfolge der Farbmischung keine Rolle spielt, erhalten beide eine identische braune Farbe, die zu ihrem gemeinsamen Geheimnis wird. Das Mischen funktioniert als einseitige Funktion – es ist leicht, eine neue Farbe zu bekommen, aber es ist fast unmöglich, die ursprünglichen Komponenten davon zu isolieren. Daher wird der Postbote Kolya, der versiegelte Pakete mit Farben liefert, nicht wissen, was die endgültige Farbe sein wird.

Der Schlüssel ist also sicher vereinbart. Die Verschlüsselung jeder Nachricht mit der gleichen Methode ist jedoch sehr kostspielig: Die asymmetrische Kryptographie erfordert enorme Rechenressourcen. Aber symmetrische Algorithmen kommen zur Rettung, wo der gleiche Schlüssel für die Verschlüsselung und Entschlüsselung verwendet wird.

Technisch sieht es so aus: Die Botschaft ist in Stücke zerbrochen und jede geht durch eine Reihe mathematischer Transformationen. Diese Operationen werden viele Male wiederholt, wodurch ein unlesbares Durcheinander am Ausgang entsteht. Ohne den Schlüssel ist es fast unmöglich, die ursprüngliche Nachricht wiederherzustellen.

Dann mehr. Woher weiß ein Telefon überhaupt, dass es eine Nachricht für einen Freund verschlüsselt, anstatt für einen Hacker, der eine Serveradresse ausgetauscht hat? Sie müssen einen vertrauenswürdigen Kanal verwenden, um die digitalen Schlüsseldrucke zu überprüfen - eine Art kryptographische DNA jedes Geräts.

Darüber hinaus haben die Ingenieure eine zusätzliche Ebene des Perfect Forward Secrecy-Schutzes hinzugefügt: Selbst wenn ein Angreifer heute einen Schlüssel knackt, werden sie die Nachrichten von gestern nicht entschlüsseln, da für jede Sitzung ein eindeutiger "einmaliger" Schlüssel erstellt wird.

In gruppenchats werden die dinge kompliziert. Ein einzelner Gruppenschlüssel wird erstellt und an die Teilnehmer gesendet. Wenn jemand eine konversation verlässt oder eingeht, sollte die gruppennummer automatisch aktualisiert werden. Ehemalige Teilnehmer verlieren den Zugriff auf neue Nachrichten - sie haben keinen aktuellen Schlüssel. Die neuen hatten es im Gegenteil nie, so dass die vorherige Korrespondenz für sie geschlossen ist. Als WhatsApp 2016 die End-to-End-Verschlüsselung für eine Milliarde Nutzer aktivierte, bemerkte niemand etwas. Die Schlüsselrolle spielte nicht die Kryptographie, sondern die Psychologie. Die Leute mussten sich nicht selbst in die Einstellungen graben - sie sahen ein grünes Schloss, hörten das Wort "sicher" und beruhigten sich. Die Nuancen, natürlich, niemand vertieft in.

Die Nutzer waren davon überzeugt, dass die End-to-End-Verschlüsselung ein zuverlässiges Schutzschild ist. Aber es schützt nur den Inhalt der Nachricht zum Zeitpunkt des Sendens. Die Verschlüsselung ist machtlos, wenn Daten durch ungesicherte Backups durchsickern. Nehmen wir an, Sie haben ein neues Telefon gekauft und Daten von Ihrem alten Telefon zu iCloud oder Gdrive verschoben: Apple und Google können es jetzt lesen.

Es schützt nicht vor Spyware, die Nachrichten direkt vom Smartphone-Bildschirm zu all dieser kryptographischen "Magie" lesen kann.

Und am wichtigsten ist, dass Ende-zu-Ende-Verschlüsselung keine Metadaten verbirgt. Erinnerst du dich an einen Postboten, der keinen verschlüsselten Brief lesen kann? Aber der Umschlag liegt in seinen Händen. Wer, an wen, wann, wo, wie oft und von welcher IP-Adresse aus – all das wird fett darauf angezeigt.

Jede Aktion in Messengern, sei es das Betrachten einer Nachricht oder das Senden eines Emojis, erzeugt diese Daten. Sie können nicht vollständig versteckt werden, technisch werden sie nur vom Server benötigt, damit die Nachricht auf dem Weg zum Ziel nicht verloren geht.

Individuell sagen Ihnen diese unterschiedlichen Informationen nichts, aber wenn sie zusammengestellt werden, summieren sie sich zu einem digitalen Porträt einer Person. Wenn Sie es analysieren, können Sie nicht nur Ihren sozialen Kreis, sondern auch politische Präferenzen, religiöse Ansichten und sogar intime Aspekte des Lebens genau bestimmen - einfach weil Sie jemandem zu einer bestimmten Zeit etwas geschrieben haben.

Angreifer und sogar Vermarkter erkannten schnell, dass es keinen Sinn macht, Ressourcen für den Zugang zu Korrespondenz auszugeben, wenn offene Daten - Kontakte, Aktivitätszeit, Geolokalisierung usw. - mehr über eine Person aussagen, als er selbst im Leben schreiben kann. Menschen sind von Natur aus nicht immer wahrhaftig. Ihre Verhaltensmuster lügen nie.

Lassen Sie mich Ihnen ein einfaches Beispiel geben. Sie trompeten nicht jede Ecke über Ihr Privatleben, Sie betreiben keine sozialen Medien oder Blogs, aber Ihr Telefon weiß, wer Sie sind. Jeden Morgen um genau 07:00 Uhr gehen Sie mit lokalen Nachrichten zum Kanal, was bedeutet, dass Sie in dieser Stadt leben. An Wochentagen sieht das Telefon, dass Sie mit dem gleichen Mobilfunkmast verbunden sind - ja, das ist Ihr Arbeitsplatz. Um 13 uhr senden sie eine nachricht an einen chat-raum für ein dutzend kontakte, und nach ein paar minuten erhalten sie eine antwort von drei — und der algorithmus hat bereits eine karte ihrer kommunikation erstellt: wie viel zeit sie essen, mit wem sie in kontakt sind, ihre tägliche routine und gewohnheiten. Abends und nachts ruhen die Koordinaten auf dem gleichen Bereich, und das Telefon klammert sich an das bekannte WLAN - das ist natürlich Ihr Zuhause. Gleichzeitig brennen mehrere weitere Geräte an derselben Stelle - höchstwahrscheinlich Ihre Lieben. Jedes Wochenende werden Geolokalisierung und Aktivitätszeit gemeinsam verschoben - Sie gehen mit der ganzen Familie aufs Land. Nehmen Sie alles separat, und es scheint wie Unsinn. Aber in der Summe kann man viel über eine Person lernen: wo er lebt, arbeitet, wann er isst, mit wem er kommuniziert, wohin er geht. Alles ohne eine einzige Nachricht gelesen. Es ist gruselig, nicht wahr? Was ist mit dem Blues? Wenn Sie eine Nachricht senden, zum Beispiel über Telegram, wird sie nicht nur an den Adressaten geliefert - sie wird auf den Servern abgerechnet. Ja, das unternehmen kann schwören, dass es es nicht lesen wird, aber physisch kann es. Sie sagen nur: "Wir kümmern uns um Ihre Bequemlichkeit und Sie vertrauen uns." Und alle sind sich einig.

Gerät-zu-Gerät-Synchronisation, Webversionen, Cloud-Backups funktionieren alle, nur weil der Server Zugriff auf den Inhalt hat. Ihr Telefon verloren? Kein Problem. Möchten Sie vom Tablet kommen? Oh, bitte. Alles wird automatisch geladen.

Es ist sehr praktisch. Darüber hinaus schafft es Bindung. Wenn sie jahrelange korrespondenz in der cloud haben, werden sie nicht mit vollständiger ende-zu-ende-verschlüsselung zum messenger gehen, nur weil er nicht in der lage sein wird, das zu speichern, was sie bereits haben. Manchmal können die Blues auf den Grünen spielen. Ende-zu-Ende-Verschlüsselung ist auch da, aber es ist eher eine exotische Option, die die meisten nicht einmal kennen. Standardmäßig ist es ausgeschaltet, und der Schalter ist irgendwo hinten in den Einstellungen versteckt - auf der fünften Registerkarte in der hinteren Reihe links. Das bedeutet, dass 99 prozent aller chats auf einem server leben. All diese „Komforts machen uns verletzlich. In einem Augenblick können die Daten von Millionen öffentlich zugänglich sein. Nicht unterschiedliche verschlüsselte Fragmente oder Bits von Metadaten, sondern die gesamte Geschichte von Fotos, Videos, Sprach- und Textnachrichten. Geografische Ebene

Vergessen wir nicht die Gerichtsbarkeit. Wer die Server besitzt, in welchem Land sie sich befinden, welche Gesetze das Unternehmen befolgt - es hängt direkt davon ab, wer und wie auf Ihre Daten zugreifen kann.

WhatsApp, Discord und Signal stehen unter voller Kontrolle der Vereinigten Staaten. Dies bedeutet, dass sie auf Anfrage der US-Geheimdienste nach dem FISA Foreign Intelligence Surveillance Act und dem CLOUD Act verpflichtet sind, alle Daten, die sie haben, zu übergeben. Und das ist der entscheidende Punkt.

Zum Beispiel basiert die Architektur von Signal auf dem Prinzip der extrem begrenzten Datenerfassung. Seit Jahren schüttelt das FBI Entwickler und fordert, Informationen "durchzusickern". Aber von Jahr zu Jahr sind die einzigen Informationen, die sie erhalten, die Zeitstempel der Registrierung des Benutzers und seine letzte Verbindung zum Dienst. Nichts anderes wird gespeichert. Im Gegensatz zu Meta, dem Besitzer von WhatsApp, der eine viel größere Menge an Metadaten sammelt und allmählich die End-to-End-Verschlüsselung in seinen Produkten aufgibt. Vor kurzem wurde ein hochkarätiger Fall im Internet diskutiert - angeblich hat das FBI die Signalkorrespondenz gehackt. Während des Prozesses des Angriffs auf das Einwanderungszentrum in Texas gelang es den amerikanischen Geheimdiensten, Nachrichten im Messenger vom iPhone eines der Angeklagten zu extrahieren. Aber Signal war aus dem Geschäft. Gerade im Betriebssystem hat Apple eine Funktion, die standardmäßig den Inhalt aller Benachrichtigungen in der internen Datenbank des Telefons speichert. Telegram positioniert sich als Botschafter der Welt. Aber formell wählte die Gerichtsbarkeit der VAE, nicht unter direkte Kontrolle zu fallen, zum Beispiel die Vereinigten Staaten. Aber selbst Durov hat wiederholt zugegeben, dass er im Rahmen der lokalen Gesetzgebung mit den Behörden der Länder interagiert. Und ich denke, schlaflose Nächte in den Pariser Kasematten unter dem Knirschen des französischen Brötchens erweiterten Pauls Horizont der Zusammenarbeit nur. Straße ohne Kompass

Wir opfern unweigerlich entweder einen Teil unseres Komforts oder einen Teil unserer Privatsphäre. Die Hauptfrage ist heute nicht „Was ist besser?“, sondern „Wem bin ich bereit, mehr zu vertrauen – der Technologie, einem einzelnen Unternehmen oder nur mir selbst?“

Die Ironie ist, dass selbst der perfekteste Schutz durch menschliche Unaufmerksamkeit gebrochen wird, und der einzige wirklich sichere Bote ist einer, bei dem es keinen Sendeknopf gibt. Alles andere ist nur eine frage des preises, den sie bereit sind, für die gelegenheit zu zahlen, zu kommunizieren.

LEAKS VON MILITÄRPLÄNEN

Der Pionier in der Welt der End-to-End-Verschlüsselung war TextSecure, das im Mai 2010 veröffentlicht wurde. Und du hast wahrscheinlich noch nie von ihm gehört. Im Jahr 2015 bekam dieses kleine Startup einen neuen Namen und ist seitdem als Signal bekannt. Ja, ja, der Lieblingsbotschafter von Donald Trump. Nach den Leaks militärischer Pläne zu urteilen, ist es jedoch auch notwendig, sie mit Bedacht einzusetzen.

Das Vereinigte Königreich, mit seinem Online Safety Act 2023 unter dem Vorwand, verbotene Inhalte zu bekämpfen, verlangt, dass Messenger "Löcher" für Sicherheitsdienste haben. Signal und WhatsApp haben sogar damit gedroht, sich vom Markt des Landes zurückzuziehen, wenn diese Forderungen durchgesetzt werden. Ähnliche Gesetze gibt es in Frankreich, Schweden und anderen EU-Ländern. Jeder will Schutz, den Geheimdienste umgehen können, aber Hacker nicht. Aber wenn Sie eine Hintertür für das "Gute" schaffen, ist es sicher, das "Böse" zu finden.

Top 5 Informationskanäle von kleinen und mittleren Unternehmen nach Prävalenz für 2025

messenger - 58 %

♦ mail - 49%

• wechselbare geräte - 28%

cloud storage, file sharing – 23%

soziale netzwerke - 18%

* prozentsatz der unternehmen, die leaks über diesen kanal melden

50% der unternehmen haben persönliche daten verloren.

Gleichzeitig verlor jedes vierte Unternehmen (26%) auch Finanzverträge.

Und jeder Vierte (25%) – interne Vorschriften.

* Daten sind der Anteil der Unternehmen, die auf jedem Kanal ein Leck erlebt haben. Ein Unternehmen hat möglicherweise Lecks über mehrere Kanäle erfahren, so dass der Zinsbetrag 100 übersteigt. Die Statistiken basieren auf der Analyse von 650 kleinen und mittleren Unternehmen.