Мессенджер Session
2021-11-11 05:29 pm![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
waqurE2E-шифрованный мессенджер Signal часто подвергается критике от сторонников конфиденциальности, которые не понимают, зачем нужна привязка аккаунтов к номерам телефонов (ведь во многих странах мира невозможно купить SIM-карту анонимно). Также, номер телефона не является открытым ключом, не является математической функцией от открытого ключа, и таким образом, теоретически возможен такой вид подлости со стороны платформы, как подмена открытых ключей в хранящейся на сервере "адресной книге" (то есть, по сути, MitM-атака). Зачем может понадобиться такая подмена хозяевам платформы? Ну, не по доброй воле конечно, просто они могут исполнять NSL или gag order в рамках закона FISA, например.
Объяснения/оправдания насчёт борьбы со спамом и т.п. понятны, но всё же они не снимают спрос на такой E2E-шифрованный мессенджер, где в качестве идентификаторов пользователей выступают их открытые ключи (или хэши открытых ключей). Заодно и никаких проблем при установке такого мессенджера на десктопы/планшеты/другие устройства без SIM-карты. В том числе и на одноразовые виртуальные машины, когда в этом есть смысл.
Вы скажете "если в качестве идентификаторов пользователей будут выступать их открытые ключи, то получится слишком сложная процедура начального обмена ключами / установления контактов"? Ведь треугольник Зуко никто не отменял. Да, именно так, открытые ключи в качестве идентификаторов пользователей — это не очень гуманно, зато полностью исключается риск MitM-атак. Бывают ситуации, когда это оправдано (это отдельный сегмент рынка). Исторически в качестве такого супер-защищённого мессенджера выступал RetroShare, однако его существование только для десктопных ОС и необходимость заморачиваться с пробросом портов через NAT не добавляет ему популярности в наши дни. То же самое относится и к многочисленным клиентам протокола Tox, которые полагаются на DHT/P2P-маршрутизацию сообщений и открытые UDP-порты с определёнными номерами.
Бывает ли мессенджер, подобный RetroShare/qTox/uTox (со сложной MitM-устойчивой церемонией обмена ключами / установления контактов), но такой, чтобы нормально работал под мобильными ОС (в том числе автоматически преодолевал NAT, например, с помощью централизованных серверов, которые, помимо роутинга, хранили бы зашифрованные сообщения для находящихся в оффлайне пользователей), и по возможности, упрощал начальный обмен ключами посредством QR-кодов?
Есть такой мессенджер, называется Session: https://getsession.org/
Объяснения/оправдания насчёт борьбы со спамом и т.п. понятны, но всё же они не снимают спрос на такой E2E-шифрованный мессенджер, где в качестве идентификаторов пользователей выступают их открытые ключи (или хэши открытых ключей). Заодно и никаких проблем при установке такого мессенджера на десктопы/планшеты/другие устройства без SIM-карты. В том числе и на одноразовые виртуальные машины, когда в этом есть смысл.
Вы скажете "если в качестве идентификаторов пользователей будут выступать их открытые ключи, то получится слишком сложная процедура начального обмена ключами / установления контактов"? Ведь треугольник Зуко никто не отменял. Да, именно так, открытые ключи в качестве идентификаторов пользователей — это не очень гуманно, зато полностью исключается риск MitM-атак. Бывают ситуации, когда это оправдано (это отдельный сегмент рынка). Исторически в качестве такого супер-защищённого мессенджера выступал RetroShare, однако его существование только для десктопных ОС и необходимость заморачиваться с пробросом портов через NAT не добавляет ему популярности в наши дни. То же самое относится и к многочисленным клиентам протокола Tox, которые полагаются на DHT/P2P-маршрутизацию сообщений и открытые UDP-порты с определёнными номерами.
Бывает ли мессенджер, подобный RetroShare/qTox/uTox (со сложной MitM-устойчивой церемонией обмена ключами / установления контактов), но такой, чтобы нормально работал под мобильными ОС (в том числе автоматически преодолевал NAT, например, с помощью централизованных серверов, которые, помимо роутинга, хранили бы зашифрованные сообщения для находящихся в оффлайне пользователей), и по возможности, упрощал начальный обмен ключами посредством QR-кодов?
Есть такой мессенджер, называется Session: https://getsession.org/
no subject
Date: 2021-11-11 05:47 pm (UTC)видео с аудио ваши не поддерживает? так а назрена они вообще. нахрена велосипед изобретать? то тох крайне нкдобен измеено своими длинющими ключами. незапоминаютс мозгом.
no subject
Date: 2021-11-11 06:39 pm (UTC)no subject
Date: 2021-11-11 07:46 pm (UTC)