В чем WhatsApp проигрывает Viber, Telegram, Skype и другим мессенджерам. Whatsapp можно взломать? Разбираемся с безопасностью в Вотсапе

— один из самых популярных мессенджеров в мире, он и его пользователи постоянно подвержены множественным атакам и угрозам. Даже несмотря на то, что разработчики ввели шифрование, нужно придерживаться некоторых правил и советов, чтобы не стать жертвами мошенников и других жуликов.

1. Используйте веб-версию более эффективно

Веб-версия WhatsApp позволяет удобнее читать и отправлять сообщения вашим коллегам, друзьям и родственникам. Все что вам для этого потребуется — прочитать QR-код с помощью вашего телефона. После этого все сообщения станут доступны на компьютере через браузер.

Когда вы покидаете компьютер, не забывайте разорвать соединение, чтобы никто не смог прочесть ваши личные сообщения на компьютере после того, как вы уйдете. Это особенно важно, если вы подключались на чужом компьютере.

Разорвать соединения можно прямо с телефона в разделе WhatsApp Web.

2. Используйте двухфакторную авторизацию

Этот дополнительный элемент — пин-код, который надо будет вводить после активации устройства и программы WhatsApp на нем.

3. Запретите доступ посторонних к вашей аватарке

Чтобы посторонние люди не могли видеть вашу аватарку, установите соответствующую опцию в настройках программы.

Достаточно разрешить контактам видеть ваше фото, а чужаки не смогут это сделать.

4. Скройте фото и видео в галерее

Одной из самых назойливых функций WhatsApp является то, что если вам кто-то прислал фото или видео, они тут же попадают к вам в галерею.

Чтобы этого избежать и случайно не выдать секретов друзей, которые могут прислать вам что-то личное, то с помощью простого файлового менеджера создайте в папке медиафайлов WhatsApp файл с именем .nomedia и перезагрузите свое устройство. После этого фото не будут попадать в Галерею.

5. Запретите доступ к WhatsApp с помощью стороннего приложения

Если в вашей переписке есть очень важные вещи, которые ни в коем разе не должны попасть в чужие руки и которые надо скрыть, то можно заблокировать доступ к приложению с помощью сторонней программы.

В этом случае для доступа к приложению потребуется введение пин-кода. Реализовать такую возможность можно с помощью приложения AppLock .

6. Деактивируйте аккаунт, если потеряли телефон или его украли

Если вдруг вы случайно потеряли телефон или его украли, то незамедлительно напишите в службу поддержки и попросите деактивировать свою учетную запись.

Для этого напишите в поддержку WhatsApp сообщение, указав в теме письма Lost/Stolen: Please deactivate my account и номер своего телефона.

7. Остерегайтесь мошеннических сообщений

WhatsApp настолько популярен, что достаточно часто приходят сообщения от незнакомцев, которые что-то пытаются выманить у своих жертв. Не стоит отвечать на сообщения от незнакомых людей — они могут представляться теми, кем на самом деле не являются. От этого можете пострадать не только вы, но и другие люди.

Утверждает, что все зашифрованные мессенджеры уязвимы, и в особенности, Whatsapp. Материал наделал много шума, однако так ли все печально на самом деле? Компания-эксперт в области интернет-безопасности Open Whisper Systems утверждает, что ничего нового в The Guardian написано не было и на Вотсап “наехали” напрасно.

Прошлой весной Whatsapp выпустил крупнейшее обновление в своей истории — добавилась функция принудительного конечного шифрования, которая по сути означает, что никто, включая Whatsapp, не может прочитать вашу переписку. Вчерашнее расследование The Guardian представляет мнение эксперта, который заявляет, что Whatsapp умышленно оставил “черный ход” (backdoor) в своем коде для возможного перехвата сообщений спецслужбами и другими заинтересованными лицами. Сами же разработчики Whatsapp утверждают, что это совсем не так, и что потенциально небезопасное поведение их приложения — ни что иное как облегчение жизни своим многочисленным пользователям.

Безопасность переписки Whatsapp была разработана с помощью компании Open Whisper Systems, той самой, которая разработала самый безопасный мессенджер в мире — Signal, и в своем блоге компания подробно описывает как все работает. В Вотсап внедрен Signаl-протокол (а еще он внедрен в недавний Google Allo), который выдает каждому пользователю два ключа безопасности: публичный ключ, по которому его могут идентифицировать другие пользователи и личный приватный ключ, который будет закреплен на устройстве. Поскольку люди частенько меняют свои телефоны и перестанавливают приложения, связка ключей безопасности будет меняться соответственно этому. Пользователи могут убедиться в приватности своего общения внутри Whatsapp, проверяя код безопасности на каждом устройстве, участвующем в разговоре — если коды совпадают, это будет означать что перехват сообщений между собеседниками отсутствует (такой тип атаки называется man-in-the-middle, MITM).

Материал the Guardian основан на расследовании Тобиаса Белтера (Tobias Belter) . Он утверждает, что сервер Whatsapp можно взломать по запросам третьих лиц. То есть Вотсап может сгенерировать новый ключ безопасности и выдать его этим самым третьим лицам пока пользователи не заметят, что что-то произошло. В мессенджере Signal app любая подмена ключа безопасности результирует в невозможность отправки сообщения и в предупреждение безопасности, причем все это происходит до того, как пользователь соберется переправить сообщение заново и самостоятельно. В Whatsapp же пользователь получает уведомление о смене ключа, при этом сообщение будет автоматически перекодировано под новый ключ и отправлено адресату. То есть вы только потом сможете выяснить, действительно ли совпадает новый ключ с вашим адресатом. При том, что такую настройку о предупреждении в вашем Whatsapp еще необходимо включить вручную:

Подобное поведение Whatsapp в компании Open Whisper Systems объясняют идеологической простотой использования мессенджера. А еще, сервера Whatsapp не знают, кто включил настройку о предупреждении, а кто нет — поэтому попытка взлома может быть быстро обнаружена. Во всяком случае, “адвокаты” Whatsapp настаивают на том, что такую политику безопасности можно называть как угодно, но это не уязвимость и не backdoor. Это “особенность”.

Многие западные эксперты по безопасности соглашаются с выводами Open Whisper Systems:

It’s ridiculous that this is presented as a backdoor. If you don’t verify keys, authenticity of keys is not guaranteed. Well known fact.

Frederic Jacobs (@FredericJacobs)

Четыре совета, которым необходимо следовать всем, кто опасается утечки личных данных.

Но прежде чем вы начали распространять через WhatsApp свои планы по свержению мирового капитализма, учтите, что перехват сообщений по время их передачи – всего лишь один из способов следить за вами, причем довольно маловероятный. От шифровки самой по себе не много толку, если вы также не следуете приведенным ниже правилам.

Вы не сохраняете сообщения в телефоне

Если вы действительно хотите, чтобы ваши сообщения никто кроме вас не прочитал, удаляйте их сразу после прочтения. Если кто-то завладеет вашим телефоном (украдет, например) и сможет разблокировать его – что совсем недавно удалось ФБР с iPhone стрелка из Сан-Бернардино – он получит доступ ко всему, что хранится в памяти. Некоторые мессенджеры, например , имеют функцию «самоуничтожения», при активации которой сообщения автоматически удаляются через заданный промежуток времени. В WhatsApp такой функции пока нет. (С другой стороны, в Telegram оконечное шифрование не работает по умолчанию, нужно его включать специально.)

Вы не сохраняете сообщения в облако

WhatsApp не сохраняет вашу переписку на своих серверах. Но, к примеру, на можно сохранять резервную копию сообщений на iCloud, облачном сервисе . Как только информация попадает на облако, ее может перехватить правительство.

Джастин Кошон (@Cauchon)

Signal – это приложение, популярное среди сторонников неприкосновенности личной переписки. В нем используется та же технология шифрования, что и в WhatsApp, а резервного копирования в облако не происходит.

Way to go WhatsApp, but I"m not ready to give up Signal. I fear that many of my WhatsApp friends have enabled unencrypted cloud backups.

Christopher Soghoian (@csoghoian) 5 апреля 2016 г.

Отличная работа, WhatsApp, но я пока не готов отказаться от Signal. Подозреваю, что у многих моих друзей в WhatsApp включена копирование в облако.

Кристофер Согойан (@csoghoian)

Все «под колпаком». Российские спецслужбы взялись за WhatsApp и Viber

Все мировые спецслужбы (российские в том числе) стремятся знать о нас все. Прослушкой телефонов сейчас уже никого не удивить, но прогресс не стоит на месте, и на смену старым приходят новые способы связи - IP-телефония, чаты и мессенджеры, которые хоть и медленно, но неуклонно берут под свой контроль чекисты. С ноября 2016 года ФСБ получила техническую возможность перехвата информации, отправляемой пользователями таких популярных мессенджеров, как WhatsApp и Viber. Теперь на базе их дата-центров появились сервера, подключенные к системе СОРМ (система технических средств для обеспечения функций оперативно-разыскных мероприятий). Причем сотрудникам МВД эти возможности пока недоступны. А вот оперативникам ФСБ они могут сильно помочь в раскрытии резонансных преступлений, а также в борьбе с терроризмом и коррупцией.

Впервые система подобного типа в нашей стране стала использоваться еще в 1996 года для прослушки мобильных телефонов. У каждого оператора связи установлена аппаратура, позволяющая силовикам в любой момент в режиме реального времени получить доступ к разговорам любого клиента. С точки зрения закона, все «чисто». Помимо того что, в соответствии с 23 статьей Конституции, по решению суда допускается ограничение тайны связи, права и свободы гражданина могут быть ограничены федеральным законом в случае, если это необходимо в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства. В общем, правоохранителям есть где развернуться, обосновывая необходимость на прослушку и тому подобное. Впрочем, если для непосредственного прослушивания разговоров требуется официальное судебное решение, то для получения другой информации (например, о фактах совершения вызовов) санкции суда не требуются. Кроме того, сотрудник ФСБ или МВД должен только получить ордер, но не предъявлять его оператору связи, которому запрещается требовать этот документ при отсутствии со своей стороны допуска к государственной тайне.

В связи с ростом пользователей интернета в 2000-м появляется так называемая СОРМ-2, при помощи которой спецслужбы могут получать доступ ко всему проходящему через провайдера интернет-трафику. И несмотря на то, что подобные меры обосновываются главным образом борьбой с экстремизмом и терроризмом, мы зачастую узнаем об использовании спецсредств во время борьбы с оппозицией. Например, так было со «сливом» через Life телефонных разговоров Бориса Немцова в канун очередных массовых митингов в 2011 году (откуда у издания эти записи − никто не объяснил), или с проверкой жертвователей выборной компании Алексея Навального во время выборов в мэры Москвы в 2013 году. Пожертвования происходили через платежную систему Яндекс.Деньги. Тогда Генпрокуратура РФ обнаружила, что IP-адреса более 300 отправителей находятся за пределами России, что запрещено законом. Сразу уточним, что иностранный IP-адрес еще не означает, что за ним стоит иностранный гражданин. Оставалось непонятным и то, каким образом Генпрокуратура получила эти данные. По словам представителя «Яндекса» Аси Мелкумовой, к ним прокуратура не обращалась.

Однако из-за огромного пласта различных данных, проходящих через провайдера, да еще и в зашифрованном виде, функциональность СОРМ-2 представляется малоэффективной − приходилось «перелопачивать» множество информации, не относящейся к интересующему делу, в то время как нужна была более узкая выборка.

Тогда решили зайти с другой стороны. 31 июля 2014 года премьер-министр Дмитрий Медведев подписал постановление, согласно которому соцсети, форумы и любые сайты для общения, доступные всем пользователям интернета, должны подключать оборудование и программное обеспечение, позволяющее спецслужбам в автоматическом режиме получать информацию о действиях пользователей этих сайтов. Началась эра СОРМ-3.

Однако с мессенджерами, отправляющими сообщения со смартфонов, дело обстояло иначе, поскольку они работают «поверх» инфраструктуры операторов связи. Если передающуюся информацию еще можно перехватить, то практически невозможно расшифровать. Поэтому выход в данном случае был один - хакерская атака. Как это, например, произошло с перепиской в Telegram сотрудника Фонда борьбы с коррупцией Георгия Албурова и директора НКО «Образ будущего» Олега Козловского. В конце апреля этого года оппозиционеры заявили, что их аккаунты были взломаны. Причем, по словам Албурова, ФСБ смогло осуществить это с помощью МТС.

К слову, и зарубежные спецслужбы не скрывают, что добывают информацию теми же методами. Вспомним историю с попыткой ФБР получить данные с iPhone одного из террористов, убивших 14 человек в Калифорнии в декабре 2015 года. Apple тогда отказалась помогать Федеральному бюро расследований, и те воспользовались услугами хакеров. Тем более что некоторые компании открыто предлагают ПО для взлома как электронных носителей, так и информации, находящейся в интернете или передающейся с его помощью. Так делает Elcomsoft (российская, кстати, компания), в числе прочего производящая различные «инструменты для криминалистов», необходимые для извлечения данных, хранящихся в памяти телефонов, в «облачных» хранилищах, подбора паролей к файлам и т. д. И доступны они не только спецслужбам - купить их может любой желающий прямо на сайте.

Однако все эти способы не были 100%-ми, поэтому между российскими законодателями и правоохранительными органами с одной стороны и владельцами мессенджеров с другой начались «бои» для налаживания «сотрудничества».

1 сентября 2015 года вступили в силу поправки к закону «О персональных данных», которые требуют локализации персональных данных на территории России. Любая российская или зарубежная компания, ориентированная на работу с российскими пользователями, должна обеспечивать запись, систематизацию, накопление, хранение, уточнение персональных данных россиян с использованием баз данных, находящихся на территории нашей страны. Для глобальных компаний встала непростая дилемма - потерять российский рынок либо репутацию компании, сохраняющей в неприкосновенности данные своих пользователей.

Впрочем, не все в данной ситуации начали посыпать голову пеплом. Спустя полгода появилась информация о том, что Google и Apple преступили к переносу персональных данных своих российских пользователей на серверы в России. Facebook же в свою очередь отказался это делать. Про остальных и вовсе ничего не было слышно, однако на сегодня все «иностранцы» продолжают работать в России, а значит, определенная договоренность, устраивающая всех, была достигнута.

Впрочем, подобное может говорить не только о том, что кто-то «прогнулся», а кто-то нет. А о тенденции неизбежности того, что в ближайшее время никто не сможет гарантировать конфиденциальность информации.

К примеру, долгое время Skype считался одним из самых защищенных VoIP-сервисов (IP-телефонией). Официально подтвержденных разработчиком случаев расшифровки и/или перехвата данных в Skype не было зафиксировано примерно до 2008 года, когда правоохранительные органы Австрии на встрече с провайдерами сообщили, что провели «законный перехват IP-трафика». Аналогичное заявление прозвучало и от представителя органов внутренних дел Австралии. Также, благодаря утечке информации, стало известно о разработке фирмой Digitask программы перехвата онлайн-коммуникаций по заказу одного из министерств Баварии. Кроме того, о наличии решений для прослушивания Skype объявили власти Швейцарии. В России периодически возникали предложения запретить Skype. Аргументировали это угрозой безопасности, связанной с шифрованием разговоров и отсутствием подключения к СОРМ. В 2010 году были предложены решения СОРМ, способные обнаружить и перехватить трафик Skype (но не расшифровать его). Однако задачу всем упростила компания Microsoft, купившая Skype в 2011 году. Отныне все передаваемые сообщения стали анализироваться сразу на ее серверах. А в июле 2012 года и вовсе появилась информация, что Microsoft может сама разрешить спецслужбам прослушивать разговоры пользователей Skype, а также предоставит доступ к личной переписке, следуя «новой» политике полного содействия правоохранительным органам. В 2013 году стало известно о том, что российские спецслужбы могут не только прослушивать, но и определять местоположение пользователя Skype.

Еще один VoIP для смартфонов − Viber в 2015 году, как того и требует закон, перенес данные российских граждан, а именно номера телефонов и никнеймы, на территорию России.

Facebook Messenger и с недавних пор также принадлежащий Марку Цукербергу самый популярный в мире мессенджер WhatsApp (число пользователей которого достигает 1 млрд человек) используют функцию сквозного шифрования, которая, по словам разработчиков, исключает возможность попадания переписки третьим лицам. Правда, это все верно в том случае, если пользователь сам активирует данную функцию, а вся история переписки не будет храниться в незашифрованном виде в Google Drive или iCloud.

Одним из наиболее безопасных мессенджеров на сегодняшний день аналитики по электронной безопасности называют Telegram - проект, созданный Павлом Дуровым, основателем социальной сети «ВКонтакте». В интервью The New York Times Павел рассказал, что первоначальная идея приложения пришла ему еще в 2011-м, когда к его двери приходили спецназовцы. Когда последние все-таки ушли, Дуров сразу же написал своему брату Николаю. Тогда же он осознал, что у него нет безопасного способа коммуникации с братом. В качестве доказательства безопасности своего нового детища Дуров в конце 2013 года пошел на рискованный PR-ход, предложив всем желающим за 200 тыс. долларов взломать его личную переписку в Telegram. Деньги тогда так никому и не достались.

При этом, несмотря на заявления о безопасности, в России понимают, у кого находятся «ключики», открывающие переписку. Поэтому весной этого года поступило предложение запретить отечественным чиновникам и военным вести рабочую переписку с почтовых ящиков на Gmail.com и в популярных мессенджерах WhatsApp, Viber, Telegram.

Наконец, видимо, чтобы закрыть эту тему, весной 2016 года в России подоспел новый законопроект, известный всем как «пакет Яровой», разработанный депутатами Ириной Яровой и сенатором Виктором Озеровым. Помимо прочего, речь в нем шла и об обязанности хранить «организаторами распространения информации в сети Интернет» в течение 1 года всю проходящую через них информацию. А в случае, если мессенджер, социальная сеть, почтовый клиент или просто сайт поддерживает шифрование данных, то их владельцы обязаны помочь ФСБ расшифровать любое сообщение, которое понадобится силовикам. Иначе штраф − от 800 тыс. до 1 млн рублей. 7 июля 2016 года с некоторыми поправками пакет был подписан президентом Владимиром Путиным.

Поправки, дающие правительству полномочия обязывать операторов связи хранить записи телефонных разговоров, SMS и интернет-трафик пользователей сроком до 6 месяцев, вступят в силу 1 июля 2018 года. При этом, как это следует из поправок, указанная информация должна будет храниться исключительно на территории России. Однако 19 июля 2016 член Совета Федерации Антон Беляков внес законопроект о переносе срока вступления в силу этих поправок на 2023 год.

В конце лета появилась информация об еще одном законопроекте, призванном лишить анонимности пользователей мессенджеров. Работу над ним вел Медиакоммуникационный союз (МКС), объединяющий операторов связи и медиахолдинги. По замыслу МКС, интернет-мессенджеры («организаторы обмена мгновенными сообщениями») должны до 2017 года заключить договоры с операторами связи, согласно которым каждый мессенджер должен будет направлять оператору сведения о пользователях, а тот будет сверять это со своими данными об абонентах, и в случае чего сообщать о несовпадении.

Наконец, для реализации спецслужбами полученных законодательных возможностей осенью этого года компания Con Certeza, которая разрабатывает системы технических средств для обеспечения функций оперативно-разыскных мероприятий (СОРМ) на сетях операторов связи, начала поиск подрядчика для проведения исследования по возможности перехвата и расшифровки трафика популярных мессенджеров: WhatsApp, Viber, Facebook Messenger, Telegram, Skype. И, судя по всему, по некоторым мессенджерам необходимого результата удалось достичь.

Несмотря на популярность мессенджера и заверения разработчиков, что безопасность WhatsApp и конфиденциальность «заложены» в ДНК утилиты, и что ни один аккаунт не прослушивается, к программе все же предъявляют претензии. Многие проблемы приложения применимы и к другим месенджерам, однако в вопросах безопасности сервис уступает конкурентам, по мнению специалистов. Так ли это?

Начало работы сервиса: о надежности не могло быть и речи

Истории о взломе Ватсап стали появляться чуть ли не каждую неделю с момента появления мессенджера. В начале истории приложения использовался канал XMPP. Сообщения передавались по слабо защищённому пути. Зашифрованные данные приложения взламывались простым скриптом. На ПК загружали вирусы через веб-версию, вскрывали всю историю чатов в корыстных целях и т.д.

В 2012 году разработчики решили проблему с безопасностью в WhatsApp – переписка стала максимально скрыта от посторонних и прослушка стала проблематичнее.

По утверждениям сотрудников компании, при разработке каждой новой версии вопрос безопасности выносится на первый план. Таким образом, её уровень заметно повышается. Какая же ситуация сейчас?

Сквозное шифрование и новое соглашение о конфиденциальности

Оконечное или сквозное шифрование – нововведение в политике безопасности и конфиденциальности в WhatsApp. Суть его заключается в том, что при каждой отправке любое по объёму и содержанию сообщение кодируется отдельным ключом, который есть только у отправителя и получателя. Данная схема исключает одновременную работу WhatsApp на двух и более устройствах, как, например, на ПК и смартфоне или на двух телефонах.

Код безопасности включает 60 цифр, поэтому то, что показывается на экране телефона, – всего лишь часть цепочки. Такая стратегия обезопасит общение между двумя и более людьми.

Каков механизм работы сквозного (end-to-end) шифрования? Устройство А запрашивает у сервера мессенджера открытый ключ. Отправляется сообщение от А к В, предварительно закодированного этим ключом. Устройство пользователя В расшифровывает сообщение после получения.

Это новшество работает только в новой версии мессенджера. Таким образом, более старые его варианты должны быть обновлены, чтобы данные были максимально защищены и чтобы быть уверенным, что информацию не прослушивают. При обновлении программа сама попросит принять новое соглашение о конфиденциальности.

В процессе установки обновлений нужно принять соглашение, однако сделать это нужно еще правильно.

В конце лета 2016 года Whatsapp обновили условия и политику конфиденциальности.

Аккаунты стали связывать с учетными записями людей в Facebook. Это означает, что сообщения теперь могут анализироваться в коммерческих целях, например, для улучшения конверсии таргетированной рекламы в Facebook. Можно ли этого избежать? К счастью, да.

Чтобы прослушивание было невозможным, при принятии соглашения необходимо нажать на сам текст с условиями конфиденциальности со стрелочкой справа. Далее пролистать до конца и убрать галочку. Таким образом, вы даёте знать, что не разрешаете использовать информацию из аккаунта для улучшения взаимодействия с рекламой и продуктами Facebook.

Как подтвердить код безопасности?

Это необязательная процедура, так как шифрование включается автоматически при обновлении приложения. Тем не менее, давайте рассмотрим, как можно проверить этот код безопасности.

Зайти в чат и нажать на контакт, тем самым открыв меню с несколькими пунктами. Выбрать раздел «Шифрование».

Перед вами появится QR-код и длинный набор цифр в три ряда. Вам предложат подтвердить код безопасности. Сделать это можно, нажав на «Сканировать код» или вручную. Наведите камеру телефона на код, который появился на экране телефона вашего собеседника. При этом неважно, Android это или iOS. Появившаяся зелёная галочка будет свидетельствовать об успешном сканировании. В ином случае можно просто визуально сравнить коды.

Что, если код не совпал? Возможно, по ошибке был просканирован код другого собеседника. Получатель сообщений может также пользоваться старой версией программы и, чтобы сообщения зашифровывались, ему необходимо .

Что можно сделать дополнительно, чтобы аккаунт не мог прослушиваться? Учесть возможности, предлагаемые сервисом: ограничить доступ к своему профилю (статусу, времени последнего посещения приложения, фотографиям и т.д.). Пользователи мессенджера могут также отключить оповещения о том, что сообщение прочитали.

С новой версией утилиты разработчики значительно повысили уровень безопасности данных в аккаунтах пользователей. Конечно, здесь не обойтись без подводных камней, в частности, это связь WhatsApp и Facebook. Тем не менее, со сквозным шифрованием прослушать разговоры теперь крайне тяжело третьим лицам.