В минувший уикенд Facebook начала тестировать функцию сквозного шифрования на своем IM-сервисе; по умолчанию она будет деактивирована. Новый механизм именуется Secret Conversations и реализует протокол Signal разработки Open Whisper Systems, тот самый, который используется в мессенджерах Signal и WhatsApp.
Новую опцию Facebook придется не только включать самостоятельно, но и использовать лишь на одном устройстве в ходе обмена. «Возможность секретного диалога – это опция, – пишут представители Facebook в анонсе. – Многие, к примеру, хотят, чтобы мессенджер сохранял активность при переключении между устройствами: планшетом, десктопом, телефоном. Секретные сообщения можно будет читать лишь на одном устройстве, и это, возможно, не всем понравится».
Глава ИБ-службы Facebook Алекс Стамос (Alex Stamos) опубликовал несколько твитов, объяснив причины, по которым компания приняла такое решение.
Технические подробности взаимодействия двух сторон в рамках Secret Conversations изложены в отдельном документе, выложенном в открытый доступ в минувшую пятницу. Защищенный от точки до точки диалог не похож на обычное общение через Facebook Messenger, который изначально рассчитан на групповое общение с разных устройств и с применением различного ПО – браузеров, мобильных приложений. Использование сквозного шифрования, по замыслу, предполагает привязку к конкретному устройству, на котором генерируются ключи и осуществляется управление ими; эти ключи в Facebook не передаются. Сообщения при этом шифруются по алгоритму AES в режиме CBC, для подтверждения их подлинности используется HMAC-SHA256.
Facebook также предупреждает, что при смене предпочтений существующие сообщения и криптоключи на новое устройство передаваться не будут. «Facebook будет возвращать участникам обмена ошибку на все последующие попытки отправки сообщений на устройство, выбранное ранее для секретных коммуникаций, – сказано в техническом описании Secret Conversations. – Отправителю, получившему такую отбивку, придется заново начать секретный диалог с новым устройством, при этом пользователю отображается предупреждение о смене ключа идентификации. Мессенджер не перешлет отбитое сообщение на новое закрепленное устройство автоматически, от пользователя потребуется явно выраженное действие на повторную передачу».
Аудиторию Facebook Messenger составляют около 1 млрд. пользователей, и при таких масштабах ввод сквозного шифрования как опции не удовлетворил поборников приватности и гражданских свобод. Так, известный активист Кристофер Согоян (Christopher Soghoian) так отозвался в Твиттере на нововведение Facebook: «Шифрование как opt-in хорошо для грамотных пользователей, у которых есть время изучать малопонятные настройки безопасности. Не катит, Facebook».
Разработчик Signal Мокси Марлинспайк (Moxie Marlinspike) отреагировал более сдержанно: «Хотя этот релиз не включает сквозное шифрование для всех бесед по умолчанию, как это сделано в WhatsApp или Signal, это все же большой шаг. Остается надеяться, что Messenger на этом не остановится, и сквозное шифрование будет развернуто для всего пакета услуг».
Источник: Threatpost | Новости ИБ
