سرویس گپ از سوئیس – وبلاگ مسنجر قسمت 2. وبلاگ امنیت IT Phuket

. 1 چاقوی ارتش سوئیس با هدف کلی؟

Messenger Threema منشاء آن در سوئیس است – همه سرورهای سرویس نیز در آنجا مستقر هستند. این سرویس از سال 2018 تقریباً 5 میلیون کاربر (خصوصی) دارد. برنامه در Android و iOS موجود است. هزینه آن 3.99 یورو است و علاوه بر فروشگاه های اپلیکیشن معمول ، از طریق فروشگاه آنلاین نیز در وب سایت شرکت موجود است.

Thema با "بالاترین سطح پس انداز داده" تبلیغ می کند ، زیرا طبق گفته توسعه دهندگان ، جمع آوری و پردازش ابرداده روی یکی از حداقلها کاهش می یابد. برای شناسایی کاربران ، اولین باری که این برنامه را آغاز می کنید ، یک شناسه (Threema) ایجاد می کند که می توانید برای ارتباط با سایر کاربران Threema استفاده کنید. این بدان معناست که برای استفاده از Threema نیازی به شماره تلفن یا دسترسی به دفترچه آدرس ندارید.

متأسفانه ، Threema یک نرم افزار منبع باز نیست ، به این معنی که کنترل های امنیتی مستقل امکان پذیر نیست. با این حال ، Thema در اوایل سال 2019 توسط آزمایشگاه امنیت IT در دانشگاه علمی کاربردی مونستر تحت آزمایش مأموریت امنیتی قرار گرفت که در آن چندین آسیب پذیری غیر منتقدی پیدا شد.

این مقاله بخشی از یک سری مقالات است:

2. رمزگذاری رمزنگاری

برای اطمینان از ارتباط ضد آب ، Threema برای محتویات پیام بر رمزگذاری نهایی به پایان (E2EE) متکی است. برای این کار ، مسنجر از کتابخانه رمزنگاری NaCl با منبع آزاد استفاده می کند. اگرچه Threema خود یک نرم افزار منبع باز نیست ، NaCl اجازه تأیید E2EE را می دهد. متأسفانه ، NaCl از رازداری کامل و مناسب (PFS) برخوردار نیست. بنابراین اهداف محافظت از (اعتبار) انکار و عدم سازگاری عملی نیست. با این وجود ، رضایت بخش است که کلیه ارتباطات بصورت پیش فرض رمزگذاری شود – در هر دو گروه و گفتگوی گروهی.

هرکسی که همتای خود را تأیید نمی کند ، هرگز نمی تواند واقعاً مطمئن باشد که آیا آنها در واقع پیام را با شریک ارتباطی مورد نظر یا با شخص ثالث ناشناخته رد و بدل می کنند. نمایش از طریق سیستم چراغ راهنمایی با سه کد رنگ مختلف است که به طور مستقیم در کنار مخاطب مربوطه نمایش داده می شود:

• Red : امنیت کم ، احتمالاً تماس با هدف در دسترس نیست
• Yellow : مخاطب موجود در کتاب آدرس با کد QR
• سبز تأیید نشده است: مخاطب تأیید شده توسط کد QR

در حال حاضر در سطح اعتماد به رنگ زرد می توانید نسبتاً مطمئن باشید که یک تماس معین واقعاً همان است که برای ادعا می کند با این حال ، این اعتماد اطمینان تنها در صورتی کار می کند که ثریا به دفترچه آدرس دسترسی داشته باشد و شماره تلفن همراه و آدرس ایمیل تماس را برای سرورهای Threema ارسال کند. اگر این را نمی خواهید ، باید مخاطب را تأیید کنید یا کد QR را در یک جلسه شخصی اسکن کنید – این همچنین بالاترین سطح امنیتی است ، زیرا این گزینه Threem ID و کلید عمومی را بررسی می کند.

3 مراجعه کنید. مرکزی فدرال Decentralized

در Threema ، کلیه ارتباطات یا تبادل پیام از طریق سرورهای مرکزی در سوئیس انجام می شود که طبق گفته سازنده دارای گواهینامه ISO 27001 هستند بنابراین یک سرور یا خوشه سرور وجود دارد که در آن هر شرکت کننده باید ثبت نام کند. درنهایت ، کنترل بر کل سرویس و جهت گیری آینده آن تنها عهده دار شرکت Threema GmbH است.

4. Metadata

براساس Threem ، سرورهای Thema فقط "ایستگاه های رله" هستند که پیام ها و داده ها را به شرکت کنندگان انتقال می دهند ، اما آنها را برای همیشه ذخیره نمی کنند. از "کدام اطلاعات در Threema ذخیره شده است؟" این بدان معنی است:

• لیست تماس : در Threema فقط در دستگاه انتهایی مدیریت یا ذخیره می شوند. اگر کاربر انتقال اختیاری کتاب آدرس خود را انتخاب کند ، آدرس ایمیل و شماره تلفن مخاطبین خوانده و رمزگذاری می شود. طبق Threem ، اطلاعات باید بلافاصله پس از مقایسه بر روی سرور حذف شوند.
• پیام ها / چت گروهی : هنگامی که پیامی به گیرنده مناسب ارسال می شود ، از سرور حذف می شود.
• مواد اصلی : یک جفت کلید (لازم برای E2EE) بصورت محلی در دستگاه کاربر ایجاد می شود. به گفته سازندگان ، کلید خصوصی فقط روی دستگاه باقی می ماند و ارسال نمی شود.
• چه کسی با چه کسی ، چه زمانی و : تریما نباید مجله هایی بنویسد در مورد اینکه چه کسی با چه کسی ارتباط دارد ، چه زمانی و اینکه آیا پیام ها را تبادل می کند.

متأسفانه ، دستورالعمل ها قابل بررسی نیستند زیرا نه سرور و نه مشتری سرویس دهنده نرم افزار منبع باز نیستند. به عنوان یک کاربر ، در نهایت باید به این گفته ها اعتماد کنید.

برای جلوگیری از ابرداده ، مهم است كه تریما را می توان كاملاً مستقل از گوگل نیز اداره كرد. بدون در نظر گرفتن فروشگاه Google Play ، می توان در فروشگاه آنلاین تراله را بدست آورد. پس از دریافت پرداخت توسط Threema ، شما یک ایمیل با کلید مجوز دریافت خواهید کرد که با استفاده از آن می توانید پرونده APK نسخه Android را مستقیماً از وب سایت Threema بارگیری کنید. با این حال ، رها کردن Google & # 39 ؛ و کتابخانه های اختصاصی گوگل به یک قیمت می رسد:

Threema از Firebase Cloud Messaging (FCM) برای اطلاع برنامه های پیام های جدید در پس زمینه استفاده می کند. اگر سرویس های Google Play نصب نشده است ، Threema با استفاده از نظرسنجی پیام های جدید را بررسی می کند. فاصله نظرسنجی از 5 تا 30 دقیقه قابل تنظیم است و ممکن است باعث مصرف بیشتر باتری و مصرف داده شود.

تأخیر در ارسال پیام چقدر جدی است و اینکه آیا باتری بیشتر مورد استفاده قرار می گیرد ، مطمئناً در دستگاه متفاوت است. در طول آزمایش دو روزه ، مصرف باتری کم ارزیابی شد – اگرچه بیش از 130 کاربر Threema برای اهداف آزمایش با من تماس گرفتند.

به طور خلاصه ، این بدان معنی است: اگر اطلاعات از Threema درست باشد ، ردیابی داده ها هنگام استفاده از مسنجر نسبتاً اندک است.

5. شناسه

Threema یک شناسه 8 رقمی Thema را به صورت محلی در دستگاه ایجاد می کند. می توانید این شناسه Threema را به سایر کاربران Threema منتقل کنید تا با شما تماس بگیرند. به طور پیش فرض ، هیچ گونه اطلاعات دفترچه ای برای سرورهای خارجی خوانده نشده و ارسال نمی شود. به صورت اختیاری ، می توانید Threema ID خود را به شماره تلفن و آدرس ایمیل خود پیوند دهید. اگر می خواهید کتاب آدرس خود را با سرورهای Threema مقایسه کنید ، این می تواند مفید باشد. اگر شماره تلفن یا آدرس ایمیل مخاطب موجود در کتاب آدرس با پایگاه داده Threema مطابقت داشته باشد ، شناسه مخاطب به طور خودکار به لیست تماس Threema اضافه می شود. این اطلاعات با استفاده از میانبر (با استفاده از آدرس ایمیل و شماره تلفن) مقایسه می شود و طبق گفته Threem پس از بررسی مخاطبین شناخته شده دوباره حذف می شود.

در Threema ، شناسه کاربر لزوماً با شماره تلفن همراه نیست ، همانطور که در واتس اپ یا سیگنال نیز وجود دارد. Contact Discovery به صورت اختیاری با شماره تلفن و آدرس ایمیل در دسترس است.

6. منبع باز شفافیت

کد منبع Threema اختصاصی است – یعنی نمی توان در عمومی مشاهده کرد. این بدان معناست که بررسی های امنیتی مستقل امکان پذیر نیست. در ابتدای سال 2019 ، Thema تحت آزمایش مأموریت امنیتی توسط آزمایشگاه امنیت IT در دانشگاه علمی کاربردی در مونستر قرار گرفت. به راهنمایی استاد. دکتر سباستین شینزل گفت این تیم دارای چندین آسیب پذیری غیر منتقله است. با این حال ، باید به خاطر داشت که چنین ممیزی خارجی همیشه با نسخه همراه است و مجدداً برای نسخه های جدید انجام می شود. این بدان معنی است که ممیزی نمی تواند هیچ گونه اطلاعاتی در مورد سطح امنیت سیستم ها / نرم افزارهایی که برای آینده مورد آزمایش قرار می گیرند بدست آورد – اما این یک مشکل کلی است که بطور کلی بر حسابرسی تأثیر می گذارد. بازرسی های انجام شده تا کنون تأیید می کند که ترمه بسیار بی خطر است.

7. خوب است بدانید

در زیر چند نکته وجود دارد که ارزش آن را می دانید Threema ارائه می دهد:

• بدون وابستگی به Google : Threema را می توان در فروشگاه Google Play کاملاً مستقل از فروشگاه آنلاین بدست آورد. اما این همه چیز نیست: همچنین بدون کتابخانه اختصاصی Google یا Firebase Cloud Messaging کاملاً کار می کند – این موضوع همچنین برای نمایش مکان ها صدق می کند.
• OpenStreetMap : مواد نقشه و نقاط مورد علاقه از OpenStreetMap است.
• Praca Threema / Education : Thema نسخه ویژه ای از برنامه را برای شرکت ها و موسسات آموزشی ارائه می دهد. برخی از شرکت ها مانند دایملر و بوش از Threema Work استفاده می کنند. برای این منظور ، ترئیم همچنین یک قرارداد برای پردازش قرارداد ارائه می دهد.
• تماس های صوتی : Threema گزینه برقراری تماس (رمزگذاری شده) را نیز ارائه می دهد. ارتباط بین شرکت کنندگان یا به صورت همتا (مستقیم) است یا از طریق سرور Threema (غیر مستقیم) برای مخفی کردن آدرس IP هدایت می شود. واقعیت جالب: برخلاف پیامهای رمزنگاری ، رمزنگاری جامع تماسهای صوتی توسط پنهان کاری کامل برای جلو (PFS) ارائه می شود.
• Webchat : کاربران همچنین می توانند از طریق دسک تاپ (از طریق مرورگر) از طریق Threema Web گپ بزنند. با اتصال برنامه Threema و مرورگر با استفاده از کد QR ، کاربر می تواند پیام هایی را ارسال و دریافت کند ، گروه ها را مدیریت کند و حتی مخاطبین را روی دسک تاپ مشاهده کند. همچنین در Android بدون Google کار می کند.

8. Threema: جوانب مثبت و منفی در یک نگاه

مثبت:

• به طور پیش فرض ، رمزگذاری جامع برای چت های گروهی و گپ ها فعال است
• از طریق شبکه Threema ، می توانید از طریق مرورگر (روی دسک تاپ) صحبت کنید و بمانید
• Threema قابل استفاده است بدون اتصال شماره تلفن
• قابل استفاده بدون حساب Google یا کتابخانه های اختصاصی Google
• سعی کنید از فراداده خودداری کنید
• اتصالات صوتی رمزگذاری شده ممکن است (بدون تلفن تصویری) [19659046] حسابرسان خارجی تأیید امنیت بالا Threem (تأیید مستقل) امکان پذیر نیست)
• امکان تهیه نسخه پشتیبان رمزگذاری شده کلیدها ، مخاطبین ، گروه ها و تنظیمات روی سرور (خود)
• پیام ها بر روی دستگاه رمزگذاری و ذخیره می شوند [19659046] پاک کردن مدل تأمین مالی از طریق فروش برنامه ها و Threema Work / Threema [19659046] بیانیه حفاظت از داده ها را پاک کنید [19659023] منفی:
  • منبع باز یا منبع باز
  • Threema تحت هزینه (یکبار) هزینه – برعکس: یک مدل تأمین مالی شفاف اعتماد را تضمین می کند

  9. نتیجه گیری

  Thema یک پیام رسان با هدف حفظ حریم خصوصی و امنیت است. با این حال ، این دستورالعمل دارای یک امتیاز است: نمی توان آنرا به طور مستقل بررسی کرد. اگر از Threem استفاده می کنید ، باید به ارائه دهنده اعتماد کنید زیرا کد منبع به طور عمومی قابل مشاهده نیست. این محدودیت با عدم شفافیت خاص در پردازش داده ها همراه است که اسب شناخته شده ای از نرم افزار اختصاصی است.

  علیرغم این محدودیت ، من فکر می کنم Threem یک پیام رسان بزرگ است که باید مخصوصاً برای کاربران حساس به داده جذاب باشد ، از ابرداده خودداری کند و نمی خواهد از شماره تلفن آنها به عنوان شناسه استفاده کند. یک مدل تأمین مالی سالم ، اعتماد و ادامه توسعه پیام رسان را تضمین می کند.

  به طور کلی ، من فکر می کنم Threema توصیه می شود ، اما می خواهم خاطرنشان کنم که همه ممکن است یک پیام دهنده محفوظ دوست نباشند.

  منابع تصاویر :

  آرم Threema: https://threema.ch/de/pressociation19659065 platformOautorzeociation19659007 طرفداری19459036] مایک کوکتز ” width=”200″ height=”250″/>

  نام من Kuketz و بازنویسی این وبلاگ در موضوعات امنیتی و مربوط به حفاظت از داده درک و اشتراک گذاری با همه آسان تر است.

  من در کار مستقل خود به عنوان پنکه کننده (Kuketz IT-Security) من نقش "هکر" را بازی می کنم و در سیستم های IT ، برنامه ها و برنامه های اینترنتی به دنبال نقاط ضعف می گردم. علاوه بر این ، من مدرس امنیت فناوری اطلاعات در دانشگاه دوتایی در کارلسروهه و ، در میان دیگران ، به عنوان نویسنده مجله کامپیوتر ct هستم.

  وبلاگ کوکتز یا شخص من به طور منظم در رسانه ها (heise آنلاین ، Sdeddeutsche Zeitung ، و غیره) ارائه می شود.

  اطلاعات بیشتر ➡