Názory k článku
NÚKIB vydal analýzu komunikačních aplikací, nejlépe dopadl Signal a Threema
-
No keď tam čítam perly ako:
Dalším problémem je užívání vlastního šifrování. Šifrovací protokol MTProto není natolik důvěryhodný jako široce prověřené šifry formátu AES, a byly v něm nalezeny zranitelnosti.12
.V jednej vete a hneď:
- MTProto nie je šifra. Je to ekvivalent TLS, nie AES.
- MTProto používa na šifrovanie AES.
- Boli v ňom nájdené teoretické slabosti, ktoré sa nedali prakticky využiť. Tieto boli odstránené. MTProto si prešlo rovnakým kolečkom ako TLS, aj to malo kedysi slabiny, niektoré aj prakticky využiteľné, tiež boli updaty a je dnes tam, kde je. Napísať, že v ňom boli nájdené zraniteľnosti nie je intelektuálne poctivé.
Ďalej: pri Whatsapp nie je ani len spomenuté, že naguje používateľa do zálohovania. Takže síce end-to-end šifrovanie existuje, ale cleartext sa uloží do backupu. Okrem toho nie je možné overiť implementáciu -- napr. desktopová aplikácia vie čítať cleartext, takže zjavne šifrovanie kľúče niekde niekam pretečú.
Takže táto "analýza" to príde klasická práca podkarpatského typu, kde požadované výsledky zadania sú jasné a treba urobiť zdôvodnenie, na ktoré sa použijú všeobecné floskule, na ktoré sa prepožičajú ľudia bez akejkoľvek intelektuálnej nezávislosti. Vedľa analýzy to nešlo ani rýchlikom.
-
bez přezdívky
Ďalej: pri Whatsapp [...] síce end-to-end šifrovanie existuje [...]nevim jestli to stale plati, ale pred casem se provalilo, ze i do "sifrovaneho" privatniho chatu muze nepozorovane/bez_pozvani vstoupit kdokoliv z jejich site... a myslim ze i vychozi chat neni sifrovanej ale musis otevrit specialne "sifrovanej" chat...
-
S closed-source aplikacemi end-to-end šifrování v podstatě nemůže existovat, protože oba "endy" má pod totální kontrolou stejná strana, jako servery. V praxi je jedno jestli si Meta zprávy přečte na serveru (šifruje se jen transport) nebo si je vytěží už v klientech (end-to-end), v obou případech máte cleartext v doméně, kterou má pod kontrolou Meta a ne uživatel.
-
Filip JirsákStříbrný podporovatelU closed-source aplikací nemusí mít klienty pod kontrolou stejná strana, která má pod kontrolou servery (představte si třeba closed-source e-mailového klienta nebo Jabber klienta), nemusí ani žádné servery existovat (představte si třeba closed-source Torrent klienta, nebo z trochu jiného ranku closed-source Bitcoin peněženku).
Pokud jde o únik dat z klienta, pak byste se měl také ptát, zda máte open-source operační systém, zda máte open-source hardware… A také zda jste ty zdrojáky četl a zda víte, zda používáte skutečně software a hardware z těch zdrojáků přeložený.
-
Filip JirsákStříbrný podporovatel
Ten původní argument vyvrátilo už upozornění na to, že spojuje věci, které spolu nijak nesouvisí.
-
Jan HrachStříbrný podporovatelFunguje na Androidu a iOSu = multiplatformní… Ale na Linuxu kvůli „multiplatformní“ chatovací aplikaci musíme mít celý virtuál s Androidem…
-
Threema Desktop snad má nově i podporu Linuxu:
https://threema.ch/en/whats-newJinak lze použít přístup skrz web prohlížeč.
V posudku mají u Signálu jako plus, že podporuje animované GIF, přitom je i Threema podporuje od 21.10.2019. Ale to považuju za nedůležité.
Proč je dle nich Threema méně uživatelsky přívětivá nechápu.
Mají pravdu, že oproti např. Telegramu má méně funkcí.
A to, že zaplatím 2x kafe programátorům za kvalitně odvedenou práci, je snad jen symbolické poděkování. -
JmJStříbrný podporovatelPriznam se, ze od analyzy nukibem jsem cekal o hodne vic. Okynka s fajkama a zduvodneni, ze appka je fajn, kdyz spada do svycarska, mi prijdou na urovni prace zaka stredni skoly. Pripada mi to ponekud hodne popularne pojate.
Pevne doufam, ze tohle je od nukib jen silny ulet a ne bezny standard jejich prace.
-
To záleží na cílové skupině. Pokud je cílem oslovit širokou skupinu různých organizací a veřejnost, pak je potřeba vytvořit jednoduchý souhrn s jednoduchým doporučením. Do odborného sborníku kryptologické organizace je potřeba zpracovat jiný text.
Představte si, že se vás teta zeptá, jakou aplikaci má používat. Asi jí nepřipravíte dvouhodinovou přednášku o vlastnostech šifrovacích algoritmů a hašovacích funkcí. Teta potřebuje stručný odborný názor. Přesně tam cílí ten dokument.
-
JmJStříbrný podporovatel
Jenze jimi uvedene argumenty jsou podle me blbe tak jako tak. Nerikam ze nepravdive, ale spis nepodstatne ci vyzdvihovane na ukor jinych, podle meho dulezitejsich.
Navic sem mel za to, ze nukib je odborna spolecnost a ne popularne vedecky magazin.
Pal to cert. Mi to prijde hrozny, ale jestli to nekomu udelalo radost, tak to asi ucel splnilo.
-
Jan HrachStříbrný podporovatel
Ne, WhatsApp není na Windows. Je to zase jenom jakýsi „tenký klient“, furt ti to musí běžet na Androidu/iOS aby to fungovalo. Donedávna to muselo být trvale online(!), od tohoto týdne prý stačí jednou za 14 dní (nezkoušel jsem, mám to na serveru ve virtuálu s Androidem kde to běží furt). (nebo je tenký klient jenom ta webová verze a tohle funguje i bez online mobilu? Každopádně tam píšou "WhatsApp must be installed on your phone." takže asi ne)
15. 4. 2022, 10:58 editováno autorem komentáře
-
Jen poznámka k vazbě na telefonní číslo (u Signalu...). Ona to sice je díra do soukromí, ale zároveň někdy vítaná vlastnost.
Za uplynulý měsíc jsem navedl několik Ukrajinců na používání Signalu, protože se nechtějí vzdát svého ukrajinského telefonního čísla - je to často jejich jediné spojení s přáteli a rodinou. (Žel, občas je ta komunikace roaming-roaming nebo ukrajinská telefonní síť nefunguje.)
Pochopitelně, že to umí i jiné komunikátory - ale jestli to u Signalu má být v podstatě jediné "mínus", pak stojí na zvážení, jak moc je velké. -
Jan HrachStříbrný podporovatel
Jako ať si to klidně vazbu na telefonní číslo má, ale ať to jde používat i bez toho. A „výhodu“ pak poznají pokud bude síť down déle (jak dostanou ověřovací SMS? a je to vůbec rozumně možné v androidím ekosystému třeba přenést na jiné zařízení, když ti nechodí SMS?) a nedejbože se ta čísla zrecyklují nebo prostě propadnou protože si nedobili kredit.
A oni nemají email nebo jiný způsob aby těm ostatním lidem sdělili svoji novou komunikační adresu? To je smutný, ale asi to není typický use-case.
-
Ona je u Signalu ta vazba soft, takže fakticky potřebujete to telefonní číslo aktivní jen v okamžiku registrace (případně reinstalace) - a pak už ne. (Dokonce nemusí ta SMS dorazit na stejný mobil, na který to instalujete.)
Pak jde Signal spárovat s desktopovými klienty (Win/Lin/Mac) - na to je dobré, aby na tom mobilu fungoval foťák - a vlastně to na mobilním zařízení ani používat nemusíte.
Jediné, co se mi nepodařilo odhalit, je, jak to dostat na tablet bez SIMky - evidentně si to při instalaci kontroluje a když je to sice Androidové, aledemobilisované
zařízení, tak se instalace neprovede. ;o(
A ještě poznámka k tomuukrajinskému use-case
: Obvykle dorazí s mobilem plným kontaktů na příbuzné a známe, z nichž část zůstáva doma bojovat a část je na cestě buď v rámci Ukrajiny nebo v některém zahraničí. Dát všem vědět změnu čísla je nereálné a nepraktické - poslaná SMS s novým číslem nemusí dorazit (UK síť bývá off-line) a hovory na tolik čísel by se prodražily. Po instalaci Signal ale proleze adresář - když mu to dovolíte - a pokud má protistrana Signal instalovaný, kontakt označí. Ti, kterým jsem s tím pomáhal, měli najednou desítky svých kontaktů v novém komunikátoru... -
Muzete mi nekdo prosim poradit? Hledam komunikator pro zajmovy spolek lidi. Aby tam byly ruzne podskupiny a admin funkce. Neco ala Discord bez spamu a sifrovane. Nejvic premyslim nad Elementem (na Matrixu). U Elementu mi ale prijde zmatene prihlaseni (kdyz vyberu jinou sit, uz se nikam nepropojim - to neni pro negeeky) a taky nevim, jestli to bude dost funkcni a rychle na free verzi kdyz si nekoupim vlastni misto na serveru. XXmessenger je mi zahadou. Signal ma slabe skupinove chaty, Threema ma jen 256 clenu skupiny... Co vybrat?
-
-
Zulip - https://zulip.com
Je to open source, môže byť aj self-hosting, ale aj ako služba, klient sa vie pripojiť k viacero inštanciam ak je to treba.
-
Diky moc. No ja byl zmateny, protoze jsem se tam prihlasil na dvou ruznych zarizenich a nejak se ty ucty spolu nevidi. Tak jsem si myslel, ze jsem tam asi zadal spatnou sit. Ale zaroven to byl oboji matrix. Tak nevim v cem byl problem. Urcite je to zatim min blbuvzdorne nez treba WA :-). Ale udelam jeste nejake testy a kdyz uzivatelum pripravim navod, melo by to jit :-)
