En introduksjon til kryptert kommunikasjon

Den klart mest sikre og private måten å kommunisere med en annen person på er å hviske i øret.


I dagens hyperkoblede verden er dette imidlertid sjelden praktisk, men sikrere enn du kan forestille deg.

Behovet for å kommunisere sikkert og privat med andre individer eksponentielt øket takket være tech boom.

Selv om det er viktig å holde dataene dine trygge, men skaper også en alvorlig utfordring i rutinen din.

I denne guiden viser vi deg hvordan du enkelt kan beskytte din online kommunikasjon.

Telefon- og SMS-kommunikasjon er ikke sikker

Den første tingen å forstå er at mer tradisjonelle kommunikasjonsteknologier ikke er sikre. Jeg er sikker på at dere alle vet at det var TV-serier vi så på da vi var barn, at telefonsamtaler kunne "kobles til."

Krypter Comm Sms-telefon

Selv om forestillingen om en telefon “ledning” nå virker temmelig sjarmerende, er evnen til å lytte på samtalene veldig levende og til stede. Faktisk gjør fremskritt innen teknologi det nå veldig enkelt å samle store mengder telefondata med liten eller ingen krefter.

Regjeringer lagrer og overvåker nå telefonens data rutinemessig. Dette inkluderer data om mobiltelefoner og SMS-data. Masseinnsamling innebærer vanligvis bare metadata.

Dette er ille nok, men fordi telefonsamtaler og SMS-meldinger ikke er kryptert, er det trivielt enkelt også å få tilgang til innholdet.

Med andre ord kan regjeringen din og andre kriminelle lytte til på telefonsamtalene dine og lese tekstmeldingene dine. Løsningen er å kryptere kommunikasjonen slik at bare du og den tiltenkte mottakeren kan delta i en samtale og / eller lese meldinger du sender.

Kryptert kommunikasjon

Den mest enkle analogien for kryptering er en lås. Hvis du har riktig nøkkel, er den lett å åpne. Hvis du ikke har riktig nøkkel, kan du prøve å bryte låsen. I det hele tatt er god kryptering umulig å bryte.

Hvis vi tenker på sikker pendling, blir ideen mer komplisert. Alle du ønsker å kommunisere med, må kunne åpne låsen. Den enkleste måten å oppnå dette på er å overlate en tredjepart (for eksempel en e-postleverandør) å være vert for samtalen din på en sentralisert server som du alle har tilgang til.

Dette gir en viss grad av sikkerhet fordi hver deltaker i en samtale vil koble seg sikkert til den serveren (mest sannsynlig ved hjelp av HTTPS). Selve diskusjonen i seg selv (og poster av den) vil sannsynligvis også krypteres for å sikre at hackere og andre ondsinnede skuespillere ikke kan høre på. Men ...

Problemet med kryptert kommunikasjon

For dette, for å jobbe, må du stole på at tredjepartens vert for å sikre (låse) konverteringen. Dette betyr at verten har nøklene, og kan "åpne" samtalen når den vil (eller kreves).

Kryptert melding

Det vil si at den kan lytte på den og få tilgang alle poster over det på et senere tidspunkt. Når det gjelder tekstsamtaler, betyr dette nesten alltid at den får tilgang til alt innholdet i meldingene dine. De fleste e-post- og meldingstjenester har strenge personvernregler som lover å ikke misbruke denne maktposisjonen. Men siden denne maktposisjonen eksisterer, kan den utnyttes.

Nesten hver dag leser vi om hackere som kompromitterer såkalte sikre online tjenester, og rettshåndhevelsesbyråer tjener rutinemessig juridisk bindende stevninger og domstolsordre til kommunikasjonstjenester for informasjon som tilhører deres brukere.

Så kommunikasjon som vert og lagret av en tredjepart kan ganske enkelt ikke anses som virkelig sikker.

Ende-til-ende-kryptert kommunikasjon

Utbredt alarm i omfanget av online overvåking har fremskyndet utviklingen av løsninger på ovennevnte problem. Og nøkkelen til en slik løsning er kryptering fra ende til ende (e2e).

Dette betyr at du krypterer kommunikasjon med nøklene dine. De kan bare dekrypteres av de du velger å dele nøklene dine med. Dette fjerner behovet for å stole på enhver tredjepart for å holde dataene dine trygge.

Den store tekniske utfordringen er å finne en måte å dele nøklene dine på sikkert og verifisere at personen du tror du deler dem med virkelig er den personen. Gjort godt, men ende-til-ende-kryptering er den eneste måten å garantere at kommunikasjonen er virkelig sikker.

Åpen kilde

Åpen kilde

Programvare med åpen kildekode er programvare hvis kildekode er blitt offentlig tilgjengelig av rettighetshaveren. Dette betyr at den kan uavhengig granskes for feil og for å sikre at den ikke gjør noe den ikke burde gjort.

Med lukket kildekode er det ingen måte å vite hva koden egentlig gjør, og derfor kan ikke stengt kildekode stole på for å holde kommunikasjonen din sikker. Av denne grunn, du skal bare tro åpen kildekode-apper og programmer for å holde samtalene dine trygge og private. For nærmere diskusjon om dette emnet, se hvorfor åpen kildekode er så viktig.

Typer av sikker kommunikasjon

Det er tre måter du kan kommunisere sikkert over internett. Fra minst til mest sikre er de:

  • Ende-til-ende kryptert e-post
  • Ende-til-ende kryptert VoIP (internettelefoni)
  • Ende-til-ende kryptert melding

Ende-til-ende kryptert e-post

Tradisjonell e-post er en av de minst sikre måtene å kommunisere på. Det er måter å forbedre denne situasjonen, men selv da unngås e-post best hvis sikkerhet er i høysetet. Som en verdenskjent kryptograf og personvernforkjemper Bruce Schneier en gang bemerket:

Låst e-post

”Jeg har nylig kommet til at e-post i utgangspunktet er usikker. Tingene vi ønsker ut av e-post, og et e-postsystem, er ikke lett kompatible med kryptering. Jeg anbefaler folk som ønsker kommunikasjonssikkerhet, ikke å bruke e-post, men i stedet bruker en kryptert meldingsklient som OTR eller Signal. ”

Dette er gode råd, og jeg vil diskutere OTR og Signal senere. Med det sagt, e-post er en nødvendig ondskap i det moderne liv, så du bør prøve å gjøre det så sikkert som mulig.

For å gjøre dette har du tre alternativer:

  • Bruk PGP for å kryptere e-postmeldinger med din eksisterende e-posttjeneste
  • Bytt til en sikker privat e-posttjeneste som tilbyr e2e-kryptering
  • Selv vert din egen e-postserver.

PGP

Pgp Online

Pros:
  • Gratis!
  • Så sikker som e-post noensinne vil få
  • Fungerer med din eksisterende e-posttjeneste
Ulemper:
  • Den veldig bratte læringskurven
  • Lykke til å få andre til å bli med deg!

PGP er en gratis og åpen kildekode-protokoll for sikker kryptering av e-postmeldinger, og den kan brukes med din eksisterende e-postleverandør. Hvis det gjøres riktig, vil det kryptert innholdet i e-postene dine veldig sikkert, men ikke metadata, for eksempel hvem du sendte dem til og når.

Hvis det gjøres riktig, er PGP utvilsomt den sikreste måten å sende en e-post på. Men at "hvis det gjøres riktig" biten er en morder. Ved hjelp av PGP er komplisert og forvirrende for enda de mer teknisk kompetente blant oss.

Dette betyr ikke bare at det er enkelt å gjøre feil som kan kompromittere sikkerheten til e-postene dine, men også gjøre det veldig usannsynlig at du kan tappe mange av vennene dine, høgskolene og kollegene i PGP-galskapen..

Låst melding

Men det er den sikreste måten å sende en e-post ennå utarbeidet.

Mailvelope-nettleserutvidelsen gjør bruk av PGP enklere, men lider av den samme svakheten som annen nettleserbasert kryptografi (se nedenfor). Det reduserer imidlertid ved å la deg validere et nøkkelpar ved å sammenligne fingeravtrykk med avsenderen.

Dette løser ikke helt problemet hvis utviklerne av Mailvelope begynner å presse ut ondsinnede oppdateringer men gjør det langt. Og selv om det sannsynligvis er den mest komfortable måten å gjøre PGP, er det fremdeles ganske vondt i rumpa å bruke.

Sikre e-posttjenester for personvern

ProtonMail Webshot

Pros:
  • Enkel og praktisk å bruke
  • Mye mer sikker og privat enn vanlig e-post
  • Metadata skjult (avhengig av tjeneste)
  • Kan sende krypterte e-poster til ikke-brukere (avhengig av tjeneste)
Ulemper:
  • Nettleserkryptografi er ikke veldig sikker
  • Du vil sannsynligvis måtte betale for det

ProtonMail var den første e-posttjenesten å tilby ekte e-post-kryptering fra ende til ende det er like praktisk og enkelt å bruke som Gmail. Nå har den imidlertid en god konkurranse.

I tillegg til å kryptere innholdet i meldinger på en sikker måte, vil mange av disse tjenestene minimere metadataene som sendes ved å fjerne IP-adresser fra e-post. Veldig groovy er det faktum at noen av disse tjenestene til og med lar deg sende krypterte e-poster til andre som ikke bruker tjenesten.

En ulempe med alle disse sikre personlige posttjenestene er det, mens de er det uendelig mye sikrere enn vanlig e-post, de er ikke i nærheten så trygge som PGP. For mange er denne avveiningen mellom total sikkerhet og bekvemmeligheten disse tjenestene er lett verdt det.

Den andre store ulempen er det å få mest mulig ut av disse tjenestene du trenger å bite i kulen og faktisk betale for dem. Etter mitt syn er imidlertid å bytte til sikker privat e-posttjeneste noe av det viktigste du kan gjøre for å forbedre sikkerheten til den daglige kommunikasjonen.

Vennligst se Secure Privacy Email Options for en detaljert titt på noen av disse tjenestene og for en fullstendig diskusjon om hvorfor kryptering av nettlesere ikke er veldig sikker.

E-post med egen vert

Kryptert kommeguide Mailcow

Pros:
  • Du kontrollerer e-posten din 100%!
Ulemper:
  • Vanskelig å gjøre
  • Vanskelig å få rett
  • Trenger regelmessig vedlikehold
  • Kan gi en falsk trygghet

Et mer ekstremt alternativ til et av ovenstående er å selv være vert for din egen e-postserver. Dette kan enten være gjøres på din egen PC, eller på en leid server. Dette garanterer ganske mye at Google og lignende ikke vil snuse på e-postene dine (i det minste direkte - de vil fortsatt kunne lese ukrypterte e-postmeldinger sendt til brukere av tjenestene deres).Egenvert e-post

Å sette opp og vedlikeholde din egen e-postserver er imidlertid en ikke-triviell jobb for enda de mer teknisk tilbøyelige. Og etter hvert som Hillary Clinton lærte den harde måten, er det enda vanskeligere å sikre at den er trygg. Faktisk, hvis ikke gjort riktig, da Å kjøre din egen e-postserver kan være farlig, da det gir en falsk følelse av sikkerhet.

Det er ikke til å si at det er umulig, og det er nok av personvernfanatikere der ute som sverger ved å være selv vertskap for e-posten sin.

Programvare som Mail-in-a Box og Mailcow gjør jobben enklere ved å automatisere prosessen, men for maksimal sikkerhet, bør du bygge din egen server fra bunnen av. Utmerkede tutorials for hvordan du gjør dette finner du her og her.

Ende-til-ende kryptert VoIP

VOIP

Voice over Internet Protocol (VoIP) lar deg snakke med andre over internett på omtrent samme måte som å bruke en vanlig telefon - ofte med bonusen å tillate videosamtaler.

I motsetning til VoIP-hosting-tjenester som Skype (som er kjent for å overlate konverteringer til NSA), end-to-end-krypterte VoIP-apper sikrer at bare du og bekreftede deltakere som du har invitert, kan høre eller se hva blir sagt.

Signal

Signal Webshot

Pros:
  • Open Source og fullstendig revidert
  • Bruker sterk kryptering med Perfect Forward Secrecy
  • Nå tilgjengelig som .apk-fil, så ikke behov for Google Play Services-rammeverket
  • Lagrer nesten ingen metadata
  • Gruppechats er kryptert
Ulemper:
  • Kontakter samsvares med ekte telefonnummer
  • (men disse tallene blir ikke avslørt for Signal)

Signal er bredt anses som gullstandarden for sikker tekstmelding (se nedenfor), men den har også VoIP-funksjoner, inkludert videosamtaler. Fra mars 2017 er Signals tale- og videosamtaler sikret ved hjelp av den samme Signalprotokollen som sikrer tekstmeldinger.

Jitsi

Jitsi Webshot

Pros:
  • Åpen kilde
  • Sikre
  • All funksjonaliteten til Skype
Ulemper:
  • Ikke signal

Jitsi er en gratis og åpen kildekode-programvare som tilbyr all funksjonaliteten til Skype på skrivebordet. Bortsett fra alle VoIP-samtaler er kryptert med ZRTP. Dette inkluderer taleanrop, videokonferanser, filoverføring og meldinger.

Første gang du kobler deg til noen, kan det ta et minutt eller to å konfigurere den krypterte forbindelsen (utpekt av en hengelås). Men krypteringen er etterpå transparent. Som en rett Skype-erstatning for skrivebordet, utfordrer Jitsi å slå.

Ende-til-ende kryptert melding

Signal blir sett på som den sikreste måten som ennå er oppfunnet til å kommunisere over avstand. Off-the-Record Messaging (OTR) -protokollen er imidlertid også utmerket.

Signal

Pros:
  • Open Source og fullstendig revidert
  • Bruker sterk kryptering med Perfect Forward Secrecy
  • Nå tilgjengelig som .apk-fil, så ikke behov for Google Play Services-rammeverket
  • Lagrer nesten ingen metadata
  • Gruppechats er kryptert
Ulemper:
  • Kontakter samsvares med ekte telefonnummer
  • (men disse tallene blir ikke avslørt for Signal)

Selv om en stasjonær versjon eksisterer, Signal er først og fremst en mobilapp. Den erstatter telefonens standard tekstmeldingsapp og bruker telefonens vanlige kontaktliste. Hvis en kontakt også bruker signal, da alle meldinger som er sendt til eller mottatt fra dem, er kryptert sikkert fra ende til ende.Kryptert kommunikasjon

Hvis en kontakt ikke bruker Signal, kan du invitere dem til å bruke appen, eller sende en ukryptert tekstmelding via vanlig SMS. Det fine med dette systemet er det Signal er nesten gjennomsiktig i bruk, noe som skal gjøre det lettere å overbevise venner, familie og kolleger om å bruke appen!

Noen vil kanskje vurdere det faktum at Signal bruker telefonens kontaktliste for å matche deg med andre signalbrukere som en personvernrisiko, men kontaktene dine blir ikke avslørt for Signal. Faktisk bare metadatainformasjon Signal beholder "datoen og klokkeslettet for en bruker som er registrert hos Signal og den siste datoen for en brukers tilkobling til signaltjenesten.”Dette kravet er bevist i retten.

I det siste gjaldt Signals avhengighet av Google Play Services-rammeverket for å presse meldingsvarsler om personvernfanatikere, men det er nå offisielt tilgjengelig som en .apk-fil. Så ikke behov for rammer for Google Play Services.

OTR

Kryptert kommunikasjonsveiledning Pidgin Messenger

Pros:
  • Åpen kilde
  • Sikre
  • Kontakter identifiseres ved pseudonymer
Ulemper:
  • Hovedsakelig bare skrivebord (unntatt Adium)
  • Ikke så sikker som signalet

OTR-protokollen er ikke så sikker som den som brukes av Signal, men er likevel veldig sikker. Den ble utviklet som en plugin for Pidgin-messenger, men kan brukes som en plugin for andre messenger-apper som Miranda IM. OTR støttes også innfødt av andre messenger som Jitsi (for tekst), Adium og Gibberbot (utviklet av The Guardian Project).Plugg inn

OTR brukes hovedsakelig av desktop messenger-apper, selv om Jitsi nå er tilgjengelig for Android og iOS. Takket være Jabber / XMPP, kan de fleste OTR-kompatible apper sømløst snakke med hverandre.

En potensiell fordel som OTR har, er at pseudonymer identifiserer kontakter i stedet for å matche dem med ekte telefonnummer. Vi anser ikke dette for å være et betydelig problem med Signal.

Tillegg

En merknad om apper som bruker signalprotokollen

Signal har blitt gullstandarden for sikker kryptert melding fra ende til ende. Dette omdømmet har oppfordret noen rimelig usannsynlige selskaper til å samarbeide med det for å beskytte brukernes personvern og sikkerhet med den underliggende signalprotokollen.

WhatsApp, Facebook Messenger og Skype bruker nå alle signalprotokollen for å kryptere meldinger fra ende til annen. I teorien betyr dette users av disse favoritt Meldingsapper kan kommunisere med hverandre like sikre som om du bruker Signal-appen selv ....Skyep WhatsApp Messenger-logo

Bortsett fra det faktum at disse appene er proprietær programvare med lukket kildekode, slik er det ingen måte å vite med sikkerhet at de ikke sender en kopi av brukernes krypteringsnøkler tilbake til Facebook eller Microsoft. Og selv om de ikke er det nå, kan ondsinnet kode lett gli inn i fremtidige oppdateringer.

Selve Sign-appen bruker derimot utelukkende fullstendig revidert åpen kildekode som du til og med kan kompilere selv hvis du skulle ønske.

På den annen side har du imidlertid sannsynligvis en haug med venner og kollegaer som allerede bruker WhatsApp, Facebook Messenger og Skype, og som neppe vil bytte til Signal snart. Til tross for noen teoretiske problemer, er det faktum at de nå bruker signal-kryptering fra ende til ende en betydelig gevinst for personvern og sikkerhet.

En merknad på Telegram Messenger

Telegram Messenger er beryktet på grunn av sin omfattende bruk av ISIL. Denne beryktelsen har faktisk gitt en populær oppfatning om at Telegram er svært sikker og privat, og du vil ofte se at det er anbefalt i artikler som denne.

Dette er uheldig fordi det ikke er et syn som deles av personvern- og sikkerhetseksperter. I likhet med Signal, autentiserer Telegram brukere ved å bruke telefonnumrene sine, men i motsetning til Signal, lagrer Telegram Messenger LLP denne informasjonen.

Telegram Webshot

Dette betyr at den (i teorien) kan knytte ikke-til-ende-til-ende krypterte samtaler med enkeltbrukere. Ville det noen gang røpe denne informasjonen til regjeringer? Sannsynligvis ikke, men hvem vet?

Mer bekymring er det faktum at Telegram lagrer denne informasjonen på serverne. Det er derfor sårbart for hacking og overvåking. I Russland i fjor ble to aktivistenes Telegram-kontoer hacket, sannsynligvis av russiske sikkerhetstjenester i samarbeid med aktivistenes mobilleverandør.

Det sentrale i Telegrams personvern- og sikkerhetskrav er alternativet Secret Chat. Dette bruker en-til-ende-kryptering for å gi rom for private og sikre samtaler. Telegram har blitt sterkt kritisert for ikke å aktivere Secret Chat som standard. Med mindre du spesifikt aktiverer Secret Chat, Meldinger sendt med Telegram er ikke sikre.

Telegram-logo

Dette betyr at Telegram Messenger LLP og hackere kunne få tilgang til dem. Når det kombineres med Telegrams metode for å autentisere brukere ved å bruke telefonnumrene sine, gjør dette det veldig enkelt for myndighetene å gripe kontoer og få tilgang til ukrypterte meldinger.

I tillegg til dette er forskere kritiske til krypteringen som brukes av Telegram. I stedet for å bruke prøvde, testede og fullt reviderte krypteringsstandarder, bruker Telegram sin egen MTProto-krypteringsprotokoll. Roll-your-own-kryptering blir av sikkerhetseksperter sett på som et betydelig nei-nei.

For å gjøre vondt verre, selv om Telegram-klienten er en primært åpen kildekode, inneholder den noen elementer (kalt binære klatter) som ikke er det. Noen eksperter har også kritisert Telegram for å ha sakte å publisere nyere versjoner med åpen kildekode. Dette er et sikkerhetsproblem, ettersom the-koden kan endres uten at noen var klar over den.

Så for å kutte en lang historie kort anbefaler ikke å bruke Telegram hvis personvern og sikkerhet er en prioritet for deg.

Konklusjon om kryptert kommunikasjon

Innovasjoner som ProtonMail og Signal har hatt en enorm innvirkning på det krypterte kommunikasjonslandskapet. Økningen av ende-til-ende-kryptering generelt, og Signal spesielt, betyr at det nå er mulig å snakke eksternt med andre mennesker mer sikkert og privat enn noen gang før.

Selv om det ikke er uten problemer, er det faktum at verdens mest berømte messenger-apper bruker nå kryptering fra ende til ende med tillatelse av signalprotokollen er svært viktig. Det betyr at selv om de ikke glemmer det, er vanlige menneskers daglige kommunikasjon også sikrere enn de noen gang har vært.

Brayan Jackson Administrator
Candidate of Science in Informatics. VPN Configuration Wizard. Has been using the VPN for 5 years. Works as a specialist in a company setting up the Internet.
follow me