קבלה לקבוצה, גישה להיסטוריה והצפנה עונות על שאלות שונות. בדקו את שלושתן לפני שיתוף חומר רגיש.
פרטיות בקבוצה תלויה בשלוש החלטות: מי רשאי להצטרף, אילו הודעות יקבל, ואילו מכשירים מחזיקים במפתחות. מדריך זה משווה בקרות מתועדות, במקום להכריז שיישום מסרים אחד הוא הבטוח ביותר בכל מצב. התכונות עשויות להשתנות לפי גרסת היישום והגדרות החדר.
מהן בקרות הניהול של קבוצה מוצפנת?
בקרות הניהול של קבוצה מוצפנת קובעות מי יכול להזמין, לאשר כניסה, להסיר או למתן משתתפים, לשנות הגדרות ולצפות בהיסטוריה הזמינה. ההצפנה קובעת אם גורמים בלתי מורשים יכולים לקרוא את תוכן ההודעות עצמו.
ההבחנה הזאת חיונית. כללי כניסה מחמירים אינם מוכיחים שהצ׳אט משתמש בהצפנה מקצה לקצה. ההצפנה עדיין מגינה על ההעברה, אך אינה יכולה להפוך נמען לא רצוי לאמין לאחר שקיבל את המפתחות באופן מורשה.
השוואה שימושית שואלת שש שאלות:
- מי יכול להזמין או להוסיף אדם?
- האם מנהל חייב לאשר את הכניסה?
- מי יכול לפרסם או לשנות הגדרות?
- איזו היסטוריה עשוי מצטרף חדש לקבל?
- מה קורה כשאדם עוזב או מוסר מהקבוצה?
- האם מדובר בקבוצת שיחה או בערוץ שידור, והאם הוא מוצפן במלואו?
הרשאות חברים בצ׳אט קבוצתי פרטי: מי יכול להוסיף חברים?
הרשאות חברים בצ׳אט קבוצתי פרטי הן יותר מתג מנהל. קישור הזמנה עשוי לאפשר למחזיק בו לבקש כניסה, להצטרף מיד או להעביר את הקישור לאחרים.
התייחסו לקישור הזמנה רב־פעמי כאל נתיב גישה, לא כאל כתובת פרטית. כאשר הדבר נתמך, דרשו אישור, הגבילו מי יכול להוסיף אנשים ואפסו קישור שהופץ מעבר לקהל המיועד. Signal מתעדת אישור מנהל אופציונלי להצטרפות באמצעות קישור במדריך הקבוצות שלה.
בקבוצה רגישה, בדקו תמיד אם חברים רגילים יכולים להוסיף אנשים, אם ניתן לבטל קישורים ואם מנהל חייב לאשר כניסה. ברירות המחדל משתנות לעיתים קרובות אחרי עדכוני תוכנה.
מי יכול לקרוא הודעות קבוצתיות ישנות לאחר ההצטרפות?
הגישה להודעות ישנות תלויה בכללי ההיסטוריה של השירות, לא רק בהצפנה. ההודעה הרשמית של WhatsApp על שיתוף היסטוריה מתארת שיתוף של 25–100 הודעות אחרונות בעת הוספת משתתף. זו פעולה מפורשת; מנהלים יכולים לבטל שיתוף מצד חברים, אך שומרים לעצמם את היכולת לשתף היסטוריה. הקבוצה מקבלת הודעה על כך. בדקו אילו בקרות זמינות בגרסה שלכם.
היסטוריית קבוצה היא ההודעות שנשלחו לפני שאדם הצטרף. בהתאם למוצר, מצטרף חדש עשוי לא לקבל היסטוריה כלל, לקבל חלק נבחר מהזמן האחרון, או את כל מה שזמין בחדר. השאלה החשובה היא אם משתתף מורשה או השירות יכולים להעמיד תוכן מוקדם יותר לרשות חשבון שהתקבל זה עתה.
למען אבטחת היסטוריית המסרים בקבוצה, התייחסו לכל דבר ששיתפתם עם מצטרף חדש כזמין לצמיתות במכשירו. בקרות מנהל אינן יכולות לבטל צילומי מסך, יצוא או עותקים שכבר נוצרו.
השוואת פרטיות בערוצים: במה ערוצים שונים מקבוצות?
ערוץ הוא בעיקר מרחב פרסום של אחד לרבים; קבוצה מיועדת לשיחה רב־כיוונית.
Telegram ידועה בכך שהיא מציעה גם קבוצות דיון וגם ערוצי שידור, ותומכת במספר מנהלים ובקהילות גדולות. עם זאת, אלה תכונות ממשל וניהול, לא ערבויות לסודיות. ערוצי השידור של Telegram אינם מוצפנים מקצה לקצה.
הקבוצות הרגילות של Telegram, כמו גם הערוצים שלה, הן צ׳אטים בענן ולא צ׳אטים סודיים עם E2EE. אל תסיקו שהקבוצה מוצפנת בגלל תכונת הצ׳אט הסודי הנפרדת בין שני אנשים. ראו את השאלות הנפוצות של Telegram.
גבולות האבטחה ש־Livara מפרסמת מבחינים בין קבוצות פרטיות תואמות שפועלות בפועל במצב E2EE לבין ערוצים ציבוריים שהשרת יכול לקרוא. זו טענת מוצר בנוגע להיקף ההגנה, לא ראיה לכך שבקרות הניהול שלו עולות על אלה של יישום אחר.
האם מנהל יכול להסיר חבר ולמחוק את הגישה שלו?
ההסרה נועדה לעצור גישה עתידית לאחר שעדכוני החברות ומפתחות ההצפנה הרלוונטיים נכנסים לתוקף. שינוי ברשימת החברים בממשק לבדו אינו מוכיח שכל מכשיר החיל את השינויים. עם זאת, אין לתאר הסרה כמחיקה של תוכן שכבר נמסר. עותקים עשויים להישאר באחסון המקומי, בגיבויים, בהתראות, בקובצי יצוא או בצילומי מסך.
הגדרות של הודעות נעלמות עשויות לצמצם שמירת נתונים, אך אינן יכולות להוכיח באופן מוחלט שהנמען לא יצר עותק. לפני שמסתמכים על הסרה כאמצעי אבטחה, בדקו אם החבר לשעבר יכול לפתוח מחדש הודעות קודמות, להשתמש שוב בקישור הזמנה ישן או להיכנס מחדש ללא אישור.
השוו בקרות מתועדות, ואז בדקו את הקבוצה שלכם בפועל
| מוצר | נקודה מתועדת לבדיקה | מה לוודא לפני שימוש רגיש |
|---|---|---|
| Signal | תכנון קבוצות פרטיות; בקרות מנהל ואישור אופציונלי להצטרפות בקישור | הגדרות ההזמנה, הפרסום והסרת החברים הנוכחיות |
| שיתוף אופציונלי של היסטוריה אחרונה, עם הגבלות מנהל והודעה לקבוצה | האם שיתוף ההיסטוריה מופעל ומי רשאי להשתמש בו | |
| Telegram | קבוצות וערוצים רגילים הם צ׳אטים בענן, לא צ׳אטים סודיים עם E2EE | האם מודל האמון הזה מתאים למידע |
| Element / Matrix | חברות בחדר, רמות סמכות ונראות ההיסטוריה הן הגדרות נפרדות | הפעלת הצפנה, אמון במכשירים וזמינות מפתחות להיסטוריה |
| SimpleX | תפקידי קבוצה והודעות חברות מוגדרים בפרוטוקול הלקוח | הרשאות התפקידים, טיפול בהזמנות ואימות חברים |
| Livara | התיעוד הציבורי מפריד בין הצפנת קבוצות פרטיות לבין סמכות השרת על חברות ותפקידים | תהליך האישור בפועל, התנהגות ההיסטוריה והתראות חברות |
הטבלה אינה ביקורת אבטחה עצמאית. קראו את מפרט Matrix ואת פרוטוקול הקבוצות של SimpleX לפרטי הארכיטקטורה; תכונה בפרוטוקול עדיין עשויה להיות תלויה בתמיכת הלקוח.
תרגול של חמש דקות למנהלים
השתמשו בקבוצה זמנית ובטקסט לא מזיק, לא בחומר סודי:
- שלחו הודעה לפני הוספת חבר לבדיקה.
- הזמינו אותו בכל נתיב שאתם מתכננים להשתמש בו: הוספה ישירה וקישור, אם אלה נתמכים.
- תעדו אם נדרש אישור ואילו הודעות קיימות נעשות גלויות.
- הסירו את החבר, שלחו הודעת בדיקה חדשה וודאו מה כל מכשיר מקבל.
- בדקו אם הקישור הישן מאפשר כניסה מחדש ואם שינויים בחברים ובתפקידים גלויים.
כך בודקים את התהליך שראיתם, לא עמידות בפני שרת זדוני או לקוח ששונה. שמרו את התאריך, הגרסאות וההגדרות לצד התוצאה, כדי שתוכלו לחזור על הבדיקה אחרי שינויים מהותיים.
שאלות נפוצות
האם הצפנה מקצה לקצה מונעת מחברים להזמין אחרים?
לא. הצפנה מקצה לקצה קובעת מי יכול לפענח את תוכן ההודעות; הרשאות ההזמנה קובעות מי רשאי להיכנס לקבוצה. בדקו תמיד אם היישום דורש שמנהל יאשר כל מצטרף.
האם הצפנה פוסט־קוונטית מחליפה בקרות קבלה?
לא. תכנון פוסט־קוונטי להסדרת מפתחות אינו מחליט את מי מנהל מקבל ואינו מונע מנמען מורשה להעתיק הודעות. בחנו את השאלות האלה בנפרד.
האם חבר חדש בקבוצת WhatsApp יכול לקרוא הודעות קודמות?
WhatsApp תומכת בשיתוף אופציונלי של היסטוריה אחרונה. מנהלים יכולים להגביל שימוש של חברים רגילים בו, אך עדיין יכולים לשתף היסטוריה בעצמם. בדקו את הגדרות הקבוצה הנוכחיות לפני הוספת משתמש חדש, כדי שלא תשתפו בטעות היסטוריה רגישה.
האם הסרת אדם מוחקת הודעות קבוצתיות מהטלפון שלו?
אל תניחו שכן. הסרה יכולה לעצור גישה עתידית לאחר שעדכוני החברות והמפתחות נכנסים לתוקף; הודעות שכבר נמסרו עשויות להישאר במכשיר החבר לשעבר, בצילומי מסך או בגיבויים.
האם ערוצי Telegram מוצפנים מקצה לקצה?
לא. הצפנה בתכונה אחת, כמו הצ׳אטים הסודיים של Telegram, אינה חלה על תכונה אחרת. ערוצי Telegram הם מרחבי שידור, לא סביבות מוצפנות מקצה לקצה. אם אתם זקוקים לקבוצת E2EE, ודאו שמצב הקבוצה המסוים תומך בכך. קבוצת ענן פרטית של Telegram אינה הופכת ל־E2EE רק משום שהכניסה אליה מוגבלת.
