Για να επαληθεύσετε μια κρυπτογραφημένη συνομιλία, ελέγξτε την κατάσταση κρυπτογράφησης της εφαρμογής, επιβεβαιώστε ότι έχετε την επιθυμητή επαφή και χρησιμοποιήστε την υποστηριζόμενη διαδικασία επαλήθευσης κλειδιών. Η σύγκριση αριθμού ασφαλείας ή κωδικού QR μέσω έμπιστης ανεξάρτητης οδού είναι μια πρακτική επιλογή· ορισμένες εφαρμογές παρέχουν επίσης αυτόματη επαλήθευση με βάση τη διαφάνεια κλειδιών. Ούτε ένα γνώριμο εμφανιζόμενο όνομα ούτε ένα λουκέτο από μόνο του αποδεικνύει την ταυτότητα ενός ατόμου.
Γιατί το κρυπτογραφημένο δεν σημαίνει αυτόματα επαληθευμένο
Η διατερματική κρυπτογράφηση έχει σχεδιαστεί ώστε μόνο τα άκρα μιας συνομιλίας να μπορούν να διαβάζουν τα μηνύματά της. Κάθε συμμετέχων έχει κρυπτογραφικά κλειδιά και ο αποστολέας χρησιμοποιεί πληροφορίες κλειδιών που συνδέονται με τον παραλήπτη για να προστατεύσει μηνύματα για τη συγκεκριμένη συσκευή.
Αυτό απαντά σε μια σημαντική ερώτηση: είναι η συνομιλία κρυπτογραφημένη μεταξύ των άκρων; Δεν απαντά από μόνο του σε μια άλλη: το κλειδί που εμφανίζεται για αυτή την επαφή ανήκει πραγματικά στο άτομο που θέλετε να προσεγγίσετε;
Αν κάποιος παρουσιάσει ένα κλειδί ισχυριζόμενος ότι είναι η επαφή σας, η κρυπτογράφηση μπορεί να λειτουργεί ακόμη και όταν το κλειδί ανήκει σε απατεώνα. Το μήνυμα είναι κρυπτογραφημένο, αλλά προς το λάθος άκρο.
Η επαλήθευση επαφής συνδέει μια κρυπτογραφική ταυτότητα με μια ανθρώπινη ταυτότητα. Είναι κρίσιμο βήμα πριν στείλετε κωδικούς πρόσβασης, οικονομικά στοιχεία, ιδιωτικά έγγραφα ή ευαίσθητα πολυμέσα.
Τι μπορεί — και τι δεν μπορεί — να αποδείξει η επαλήθευση κλειδιού
Ένα αποτύπωμα που ταιριάζει τεκμηριώνει συμφωνία ως προς τις πληροφορίες κλειδιού που συγκρίνονται. Η σύνδεση του κλειδιού με ένα άτομο εξαρτάται από το πώς αποκτήσατε τη σύγκριση. Αν συγκρίνετε με απατεώνα, μπορείτε να επαληθεύσετε επιτυχώς τη συσκευή του απατεώνα. Η επαλήθευση επίσης δεν αποδεικνύει ότι η συσκευή είναι απαλλαγμένη από κακόβουλο λογισμικό ή ότι ο κάτοχός της θα κρατήσει ένα μήνυμα εμπιστευτικό.
Η αυτόματη επαλήθευση κλειδιών του Signal χρησιμοποιεί διαφάνεια κλειδιών για να ελέγχει τη συνέπεια μεταξύ αναγνωριστικών λογαριασμών και δημόσιων κλειδιών. Συμπληρώνει τους χειροκίνητους ελέγχους αριθμών ασφαλείας, αλλά η διαθεσιμότητα εξαρτάται από την επαφή και την τρέχουσα υποστήριξη της εφαρμογής. Ακολουθήστε την οθόνη επαλήθευσης αντί να υποθέτετε ότι κάθε συνομιλία το προσφέρει. Η συνέπεια των αρχείων κλειδιών και η επιβεβαίωση της πραγματικής ταυτότητας κάποιου είναι διακριτοί στόχοι.
Η μετακβαντική συμφωνία κλειδιών δεν καταργεί αυτή τη διάκριση. Μια ανθεκτικότερη ανταλλαγή κλειδιών πρέπει και πάλι να εγκαθιδρύει κλειδιά με το επιθυμητό άκρο. Η τεκμηρίωση ασφάλειας του Livara περιγράφει τα δικά του πρωτόκολλα και όρια εμπιστοσύνης· αυτοί οι ισχυρισμοί δεν υποκαθιστούν τον έλεγχο της πραγματικής συνομιλίας ή μια ανεξάρτητη αξιολόγηση.
Πώς λειτουργεί η επαλήθευση αριθμού ασφαλείας
Πολλές εφαρμογές κρυπτογραφημένων μηνυμάτων μετατρέπουν πολύπλοκες πληροφορίες κρυπτογραφικών κλειδιών σε αναγνώσιμο αποτύπωμα: έναν μακρύ αριθμό ασφαλείας, μια ακολουθία λέξεων ή έναν κωδικό QR. Και οι δύο συμμετέχοντες πρέπει να βλέπουν αντίστοιχες αναπαραστάσεις για την ίδια ακριβώς συνομιλία.
Επαλήθευση αριθμού ασφαλείας σημαίνει σύγκριση αυτών των αναπαραστάσεων με την επαφή σας. Μια αντιστοίχιση παρέχει ένδειξη ότι και οι δύο πλευρές συγκρίνουν τις ίδιες πληροφορίες κλειδιών, με την προϋπόθεση ότι η οδός σύγκρισης και οι συσκευές είναι αξιόπιστες. Αναντιστοιχία σημαίνει ότι πρέπει να σταματήσετε και να διερευνήσετε αμέσως.
Η ακριβής διεπαφή διαφέρει ανά εφαρμογή, αλλά η βασική διαδικασία επαλήθευσης κλειδιών κρυπτογράφησης είναι σταθερή:
- Ανοίξτε τις λεπτομέρειες της συνομιλίας της επαφής.
- Βρείτε την επιλογή με ετικέτα κρυπτογράφηση, ασφάλεια, επαλήθευση επαφής ή αριθμός ασφαλείας.
- Εμφανίστε το αριθμητικό αποτύπωμα ή τον κωδικό QR.
- Συγκρίνετέ το με την έκδοση που εμφανίζεται στη συσκευή της επαφής σας.
- Σημειώστε την επαφή ως επαληθευμένη, αν η εφαρμογή προσφέρει διακόπτη για αυτή την επιλογή.
Ένα αποτύπωμα είναι χρήσιμο μόνο όταν το συγκρίνετε μέσω αξιόπιστης οδού. Η αντιγραφή ενός αριθμού ασφαλείας στην ίδια μη επαληθευμένη συνομιλία δεν αποδεικνύει ταυτότητα: ένας επιτιθέμενος που ελέγχει το κανάλι θα μπορούσε απλώς να παρεμβληθεί και να δώσει αντίστοιχες πληροφορίες.
Επαλήθευση επαφής με κωδικό QR διά ζώσης
Η επαλήθευση επαφής με κωδικό QR είναι βολικός τρόπος σύγκρισης όλων των δεδομένων επαλήθευσης όταν και τα δύο άτομα βρίσκονται φυσικά στο ίδιο δωμάτιο. Ανοίξτε την οθόνη επαλήθευσης και στις δύο συσκευές και χρησιμοποιήστε τη μία για να σαρώσετε τον κωδικό QR που εμφανίζει η άλλη. Ακολουθήστε τη ροή επιβεβαίωσης της εφαρμογής και βεβαιωθείτε ότι αναφέρει επιτυχή αντιστοίχιση.
Χρησιμοποιήστε αυτή την πρακτική λίστα ελέγχου:
- Επιβεβαιώστε ότι βλέπετε το ακριβές νήμα συνομιλίας της επιθυμητής επαφής.
- Αφήστε την επαφή σας να ξεκλειδώσει και να χειριστεί τη δική της συσκευή.
- Σαρώστε τον κωδικό απευθείας από την ενεργή οθόνη της, όχι από προωθημένο στιγμιότυπο οθόνης.
- Διαβάστε προσεκτικά το αποτέλεσμα πριν σημειώσετε την επαφή ως επαληθευμένη.
- Αν η σάρωση αποτύχει ή αναφέρει αναντιστοιχία, μην ανταλλάξετε ευαίσθητες πληροφορίες.
Ένας κωδικός QR δεν είναι εγγενώς μαθηματικά ισχυρότερος από ένα αριθμητικό αποτύπωμα· είναι απλώς αναπαράσταση των δεδομένων επαλήθευσης λιγότερο επιρρεπής σε λάθη. Η αξία του εξαρτάται από τη γνησιότητα της οδού σύγκρισης, την υλοποίηση της εφαρμογής και την ασφάλεια και των δύο συσκευών.
Χρήση επαλήθευσης εκτός καναλιού από απόσταση
Όταν η συνάντηση δεν είναι πρακτική, η επαλήθευση εκτός καναλιού προσφέρει μια χειροκίνητη εναλλακτική. Αυτό σημαίνει σύγκριση του αποτυπώματος μέσω διαδρομής επικοινωνίας εντελώς ξεχωριστής από τη συνομιλία που ελέγχετε.
Για παράδειγμα, καλέστε την επαφή σας σε έναν συμβατικό τηλεφωνικό αριθμό που ήδη γνωρίζετε και ζητήστε να διαβάσει δυνατά τον αριθμό ασφαλείας από τη συσκευή της. Συγκρίνετέ τον προσεκτικά με τον αριθμό στη δική σας. Η αναγνώριση φωνής ή βίντεο από μόνη της δεν είναι οριστική: λογαριασμοί μπορεί να παραβιαστούν και πολυμέσα να απομιμηθούν. Για αιτήματα υψηλού κινδύνου, συνδυάστε μια καθιερωμένη ανεξάρτητη οδό επικοινωνίας με πλαίσιο που ήδη εμπιστεύεστε και μη χρησιμοποιείτε αριθμό αντικατάστασης που δόθηκε μόνο από τον μη επαληθευμένο λογαριασμό.
Ο θεμελιώδης κανόνας είναι ότι η δεύτερη οδός δεν πρέπει να βασίζεται στον ισχυρισμό ταυτότητας που γίνεται μέσα στη συνομιλία υπό έλεγχο.
Αποφύγετε αυτές τις παγίδες ασφάλειας:
- Μη ζητάτε από την επαφή να επικολλήσει τον αριθμό στην ίδια μη επαληθευμένη συνομιλία.
- Μην εμπιστεύεστε ένα στιγμιότυπο οθόνης απλώς επειδή μοιάζει με τη νόμιμη διεπαφή της εφαρμογής.
- Μην αποδέχεστε το «άλλαξε επειδή πήρα νέο τηλέφωνο» χωρίς ανεξάρτητη επιβεβαίωση της εξήγησης.
- Μη συγκρίνετε μόνο τα πρώτα και τα τελευταία τέσσερα ψηφία ενός μεγάλου αποτυπώματος, εκτός αν η εφαρμογή σχεδιάζει ρητά έτσι τη διαδικασία επαλήθευσης.
Τι σημαίνει μια απρόσμενη αλλαγή κλειδιού
Τα κλειδιά κρυπτογράφησης αλλάζουν συχνά για αθώους λόγους. Μια επαφή μπορεί να αντικαταστήσει τηλέφωνο, να επανεγκαταστήσει την εφαρμογή ή να επαναφέρει λογαριασμό· το ποιες ακριβώς ενέργειες αλλάζουν κλειδιά ταυτότητας εξαρτάται από την εφαρμογή μηνυμάτων. Επομένως, ένα αλλαγμένο κλειδί δεν αποτελεί απόλυτη απόδειξη επίθεσης ενδιάμεσου.
Αντιμετωπίστε μια απρόσμενη αλλαγή ως λόγο ελέγχου πριν στείλετε ευαίσθητο υλικό. Ένα νέο κλειδί μπορεί να είναι νόμιμο, αλλά η προηγούμενη χειροκίνητη σύγκριση δεν θεμελιώνει αυτόματα εμπιστοσύνη σε αυτό. Αν η εφαρμογή ειδοποιήσει για αλλαγή κωδικού ασφαλείας:
- Διακόψτε προσωρινά όλα τα ευαίσθητα μηνύματα.
- Επικοινωνήστε με το άτομο μέσω γνωστής, ανεξάρτητης οδού (εκτός καναλιού).
- Ρωτήστε αν άλλαξε πρόσφατα συσκευή ή επανεγκατέστησε την εφαρμογή.
- Ανοίξτε την τρέχουσα οθόνη επαλήθευσης και στις δύο πλευρές.
- Εκτελέστε νέα επαλήθευση αριθμού ασφαλείας.
- Συνεχίστε την ευαίσθητη επικοινωνία μόνο όταν οι τιμές ταιριάξουν απολύτως.
Να είστε ιδιαίτερα καχύποπτοι αν η επαφή σας πιέζει να αγνοήσετε την ειδοποίηση, ζητά επείγουσες χρηματικές μεταφορές ή αρνείται την επαλήθευση μέσω άλλου καναλιού.
Μια πρακτική ρουτίνα εμπιστοσύνης για κρυπτογραφημένες συνομιλίες
Εφαρμόστε πρωτόκολλα επαλήθευσης ανάλογα με το μοντέλο απειλών σας. Για καθημερινή συνομιλία, απλώς δώστε προσοχή στις ειδοποιήσεις αλλαγής κλειδιών. Για ιδιαίτερα εμπιστευτική εργασία, εκτελείτε πάντα πλήρη έλεγχο επαλήθευσης πριν σταλεί το πρώτο ευαίσθητο περιεχόμενο.
Η επαλήθευση μειώνει τον κίνδυνο κρυπτογράφησης προς μη αναμενόμενο κλειδί. Δεν αντικαθιστά την ασφάλεια της συσκευής, την προσεκτική επιλογή παραλήπτη ή την κρίση για το τι θα στείλετε. Διατηρήστε την επαλήθευση ανάλογη με τις συνέπειες αποστολής σε λάθος άτομο.
