Ακεραιότητα μηνυμάτων: μπορεί ο διακομιστής να αλλάξει μια κρυπτογραφημένη συνομιλία;

Μια εφαρμογή μηνυμάτων μπορεί να προσφέρει επεξεργασία ή διαγραφή· όμως σε σύστημα με αυθεντικοποιημένη κρυπτογράφηση ο διακομιστής δεν πρέπει να μπορεί να αλλάζει σιωπηρά το κρυπτοκείμενο και να παραδίδει ακόμη έγκυρο μήνυμα. Ακεραιότητα μηνυμάτων σε μια εφαρμογή σημαίνει ότι ο παραλήπτης μπορεί να εντοπίσει αλλαγή δεδομένων μετά την κρυπτογράφηση· δεν είναι το ίδιο με τη διατήρηση πλήρους ιστορικού ή τη νομική απόδειξη της συνομιλίας.

Βασικά σημεία

• Η αυθεντικοποιημένη κρυπτογράφηση αποκαλύπτει αλλοίωση του κρυπτοκειμένου, αλλά δεν διατηρεί απαραίτητα ιστορικό επεξεργασιών και διαγραφών.
• Σύμφωνα με την τεχνική τεκμηρίωση της Livara, το AES-256-GCM προστατεύει ιδιωτικά μηνύματα με ετικέτα αυθεντικοποίησης· αλλοιωμένο πακέτο δεν πρέπει να αποκρυπτογραφείται ως έγκυρο.
• Μια εξουσιοδοτημένη επεξεργασία πρέπει να είναι νέο, διατερματικά κρυπτογραφημένο συμβάν, όχι κρυφή επανεγγραφή του προηγούμενου πακέτου από τον διακομιστή.
• Οι αριθμοί ασφαλείας βοηθούν στον έλεγχο του κλειδιού του συνομιλητή, όχι της ειλικρίνειάς του ή της νομικής ισχύος ενός στιγμιότυπου οθόνης.
• Σε ευαίσθητες διαφορές, φυλάξτε το αρχικό αρχείο, χρόνους, κατάσταση επεξεργασίας και ανεξάρτητα στοιχεία και εκτός της συνομιλίας.

Τι ακριβώς είναι η ακεραιότητα μηνυμάτων;

Ακεραιότητα μηνύματος σημαίνει ότι ο παραλήπτης μπορεί να ανιχνεύσει μη εξουσιοδοτημένη αλλαγή στα κρυπτογραφημένα δεδομένα. Η εμπιστευτικότητα ρωτά «Ποιος μπορεί να διαβάσει το κείμενο;»· η ακεραιότητα ρωτά «Έφτασαν τα ίδια δεδομένα που κρυπτογράφησε ο αποστολέας;». Η επεξήγηση της διατερματικής κρυπτογράφησης και των ορίων της αναλύει περισσότερο αυτή τη διαφορά.

Πρόκειται για εννοιολογική εικόνα με ενδεικτικές ετικέτες· δεν είναι το πραγματικό περιβάλλον της Livara ούτε αποτέλεσμα δοκιμής απόρριψης αλλοιωμένου μηνύματος.

Σύμφωνα με την τεχνική τεκμηρίωση της Livara, τα άμεσα μηνύματα κρυπτογραφούνται διατερματικά με LVR1 και οι συμβατές ιδιωτικές ομάδες με LGS1. Σύμφωνα με τη σελίδα ασφαλείας της Livara, μια παλιά ασύμβατη ομάδα παραμένει εμφανώς εκτός E2EE και μια νέα ομάδα δεν δημιουργείται με ένδειξη κρυπτογράφησης μέχρι να είναι έτοιμα όλα τα μέλη. Ελέγξτε την κατάσταση της συγκεκριμένης συνομιλίας. Τα έγγραφα αναφέρουν ότι το LVR1 χρησιμοποιεί ECDH P-256 και ML-KEM-768 για παραγωγή κλειδιού μηνύματος. Η τυποποίηση ενός στοιχείου δεν αποτελεί ανεξάρτητη έγκριση ολόκληρου του συνδυασμού ή του προϊόντος. Έπειτα η Livara χρησιμοποιεί AES-256-GCM για προστασία του περιεχομένου.

Σύμφωνα με την τεκμηρίωση του προϊόντος, η προστασία καλύπτει κείμενο, επεξεργασίες και συνημμένα ιδιωτικών συνομιλιών. Όμως τα κανάλια της Livara δεν είναι διατερματικά κρυπτογραφημένα: ο διακομιστής μπορεί σκόπιμα να διαβάζει το περιεχόμενό τους, μεταξύ άλλων για να αφαιρεί καταχρηστικό υλικό. Η συμμετοχή στις ομάδες ελέγχεται επίσης από τον διακομιστή. Η ασφάλεια κλήσεων και η λειτουργία καταγραφής πρέπει να εξετάζονται χωριστά από τα γραπτά μηνύματα.

Ανίχνευση αλλοίωσης κρυπτογραφημένου μηνύματος και AES-256-GCM

Εκτός από την κρυπτογράφηση περιεχομένου, το AES-GCM παράγει ετικέτα αυθεντικοποίησης. Αν αλλάξει το κρυπτοκείμενο ή τα αυθεντικοποιημένα δεδομένα, η επαλήθευση της ετικέτας πρέπει να αποτύχει. Το NIST SP 800-38D ορίζει τον τρόπο λειτουργίας GCM και προειδοποιεί ότι η επανάχρηση nonce με το ίδιο κλειδί μπορεί να υπονομεύσει σοβαρά την ασφάλεια.

Σύμφωνα με τις τεχνικές προδιαγραφές της Livara, τα ιδιωτικά μηνύματα χρησιμοποιούν AES-256-GCM. Αν ο διακομιστής αλλάξει μέρος του προστατευμένου πακέτου, δεν μπορεί να παράγει νέα ετικέτα χωρίς το κλειδί μηνύματος· επομένως ο παραλήπτης δεν πρέπει να αποδεχθεί το πακέτο ως άθικτο. Η σύντομη απάντηση στο «Μπορεί ο διακομιστής να αλλάξει το μήνυμα;» είναι: μπορεί να διαγράψει, να παρακρατήσει, να αποκλείσει ή να καθυστερήσει δεδομένα, αλλά δεν πρέπει να μπορεί να παρουσιάσει αλλοιωμένο περιεχόμενο ως έγκυρο.

Η εγγύηση δεν είναι απεριόριστη. Η κρυπτογραφία δεν εξουδετερώνει κακόβουλο λογισμικό στη συσκευή, πρόσβαση εισβολέα στην ανοιχτή οθόνη ή εξουσιοδοτημένη επεξεργασία του χρήστη. Η ακεραιότητα περιεχομένου επίσης δεν αποκρύπτει απαραίτητα μεταδεδομένα. Ο οδηγός μεταδεδομένων μηνυμάτων και όσων αποκαλύπτουν εξηγεί αυτό το όριο.

Μπορεί ο διακομιστής να αλλάξει μήνυμα ή η επεξεργασία είναι κάτι άλλο;

Ο διακομιστής δεν πρέπει να μπορεί να επανεγγράφει κρυφά το προηγούμενο κρυπτογραφημένο πακέτο, αλλά μπορεί να παραδίδει συμβάν επεξεργασίας που δημιούργησε ο αποστολέας. Η ασφάλεια επεξεργασίας μηνύματος εξαρτάται από την αυθεντικοποίηση και διατερματική κρυπτογράφηση της επεξεργασίας όπως του αρχικού μηνύματος, όχι από άμεση αλλαγή του αποθηκευμένου κειμένου από τον διακομιστή.

Σύμφωνα με την τεκμηρίωση της Livara, οι επεξεργασίες σε άμεση συνομιλία προστατεύονται με LVR1 και σε συμβατή ιδιωτική ομάδα με LGS1. Για αξιολόγηση του περιβάλλοντος, ελέγξτε αν η εφαρμογή δείχνει «επεξεργασμένο»· ωστόσο η κρυπτογραφία μόνη της δεν κρατά την προηγούμενη έκδοση για πάντα σε όλες τις συσκευές.

Η «διαγραφή για όλους» είναι επίσης αίτημα απόρριψης περιεχομένου, όχι απόδειξη καταστροφής κάθε αντιγράφου. Ο παραλήπτης μπορεί να έχει δει το μήνυμα, διαβάσει την ειδοποίηση, αποθηκεύσει το αρχείο ή τραβήξει στιγμιότυπο. Τα εξαφανιζόμενα μηνύματα μειώνουν τη διατήρηση, αλλά δεν εγγυώνται διαγραφή όλων των αντιγράφων.

Τι αποδεικνύει η αυθεντικοποίηση μηνύματος συνομιλίας;

Η αυθεντικοποίηση μηνύματος συνομιλίας δείχνει ότι δημιουργήθηκε με τα κλειδιά συνεδρίας και δεν αλλοιώθηκε κατά τη μεταφορά. Δεν αποδεικνύει ότι ο κάτοχος του λογαριασμού κρατούσε προσωπικά τη συσκευή, ότι το κείμενο είναι αληθινό ή ότι ο παραλήπτης μπορεί αργότερα να το αποδείξει οριστικά σε τρίτο.

Η Livara παρουσιάζει τους αριθμούς ασφαλείας στην τεχνική τεκμηρίωσή της ως τρόπο ανίχνευσης αλλαγής κλειδιού. Δύο άτομα μπορούν να συγκρίνουν αποτυπώματα κλειδιών από ανεξάρτητο κανάλι· ο οδηγός ελέγχου συνομιλίας με αριθμούς ασφαλείας περιγράφει τα πρακτικά βήματα. Ο έλεγχος μειώνει τον κίνδυνο αντικατάστασης του κλειδιού της επαφής με κλειδί εισβολέα, αλλά δεν ασφαλίζει μολυσμένη συσκευή.

Η αυθεντικοποίηση λογαριασμού είναι επίσης χωριστό θέμα. Κανένας μηχανισμός σύνδεσης, όσο ισχυρός κι αν είναι, δεν αντικαθιστά την ακεραιότητα μηνυμάτων, τον έλεγχο κλειδιού επαφής ή την ασφάλεια συσκευής.

Η ακεραιότητα περιεχομένου δεν είναι σειρά και φρεσκάδα μηνυμάτων

Ένα παλιό πακέτο μπορεί να έχει έγκυρη ετικέτα αυθεντικοποίησης. Η αποτροπή εκ νέου αποδοχής του απαιτεί σχεδιασμό πρωτοκόλλου, μετρητές, αναγνωριστικό συνεδρίας και διατήρηση κατάστασης στον παραλήπτη· το AES-GCM μόνο του δεν είναι αρχείο σειράς όλης της συνομιλίας. Η διάκριση είναι σημαντική για επανάληψη, καθυστερημένα μηνύματα και συγχρονισμό πολλών συσκευών.

Πρέπει επίσης να προσδιορίζεται ποια δεδομένα καλύπτει πράγματι η ετικέτα. Αν το αναγνωριστικό συνομιλίας ή ο τύπος συμβάντος βρίσκεται εκτός αυθεντικοποιημένου πλαισίου, η προστασία μόνο του σώματος δεν λύνει όλο το πρόβλημα. Έλεγχος κώδικα και δοκιμή της ίδιας έκδοσης πρέπει να διευκρινίζουν αυτή τη σύνδεση.

Αν το κείμενο ή η κατάσταση μηνύματος είναι απρόσμενα

Καταγράψτε έκδοση εφαρμογής, χρόνο παρατήρησης, εμπλεκόμενες συσκευές και ύπαρξη ένδειξης επεξεργασίας. Ρωτήστε την επαφή από ανεξάρτητο κανάλι αν έκανε εξουσιοδοτημένη επεξεργασία. Μην αποδίδετε απόκλιση συγχρονισμού σε αλλοίωση από τον διακομιστή χωρίς στοιχεία· αλλά ούτε να αγνοείτε αδικαιολόγητα σφάλμα αυθεντικοποίησης ή αλλαγή κλειδιού.

Για τεχνική αναφορά χρησιμοποιήστε μη ευαίσθητο δοκιμαστικό μήνυμα και μη δημοσιεύετε ιδιωτικά δεδομένα της επαφής. Αν η συνομιλία πρόκειται να χρησιμοποιηθεί σε νομική υπόθεση, η κρυπτογραφία ή ένα στιγμιότυπο μόνα τους δεν καθορίζουν νομική εγκυρότητα· ζητήστε βοήθεια αρμόδιου ειδικού πριν αλλάξετε τα στοιχεία.

Πώς αξιολογούμε έναν ισχυρισμό ακεραιότητας;

Μην αρκείστε στη λέξη «κρυπτογραφημένο». Ρωτήστε:

• Ποιες συνομιλίες και αρχεία κρυπτογραφούνται διατερματικά;
• Ποιον αλγόριθμο AEAD χρησιμοποιεί η υπηρεσία;
• Πώς καταγράφονται και εμφανίζονται επεξεργασίες και διαγραφές;
• Πώς εντοπίζει ο χρήστης αλλαγή κλειδιού επαφής;
• Ποια μεταδεδομένα, περιεχόμενο ή συμμετοχή ελέγχει ο διακομιστής;
• Έχουν οι κλήσεις τις ίδιες εγγυήσεις με τα μηνύματα;
• Έχει ελεγχθεί ανεξάρτητα το πρωτόκολλο;

Η Livara δημοσιεύει προδιαγραφές και εργαλεία για εξέταση ορισμένων ισχυρισμών της, και χρήστες Android μπορούν να συγκρίνουν το checksum του APK με SHA-256 στο Proof Lab για έλεγχο εφαρμογής εκτός σύνδεσης. Ωστόσο το άρθρο δεν παρέχει αποδεικτικό ανεξάρτητου ελέγχου της τρέχουσας έκδοσης. Η δημοσίευση προδιαγραφών και διανυσμάτων βοηθά τον έλεγχο, αλλά δεν αντικαθιστά ανεξάρτητο έλεγχο.

Για ιδιωτικές συνομιλίες, ο βασικός ισχυρισμός της Livara είναι περιορισμένος και σαφής: το AES-256-GCM πρέπει να αποκαλύπτει αλλοίωση πακέτου και οι επεξεργασίες πρέπει επίσης να κρυπτογραφούνται. Αυτό δεν σημαίνει αμετάβλητο αρχείο, βέβαιη διαγραφή όλων των αντιγράφων ή αυτόματο νομικό τεκμήριο.

Συχνές ερωτήσεις

Μπορεί ο διαχειριστής διακομιστή να αλλάξει το κρυπτογραφημένο κείμενο;

Σε σωστό σχεδιασμό AES-256-GCM, χωρίς κλειδί μηνύματος ο διαχειριστής δεν μπορεί να αλλάξει το κρυπτοκείμενο και να δημιουργήσει έγκυρη ετικέτα. Μπορεί ακόμη να διαγράψει, να αποκλείσει ή να καθυστερήσει το πακέτο. Η εγγύηση δεν καλύπτει μολυσμένη συσκευή ή εξουσιοδοτημένη επεξεργασία αποστολέα.

Αποδεικνύει η ένδειξη «επεξεργασμένο» ποια ήταν η προηγούμενη έκδοση;

Όχι. Δηλώνει μόνο ότι το εμφανιζόμενο περιεχόμενο άλλαξε μετά την αποστολή, εκτός αν η εφαρμογή διατηρεί και ιστορικό εκδόσεων. Η κρυπτογράφηση μπορεί να επαληθεύει το συμβάν επεξεργασίας, αλλά δεν διατηρεί αυτόματα το προηγούμενο κείμενο.

Εγγυάται ο αριθμός ασφαλείας την αυθεντικότητα όλων των μηνυμάτων;

Όχι. Βοηθά να ελεγχθεί ότι το κλειδί ανήκει στην επαφή και να εντοπιστεί αλλαγή του. Δεν λέει ποιος κρατούσε τη συσκευή κατά την αποστολή, ότι το μήνυμα είναι αληθινό ή ότι η συσκευή δεν έχει κακόβουλο λογισμικό.

Η διαγραφή για όλους αφαιρεί το μήνυμα από παντού;

Όχι. Μπορεί να απορρίψει το αντίγραφο μέσα στην εφαρμογή, αλλά δεν ανακαλεί αποθηκευμένο αρχείο, ειδοποίηση, στιγμιότυπο ή προηγούμενη καταγραφή. Μειώνει τη διατήρηση· δεν εγγυάται διαγραφή από τη συσκευή παραλήπτη ή άλλα συστήματα.