Zgodność kluczy to ważna kontrola, a nie gwarancja bezpieczeństwa urządzenia czy prawdziwości wszystkich wiadomości rozmówcy.
Numer bezpieczeństwa lub odcisk klucza pomaga porównać klucze używane do szyfrowanej komunikacji z kluczami rozmówcy. Taka kontrola ogranicza ryzyko podmiany klucza, ale nie stanowi gwarancji, że nikt nie może przeczytać wiadomości: zainfekowane urządzenie, niewiarygodny odbiorca lub zapisana kopia nadal mogą ujawnić treść.
Sposób wyświetlania i obliczania odcisku różni się między komunikatorami. Postępuj zgodnie z instrukcjami konkretnej aplikacji; niektóre pokazują wspólny numer rozmowy, a inne odcisk każdego urządzenia lub każdej tożsamości.
Czego numer bezpieczeństwa nie dowodzi?
| Kontrola | Oczekiwany wynik | Czego nie potwierdza |
|---|---|---|
| Prawidłowe porównanie klucza ze znaną osobą | Widoczny klucz zgadza się z oczekiwanym kluczem | Że jej urządzenie jest bezpieczne |
| Weryfikacja numeru lub kodu QR | Przeprowadzono kontrolę autentyczności klucza | Że każde twierdzenie lub każda prośba o pieniądze są uzasadnione |
| Brak ostrzeżenia | Aplikacja nie pokazuje zgłoszonej zmiany | Że nie ma żadnego podsłuchu ani złośliwego oprogramowania |
Jeśli nie wiesz, kim jest rozmówca, porównanie z tą samą nieznaną osobą nie ujawni jej prawdziwej tożsamości. Więcej o innych warstwach ochrony przeczytasz w modelu zagrożeń dla czatu.
Jak porównać klucz z rozmówcą?
- W rozmowie otwórz stronę weryfikacji klucza lub numeru bezpieczeństwa zgodnie z instrukcjami komunikatora.
- Porównaj dane z osobą, którą znasz, najlepiej osobiście lub przez niezależny kanał, któremu ufasz już od wcześniej.
- Sprawdź wszystkie wymagane części, nie tylko kilka pierwszych cyfr. Jeśli aplikacja udostępnia oficjalną funkcję QR, skorzystaj z jej procedury.
- Jeżeli dane są zgodne, a aplikacja pozwala zapisać weryfikację, zapisz ją.
- Jeżeli dane się nie zgadzają, wstrzymaj wysyłanie poufnych treści i zbadaj przyczynę.
Ilustracja ma charakter poglądowy; liczby są fikcyjne i nie przedstawiają prawidłowej zgodności ani rzeczywistego interfejsu komunikatora.
Wysłanie obrazu numeru w tej samej rozmowie, której uwierzytelnienie budzi wątpliwości, nie jest niezależną kontrolą. Połączenie telefoniczne lub drugie konto pomagają tylko wtedy, gdy rzeczywiście ufasz tożsamości i bezpieczeństwu tego kanału; nowy numer podany przez nadawcę nie wystarczy.
Co zrobić, jeśli numer się zmieni?
Zmiana urządzenia, ponowna instalacja lub zmiana klucza mogą wywołać ostrzeżenie. Dokładne zachowanie zależy od aplikacji i sposobu odzyskiwania tożsamości; nie każda wymiana telefonu musi zmienić klucz i nie każde ostrzeżenie oznacza atak.
Zapytaj rozmówcę niezależnym kanałem, co się zmieniło, zaktualizuj aplikacje, a następnie ponownie porównaj bieżące numery. W poufnych rozmowach ustne wyjaśnienie o wymianie telefonu nie powinno zastępować porównania kluczy. Jeśli rozbieżność się utrzymuje, skorzystaj z oficjalnej pomocy technicznej, nie usuwając pochopnie danych.
Ponowna weryfikacja nie cofnie ewentualnego ujawnienia wcześniejszych wiadomości. Bezpieczeństwo po naruszeniu zależy też od odebrania dostępu atakującemu i dostarczenia świeżego materiału kryptograficznego; nie każdy krok w łańcuchu kluczy oznacza koniec naruszenia.
Czym przejrzystość kluczy różni się od ręcznego porównania?
Przejrzystość kluczy ma ujawniać niespójności w przyporządkowaniu identyfikatorów do kluczy. Nie należy opisywać jej wyłącznie jako ponownego zaufania temu samemu serwerowi ani wnioskować z niej, że potwierdzono tożsamość człowieka lub bezpieczeństwo urządzenia.
Zgodnie z oficjalnym przewodnikiem Signal dotyczącym Automatic Key Verification funkcja ta zapewnia dodatkową kontrolę obok numeru bezpieczeństwa, a jej dostępność zależy od warunków takich jak rozpoznanie numeru telefonu jako kontaktu. Jej brak lub zmiana statusu same w sobie nie świadczą o włamaniu. Jeśli funkcja jest niedostępna, Signal zaleca porównanie numeru lub kodu QR przez zaufany kanał.
Stwierdzenie, że ręczne porównanie jest jedyną możliwą obroną, jest więc nieprecyzyjne. Narzędzia automatyczne i kontrola użytkownika mogą się uzupełniać; sprawdź rzeczywisty zakres ochrony każdego produktu.
Co sprawdzić w przypadku Livara?
Dokumentacja bezpieczeństwa Livara opisuje porównywanie odcisku klucza przez inny kanał. W zainstalowanej wersji sprawdź, gdzie znajduje się odpowiednia funkcja, jakie dane są porównywane i jak aplikacja reaguje na zmianę klucza. Ten przewodnik nie potwierdza ścieżki w interfejsie ani obecności kodu QR we wszystkich wersjach Livara.
Porównanie klucza czatu nie zastępuje też sprawdzenia źródła instalacji aplikacji. Zarówno plik APK, jak i referencyjna suma kontrolna muszą pochodzić z zaufanego kanału; zgodność sumy potwierdza jedynie, że plik jest taki sam jak plik referencyjny.
Najczęstsze pytania
Czy kod QR zawsze jest bezpieczniejszy niż odczytywanie cyfr?
Kod QR może ograniczyć błędy ręcznego porównania, ale musi pochodzić z oficjalnej procedury danej aplikacji. Bezpieczeństwo zależy od porównywanych danych oraz zaufania do rozmówcy i kanału, a nie tylko od formy kodu QR.
Jeśli numer się zgadza, czy prośba o pieniądze jest wiarygodna?
Nie. Weryfikacja klucza nie potwierdza prawdziwości twierdzeń biznesowych ani finansowych. Ważne prośby sprawdzaj niezależnie.
Czy ostrzeżenie o zmianie oznacza, że rozmowa była wcześniej podsłuchiwana?
Niekoniecznie. Ostrzeżenie jest powodem do sprawdzenia sytuacji, a nie rozstrzygającym dowodem ujawnienia treści. Wyjaśnij przyczynę zmiany i obecny stan bez wysyłania poufnych informacji.
