Οι αριθμοί ασφαλείας και τα αποτυπώματα δημόσιων κλειδιών σάς βοηθούν να ελέγχετε τα κρυπτογραφικά κλειδιά που συνδέονται με μια συνομιλία. Η σύγκρισή τους μέσω ενός έμπιστου ανεξάρτητου καναλιού μπορεί να αποκαλύψει μια ασυμφωνία που θα ήταν αόρατη αν βασιζόσασταν μόνο στο εμφανιζόμενο όνομα μιας επαφής.
Η συμφωνία αποτελεί χρήσιμο στοιχείο για τα κλειδιά υπό τις παραδοχές της μεθόδου επαλήθευσης. Δεν είναι έλεγχος του ιστορικού του προσώπου, απόδειξη ότι η συσκευή του δεν έχει κακόβουλο λογισμικό ή εγγύηση ότι θα κρατήσει τα μηνύματά σας εμπιστευτικά.
Γιατί η κρυπτογράφηση χρειάζεται και αυθεντικοποίηση
Μια ανταλλαγή κλειδιών μπορεί να δημιουργήσει ένα κοινό μυστικό με όποιον ελέγχει το κλειδί που σας παρουσιάζεται. Αν ένας επιτιθέμενος το αντικαταστήσει με δικό του και η αντικατάσταση περάσει απαρατήρητη, η κρυπτογραφημένη σύνδεση μπορεί να αφορά λάθος συνομιλητή.
Τα αποτυπώματα παρέχουν μια συμπαγή αναπαράσταση του υλικού κλειδιών που ένα πρωτόκολλο θέλει να επαληθεύσετε. Τα ακριβή δεδομένα εισόδου και η μορφοποίηση εξαρτώνται από το προϊόν. Ορισμένες εφαρμογές εμφανίζουν ψηφία, άλλες κωδικό QR ή άλλη αναπαράσταση· μην υποθέτετε ότι όλες οι μορφές αυθεντικοποιούν τα ίδια πεδία.
Διαδικασία προσεκτικής σύγκρισης
- Ανοίξτε τη συνομιλία με το πρόσωπο που σκοπεύετε να ελέγξετε. Βεβαιωθείτε ότι δεν επαληθεύετε έναν παρόμοιο λογαριασμό ή διαφορετική συνομιλία.
- Βρείτε την τρέχουσα οθόνη επαλήθευσης της εφαρμογής. Χρησιμοποιήστε τις επίσημες οδηγίες της για αριθμούς ασφαλείας ή αποτυπώματα κλειδιών.
- Χρησιμοποιήστε ένα ανεξάρτητα έμπιστο κανάλι. Η σύγκριση από κοντά είναι απλή όταν είναι πρακτικά εφικτή. Για απομακρυσμένη σύγκριση, χρησιμοποιήστε κανάλι μέσω του οποίου μπορείτε να αυθεντικοποιήσετε το άλλο πρόσωπο και το οποίο δεν είναι απλώς η ίδια ύποπτη συνομιλία.
- Συγκρίνετε ολόκληρη την αναπαράσταση με την υποστηριζόμενη μέθοδο. Σαρώστε τον εμφανιζόμενο κωδικό QR επαλήθευσης όπου υποστηρίζεται ή συγκρίνετε όλα τα απαιτούμενα ψηφία, όχι μόνο ένα σύντομο πρόθεμα.
- Καταγράψτε την επαλήθευση στην εφαρμογή, αν υπάρχει αυτή η δυνατότητα. Κατανοήστε αν αυτό αλλάζει τη συμπεριφορά των προειδοποιήσεων ή προσθέτει απλώς μια τοπική ετικέτα.
- Επαναλάβετε όταν αλλάξει η σχετική ταυτότητα. Θεωρήστε μια ανεξήγητη αλλαγή λόγο να διακόψετε προσωρινά την αποστολή ευαίσθητων πληροφοριών και να επιβεβαιώσετε τι συνέβη.
Μην αντικαθιστάτε έναν ανεξάρτητο έλεγχο με στιγμιότυπο οθόνης που αποστέλλεται μέσω της ίδιας συνομιλίας που ενδέχεται να υποκλέπτεται. Προσέξτε να μη συγχέετε έναν κωδικό QR επαλήθευσης με έναν κωδικό QR σύνδεσης συσκευής: εκτελούν διαφορετικές ενέργειες.
Τι σημαίνει η αλλαγή ενός αριθμού
Μια αλλαγή σημαίνει ότι διαφέρουν το σχετικό υλικό κλειδιών ή τα δεδομένα εισόδου της επαλήθευσης. Η επανεγκατάσταση, η αντικατάσταση συσκευής ή η επαναφορά ταυτότητας μπορούν να προκαλέσουν νόμιμες αλλαγές, αλλά η συμπεριφορά εξαρτάται από το προϊόν και τη μέθοδο ανάκτησης.
Οι επίσημες οδηγίες του Signal σημειώνουν ότι τα νέα τηλέφωνα ή οι επανεγκαταστάσεις είναι συνήθεις λόγοι αλλαγών, εξηγώντας παράλληλα ότι αυτά τα γεγονότα δεν αλλάζουν πάντα τον αριθμό. Οι συχνές ή απρόσμενες αλλαγές αξίζουν προσοχή.
Αποφύγετε και τα δύο άκρα: μια αλλαγή δεν αποτελεί αυτόματα απόδειξη υποκλοπής, ενώ ένα οικείο όνομα επαφής δεν είναι λόγος να την αγνοήσετε. Ρωτήστε το πρόσωπο μέσω του έμπιστου καναλιού, συγκρίνετε ξανά και επιλύστε τις ασυμφωνίες πριν συνεχίσετε μια ευαίσθητη ανταλλαγή.
Τι δεν αποδεικνύει η συμφωνία
| Δεν τεκμηριώνει… | Γιατί |
|---|---|
| Την πραγματική ταυτότητα ενός άγνωστου λογαριασμού | Πρέπει να συνδέσετε τα επαληθευμένα κλειδιά με ένα πρόσωπο μέσω αξιόπιστης διαδικασίας |
| Ένα καθαρό τερματικό σημείο | Το κακόβουλο λογισμικό μπορεί να διαβάσει περιεχόμενο μετά τη νόμιμη αποκρυπτογράφηση |
| Εμπιστευτική συμπεριφορά του παραλήπτη | Ένας επαληθευμένος παραλήπτης μπορεί να αντιγράφει ή να προωθεί μηνύματα |
| Πλήρη ασφάλεια της συμμετοχής σε ομάδα | Η επαλήθευση κλειδιών ανά ζεύγη δεν επικυρώνει από μόνη της κάθε μέλος και συσκευή |
| Αόρατα μεταδεδομένα | Οι έλεγχοι κλειδιών δεν σβήνουν αρχεία δρομολόγησης, χρονισμού ή συμμετοχής |
| Κάθε ιδιότητα ασφάλειας του πρωτοκόλλου | Ένας έλεγχος αποτυπώματος δεν είναι πλήρης έλεγχος της διαπραγμάτευσης, της υλοποίησης ή της αποθήκευσης κλειδιών |
Ένα αποτύπωμα είναι γενικά δημόσια τιμή επαλήθευσης, όχι μυστικό ανάκτησης. Ωστόσο, ακολουθήστε τις οδηγίες κοινοποίησης της εφαρμογής και μην παρέχετε ποτέ φράση ανάκτησης ή ιδιωτικό κλειδί σε κάποιον που ισχυρίζεται ότι χρειάζεται για επαλήθευση.
Πώς να διαβάζετε τον ισχυρισμό επαλήθευσης της Livara
Η σελίδα ασφάλειας της Livara συνιστά τη σύγκριση αποτυπωμάτων δημόσιων κλειδιών με το άλλο πρόσωπο μέσω άλλου καναλιού. Περιγράφει χωριστά τις υβριδικές απευθείας συνεδρίες και τα κλειδιά αποστολέων ομάδων.
Η δημόσια σελίδα δεν τεκμηριώνει κάθε λεπτομέρεια που υποστηριζόταν στην προηγούμενη έκδοση αυτού του άρθρου, όπως τα ακριβή πεδία που περιλαμβάνονται σε συγκεκριμένη μορφή αποτυπώματος ή την εγγύηση ότι κάθε υποβάθμιση αλλάζει τον εμφανιζόμενο αριθμό. Αυτοί οι ισχυρισμοί απαιτούν τη σχετική προδιαγραφή συγκεκριμένης έκδοσης και στοιχεία υλοποίησης.
Το μοντέλο απειλών καθιστά επίσης σαφές ότι η παραβίαση συσκευής και η αποκάλυψη από τον παραλήπτη παραμένουν εκτός της προστασίας. Επαληθεύστε τα κλειδιά για το στενότερο όφελος που παρέχουν και προστατέψτε τις συσκευές που τα διατηρούν.
Για μια ευαίσθητη συνομιλία, η πλήρης σύγκριση μέσω ενός αυθεντικοποιημένου ανεξάρτητου καναλιού έχει μεγαλύτερη σημασία από ένα εικονίδιο λουκέτου ή μια ανεξέταστη ετικέτα «επαληθευμένο».
