השוו מי יכול להגיע לטקסט הגלוי ולהשפיע על עדכונים — לא רק את שמות אלגוריתמי ההצפנה.
יישום מסרים מוצפן בווב אינו בלתי בטוח מעצם היותו כזה, ואפליקציית Android נייטיבית אינה בטוחה מעצם היותה כזאת. שניהם יכולים לממש הצפנה מקצה לקצה; שניהם חייבים לטפל בטקסט גלוי במכשיר המשתמש. ההשוואה המשמעותית היא מי יכול להשפיע על תוכנת הלקוח, לקרוא את התוכן המוצג או לקבל גישה למפתחות שלה.
שימוש באלגוריתמים בעלי אותם שמות אינו מוכיח שלשני לקוחות יש מימושים זהים או רמת אבטחה זהה. במקרה של Livara, ארכיטקטורת האבטחה שפורסמה מתארת את ההגנה המתוכננת. מאמר זה משווה את גבולות האמון של הפלטפורמות, ולא מציג תוצאות של ביקורת עצמאית של אחד הלקוחות.
ההבדלים שכדאי לבדוק
| תחום | לקוח ווב | לקוח Android |
|---|---|---|
| הפצת קוד | קוד האתר, תלויות, מטמון הדפדפן והתנהגות העדכונים | החבילה המותקנת וערוץ העדכונים שלה |
| תוכנה נוספת | תוספים עם הרשאות מתאימות, קוד המוזרק לאתר | שירותי נגישות, מקלדות ותוכנות אחרות בעלות הרשאות מוגברות |
| אחסון | פרופיל הדפדפן ואחסון המוגבל לפי מקור (origin) | אחסון האפליקציה, בקרות מערכת ההפעלה והגדרות הגיבוי |
| גישה פיזית | הפעלת דפדפן לא נעולה ומחשב משותף | טלפון לא נעול והפעלה פעילה באפליקציה |
| בדיקות שלמות | אמון בהפצת הקוד של האתר ובאבטחת הדפדפן | חתימות חבילה, וכאשר הם זמינים, ערכי גיבוב מהימנים של גרסאות |
אלה משטחי תקיפה שונים, לא דירוג גורף. דפדפן ייעודי המתוחזק היטב עשוי להיות בחירה טובה יותר מטלפון מיושן שמותקנת בו תוכנה זדונית.
האם תוספים יכולים לקרוא הודעות צ’אט מוצפנות?
תוסף עם גישה מתאימה לאתר יכול להשתמש בסקריפט תוכן כדי לקרוא או לשנות את תוכן הדף. התיעוד של Chrome בנושא סקריפטי תוכן מסביר שסקריפטים אלה פועלים מול ה-DOM של הדף. אם הודעה מוצגת שם כטקסט קריא, סקריפט מורשה עשוי לקבל אליה גישה בלי לפצח את הצפנת ההודעה.
לתוספים יש בדרך כלל סביבת JavaScript מבודדת, אך הדבר אינו מבודד מהם את ה-DOM הגלוי של הדף. מנגד, לא נכון לומר שכל אתר לא קשור באותו פרופיל דפדפן יכול לקרוא אוטומטית את הצ’אט של אתר אחר. גבולות המקור של הדפדפן עדיין חשובים; חצייתם מחייבת אינטראקציה מותרת, חולשה או גישה אחרת.
בדקו את הגישה של התוספים לאתרים והסירו תוספים שאינם נחוצים. פרופיל נפרד עם מעט תוספים יכול לצמצם את החשיפה, אך אינו מתקן מערכת הפעלה שנפרצה או קוד אתר שאינו בטוח.
מה WebCrypto מספק — ומה לא
מפרט Web Cryptography של W3C מעמיד פעולות קריפטוגרפיות לרשות יישומי ווב. הוא אינו מאשר את בטיחות הפרוטוקול שמורכב מהן ואינו הופך סקריפט זדוני לבלתי מזיק.
מפתח שאינו ניתן לייצוא מגביל ייצוא רגיל של חומר המפתח דרך ה-API. קוד עם גישה מתאימה עדיין עשוי להשתמש במפתח לפעולות מותרות או לקרוא את הטקסט הגלוי שמתקבל. לכן מניעת ייצוא אינה הגנה מלאה מפני סביבת יישום שנפרצה. זמינות האלגוריתמים תלויה גם במימוש הדפדפן; יש לבדוק את התמיכה ולא להניח שהיא קיימת על סמך שם המפרט.
מבחינת המשתמשים, השאלות המעשיות הן אם הדפדפן ומערכת ההפעלה מעודכנים, אם מקור האתר נכון, אילו תוספים יכולים לגשת לאתר וכיצד היישום מטפל במפתחות הנשמרים לאורך זמן ובהתנתקות מהחשבון.
האם קוד ווב חדש תמיד כולל את התיקון האחרון?
לא. הפצה דרך הווב יכולה לאפשר עדכונים מהירים, אך מטמון, רכיבי service worker ולשוניות הנשארות פתוחות לאורך זמן יכולים להשפיע על הקוד שרץ בפועל. היא מחייבת גם אמון בתהליך הפצת הקוד של האתר. לאפליקציה מותקנת יש סיכונים משלה: עדכונים המתעכבים, פגיעה בתהליך החתימה או ההפצה וגרסאות של מערכת ההפעלה שכבר אינן נתמכות.
עדכנו את שני סוגי הלקוחות דרך הערוצים הרשמיים שלהם. אל תניחו שטעינה מחדש של דף מוכיחה שתיקון אבטחה הוחל, או שחתימת חבילה מוכיחה שאין באפליקציה חולשות.
איך לבדוק קובץ שהורד עבור Android
חתימות חבילה של Android וערך גיבוב שפורסם עבור קובץ עונים על שאלות שונות. התיעוד הרשמי של apksigner מתאר אימות חתימות. השוואת SHA-256 יכולה להראות אם קובץ שהורד תואם לערך ייחוס מסוים, אך ערך הייחוס עצמו חייב להיות מהימן.
אם תוקף שולט גם ב-APK וגם בסכום הביקורת המוצג, התאמה ביניהם אינה מוכיחה אותנטיות. חישוב גיבוב של קובץ גם אינו מוכיח בניות הניתנות לשחזור, היעדר התנהגות זדונית או נכונות של הקריפטוגרפיה שלו. מודל האיומים של Livara מכיר במגבלה הזאת של הסתמכות על ערך ייחוס מהימן.
אל תתקינו אפליקציה חלופית ממקור חיצוני רק מפני שבלוג מכנה אפליקציות נייטיביות בטוחות יותר. ודאו מהו ערוץ ההפצה הרשמי ומהי הגרסה המדויקת שבכוונתכם להתקין.
רשימת בדיקה לבחירת פלטפורמה
- מחשב משותף? אל תשאירו הפעלת צ’אט פרטי פתוחה; בדקו הפעלות שמורות ואת התנהגות ההתנתקות.
- תוספים רבים? צמצמו גישה לאתרים או השתמשו בפרופיל נקי לעבודה רגישה.
- מכשיר מנוהל? הבינו את מדיניות הניהול והניטור של הארגון לפני שימוש בחשבונות אישיים.
- שירותי Android לא מהימנים? בדקו גישת נגישות, התראות, מקלדת ותמיכה מרחוק, בלי להשבית באופן גורף כלי עזר שאתם זקוקים להם.
- היסטוריה הנשמרת לאורך זמן? לפני שמוחקים משהו, הבינו כיצד מפתחות וגיבויים נשמרים לאחר ניקוי אחסון הדפדפן או התקנה מחדש של האפליקציה.
- שיחה בסיכון גבוה? אמתו את זהות איש הקשר בערוץ עצמאי ומהימן והביאו בחשבון את אבטחת המכשירים של שני המשתתפים.
לצורך ההחלטה הרחבה יותר, השתמשו ברשימת הבדיקה ליישום מסרים בטוח. אף בחירה בפלטפורמה אינה מונעת העתקה מצד הנמען, גישה דרך מכשיר זדוני או את נתוני המטא שהשירות שומר.
שאלות נפוצות
האם תוסף דפדפן צריך לפצח את ההצפנה?
לא אם יש לו גישה לטקסט גלוי שכבר מוצג בדף. ההרשאות המתאימות וההגנות של הדפדפן קובעות את הגישה הזאת.
האם אפליקציית Android היא תמיד הבחירה הבטוחה יותר?
לא. מצב המכשיר, התמיכה בעדכונים, מקור ההתקנה ותוכנות בעלות הרשאות מוגברות — כולם חשובים. השוו את הסביבה שבאמת עומדת לרשותכם.
האם סכום ביקורת תואם מוכיח שהבנייה בטוחה?
הוא מוכיח שוויון לערך הגיבוב של הייחוס, בכפוף להנחות של פונקציית הגיבוב. הוא אינו קובע אם ערך הייחוס אותנטי או אם הקוד בטוח.
