Wstęp
Charakter naszej obecnej komunikacji cyfrowej polega na tym, że rzadko komunikujesz się bezpośrednio ze swoimi rówieśnikami. Wygląda na to, że Ty i Twoi znajomi wymieniacie wiadomości prywatnie, podczas gdy w rzeczywistości są one nagrywane i przechowywane na centralnym serwerze.
Możesz nie chcieć, aby Twoje wiadomości były czytane przez serwer odpowiedzialny za ich przesyłanie pomiędzy Tobą a odbiorcą. W takim przypadku rozwiązaniem może być kompleksowe szyfrowanie (lub prościej E2EE).
Szyfrowanie typu end-to-end to metoda szyfrowania komunikacji między odbiorcą a nadawcą, tak aby tylko oni mogli odszyfrować dane. Jej początki sięgają lat 90. XX wieku, kiedy Phil Zimmerman opublikował książkę Pretty Good Privacy (lepiej znaną jako PGP).
Zanim zrozumiemy, dlaczego warto używać E2EE i jak to działa, zobaczmy, jak działają niezaszyfrowane wiadomości.
Jak działają niezaszyfrowane wiadomości?
Zobaczmy, jak może działać zwykła platforma do przesyłania wiadomości na smartfony. Instalujesz aplikację i tworzysz konto, które pozwala komunikować się z innymi, którzy zrobili to samo. Piszesz wiadomość i wprowadzasz nazwę użytkownika znajomego, a następnie wysyłasz ją na centralny serwer. Serwer widzi, że zaadresowałeś wiadomość do znajomego, więc przekazuje ją odbiorcy.
Komunikacja pomiędzy użytkownikami A i B. Aby się połączyć, muszą oni przekazać dane przez serwer (S).
Być może znasz ten model jako model klient-serwer. Klient (Twój telefon) nie robi wiele, ale serwer wykonuje większość pracy. Oznacza to jednak również, że usługodawca działa jako pośrednik między Tobą a odbiorcą.
W większości przypadków dane pomiędzy A<>S i S<>B diagramu są szyfrowane. Jednym z przykładów jest Transport Layer Security (TLS), który jest powszechnie stosowany do zabezpieczania połączeń między klientami i serwerami.
TLS i podobne rozwiązania zabezpieczające uniemożliwiają przechwycenie wiadomości przesyłanej od klienta do serwera. Chociaż te środki mogą uniemożliwić osobom postronnym dostęp do danych, serwer nadal może je odczytać. W tym miejscu pojawia się szyfrowanie. Jeśli dane od A zostały zaszyfrowane kluczem kryptograficznym należącym do B, serwer nie może ich odczytać ani uzyskać do nich dostępu.
Bez metod E2EE serwer może przechowywać informacje w bazie danych wraz z milionami innych. Wielokrotnie udowodniono, że naruszenia bezpieczeństwa danych na dużą skalę mogą mieć katastrofalne skutki dla użytkowników końcowych.
Jak działa kompleksowe szyfrowanie?
Kompleksowe szyfrowanie gwarantuje, że nikt, nawet serwer łączący Cię z innymi, nie będzie miał dostępu do Twojej komunikacji. Komunikacja, o której mowa, może mieć postać zwykłego tekstu, wiadomości e-mail, plików lub rozmów wideo.
Dane są szyfrowane w aplikacjach takich jak Whatsapp, Signal czy Google Duo (w zasadzie) tak, aby tylko nadawcy i odbiorcy mogli je odszyfrować. W przypadku kompleksowych schematów szyfrowania proces ten można rozpocząć od tak zwanej wymiany kluczy.
Na czym polega wymiana kluczy Diffiego-Hellmana?
Pomysł wymiany kluczy Diffie-Hellman został wymyślony przez kryptologów Whitfielda Diffie, Martina Hellmana i Ralpha Merkle. Jest to potężna technika, która pozwala stronom wygenerować wspólny sekret w potencjalnie wrogim środowisku.
Innymi słowy, utworzenie klucza można przeprowadzić na niepewnych forach (nawet pod okiem obserwatorów) bez narażania na szwank otrzymanych wiadomości. W dobie informacji ten aspekt jest szczególnie cenny, ponieważ strony nie muszą fizycznie wymieniać kluczy, aby się komunikować.
Sama wymiana wiąże się z dużymi liczbami i magią kryptograficzną. Nie będziemy wdawać się w szczegóły. Zamiast tego użyjemy popularnej analogii do koloru farby. Załóżmy, że Alicja i Bob znajdują się w oddzielnych pokojach hotelowych na przeciwnych końcach korytarza i chcą dzielić ten sam kolor farby. Nie chcą, żeby ktokolwiek inny dowiedział się, co to jest.
Niestety, podłoga jest pełna szpiegów. Załóżmy, że w tym przykładzie Alicja i Bob nie mogą wchodzić do swoich pokoi, więc mogą wchodzić w interakcję tylko na korytarzu. Jedyne, co mogliby zrobić, to zgodzić się na wspólną farbę w korytarzu, powiedzmy, żółtą. Biorą puszkę tej żółtej farby, dzielą się nią i wracają do swoich pokoi.
W swoich pokojach zmieszają żółć z tajemniczą farbą, farbą, której nikt nie zna. Alicja używa odcienia błękitu, a Bob odcienia czerwieni. Szpiedzy nie widzą sekretnych kolorów, których używają. Zobaczą jednak powstałe mieszanki, gdy Alicja i Bob wychodzą teraz ze swojego pokoju ze swoimi niebiesko-żółtymi i czerwono-żółtymi miksturami.
Wymieniają się tymi mieszaninami w miejscach publicznych. Nie ma znaczenia, czy szpiedzy je teraz zobaczą, bo nie będą w stanie określić dokładnego odcienia dodanych kolorów. Pamiętaj, że to tylko analogia: prawdziwa matematyka stojąca za tym systemem jeszcze bardziej utrudnia odgadnięcie sekretnego „koloru”.
Alicja bierze miksturę Boba, Bob bierze miksturę Alicji i wracają do swojego pokoju. Teraz dodają swoje sekretne kolory.
Alice łączy swój sekretny odcień błękitu z czerwono-żółtą mieszanką Boba, tworząc czerwono-żółto-niebieską mieszankę.
Bob łączy swoje sekretne odcienie czerwieni z niebiesko-żółtą mieszanką Alicji, tworząc niebiesko-żółto-czerwoną mieszankę.
Obydwa garnitury mają tę samą kolorystykę, więc muszą być identyczne. Alicji i Bobowi udało się stworzyć niepowtarzalny kolor, jakiego nie znają przeciwnicy.
Jest to więc zasada, której możemy użyć, aby ujawnić wspólny sekret. Różnica polega na tym, że nie mamy do czynienia z korytarzami i malowaniem, ale z niepewnymi kanałami komunikacji, kluczami publicznymi i kluczami prywatnymi.
Wymieniaj wiadomości
Gdy strony podzielą się swoim sekretem, mogą go wykorzystać jako podstawę symetrycznego schematu szyfrowania. Popularne implementacje zwykle obejmują dodatkowe techniki zapewniające solidniejsze zabezpieczenia, ale dla użytkownika wszystko to jest abstrakcyjne. Gdy połączysz się ze znajomym za pomocą aplikacji E2EE, szyfrowanie i deszyfrowanie będzie możliwe tylko na Twoich urządzeniach (chyba że występuje poważna luka w oprogramowaniu).
Nie ma znaczenia, czy jesteś hakerem, usługodawcą, czy nawet organem ścigania. Jeśli usługa jest naprawdę kompleksowo zaszyfrowana, każda przechwycona wiadomość będzie niezrozumiała.
Plusy i minusy szyfrowania typu end-to-end
Wady szyfrowania typu end-to-end
Szyfrowanie typu end-to-end ma tylko jedną wadę, a to, czy jest to wada, zależy wyłącznie od punktu widzenia. Dla niektórych propozycja wartości E2EE jest problematyczna właśnie dlatego, że nikt nie może uzyskać dostępu do Twoich wiadomości bez odpowiedniego klucza.
Przestępcy twierdzą, że przestępcy mogą bezpiecznie korzystać z E2EE, wiedząc, że rządy i firmy technologiczne nie są w stanie odszyfrować swojej komunikacji. Uważają, że nie ma potrzeby chronić ich wiadomości i rozmów telefonicznych przed prawem. To zdanie podziela wielu polityków, którzy popierają ustawodawstwo otwierające tylne drzwi w systemach, aby umożliwić im dostęp do komunikacji. Oczywiście byłoby to sprzeczne z celem szyfrowania typu end-to-end.
Należy zaznaczyć, że aplikacje korzystające z E2EE nie są w 100% bezpieczne. Wiadomości są ukryte podczas przesyłania z jednego urządzenia na drugie, ale są widoczne na punktach końcowych, tj. laptopach lub smartfonach po obu stronach. Nie jest to wada kompleksowego szyfrowania, ale warto o tym pamiętać.
Wiadomość jest widoczna w postaci zwykłego tekstu przed i po odszyfrowaniu.
E2EE gwarantuje, że nikt nie będzie mógł odczytać Twoich danych podczas ich przesyłania. Istnieją jednak inne zagrożenia:
Twoje urządzenie może zostać skradzione: jeśli nie masz kodu PIN lub jeśli osoba atakująca go ominie, może uzyskać dostęp do Twoich wiadomości.
Twoje urządzenie może zostać przejęte: może być wyposażone w złośliwe oprogramowanie szpiegujące informacje przed i po ich wysłaniu.
Innym ryzykiem jest to, że ktoś może stanąć pomiędzy Tobą a Twoim odpowiednikiem, przeprowadzając atak typu man-in-the-middle. Dzieje się to na początku komunikacji. Jeśli dokonujesz wymiany kluczy, nie wiesz, że tak naprawdę jest to wymiana z Twoim przyjacielem. Możesz nieświadomie ustalić tajemnicę z napastnikiem. Osoba atakująca otrzymuje następnie Twoje wiadomości i ma klucz do ich odszyfrowania. Mogą oszukać Twojego znajomego w ten sam sposób, to znaczy mogą przekazywać wiadomości i czytać je lub modyfikować według własnego uznania.
Aby obejść ten problem, wiele aplikacji zawiera funkcję kodu zabezpieczającego. Jest to ciąg liczb lub kod QR, który możesz udostępnić swoim kontaktom za pośrednictwem bezpiecznego kanału (najlepiej offline). Jeśli liczby się zgadzają, możesz mieć pewność, że osoba trzecia nie szpieguje Twojej komunikacji.
Korzyści z szyfrowania typu end-to-end
W konfiguracji pozbawionej wyżej wymienionych luk C2BEB jest niewątpliwie bardzo cennym zasobem zwiększającym prywatność i bezpieczeństwo. Podobnie jak routing cebulowy, jest to technologia zalecana przez działaczy na rzecz ochrony prywatności na całym świecie. Łatwo jest ją także zintegrować z aplikacjami, które wyglądają jak te, do których jesteśmy przyzwyczajeni, co oznacza, że z technologii może korzystać każdy, kto potrafi korzystać z telefonu komórkowego.
Błędem byłoby postrzeganie E2EE jako mechanizmu przydatnego jedynie dla przestępców i sygnalistów. Nawet firmy, które wydawały się bezpieczne, okazały się podatne na cyberataki, ujawniając niezaszyfrowane informacje o użytkownikach złośliwym stronom. Dostęp do danych użytkownika, takich jak poufne komunikaty lub dokumenty tożsamości, może mieć katastrofalny wpływ na życie poszczególnych osób.
Jeśli firma, której użytkownicy polegają na E2EE, zostanie zhakowana, hakerzy nie będą w stanie wydobyć znaczących informacji o treści wiadomości (pod warunkiem, że implementacja szyfrowania jest solidna). W najlepszym przypadku hakerzy będą mogli zdobyć metadane. Jest to nadal niepokojące z punktu widzenia prywatności, ale stanowi poprawę w stosunku do dostępu do zaszyfrowanej wiadomości.
Wniosek
Oprócz wspomnianych wcześniej aplikacji, dostępna jest coraz większa liczba bezpłatnych narzędzi E2EE. Apple iMessage i Google Duo są dostępne z systemami operacyjnymi iOS i Android, a wciąż pojawia się inne oprogramowanie dbające o prywatność i bezpieczeństwo.
Powtórzmy, że kompleksowe szyfrowanie nie jest magiczną barierą chroniącą przed wszelkimi formami cyberataków. Jednak przy niewielkim wysiłku możesz aktywnie z niego korzystać, aby znacznie zmniejszyć ryzyko, na jakie narażasz się w Internecie.
Zastrzeżenie i ostrzeżenie o ryzyku: Niniejsza treść jest prezentowana użytkownikowi w stanie „takim, jakim jest” wyłącznie w celach informacyjnych i edukacyjnych, bez jakichkolwiek oświadczeń ani gwarancji. Nie należy ich interpretować jako porady finansowej, prawnej lub zawodowej ani jako rekomendacji zakupu określonego produktu lub usługi. Przed podjęciem jakichkolwiek decyzji należy zasięgnąć porady odpowiednich specjalistów. Jeżeli artykuł został napisany przez osobę trzecią, pamiętaj, że opinie w artykule niekoniecznie odzwierciedlają opinie Akademii Binance. Aby dowiedzieć się więcej, przeczytaj nasze pełne oświadczenie o wyłączeniu odpowiedzialności. Ceny aktywów cyfrowych mogą być zmienne. Wartość Twojej inwestycji może spaść lub wzrosnąć, a Ty możesz nie odzyskać zainwestowanej kwoty. Ponosisz wyłączną odpowiedzialność za swoje decyzje inwestycyjne, a Binance Academy nie ponosi odpowiedzialności za jakiekolwiek straty, które możesz ponieść. Treści tych nie należy interpretować jako porad finansowych, prawnych ani zawodowych. Aby uzyskać więcej informacji, zapoznaj się z naszymi Warunkami użytkowania i Ostrzeżeniem o ryzyku.
