Євген Карась ✙

Про месенджер Signal (важливе).

Виявляється, деякі люди з Командування Зв'язку ЗСУ з підозрою ставляться до Сигнала. Аргумент, який я почув у зв'язку з цим - вони не розуміють, де стоять сервера, які обслуговують трафік. І це досить забавно, бо якщо уважно подивитись на авторів, розробників, джерела фінансування розробки і підтримки, протокол і весь масив доступної публічної інформації про цей месенджер, то питання серверів не повинно підніматись в принципі. При цьому я чудово розумію, що у Командування голова забита значно важливішими задачами під зав'язку і детально розбиратись у всьому різноманітті сучасних додатків для комунікації їм тупо нема коли, тому можна вважати цей допис своєрідною короткою доповідною запискою на тему «чому саме Сигналу можна довіряти» :-)

Почну з того, що Signal був створений та розробляється американською неприбутковою, - податковий режим 501с3, - компанією, яка повністю знаходиться в американському правовому полі і живе на гранти, - зокрема від такого американського бегемота активізму як Electronic Frontier Foundation (скорочено, EFF), - і донати. Особисто я башляю Сигналу щось біля 500 грн кожного місяця. Юридичну підтримку Signal забезпечує інший бегемот - ACLU. До речі, EFF також підтримує рейтинг захищеності месенджерів, з яким раджу ознайомитись.

Я вважаю питання прозорості фінансування важливим, оскільки аналіз фінансової звітності дозволяє робити твердження відносно наявності або відсутності осіб або організацій, зацікавлених у компрометації безпеки комунікації користувачів. В якості прикладу месенджера з катастрофічно непрозорим фінансуванням можна привести Телеграм.

Протокол обміну зашифрованими повідомленнями, який використовує Signal і який у 19-у році витримав досить жорсткий аудит з боку міжнародної групи криптографів, - в принципі не передбачає зберігання на серверах Сигнала ніякої значущої інформації. Це кілька разів довели відповіді Signal на офіційні американські судові запити, які показали, що на серверах Сигнала про кожен акаунт зберігається інформація лише про момент створення акаунта та його останній вихід на зв'язок.

Далі, Signal - це додаток з відкритим вихідним кодом і з усіма ньюансами його роботи можна досить швидко ознайомитись самостійно. Так, якщо взяти код десктопної версії, то прямо з льоту в очі кидається перелік допустимих доменних імен, на які в принципі може ходити додаток. Резолв доменів з наступним аналізом всіх отриманих IP показує, що всі машини, на які може ходити ваш месенджер знаходяться у Сполучених Штатах, але розмазані по чотирьом містам, - Mountain View, Redmond, San Francisco, Seattle, - у двох штатах - Вашингтоні та Каліфорнії.

Доповідь закінчив.

➕ В прицілі доброти ➕

👍4.3K❤445🔥158😁28

156K views16:54