Analýza komunikačních aplikací dle NÚKIB

22. 4. 2022 | Jindřich Zechmeister

Národní úřad pro kybernetickou a informační bezpečnost analyzoval oblíbené komunikátory a srovnal je z pohledu bezpečnosti. Byť jsou dokumenty tohoto úřadu většinou určeny expertům, tentokrát je tomu jinak a z výsledků NÚKIBu může profitovat široká veřejnost. Rozhodli jsme se proto na analýzu upozornit a její výsledky stručně prezentovat.

Výběr a srovnání komunikátorů

Do analýzy byly zahrnuty hlavní komunikátory přítomné přímo v systému (iMessage, Google Messages), ale také populární aplikace třetích stran (WhatsApp, Messenger, Signal, Threema, Telegram). Všechny srovnávané komunikátory podporují end-to-end šifrování, které zabezpečuje úplně celou komunikaci mezi dvěma osobami. Toto šifrování je považováno za standard a neměli byste se spokojit s programem, který je neumí.

Pro každý komunikátor NÚKIB v analýze uvádí také jeho popis a charekteristiku, což případnému uživateli pomůže při výběru. Zdůrazňuje výhody i slabé stránky daného komunikátoru jednoduchou formou, které rozumí i naprostý laik.

Použitá kritéria

Pro hodnocení vyšel úřad z kritérií, která považuje za objektivní z hlediska bezpečnosti, protože to je jeho odborná oblast. Hodnocení se netýká subjektivních kritérií jako jednoduchost použití či uživatelská přívětivost.

Hodnocená kritéria jsou tato:

• End-to-end šifrování
• End-to-end šifrování pro skupinové konverzace
• Podpora češtiny
• Nevyžaduje osobní údaje
• Zdarma
• Lze nastavit mazání zpráv po čase
• Aplikace/provozovatel nečelili v minulosti incidentům
• Multiplatformnost

U každého kritéria je uvedeno, zdali ho aplikace splňuje, či nikoliv.

Zajímavosti vyplývající z analýzy

Analýza přinesla několik zajímavých poznatků. Především ten, že ač se všechny uvedené komunikátory pyšní koncovým šifrováním, tak ne všechny šifrují důsledně. Většina komunikátorů také end-to-end šifrování neuplatňuje ve výchozím stavu, což je pro uživatele matoucí. Musí si šifrování zapnout manuálně, či aktivovat zvláštní režim komunikace mezi uživateli.

Aplikaci Telegram je v analýze vyčteno, že pro šifrování využívá vlastní protokol MTProto a nefunguje pro všechny typy komunikace, ale pouze mezi dvěma uživateli. Problémem může být také fakt, že aplikace je hojně používána v Rusku a po původním dvouletém zákazu, který byl zrušen, se poskytovatel s ruským regulátorem domluvil na spolupráci při "potírání extremismu", což může znamenat mnohé. Naopak u Threemy považují autoři analýzy švýcarský původ jako výhodu.

U Messengeru a WhatsApp panují rozpaky nad provozovatelem obou aplikací, kterým je společnost Meta (dříve Facebook). Provozovatel žije z reklamy, které soukromí vadí z principu, a WhatsApp, který byl dříve Facebookem koupen, má tak zjevné tendence sdílet se společností Meta metadata uživatelů. Oběma aplikacím je tedy vytýkána nižší transparentnost, přímo Messengeru dále i skutečnost, k bezpečnosti vůbec nevybízí (umožňuje šifrovanou komunikaci jen v chatu mezi dvěma uživateli).

Komunikační prostředky dostupné jako výchozí v Androidu a v zařízeních Apple jsou doporučeny pouze jako záložní komunikátory. Aplikace Google Messages dokáže šifrovat pouze za předpokladu, že to podporuje operátor. Protokol iMessage od Apple zase při zapnuté záloze na iCloud zprávy nešifruje a pokud chcete data chránit, tak musíte toto zálohování vypnout.

Vítězem srovnání je Signal a Threema

Pokud budeme jako kritérium úspěchu považovat nejvíce pozitivních bodů, tak ze srovnání vyšly nejlépe dvě aplikace třetích stran (nejsou součástí operačního systému): Signal a Threema. Z pohledu bezpečnosti je absolutním vítězem Threema, ovšem na úkor uživatelské přívětivosti a intuitivnosti aplikace. U tohoto komunikátoru provozovatel dokonce nezná ani vaše telefonní číslo, protože ho Threema nepoužívá. Nevýhodou Threemy je fakt, že jako jediná z posouzených aplikací není zdarma a stojí uživatele zhruba sto korun měsíčně (posouzení, zdali je to za ochranu soukromí příliš, necháváme na čtenáři).

Pomyslné druhé místo přísluší aplikaci Signal. Proti vítězi nabízí Signal v uživatelské přívětivosti a funkcích výrazně více; a to nejenom podporu GIFů, ale třeba i skupinových videohovorů. Nevýhodou Signalu je však provázání uživatelského profilu s telefonním číslem, které poskytovatel zná. I přes absenci naprosté anonymity je však zabezpečení Signalu hodnoceno jako velmi silné.

Úřad u obou aplikací zdůraznil fakt, že dosud není evidován žádný bezpečnostní incident (zejména prolomení šifrování) ani u aplikace, ani u jejího provozovatele.

Níže vidíte grafické znázornění výsledků analýzy, které jsme přebrali z dokumentu NÚKIBu (viz Zdroje).

Více si o komunikátorech můžete přečíst nejen ve zmíněném dokumentu, ale také na našem blogu; tématu komunikátorů jsme se už dříve věnovali. Podívejte se do kategorie Šifrované komunikátory a zjistíte více informací o aplikaci, která vás zajímá. Aplikaci Threema jsme se samostatně věnovali v článku Threema slibuje nejlepší šifrování ze všech komunikátorů.

Závěr

Analýza NÚKIBu přináší zajímavé a koncentrované informace, byť bude jistě odborníky vysmívána jako příliš triviální. Forma je však určena cílovou skupinou, kterou jsou laici, a za nás byla zvolena správně. Hlavním poselstvím analýzy je nutnost ověřovat si fakta. Neměli bychom bezmezně věřit výrobcům telefonů a softwaru v tom, že každá jejich aplikace honosící se funkcí koncového šifrování tak opravdu činí. Analýza správně ukázala, že v daném odvětví je nastraženo mnoho pastí a úskalí, které běžnému uživateli unikají, nebo jsou před ním dokonce skryty. Dalším cenným závěrem je, že aplikace "v systému", které pochází od Google či Apple, jsou vhodné spíše jako záloha a nenabízí tolik soukromí jako aplikace třetích stran (či dokonce placené).

Zdroj:

Analýza komunikačních aplikací. Dostupné na https://www.nukib.cz/download/publikace/analyzy/Analza%20komunikanch%20aplikac_FINAL.pdf.