Два вида защиты переписки
Когда сообщение идёт от телефона к серверу мессенджера, его почти всегда защищает шифрование канала: TLS не даёт постороннему в кафе прочитать трафик. Но на сервере сообщение расшифровывается, обрабатывается, хранится и затем шифруется заново для отправки получателю. Значит, сам сервис технически способен прочитать текст.
Сквозное шифрование, end-to-end encryption, устроено иначе. Сообщение шифруется на устройстве отправителя, а расшифровать его может только устройство получателя. Сервер пересылает шифротекст и не имеет нужных ключей. Отсюда название: защита действует от одного конца общения до другого без промежуточных расшифровок.
Как договариваются о ключах
У каждого собеседника есть пара ключей: открытая и закрытая. Открытые ключи публикуются на сервере или обмениваются напрямую, закрытые хранятся только на устройствах. Отправитель получает открытый ключ адресата и с его помощью, обычно через обмен по схеме Диффи-Хеллмана, вырабатывает общий секрет для шифрования сообщений.
Современные протоколы, например Signal, добавляют механизм постоянного обновления ключей: после каждого сообщения или их пачки ключ меняется. Благодаря этому утечка одного ключа не раскрывает ни прошлую, ни будущую переписку. Это расширение идеи PFS, описанной в материале про прямую секретность.
Что E2EE не скрывает
Первое и главное: метаданные. Сервис обычно видит, кто с кем общается, когда, с какой частотой и с каких адресов, хотя содержимое ему недоступно. Подробнее о том, что раскрывают такие сведения, написано на странице про метаданные. Некоторые мессенджеры принимают меры, чтобы уменьшить объём метаданных, но полностью их не убирают.
Второе: конечные устройства. Если телефон заражён или чужой человек имеет к нему доступ, шифрование канала уже не поможет, сообщения читаются в открытом виде на экране. Третье: резервные копии. Если копия переписки в облаке хранится без сквозного шифрования, то она становится слабым звеном. Наконец, скриншот собеседника или пересылка сообщения тоже не подпадают под защиту.
Как проверить, что вы говорите с тем, с кем нужно
Ключевой вопрос для сквозного шифрования: как убедиться, что полученный открытый ключ принадлежит именно собеседнику, а не подменён сервером? Для этого мессенджеры показывают код безопасности или QR-код, который можно сравнить при личной встрече или по другому каналу. Совпадение означает, что ключи не подменены.
Если код изменился, программа обычно уведомляет об этом: причиной может быть смена телефона или переустановка приложения, но иногда это признак атаки посредника, описанной в разделе про MITM. Большинство пользователей код не сверяют, и практическая защита от такого сценария от этого слабее, чем в теории.
Заблуждения и как проверить
Заблуждение первое: «если в описании написано «защищённый», значит, E2EE». Не обязательно: слово может относиться к шифрованию канала. Второе: «групповые чаты тоже всегда со сквозным шифрованием». Зависит от мессенджера. Третье: «нельзя ничего узнать». Можно многое, но по метаданным, а не по тексту.
Чтобы проверить, посмотрите документацию сервиса и его настройки: где сказано, включено ли шифрование по умолчанию во всех чатах или только в отдельных «секретных». Ищите публичное описание протокола и независимый аудит. В интерфейсе часто есть раздел с кодом безопасности собеседника, именно его стоит открыть для важной переписки.
Группы, резервные копии и несколько устройств
Реализация E2EE усложняется, когда участников много. В группе нужно делить ключи между всеми, а при выходе человека обновлять их, чтобы он не читал новые сообщения. Когда у пользователя несколько устройств, каждое получает свой ключ, а новое устройство не видит прежнюю историю, если она не переносится отдельно. Резервные копии чатов часто оказываются слабым местом: копия в облаке может храниться без сквозной защиты, и тогда доступ к ней получает поставщик облака. Проверьте в настройках, шифруется ли резервная копия отдельным паролем.