Conversations е клиент с отворен код и защитен Jabber/XMPP за Android

Facebook Messenger, WhatsApp и WeChat са първите три приложения за незабавни съобщения, които в момента доминират на пазара. Тяхното продължаващо господство лесно се обяснява с включването на лесен за използване интерфейс заедно с потребителска база от милиони хора. Всяко от тези приложения за незабавни съобщения обаче споделя един недостатък: те са собственост на гиганти в социалните медии. Ако някой се регистрира за акаунт в WhatsApp, той също трябва да приеме потребителското лицензионно споразумение на Facebook. Обикновено се разбира, че търгувате с поверителността си, за да използвате тези удобни услуги. Въпреки че разработчиците на WhatsApp внедриха криптиране от край до край като стандартна функция, самото приложение не е напълно отворен код, така че се свежда до сляпо доверие дали смятате, че Whatsapp не може да събира данни Вие.

За безпроблемно изживяване при обмен на съобщения, всички основни приложения за незабавни съобщения разчитат на естественото внедряване на Android за прехвърляне на съобщения, наречено Google Cloud Messaging (GCM). Съобщението се свързва с бизнес интереси, преди дори да достигне сървъра. Повечето потребители не желаят или не могат да проверят дали услугата, която използват, спазва обещанията си и дори експертите могат само да гадаят дали WhatsApp все още отговаря на определени стандарти за сигурност, след като приложението е било актуализиран. Всяка актуализация изисква независим одит на сигурността, който изисква сътрудничеството на доставчика - в този случай Facebook.

Независимостта тук е ключът, към който ни води Месинджър за разговори. Това е приложение за незабавни съобщения с напълно отворен код, което избягва използването на GCM чрез използване на XMPP протокол вместо това - предоставяне на контрол на потребителя. Разговори ви позволява да управлявайте няколко акаунта едновременно и дори можете да използвате различен акаунт за всеки контакт. Докато други месинджъри не споменават видимо на кой сървър е качена дадената информация, Conversations позволява на потребителя да реши кой сървър на Jabber заслужава доверието им. Или дори можете просто да използвате свой собствен сървър. Conversations също предлага сървър, оптимизиран за неговите изисквания, като първите 6 месеца използване на сървъра са безплатни.

Изборът отделя Conversations от тълпата. Приложението поддържа превключване между алгоритми за криптиране в движение и можете да избирате от три алгоритъма за криптиране: PGP, OTR и OMEMO. Докато PGP и OTR са надеждни алгоритми, OMEMO го тласка още повече. OTR никога не е бил подходящ за повечето потребители, просто защото и двамата комуникационни партньори трябваше да бъдат онлайн едновременно за доставка на съобщения. OMEMO решава този основен недостатък на OTR; доставката на съобщения не изисква и двамата потребители да са онлайн едновременно.

OMEMO предлага Предна тайна. Какво означава това? Той предлага допълнителен слой защита, като пази вашите данни в безопасност. Ето един сценарий: криптирането от край до край разчита на частния ключ, съхраняван единствено на устройството, така че ако телефонът бъде откраднат, частният ключ попада в ръцете на крадеца. Без Forward Secrecy крадецът може да дешифрира всички съобщения, съхранени на телефона. Протоколът Forward Secrecy генерира произволен ключ за всяка сесия, така че дори частният ключ да е в неподходящи ръце, съхранените съобщения са все още в безопасност.

Обикновено потребителите се доверяват на самоличността на техния партньор в разговора, така че OMEMO използва идентичности на устройства. Всеки ключ OMEMO идва с уникален пръстов отпечатък, който позволява да се провери партньорът за разговор, например чрез телефонно обаждане. След като партньорите за чат бъдат потвърдени, Алгоритъм с двоен Ratchet гарантира, че само получателят на съобщението може да го дешифрира. Double Ratchet генерира и криптира всяко съобщение с временен ключ. След като доставката е успешна, ключът е безполезен и не може да се използва за дешифриране на нищо. Той е предназначен само за защита на данните, докато пътувате през световната мрежа.

Разговорите са налични в Google Play Store и Amazon App Store. Въпреки че версиите на магазина за приложения не са безплатни, приложението е отворен код така че можете да го компилирате за себе си или вземете го от F-Droid.

[appbox amazonapps B00WD35AAC]

Интересувате ли се да научите повече за приложението от устата на коня? Daniel Gultsch, водещ разработчик на Conversations, отдели известно време, за да отговори на въпросите ми.

---

Интервю с разработчика на разговори

Въпрос: Бихте ли се представили накратко?

О: Казвам се Даниел Гултш и работя като разработчик и съветник на софтуер на свободна практика.

В: Какво ви мотивира да разработите Conversations?

О: Използвам Jabber/XMPP от много години. Дори през 2009 г. успях да използвам Jabber на моята Nokia e71. Някъде около 2012 г. минах на телефон с Android, така че изведнъж не можах да използвам Jabber. Имаше наличен Jabber клиент за Android (Xabber), но беше обратното на визуално привлекателен.

В началото на 2014 г. се чудех колко трудно може да бъде разработването на чат клиент, който изглежда по-добре (от Xabber). Към този момент имах опит в областта на разработката на софтуер, но не и за Android. След няколко дни UI Mockup оживя, така че се чудех колко трудно може да бъде да се научи изпращането и получаването на jabber съобщения на този UI. Три месеца работа на пълен работен ден по-късно беше пусната първата версия на Conversations.

Въпрос: Можете ли да посочите три причини, поради които Conversations защитава поверителността ви по-добре от Whatsapp или Threema?

О: Не е нужно да давам личния си телефонен номер на непознати, ако искам да говоря с тях. Мога да имам личен и бизнес акаунт. Мога да деактивирам бизнес акаунта след смяната си, за да попреча на шефа ми да ме дразни през свободното ми време. WhatsApp позволява на всеки да анализира моите модели на използване на приложението по всяко време. (Шефът ми може да ме преследва, за да проучи дали използвам WhatsApp през работното си време или използвам WhatsApp през нощта, вместо да спи и да идва добре отпочинал в офиса.) Това е различно с Разговори; Разговорите също не качват цялата ми адресна книга във Facebook.

Въпрос: Колко струва едногодишен абонамент за акаунт в Conversations.im?

О: 8 евро (около 9 щатски долара). След шест месеца пробен период. Абонаментите не се подновяват сами. Не е необходимо прекратяване на абонамента.

Въпрос: Какви предимства предлага акаунтът в Conversations.im в сравнение с други XMPP сървъри?

О: Новите функции, които изискват поддръжка от страна на сървъра, се доставят първо на razgovorи.im. Най-общо казано, ние се опитваме да стартираме conversions.im с малко по-високи изисквания. Сървър, който се управлява от хоби проект, може да се провали за един ден, докато човекът е на почивка. Опитваме се да избягваме такива неща за разговори.im. Поне по време на работното време винаги има някой наоколо, способен да се погрижи за сървъра, ако е необходимо. Освен това вие подкрепяте развитието на сървъра, който също е с отворен код. Промените, които са направени специално за нашето приложение за разговори, завършват в кода на сървъра и са достъпни за други.

Въпрос: Мога ли да закупя разговори чрез биткойн?

О: Не приложението. Приложението се продава в Google PlayStore, те не приемат биткойни. Възможно е да изтеглите приложението безплатно чрез магазина за приложения с отворен код F-Droid. В такъв случай с радост приемам дарения чрез биткойни.

Въпрос: Какво е OMEMO?

О: (по избор) криптиране от край до край за Jabber.

OTR се провали лесно. Ако определено съобщение се загуби поради лошо покритие на телефонния сигнал, последващите съобщения също не могат да бъдат доставени. Освен това OTR може да обменя съобщения само между точно две устройства макс. Например: Когато съм влязъл с две устройства едновременно (мобилен телефон и настолен компютър), моят партньор трябва да реши дали иска да изпраща съобщенията на телефона или на работния плот. Ако моят колега не е в състояние на ясновидство, което устройство използвам в момента, това е проблем. Освен това съобщенията, разбира се, не се синхронизират в този случай и пропускам част от историята на разговорите на всяко устройство. OMEMO се отървава и от двата проблема. OMEMO е по-надежден и може да работи с повече устройства.

В: Какво е препращаща тайна?

О: Да приемем, че бих изтривал често историята на разговорите си (може автоматично да изтрие съобщение, по-старо от конфигуриран период от време.

Да предположим, че някой е съхранявал цялата ми криптирана комуникация. (Така че той не може да направи нищо с нея, той има криптирания текст, а не обикновения текст. Сега този човек ми открадва телефона. Самите съобщения вече не се намират на телефона (те се изтриват често), но моят ключов материал (моят частен ключ) все още е там.

Ако дадено криптиране няма Forward Secrecy, този някой може да комбинира намерения ключов материал на телефона ми плюс криптираните съобщения, които е записал, преди да успее да реконструира равнината текст. Ако криптирането има Forward Secrecy, това не е възможно.

В: Какво описва терминът Overhead на съобщение?

О: Количеството необходима честотна лента, съответно добавено от криптирането. Нека приемем, че некриптирано съобщение има размер 2KB, а същото криптирано съобщение ще има размер 5KB. В този случай 3KB са „режимът“, създаден от криптирането.

В: Планирате ли да внедрите функция за повикване?

О: Не. Новите функции идват, ако самият аз имам нужда от тях или ако имат смисъл от икономическа гледна точка. (Колко повече хора биха използвали приложението, ако тази функция беше там и колко скъпо е да се разработи такова функция?) За съжаление функцията за обаждане е много, много, много скъпа и лично аз не се интересувам много от това особеност.

В: Как мога да подкрепя разработката на приложението след закупуване на приложението?

О: Има подробности за това как да дарите на нашия уебсайт. Промоцията и рекламата, разбира се, също помагат и приложението е с отворен код. Тези, които могат да разработват софтуер, разбира се могат да помогнат с кодирането.

Въпрос: Сами ли разработихте алгоритъма OMEMO?

О: Не. Това беше проект на Google Summer of Code. (Google Summer of Code означава, че Google плаща на студенти 3 месеца за работа по проекти с отворен код.) OMEMO е разработен за разговори от студент.

Въпрос: Какви са по-нататъшните ви планове за развитието на Conversations?

О: Наистина големи нови функции едва ли ще се появят. Conversations прави всичко, което трябва да прави. Под капака ще има една или друга настройка (използване на данни/скорост на свързване и т.н.), но това не е нищо видимо за средния потребител. Малко нещо, което най-вероятно ще бъде реализирано следващо, е възможността за потвърждаване на трансфера, преди снимката да бъде изпратена. До момента снимките винаги се изпращат незабавно.

Въпрос: Разрешено ли е да компилирате разговори сами от вашия Github и да го използвате за лична употреба?

A: Разбира се. Не само частни, но и бизнес и всичко останало, което искате. Също така е позволено да се променя кодът, за да отговаря на индивидуалните изисквания.

В: Възможно ли е да тунелирате разговори през VPN?

A: Да.

Въпрос: Накрая бихме искали да чуем намека на професионалист. Кои измервания, освен използването на Conversations, препоръчвате за защита на поверителността като потребител на Android?

A: Активирайте Adblocking във вашия браузър. Например Firefox (наличен и за Android) и добавката uBlock.

Изключете услугите за местоположение (в последните версии на Android има бърза плочка за това), когато не се използват. В противен случай Google знае къде сте били през цялото време.

Тези две неща са много лесни за прилагане и са практически полезни.

---

Бележка на редактора: тази статия първоначално е написана на немски от Раул Радонц. Преведена е от Раул Радонц и е редактирана от Мишал Рахман. Raúl Radonz и XDA-Developers биха искали да благодарят на г-н Gultsch, че отдели време да проведе това интервю.