Conversations è un client Jabber/XMPP open source e sicuro per Android

Facebook Messenger, WhatsApp e WeChat sono le tre principali app di messaggistica istantanea che attualmente dominano il mercato. Il loro continuo dominio è facilmente spiegabile dalla loro inclusione di un'interfaccia semplice da usare insieme ad una base di utenti di milioni di persone. Tuttavia, ciascuna di queste app di messaggistica istantanea condivide un difetto: sono di proprietà dei giganti dei social media. Se qualcuno registra un account WhatsApp, deve anche accettare il contratto di licenza d'uso di Facebook. È generalmente inteso che si baratta la propria privacy per utilizzare questi convenienti servizi. Sebbene gli sviluppatori di WhatsApp abbiano implementato la crittografia end-to-end come funzionalità standard, l'app in sé non lo è completamente open source, quindi dipende dalla fiducia cieca se ritieni che Whatsapp non possa raccogliere dati Voi.

Per un'esperienza di messaggistica fluida, tutte le principali app di messaggistica istantanea si affidano all'implementazione nativa di trasferimento dei messaggi di Android chiamata Google Cloud Messaging (GCM). Il messaggio entra in contatto con gli interessi commerciali prima ancora di raggiungere il server. La maggior parte degli utenti non è disposta o non è in grado di verificare se il servizio che sta utilizzando mantiene le sue promesse, e nemmeno gli esperti possono solo indovinare se WhatsApp soddisfa ancora determinati standard di sicurezza dopo l'applicazione aggiornato. Ogni aggiornamento richiede un controllo di sicurezza indipendente che richiede la collaborazione del fornitore, in questo caso Facebook.

L’indipendenza è la chiave qui, che ci porta a Messaggero di conversazioni. È un'app di messaggistica istantanea completamente open source che evita l'utilizzo di GCM utilizzando il file XMPP protocollo invece: dare il controllo all'utente. Conversazioni ti permette di eseguire più account contemporaneamente e puoi anche utilizzare un account diverso per ogni contatto. Mentre altri servizi di messaggistica non menzionano visibilmente su quale server vengono caricate le informazioni fornite, Conversazioni consente all'utente di decidere quale server Jabber merita la sua fiducia. Oppure potresti anche semplicemente utilizzare il tuo server. Conversations offre anche un server ottimizzato per le sue esigenze, ed i primi 6 mesi di utilizzo del server sono gratuiti.

La scelta separa Conversations dalla massa. L'applicazione supporta il passaggio immediato da un algoritmo di crittografia all'altro ed è possibile scegliere tra tre algoritmi di crittografia: PGP, OTR e OMEMO. Sebbene PGP e OTR siano algoritmi molto affidabili, OMEMO si spinge oltre. OTR non è mai stato adatto alla maggior parte degli utenti semplicemente perché entrambi i partner di comunicazione dovevano essere online contemporaneamente per la consegna dei messaggi. OMEMO risolve questo grave inconveniente dell'OTR; la consegna dei messaggi non richiede che entrambi gli utenti siano online contemporaneamente.

Offerte OMEMO Segretezza in avanti. Cosa significa questo? Offre un ulteriore livello di protezione mantenendo i tuoi dati al sicuro. Ecco uno scenario: la crittografia end-to-end si basa sulla chiave privata memorizzata esclusivamente sul dispositivo, quindi se il telefono viene rubato, la chiave privata cade nelle mani del ladro. Senza Forward Secrecy, il ladro potrebbe decrittografare tutti i messaggi archiviati sul telefono. Il protocollo Forward Secrecy genera una chiave casuale per ogni sessione, quindi anche se la chiave privata finisce nelle mani sbagliate, i messaggi archiviati sono comunque al sicuro.

Di solito gli utenti si fidano dell'identità del proprio interlocutore, ecco perché OMEMO utilizza le identità del dispositivo. Ogni chiave OMEMO è dotata di un'impronta digitale univoca che consente di verificare l'interlocutore, ad esempio tramite una telefonata. Una volta verificati i partner di chat, il file Algoritmo del doppio cricchetto garantisce che solo il destinatario del messaggio sia in grado di decrittografarlo. Double Ratchet genera e crittografa ogni messaggio con una chiave temporanea. Una volta che la consegna ha avuto esito positivo, la chiave non ha più valore e non può essere utilizzata per decrittografare nulla. Ha lo scopo solo di mantenere i dati al sicuro durante il viaggio nel World Wide Web.

Conversazioni è disponibile su Google Play Store e Amazon App Store. Sebbene le versioni dell'App Store non siano gratuite, l'applicazione lo è fonte aperta così puoi compilarlo per te stesso o prendilo da F-Droid.

[appbox amazonapps B00WD35AAC]

Ti interessa saperne di più sull'app dalla bocca del cavallo? Daniel Gultsch, sviluppatore principale di Conversations, ha impiegato del tempo per rispondere alle mie domande.

---

Intervista allo sviluppatore di conversazioni

D: Potresti presentarti brevemente?

R: Mi chiamo Daniel Gultsch e lavoro come sviluppatore e consulente di software freelance.

D: Cosa ti ha motivato a sviluppare Conversations?

R: Utilizzo Jabber/XMPP da moltissimi anni. Già nel 2009 potevo usare Jabber sul mio Nokia e71. Intorno al 2012 sono passato a un telefono Android, quindi all'improvviso non sono riuscito a utilizzare Jabber. Era disponibile un client Jabber per Android (Xabber), ma era l'opposto di visivamente accattivante.

All'inizio del 2014 mi chiedevo quanto sarebbe stato difficile sviluppare un client di chat che sembrasse migliore (di Xabber). A questo punto avevo esperienza nel campo dello sviluppo software, ma non per Android. Dopo alcuni giorni ha preso vita un modello di interfaccia utente, quindi mi sono chiesto quanto potesse essere difficile insegnare a inviare e ricevere messaggi jabber a questa interfaccia utente. Tre mesi di lavoro a tempo pieno dopo, è stata rilasciata la prima versione di Conversations.

D: Puoi fornire tre ragioni per cui Conversations protegge la tua privacy meglio di Whatsapp o Threema?

R: Non devo fornire il mio numero di telefono privato agli sconosciuti se voglio chattare con loro. Potrei avere un conto privato e uno aziendale. Posso disattivare l'account business dopo il mio turno, per evitare che il mio capo mi dia fastidio durante il tempo libero. WhatsApp consente a tutti di analizzare i modelli di utilizzo della mia app in qualsiasi momento. (Il mio capo potrebbe perseguitarmi per indagare se utilizzo WhatsApp durante l'orario di lavoro o se utilizzo WhatsApp WhatsApp di notte invece di dormire e arrivare ben riposato in ufficio.) Questo è diverso con Conversazioni; Inoltre, Conversations non carica la mia intera rubrica su Facebook.

D: Quanto costa l'abbonamento di un anno a un account Conversations.im?

R: 8 euro (circa 9 dollari USA). Dopo un periodo di prova di sei mesi. Gli abbonamenti non si rinnovano. Non è necessario disdire l'abbonamento.

D: Quali vantaggi offre un account Conversations.im rispetto ad altri server XMPP?

R: Le nuove funzionalità che richiedono il supporto lato server vengono fornite prima a conversazioni.im. In generale, stiamo cercando di gestire conversazioni.im con requisiti un po' più elevati. Un server gestito da un progetto hobby potrebbe non funzionare per un giorno, mentre la persona è in vacanza. Cerchiamo di evitare queste cose per conversazioni.im. Almeno durante gli orari di servizio c'è sempre qualcuno in grado di prendersi cura del server, se necessario. Inoltre supportate lo sviluppo del server, anch'esso open source. Le modifiche apportate appositamente per la nostra app Conversazioni finiscono nel codice del server e sono disponibili ad altri.

D: Posso acquistare Conversazioni tramite Bitcoin?

R: Non l'app. L'app è venduta su Google PlayStore, non accetta Bitcoin. È possibile scaricare l'app gratuitamente tramite l'App Store Open Source F-Droid. In tal caso accetto volentieri donazioni tramite Bitcoin.

D: Cos'è OMEMO?

R: Una crittografia end-to-end (facoltativa) per Jabber.

L'OTR fallì facilmente. Se un determinato messaggio viene perso a causa di una cattiva copertura del segnale telefonico, non sarà possibile recapitare nemmeno i messaggi di follow-up. Inoltre OTR è in grado di scambiare messaggi solo tra esattamente due dispositivi al massimo. Ad esempio: quando sono loggato con due dispositivi contemporaneamente (cellulare e desktop) la mia controparte deve decidere se vuole inviare i messaggi al telefono o al desktop. Se la mia controparte non è in grado di chiaroveggenza, quale dispositivo sto utilizzando attualmente, questo è un problema. A parte questo, ovviamente i messaggi non vengono sincronizzati in questo caso e mi manca una parte della cronologia delle conversazioni su ciascun dispositivo. OMEMO elimina entrambi i problemi. OMEMO è più affidabile e in grado di gestire più dispositivi.

D: Che cos'è la Segretezza inoltrata?

R: Supponiamo che elimini frequentemente la cronologia delle mie conversazioni (può eliminare automaticamente i messaggi più vecchi di un periodo di tempo configurato.

Supponiamo che qualcuno stia memorizzando la mia intera comunicazione crittografata (quindi non può farci nulla, ha il testo crittografato, non il testo normale. Ora quest'individuo mi ruba il telefono. I messaggi stessi non si trovano più sul telefono (vengono cancellati spesso), ma il materiale della mia chiave (la mia chiave privata) è ancora lì.

Se una crittografia non ha Forward Secrecy, qualcuno è in grado di combinare il materiale della chiave trovato sul mio telefono più i messaggi criptati che ha registrato prima di poter ricostruire la pianura testo. Se la crittografia ha Forward Secrecy, questo non è possibile.

D: Cosa descrive il termine Overhead per messaggio?

R: La quantità di larghezza di banda richiesta rispettivamente aggiunta dalla crittografia. Supponiamo che un messaggio non crittografato abbia una dimensione di 2 KB e lo stesso messaggio crittografato avrebbe una dimensione di 5 KB. In questo caso 3KB sono il "overhead" creato dalla crittografia.

D: Hai intenzione di implementare una funzionalità di chiamata?

R: No. Le nuove funzionalità arrivano se ne ho bisogno personalmente o se hanno senso dal punto di vista economico. (Quante persone in più utilizzerebbero l'App se questa funzionalità fosse presente e quanto sarebbe costoso svilupparla? funzione?) Purtroppo la funzione di chiamata è molto, molto, molto costosa e personalmente non mi interessa molto caratteristica.

D: Come posso supportare lo sviluppo dell'app dopo aver acquistato l'applicazione?

R: Ci sono dettagli su come donare sul nostro sito web. Ovviamente anche la promozione e la pubblicità aiutano e l'app è Open Source. Coloro che sono in grado di sviluppare software possono ovviamente aiutare con la codifica.

D: Hai sviluppato l'algoritmo OMEMO da solo?

R: No. Era un progetto Google Summer of Code. (Google Summer of Code significa che Google paga agli studenti 3 mesi per lavorare su progetti Open Source.) OMEMO è stato sviluppato per Conversazioni da uno studente.

D: Quali sono i tuoi ulteriori piani per lo sviluppo di Conversations?

R: È improbabile che arrivino nuove funzionalità davvero importanti. Conversations fa tutto ciò che dovrebbe fare. Sotto il cofano ci sarà una o l'altra modifica (utilizzo dei dati/velocità di connettività e così via). Ma questo non è nulla di visibile per l'utente medio. Una piccola cosa, che probabilmente verrà realizzata in seguito, è la possibilità di confermare il trasferimento, prima che l'immagine venga inviata. Fino ad oggi le foto vengono sempre inviate immediatamente.

D: È consentito compilare conversazioni autonomamente dal tuo Github e utilizzarle per uso privato?

R: Naturalmente. Non solo privati, anche per affari e tutto ciò che desideri. È inoltre consentito modificare il codice per soddisfare le esigenze individuali.

D: È possibile eseguire il tunneling delle conversazioni tramite una VPN?

R: Sì.

D: Alla fine vorremmo sentire il suggerimento di un professionista. Quali misure, oltre all'utilizzo di Conversazioni, consigli per proteggere la privacy come utente Android?

R: Abilita il blocco degli annunci nel tuo browser. Ad esempio Firefox (disponibile anche per Android) e l'add-on uBlock.

Disattiva i servizi di localizzazione (nelle ultime versioni di Android è presente un riquadro rapido) quando non sono in uso. Altrimenti Google sa dove sei stato tutto il tempo.

Queste due cose sono molto semplici da applicare e sono utili dal punto di vista pratico.

---

Nota dell'editore: questo articolo è stato scritto originariamente in tedesco da Raúl Radonz. È stato tradotto da Raúl Radonz ed è stato curato da Mishaal Rahman. Raúl Radonz e XDA-Developers desiderano ringraziare il signor Gultsch per aver dedicato del tempo a condurre questa intervista.