Conversations je Open Source & Secure Jabber/XMPP klient pre Android

Facebook Messenger, WhatsApp a WeChat sú tri najlepšie aplikácie na odosielanie okamžitých správ, ktoré v súčasnosti dominujú na trhu. Ich pokračujúcu dominanciu možno ľahko vysvetliť ich zahrnutím jednoducho použiteľného rozhrania spolu s používateľskou základňou miliónov ľudí. Každá z týchto aplikácií na odosielanie okamžitých správ má však jednu chybu: sú vo vlastníctve gigantov sociálnych médií. Ak si niekto zaregistruje účet WhatsApp, musí tiež súhlasiť s používateľskou licenčnou zmluvou Facebooku. Vo všeobecnosti sa rozumie, že pri využívaní týchto pohodlných služieb obchodujete vo svojom súkromí. Hoci vývojári WhatsApp implementovali end-to-end šifrovanie ako štandardnú funkciu, samotná aplikácia nie je plne otvorený zdroj, takže je na slepej dôvere, či si myslíte, že Whatsapp nemôže zbierať údaje vy.

Pre bezproblémové odosielanie správ sa všetky hlavné aplikácie na odosielanie okamžitých správ spoliehajú na natívnu implementáciu prenosu správ systému Android s názvom Google Cloud Messaging (GCM). Správa sa dostane do kontaktu s obchodnými záujmami ešte predtým, než sa dostane na server. Väčšina používateľov nie je ochotná alebo schopná overiť, či služba, ktorú používajú, dodržiava svoje sľuby a dokonca odborníci môžu len hádať, či WhatsApp stále spĺňa určité bezpečnostné štandardy po tom, čo bola aplikácia aktualizované. Každá aktualizácia si vyžaduje nezávislý bezpečnostný audit, ktorý si vyžaduje spoluprácu poskytovateľa – v tomto prípade Facebooku.

Kľúčom je tu nezávislosť, ktorá nás vedie Messenger konverzácií. Je to plne open source aplikácia na odosielanie okamžitých správ, ktorá sa vyhýba používaniu GCM pomocou XMPP namiesto toho protokolu – dáva kontrolu používateľovi. Rozhovory vám to umožní prevádzkovať viacero účtov súčasne a dokonca môžete pre každý kontakt použiť iný účet. Zatiaľ čo iní poslovia viditeľne neuvádzajú, na ktorý server sa daná informácia nahráva, konverzácie umožňujú používateľovi rozhodnúť sa, ktorý server Jabber si zaslúži ich dôveru. Alebo môžete dokonca použiť svoj vlastný server. Conversations tiež ponúka server optimalizovaný pre jeho požiadavky a prvých 6 mesiacov používania servera je zadarmo.

Voľba oddeľuje konverzácie od davu. Aplikácia podporuje prepínanie medzi šifrovacími algoritmami za chodu a môžete si vybrať z troch šifrovacích algoritmov: PGP, OTR a OMEMO. Zatiaľ čo PGP a OTR sú dobre dôveryhodné algoritmy, OMEMO to posúva ďalej. OTR nikdy nebolo vhodné pre väčšinu používateľov jednoducho preto, že obaja komunikační partneri museli byť online súčasne na doručovanie správ. OMEMO rieši túto hlavnú nevýhodu OTR; doručovanie správ nevyžaduje, aby boli obaja používatelia súčasne online.

OMEMO ponúka Dopredné utajenie. Čo to znamená? Ponúka ďalšiu vrstvu ochrany, ktorá chráni vaše dáta. Tu je scenár: end-to-end šifrovanie sa spolieha na súkromný kľúč uložený výlučne v zariadení, takže ak je telefón odcudzený, súkromný kľúč padne do rúk zlodeja. Bez Forward Secrecy mohol zlodej dešifrovať všetky správy uložené v telefóne. Protokol Forward Secrecy generuje náhodný kľúč pre každú reláciu, takže aj keď je súkromný kľúč v nesprávnych rukách, uložené správy sú stále v bezpečí.

Používatelia zvyčajne dôverujú identite svojho konverzačného partnera, takže OMEMO používa identity zariadení. Každý kľúč OMEMO je dodávaný s jedinečným odtlačkom prsta, ktorý umožňuje overenie partnera konverzácie napríklad prostredníctvom telefonického hovoru. Po overení partnerov chatu sa Dvojitý Ratchetov algoritmus zaisťuje, že iba príjemca správy je schopný ju dešifrovať. Double Ratchet generuje a šifruje každú správu dočasným kľúčom. Po úspešnom doručení je kľúč bezcenný a nedá sa použiť na dešifrovanie. Je určený len na uchovanie údajov v bezpečí pri cestovaní po celom svete.

Konverzácie sú dostupné v obchodoch Google Play Store a Amazon App Store. Hoci verzie obchodu s aplikáciami nie sú zadarmo, aplikácia áno open source tak si ho môžete zostaviť pre seba resp vezmite si to z F-Droid.

[appbox amazonapps B00WD35AAC]

Máte záujem dozvedieť sa viac o aplikácii z tlamy koňa? Daniel Gultsch, hlavný vývojár konverzácií, si našiel nejaký čas, aby odpovedal na moje otázky.

---

Rozhovor s vývojárom konverzácií

Otázka: Mohli by ste sa prosím v krátkosti predstaviť?

A: Volám sa Daniel Gultsch a pracujem ako softvérový vývojár a poradca na voľnej nohe.

O: Čo vás motivovalo k rozvoju konverzácií?

Odpoveď: Jabber/XMPP používam mnoho rokov. Ešte v roku 2009 som mohol používať Jabber na mojej Nokii e71. Niekedy okolo roku 2012 som prešiel na telefón s Androidom, takže som zrazu nemohol používať Jabber. K dispozícii bol klient Jabber pre Android (Xabber), ale bol opakom vizuálnej príťažlivosti.

Začiatkom roku 2014 som si myslel, aké ťažké môže byť vyvinúť chatovacieho klienta, ktorý vyzerá lepšie (ako Xabber). V tomto bode som mal skúsenosti v oblasti vývoja softvéru, ale nie pre Android. Po niekoľkých dňoch ožil UI Mockup, tak ma napadlo, aké ťažké môže byť naučiť posielať a prijímať jabber správy do tohto UI. O tri mesiace práce na plný úväzok bola vydaná prvá verzia konverzácií.

Otázka: Môžete uviesť tri dôvody, prečo Konverzácie chránia vaše súkromie lepšie ako Whatsapp alebo Threema?

Odpoveď: Nemusím dávať svoje súkromné ​​telefónne číslo cudzím ľuďom, ak s nimi chcem chatovať. Mohol by som mať súkromný a podnikateľský účet. Podnikateľský účet môžem po pracovnej zmene deaktivovať, aby ma môj šéf vo voľnom čase neotravoval. WhatsApp umožňuje každému kedykoľvek analyzovať vzorce používania mojej aplikácie. (Môj šéf by ma mohol sledovať, aby zistil, či používam WhatsApp počas pracovnej doby alebo či používam WhatsApp v noci namiesto spánku a príchodu dobre oddýchnutý do kancelárie.) Toto je iné s Rozhovory; Konverzácie tiež neodovzdávajú celý môj adresár na Facebook.

Otázka: Koľko stojí ročné predplatné účtu Conversations.im?

A: 8 eur (asi 9 USD). Po šesťmesačnom skúšobnom období. Predplatné sa samo neobnovuje. Nie je potrebné ukončiť predplatné.

Otázka: Aké výhody ponúka účet Conversations.im v porovnaní s inými servermi XMPP?

Odpoveď: Nové funkcie, ktoré si vyžadujú podporu na strane servera, sú najskôr doručené konverzáciám.im. Vo všeobecnosti sa snažíme prevádzkovať konverzácie.im s trochu vyššími požiadavkami. Server, ktorý je poháňaný hobby projektom, môže na jeden deň zlyhať, keď je osoba na dovolenke. Snažíme sa takýmto veciam na rozhovory vyhýbať.im. Aspoň počas prevádzkových hodín je vždy v okolí niekto schopný sa o server v prípade potreby postarať. Ďalej podporujete vývoj servera, ktorý je tiež open source. Zmeny, ktoré sú špeciálne vykonané pre našu aplikáciu Konverzácie, skončia v kóde servera a sú k dispozícii ostatným.

Otázka: Môžem nakupovať konverzácie cez bitcoiny?

Odpoveď: Nie aplikáciu. Aplikácia sa predáva v obchode Google PlayStore, neprijíma bitcoiny. Aplikáciu je možné stiahnuť zadarmo cez Open Source App Store F-Droid. V takom prípade rád prijímam dary cez bitcoiny.

Otázka: Čo je OMEMO?

A: (voliteľné) End to End šifrovanie pre Jabber.

OTR ľahko zlyhal. Ak sa určitá správa stratí z dôvodu zlého pokrytia telefónnym signálom, nie je možné doručiť ani následné správy. Okrem toho je OTR schopný vymieňať si správy len medzi presne dvoma zariadeniami, max. Napríklad: Keď som prihlásený súčasne na dvoch zariadeniach (mobilný telefón a počítač), môj náprotivok sa musí rozhodnúť, či chce posielať správy na telefón alebo na plochu. Ak môj náprotivok nie je schopný jasnovidectva, ktoré zariadenie práve používam, je to problém. Okrem toho sa správy v tomto prípade samozrejme nesynchronizujú a na každom zariadení mi chýba časť histórie konverzácie. OMEMO vás zbaví oboch problémov. OMEMO je spoľahlivejšie a dokáže zvládnuť viac zariadení.

Otázka: Čo je to Forward Secrecy?

Odpoveď: Predpokladajme, že by som svoju históriu konverzácií často odstraňoval (môže automaticky odstrániť správu staršiu ako nakonfigurované časové obdobie.

Predpokladajme, že niekto uložil celú moju zašifrovanú komunikáciu. (Takže s tým nemôže nič robiť, má zašifrovaný text, nie obyčajný text. Teraz mi táto osoba ukradne telefón. Samotné správy sa už v telefóne nenachádzajú (často sa odstraňujú), ale môj kľúčový materiál (môj súkromný kľúč) tam stále je.

Ak šifrovanie nemá Forward Secrecy, niekto je schopný skombinovať nájdený kľúčový materiál na mojom telefóne plus zašifrované správy, ktoré si nahral predtým, ako bude môcť zrekonštruovať pláň text. Ak má šifrovanie Forward Secrecy, nie je to možné.

Otázka: Čo opisuje pojem réžia na správu?

Odpoveď: Množstvo požadovanej šírky pásma pridané šifrovaním. Predpokladajme, že nezašifrovaná správa má veľkosť 2 kB a rovnaká zašifrovaná správa by mala veľkosť 5 kB. V tomto prípade je 3KB „réžia“ vytvorená šifrovaním.

Otázka: Plánujete implementovať funkciu hovoru?

Odpoveď: Nie. Nové funkcie prichádzajú, ak ich sám potrebujem alebo ak dávajú zmysel z ekonomického hľadiska. (Koľko ďalších ľudí by túto aplikáciu používalo, ak by existovala táto funkcia, a aké drahé je jej vývoj Funkcia hovoru je, žiaľ, veľmi, veľmi, veľmi drahá a osobne sa o to veľmi nezaujímam vlastnosť.

Otázka: Ako môžem podporiť vývoj aplikácie po zakúpení aplikácie?

Odpoveď: Na našej webovej stránke nájdete podrobnosti o tom, ako darovať. Propagácia a reklama samozrejme tiež pomáha a aplikácia je Open Source. Tí, ktorí sú schopní vyvíjať softvér, môžu samozrejme pomôcť s kódovaním.

Otázka: Vyvinuli ste OMEMO-algoritmus svojpomocne?

Odpoveď: Nie. Bol to projekt Google Summer of Code. (Google Summer of Code znamená, že spoločnosť Google platí študentom 3 mesiace za prácu na projektoch s otvoreným zdrojovým kódom.) OMEMO bol vyvinutý študentom pre konverzácie.

O: Aké sú vaše ďalšie plány na rozvoj konverzácií?

Odpoveď: Naozaj veľké nové funkcie pravdepodobne neprídu. Konverzácie robia všetko, čo robiť majú. Pod kapotou bude jedno či druhé vylepšenie (spotreba dát/rýchlosť pripojenia atď.), Ale to nie je nič viditeľné pre bežného používateľa. Drobnosť, ktorá sa s najväčšou pravdepodobnosťou zrealizuje ďalej, je možnosť potvrdiť prevod ešte pred odoslaním obrázka. Doterajšie obrázky sú vždy odoslané okamžite.

Otázka: Je povolené zostavovať si konverzácie z vášho Github a používať ho na súkromné ​​účely?

A: Samozrejme. Nielen v súkromí, ale aj na podnikanie a všetko, čo chcete. Je tiež povolené upraviť kód tak, aby vyhovoval individuálnym požiadavkám.

Otázka: Je možné tunelovať konverzácie cez VPN?

A: Áno.

O: Na záver by sme radi počuli radu od profesionála. Ktoré merania okrem používania konverzácií odporúčate na ochranu súkromia ako používateľ Androidu?

Odpoveď: Povoľte blokovanie reklám vo svojom prehliadači. Napríklad Firefox (dostupný aj pre Android) a doplnok uBlock.

Vypnite služby určovania polohy (v najnovších verziách systému Android na to existuje rýchly panel), keď sa nepoužívajú. Inak Google vie, kde ste celý čas boli.

Tieto dve veci sa veľmi jednoducho používajú a sú praktické.

---

Poznámka redaktora: tento článok pôvodne napísal v nemčine Raúl Radonz. Preložil ju Raúl Radonz a upravil ju Mishaal Rahman. Raúl Radonz a XDA-Developers by sa chceli poďakovať pánovi Gultschovi za to, že si našiel čas na uskutočnenie tohto rozhovoru.