Хорошая модель угроз связывает конкретный риск с мерой, результат которой можно проверить, а не с самым длинным списком функций.
Модель угроз для мессенджера — это определение того, какие сведения для вас важны, кто может получить к ним доступ и какие меры соответствуют вашим рискам и обстоятельствам. Угрозы для семьи, журналиста и сотрудника с корпоративным телефоном не обязательно одинаковы. Этот материал предлагает простую основу для личного плана, а не окончательный рейтинг мессенджеров.
Главное
- Модель угроз — это три-четыре предложения, а не продукт. Запишите, что вы хотите защитить, от кого и сколько усилий готовы приложить; без этих ответов выбор мессенджера превращается в простое коллекционирование функций.
- В вашей переписке четыре звена: ваше устройство, сеть, сервер мессенджера и устройство собеседника. Эти четыре уровня — отправная точка; резервные копии, учётные записи и подключённые сервисы нужно рассмотреть отдельно.
- Сквозное шифрование защищает содержимое от посредников; безопасность устройств, ключи, резервные копии и поведение получателя по-прежнему важны.
- Оценивайте угрозу с учётом своих обстоятельств: физический доступ, предпросмотр уведомлений, фишинг, резервные копии и подключённые устройства — примеры для анализа, а не статистический рейтинг рисков.
- Метаданные — не то же самое, что текст. Сведения о том, с кем и когда вы общались, остаются даже при полностью зашифрованном тексте; решение о них нужно принимать отдельно.
Что такое модель угроз и почему она важна при выборе мессенджера?
Модель угроз — краткое описание того, «что вы хотите защитить, от кого и какими усилиями». Пока эти три составляющие не определены, сравнение мессенджеров лишь удлиняет список функций и не помогает понять, какие из них нужны именно вам.
Electronic Frontier Foundation (EFF) говорит об этом в руководстве Security Planning (Threat Modeling): попытка постоянно защищаться от всех возможных угроз приводит к разочарованию, потому что безопасность — процесс, а не покупка. Для технических команд проект OWASP по моделированию угроз предлагает похожую основу, а библиотека моделей угроз в руководстве OWASP для разработчиков содержит множество готовых примеров, которые можно взять за образец.
Практическое замечание: модель угроз — не неизменный документ. Смена работы, командировка или появление нового участника в семейной группе могут полностью её изменить. Каждый раз, когда это происходит, перепишите те же четыре предложения.
Кто читает мои сообщения? Разделите цепочку на четыре звена
Короткий ответ: каждое сообщение проходит через четыре звена — ваше устройство, сеть, сервер мессенджера и устройство получателя; копии и подключённые учётные записи тоже могут создавать пути доступа. Поэтому правильный вопрос не «какой мессенджер безопаснее?», а «какое звено слабее в моей ситуации?».
Первое звено: ваше устройство
Всё, что отображается на экране телефона, уже расшифровано. Если телефон не заблокирован, на экране блокировки включён предпросмотр уведомлений или кто-то знает ваш четырёхзначный PIN-код, шифрование при передаче не помешает прочитать доступное содержимое на самом устройстве.
Второе звено: сеть
Наблюдатель в сети может видеть адрес назначения соединения, время и объём трафика; DNS-сервис при этом не обязательно видит весь маршрут или все пакеты сообщений. При сквозном шифровании видны зашифрованные данные, а не текст; однако сам факт обмена сообщениями и его объём обычно не скрыты.
Третье звено: сервер мессенджера
Сервер — точка синхронизации устройств. При сквозном шифровании сервер не читает текст, но по-прежнему видит метаданные маршрутизации и может их сохранять. Именно здесь проявляется разница между «зашифровано» и «конфиденциально».
Четвёртое звено: устройство собеседника
Последнее звено находится вне вашего контроля. Получатель может сделать снимок экрана, переслать сообщение, а его телефон может быть заражён. Сквозное шифрование сводит этот вопрос к «доверию получателю», но не решает его сверх этого.
Итог: сквозное шифрование ограничивает круг тех, кому доступно содержимое, но устройства, управление ключами и авторизованные получатели остаются частью модели угроз.
Какие угрозы стоит рассмотреть в ваших обстоятельствах?
Незаблокированный телефон, доступ к учётной записи, предпросмотр уведомлений и резервные копии — примеры того, что стоит проверить. Для человека, против которого действуют профессионально подготовленные злоумышленники, могут быть важны и сложное вредоносное ПО, и физическое давление; не преуменьшайте риск, не зная обстоятельств.
Резервное копирование — отдельный путь доступа. Если мессенджер хранит резервную копию в облаке и она не защищена сквозным шифрованием, шифрование на телефоне работает только до границы облака: вы заперли нужную дверь, но оставили рядом ключ. Руководство по безопасному резервному копированию зашифрованных чатов помогает оценить именно этот путь.
Вторая угроза — люди рядом: коллега, сосед по квартире или человек, одолживший телефон «на минутку». Третья — учётная запись для входа: если вход осуществляется через электронную почту и почтовый аккаунт слабо защищён, вся цепочка раскрывается через самое слабое звено. Более сильное шифрование не решает ни одну из этих проблем.
Защита переписки от хакеров: какие атаки происходят на самом деле?
Короткий ответ: распространённые атаки на переписку — не взлом математических основ шифрования, а фишинг, вредоносное ПО, кража кода входа и атаки на само устройство. На практике злоумышленник ищет ключ, а не ломает замок.
Поэтому поведение при входе в аккаунт не менее важно, чем длина ключа. Livara использует для аутентификации SRP — доказательство знания пароля с нулевым разглашением: устройство доказывает, что знает пароль, не передавая сам пароль по сети. Практический результат: запись трафика входа не раскрывает пароль. Ограничение тоже нужно назвать прямо: SRP не защищает от поддельной страницы, на которой пользователь сам вводит пароль; здесь вопрос уже не в математике, а во внимательности пользователя.
Вторая поверхность атаки — само приложение. Модифицированный APK может обойти защитные механизмы шифрования приложения. Livara публикует контрольную сумму SHA-256 каждого выпуска, чтобы скачанный файл можно было сравнить с доверенным эталоном; Лаборатория доказательств выполняет эту проверку в браузере. Если вы хотите понять, о чём спрашивать разработчиков других мессенджеров, начните со списка вопросов перед выбором безопасного мессенджера.
Что охватывает сквозное шифрование, а что — нет?
Короткий ответ: сквозное шифрование защищает содержимое сообщения от вашего устройства до устройства получателя, поэтому сервер видит лишь зашифрованные данные. Но из названия этой функции нельзя делать выводы обо всех метаданных, резервных копиях, снимках экрана или публичных каналах: для каждого случая нужны отдельные меры контроля.
Для конкретного продукта читайте таблицу охвата функций, а не делайте выводы по названию алгоритма. Страница безопасности Livara и её модель угроз объясняют работу чатов, каналов, звонков, метаданных и восстановления. Это опубликованные заявления разработчика, а не замена независимому тестированию. Особенно внимательно и отдельно проверьте условия записи звонков и разницу между восстановлением личности и восстановлением истории переписки.
Что раскрывают метаданные, даже когда текст зашифрован?
Короткий ответ: метаданные показывают, кто с кем общался, когда и каким объёмом данных обменивался, — шифрование текста не уничтожает эти сведения.
В Livara стандартные метаданные маршрутизации (отправитель, адресат, время доставки) сохраняются для непрерывной синхронизации устройств. Это явно обозначенное ограничение, а не деталь, которую можно игнорировать. Даже без чтения текста граф «кто с кем» может быть чувствительным: врач и пациент, адвокат и клиент или стороны деловых переговоров. Подробнее об этом говорится в статье что раскрывают метаданные переписки.
Если ваша модель угроз включает «того, кто видит структуру моего общения», никакой мессенджер со сквозным шифрованием сам по себе не закроет эту часть: нужно также подумать, с кем и откуда вы общаетесь.
Напишите свою модель угроз за пять минут
Короткий ответ: ответьте на четыре вопроса — кого я опасаюсь, чего этот человек хочет, каковы его возможности и что произойдёт при раскрытии сообщения — и затем выберите эффективную меру с наименьшими затратами, а не наоборот.
- От кого исходит угроза? Назовите: коллега, бывший партнёр, вор, компания, государство.
- Что стоит защищать? Текст переписки, файлы или саму структуру общения.
- Каковы возможности этого человека? Физический доступ к телефону? Доступ к аккаунту? Значительные ресурсы?
- Что будет при раскрытии? Ущерб репутации, работе, физической безопасности или просто неловкость.
- С учётом этих ответов выберите эффективную меру с наименьшими затратами.
Если угроза — наблюдатель в той же сети Wi-Fi, важны проверенное TLS-соединение и сквозное шифрование с аутентификацией; при физическом доступе иной приоритет имеет блокировка устройства. Руководство как проверить чат с помощью номеров безопасности показывает, как это сделать. А если вы хотите знать, кто и что видит в конкретном мессенджере, опубликованная модель угроз Livara объясняет это без лозунгов.
Короткий пример модели угроз
«Рабочие файлы на моём телефоне конфиденциальны. Сейчас основной риск — доступ коллеги к разблокированному телефону и копиям, сохранённым в галерее. На этой неделе я сокращу время до автоматической блокировки, ограничу предпросмотр уведомлений и проверю папки резервного копирования. Затем оценю результат на тестовом файле».
Это только пример: если человек, стремящийся вас контролировать, имеет доступ к вашему устройству, резкая смена настроек может привлечь его внимание. Планируйте действия с безопасного устройства и с помощью человека, которому доверяете; ставьте физическую безопасность на первое место.
Частые вопросы
Как определить «модель угроз» одним предложением?
Это значит ясно определить, что вы хотите защитить, от кого и какими усилиями. Именно это предложение позволяет понять, какая функция безопасности оправдывает затраты, а какая лишь добавляет сложности.
Если у меня есть сквозное шифрование, нужно ли всё равно опасаться хакеров?
Да, но не так, как вы, возможно, думаете: вместо взлома замка злоумышленник атакует устройство, использует фишинг и пытается получить код входа. Поэтому правильные вопросы такие: заблокирован ли мой телефон, зашифрована ли облачная резервная копия, защищён ли почтовый аккаунт?
Используется ли сквозное шифрование в публичных каналах?
Нет: канал — публичная площадка для распространения доступного для чтения контента, чтобы можно было рассматривать жалобы и удалять материалы, связанные со злоупотреблениями. Согласно документации Livara, личные чаты и совместимые закрытые группы с активным статусом E2EE защищены сквозным шифрованием; старая несовместимая группа может оставаться вне E2EE с явным указанием этого состояния. Проверяйте статус конкретной беседы. Управление членством в группе также остаётся у сервера.
Как понять, что установленная версия для Android не была изменена?
Сравните хеш скачанного APK с контрольной суммой той же версии из доверенного источника; Лаборатория доказательств предназначена для проверки файла в браузере. Совпадение хешей показывает лишь равенство эталону; если злоумышленник заменил и файл, и эталонный хеш, совпадения недостаточно. Модифицированный APK способен обойти шифрование, поэтому проверка целостности приложения не менее важна, чем само шифрование.
