لا يفرض التشفير من طرف إلى طرف على تطبيق المراسلة تجنّب التخزين المركزي. يستطيع الخادم تخزين رسائل مشفّرة لأغراض المزامنة من دون امتلاك الأسرار اللازمة لقراءة محتواها.
الجزء الصعب في المراسلة متعددة الأجهزة هو تحديد الأجهزة المصرّح لها، والمفاتيح التي تتلقاها، وما إذا كان بإمكانها الوصول إلى السجل الأقدم. هذه القرارات أهم من مسألة استخدام النظام لقاعدة بيانات.
أربع عمليات منفصلة تُسمّى غالبًا «المزامنة»
| العملية | ما ينبغي إنجازه |
|---|---|
| تسليم الرسائل الجديدة | إيصال المحتوى المحمي إلى الأجهزة المصرّح لها حاليًا |
| ربط جهاز جديد | التحقق من أن صاحب الحساب يوافق على نقطة النهاية الجديدة |
| نقل السجل | تمكين الجهاز الجديد من الوصول إلى محتوى سابق محدد ومواد فك تشفيره |
| استعادة الهوية | استعادة مفاتيح الهوية أو استبدالها من دون استعادة سجل الرسائل بالضرورة |
قد يدعم منتج إحدى هذه العمليات من دون دعمها جميعًا. نجاح تسجيل الدخول لا يثبت أن سجل المحادثات القديم قابل للاستعادة.
كيف يدعم التسليم المشفّر عدة أجهزة
أحد الأساليب هو الاحتفاظ بجلسات منفصلة لكل جهاز. تصف مواصفات Sesame من Signal إدارة الجلسات في بيئة غير متزامنة ومتعددة الأجهزة، بما في ذلك إضافة الأجهزة أو إزالتها ووصول الرسائل بترتيب مختلف.
هذا مثال موثّق لتصميم، وليس متطلبًا عامًا. قد تشفّر أنظمة أخرى المحتوى مرة واحدة وتوزّع مفاتيح المحتوى المحمية، أو تستخدم آليات المجموعات، أو تجمع بين عدة أساليب. القول إن «E2EE يتطلب نسخة كاملة من الحمولة لكل جهاز» تعميم مفرط.
أيًّا كان التصميم المختار، فإن إضافة جهاز قادر على فك التشفير تضيف نقطة نهاية تحتاج إلى الحماية. قد يكشف حاسوب محمول مُهمَل النص الصريح الذي يتلقاه، حتى لو لم يرَ الخادم ذلك النص مطلقًا.
للنص المشفّر المخزّن أيضًا تبعات على الخصوصية والاحتفاظ
التخزين المشفّر ليس هو عدم التخزين. قد يحتفظ مقدمو الخدمة بمعلومات التسليم، وسجلات الأجهزة، والطوابع الزمنية، والعضوية، أو سجل الرسائل المشفّر. تختلف التفاصيل، وينبغي توضيحها صراحةً.
تذكر وثائق الأمان في Livara أن وسيط الترحيل يخزّن النص المشفّر والبيانات التشغيلية للمزامنة والتعافي عند إعادة الاتصال. وتصف التوجيه والعضوية والطوابع الزمنية وحالة التسليم وسجلات أخرى. لا ينبغي وصف ذلك بأنه طابور مؤقت غير موثّق يختفي بالضرورة بمجرد أن تتلقى جميع الأجهزة الرسالة.
لذلك، تتطلب سرية المحتوى والاحتفاظ بالبيانات الوصفية أسئلة منفصلة. اسأل عما يُحتفظ به، ولمدة كم، وما الذي يتغير عند حذف البيانات أو إزالة الحساب؛ ولا تختلق مدة احتفاظ لم تُتحقق منها.
ما الذي تستعيده استعادة v7 في Livara فعلًا
تصف Livara الإصدار v7 بأنه نسخة احتياطية مشفّرة للهوية، تُغلَق تشفيريًا قبل رفعها باستخدام مفتاح استعادة عشوائي بطول 256 بت. تتضمن الحمولة الموثّقة مواد مفاتيح الهوية، ويتحقق التنسيق من أصالة مجموعة الخوارزميات، وحقبة الهوية، والجيل.
وتنص الصفحة نفسها على أنه يستعيد الهوية، لا سجل المحادثات. لذلك لا ينبغي تقديم عبارة الاستعادة بوصفها ضمانًا لإمكانية عرض جميع المحادثات القديمة على جهاز جديد.
قبل استبدال جهاز أو مسحه، تحقق من خيارات نقل السجل والنسخ الاحتياطي المتاحة لك فعلًا في الوقت الحالي. حافظ على سرية جميع مواد الاستعادة. لا ترسل عبارة استعادة إلى حساب دعم، ولا تلصقها في موقع لم تتحقق منه.
السرية الأمامية لا تمسح صندوق رسائل جهاز مصرّح له
يمكن لآلية السقاطة أن تحدّ مما يكشفه انكشاف مفتاح لاحقًا عن الاتصالات المشفّرة السابقة، عندما تتحقق افتراضاتها وتُحذف الأسرار المتقادمة. لكنها لا تستطيع إخفاء نص صريح سبق أن خزّنته نقطة نهاية، ولا منع برمجية خبيثة ما زالت نشطة من قراءة الرسائل الجديدة.
وبالمثل، يتطلب الأمان بعد الاختراق تحديثًا جديدًا مناسبًا بعد أن يفقد المهاجم إمكانية الوصول. وليس وعدًا بأن أي جهاز لوحي قديم يصبح غير ضار كلما تقدم عدّاد الرسائل.
قائمة تحقق لتغيير الأجهزة بأمان أكبر
- احصر أجهزتك المرتبطة قبل إضافة جهاز آخر.
- استخدم مسار الربط والتحقق الموثّق للتطبيق، لا رمز QR أرسله شخص غريب.
- تحقق من السجل الذي يتلقاه الجهاز الجديد باستخدام محادثة اختبار غير حساسة.
- تأكد من مواد الاستعادة وأي نسخة احتياطية منفصلة للسجل قبل مسح الجهاز القديم.
- ألغِ وصول الأجهزة التي لم تعد تتحكم بها، وتحقق مما إذا كان أطراف المحادثة يتلقون إشعارًا بتغيير الهوية.
- راجع التنزيلات المحلية والإشعارات ونسخ نظام التشغيل الاحتياطية على كل نقطة نهاية.
يتضمن نموذج تهديد Livara صراحةً قيود نقاط النهاية والمستلمين. تظل تلك القيود ذات صلة على كل شاشة. الوعد المفيد بشأن تعدد الأجهزة يشرح التصريح للأجهزة، والبيانات المخزّنة، ونطاق الاستعادة كلًّا على حدة.
