הערוץ הציבורי של Livara מיועד לפרסום תוכן, ולפי עמוד אבטחת המוצר, אין בו הצפנה מקצה לקצה. לפני הפרסום, התייחסו לתוכן כמיועד לצפייה של קהל הערוץ ולעיבוד בשירות, ולא כאל הודעה פרטית חסויה.
ההבדל הזה הוא גבול של המוצר. אי אפשר להסיק ממנו שהצפנת ערוצים בלתי אפשרית מבחינה טכנית, או שכל השירותים חייבים לממש ערוצים ציבוריים באותו אופן.
מה בדיוק פירוש ״אין הצפנה״?
אין לבלבל בין שני סוגי הגנה שונים:
- הצפנה בתעבורה, כמו TLS: מגינה על התקשורת בין המכשיר לשרת לאורך הדרך, אך השרת עשוי להיות נקודת הפענוח.
- הצפנה מקצה לקצה: המטרה היא שרק נקודות קצה מורשות יוכלו לפענח את התוכן המוגן, ולא השרת המתווך.
היעדר E2EE אינו אומר בהכרח שטקסט גלוי נשלח ברשת. במקביל, קיומם של HTTPS או סמל מנעול בדפדפן אינו מוכיח שלספק אין גישה לתוכן הערוץ. מדריך ההצפנה של EFF מסביר את ההבדל הבסיסי הזה.
ההבדל המעשי בין ערוץ לשיחה מוגנת
| נושא | ערוץ ציבורי | צ׳אט פרטי או קבוצה עם הגנת E2EE |
|---|---|---|
| קהל היעד | פרסום לקהל הערוץ | הצדדים והמכשירים המורשים בשיחה |
| סודיות מול השרת | אין להניח שהיא קיימת | תלויה בהפעלת ההגנה ובמימוש נכון של הפרוטוקול |
| העתקה בידי הנמען | אפשרית | עדיין אפשרית |
| ניהול תוכן | תוכן ציבורי עשוי להיות נגיש לשירות | בקרת חברות ודיווחים אינם אותו נושא כמו הצפנת תוכן |
| סיכון במידע נלווה | פעילות וגישה עשויות להיות גלויות | E2EE לבדה אינה מסתירה את כל המטא־נתונים |
ב־Livara, מסמך האבטחה הציבורי מתאר את LVR1 עבור הודעות פרטיות ואת LGS1 עבור קבוצות מוגנות. אותו מסמך אומר שקבוצה ישנה שאינה תואמת חייבת להישאר מחוץ ל־E2EE באופן גלוי. לכן השם ״קבוצה״ לבדו אינו תחליף לבדיקת מצב ההגנה בפועל.
ניהול תוכן אינו מבטיח שהוא נטול סיכון
היכולת לבדוק או להסיר תוכן ציבורי יכולה לסייע בניהול השירות, אך עצם קיומה אינה מוכיחה שכל הקישורים, הקבצים או הטענות שפורסמו בטוחים. המשתמשים עדיין צריכים להעריך את מקור הידיעה, את זהות המפרסם ואת יעד הקישור.
מצד שני, אין ליצור ניגוד מוחלט בין פרטיות לבטיחות. בקרת גישה, דיווחי משתמשים, טיפול בשימוש לרעה וסודיות התוכן הם נושאים קשורים אך שונים. סוג הכלי והמגבלות של כל אחד צריכים להיות ברורים, במקום להציג הצפנה באופן כללי כסימן להתנהגות פלילית.
מה לא לפרסם בערוץ ציבורי?
- ביטוי שחזור, סיסמה, מפתח פרטי או קישור כניסה אישי;
- פרטי קשר ותמונות של אחרים ללא רשות או סיבה ברורה;
- מסמכי עבודה שאין אישור לפרסם בפומבי;
- פרטים אישיים שאפילו מחיקה מאוחרת יותר של הפוסט אינה מסירה את הסיכון שבפרסומם.
מחיקה או עריכה של פוסט אינן מחזירות עותקים שנשמרו בידי הקהל, צילומי מסך או פרסומים חוזרים מחוץ לשירות. אותה מגבלה קיימת גם לגבי נמען של הודעה פרטית; E2EE אינה שולטת בהתנהגות הנמען.
לפני השליחה, בדקו את היעד
עבור הודעה לציבור, ערוץ עשוי להיות בחירה מתאימה. עבור תוכן חסוי, בדקו תחילה את הנמענים, מצב ההצפנה והמכשירים המעורבים. אם הנושא רגיש, שם האפליקציה או הכותרת ״פרטי״ לבדם אינם מספיקים.
מודל האיומים של Livara מסביר מגבלות כגון מכשיר נגוע, גישה פיזית וחשיפת תוכן בידי הנמען. בחירה נכונה מתחילה בהבנת הגבולות האלה: פרסום ציבורי, סודיות התוכן וניהול השירות הם שלוש מטרות נפרדות.
