A correspondência de chaves é uma verificação importante, não uma garantia da segurança do dispositivo ou da honestidade de todas as mensagens do contato.
O número de segurança ou a impressão digital da chave ajuda você a comparar as chaves de comunicação criptografada com as do seu contato. Essa verificação ajuda a reduzir o risco de substituição de chaves, mas não é uma garantia de que ninguém pode ler a mensagem: um dispositivo infectado, um destinatário não confiável ou uma cópia salva ainda podem expor o conteúdo.
A forma de exibir e calcular a impressão digital varia entre os aplicativos de mensagens. Siga as instruções do próprio aplicativo; alguns mostram um número compartilhado da conversa, enquanto outros exibem a impressão digital de cada dispositivo ou identidade.
O que o número de segurança não comprova?
| Verificação | Resultado esperado | O que não fica comprovado |
|---|---|---|
| Comparar corretamente a chave com uma pessoa conhecida | A chave exibida corresponde à chave esperada | Que o dispositivo da pessoa está seguro |
| Verificar o número ou o QR code | Foi realizada uma verificação de autenticidade da chave | Que toda afirmação ou solicitação de dinheiro é legítima |
| Ausência de alerta | O aplicativo não exibe nenhuma mudança reportada | Que não existe nenhum tipo de interceptação ou malware |
Se você não sabe quem é a outra pessoa, comparar os dados com essa mesma pessoa desconhecida não revela sua identidade real. Para conhecer outras camadas de proteção, veja o modelo de ameaças para conversas.
Como comparar a chave com o seu contato?
- Dentro da conversa, abra a página de verificação de chave ou do número de segurança seguindo as instruções do aplicativo de mensagens.
- Faça a comparação com uma pessoa que você conhece, de preferência pessoalmente ou por um canal independente no qual você já confiava antes.
- Confira todas as partes necessárias, não apenas os primeiros dígitos. Se o aplicativo oferecer um QR code oficial, use o procedimento correspondente.
- Se os dados coincidirem e o aplicativo permitir registrar a verificação, registre-a.
- Se os dados não coincidirem, pare de enviar conteúdo sensível e investigue o motivo.
Imagem conceitual; os números são fictícios e não representam uma correspondência válida nem a interface real de um aplicativo de mensagens.
Enviar uma imagem do número na mesma conversa cuja autenticação você está questionando não é uma verificação independente. Uma ligação ou uma segunda conta só ajudam se você realmente confiar na identidade e na segurança desse canal; um número novo informado pelo próprio remetente não basta.
O que fazer se o número mudar?
Uma troca de dispositivo, uma reinstalação ou uma mudança de chave podem gerar um alerta. O comportamento exato depende do aplicativo e da forma de recuperação da identidade; nem toda troca de celular necessariamente altera a chave, e nem todo alerta significa um ataque.
Pergunte ao contato por um canal independente o que mudou, atualize os aplicativos e depois compare novamente os números atuais. Em conversas sensíveis, não substitua a comparação de chaves por uma explicação verbal sobre a troca de celular. Se a diferença persistir, procure o suporte oficial sem apagar dados precipitadamente.
Uma nova verificação não desfaz a possível exposição de mensagens anteriores. A segurança após um comprometimento também depende de eliminar o acesso do invasor e incorporar material criptográfico novo; nem todo avanço na cadeia de chaves significa que o comprometimento acabou.
Qual é a diferença entre transparência de chaves e comparação manual?
A transparência de chaves foi concebida para revelar inconsistências na associação entre identificadores e chaves. Ela não deve ser descrita simplesmente como confiar de novo no mesmo servidor, nem permite concluir que a identidade da pessoa ou a segurança do dispositivo foram confirmadas.
Segundo o guia oficial do Signal sobre Automatic Key Verification, esse recurso oferece uma verificação adicional ao número de segurança, e sua disponibilidade depende de condições como o reconhecimento do número de telefone como um contato. A ausência do recurso ou uma mudança no seu status, por si só, não indica uma invasão. Quando ele não está disponível, o Signal recomenda comparar o número ou o QR code por um canal confiável.
Portanto, afirmar que a comparação manual é a única defesa possível não é correto. Ferramentas automáticas e verificações feitas pelo usuário podem se complementar; consulte o alcance real da proteção de cada produto.
O que verificar no caso do Livara?
A documentação de segurança do Livara explica a comparação da impressão digital da chave por outro canal. Na versão instalada, confira onde fica o controle, quais dados são comparados e como o aplicativo reage a uma mudança de chave. Este guia não confirma um caminho específico na interface nem a existência de QR code em todas as versões do Livara.
Comparar a chave da conversa também não substitui a verificação da origem de instalação do aplicativo. Tanto o arquivo APK quanto o hash de referência devem vir de um canal confiável; a correspondência do hash só demonstra que o arquivo é igual à referência.
Perguntas frequentes
O QR code é sempre mais seguro do que ler os números?
O QR code pode reduzir erros de comparação manual, mas precisa fazer parte do procedimento oficial daquele aplicativo. A segurança depende dos dados comparados e da confiança no contato e no canal, não apenas do formato QR.
Se o número estiver correto, a solicitação de dinheiro é legítima?
Não. A verificação da chave não comprova a veracidade de uma alegação comercial ou financeira. Verifique solicitações sensíveis de forma independente.
Um alerta de mudança significa que a conversa já foi interceptada?
Não necessariamente. O alerta é motivo para investigar, não uma prova definitiva de exposição. Esclareça a causa da mudança e a situação atual sem enviar informações sensíveis.
