Совпадение ключей — важная проверка, но не гарантия безопасности устройства или правдивости всех сообщений собеседника.
Номер безопасности или отпечаток ключа помогает сравнить ключи зашифрованного общения с собеседником. Такая проверка полезна для снижения риска подмены ключа, но не служит гарантией того, что «никто не сможет прочитать сообщение»: заражённое устройство, ненадёжный собеседник или сохранённая копия по-прежнему могут привести к раскрытию содержимого.
Способы отображения и вычисления отпечатка различаются у разных мессенджеров. Следуйте инструкциям именно вашего приложения: одни показывают общий номер для беседы, другие — отпечаток каждого устройства или идентификационного ключа.
Чего не доказывает номер безопасности?
| Проверка | Ожидаемый результат | Что не доказано |
|---|---|---|
| Правильное сравнение ключа со знакомым человеком | Видимый ключ совпадает с ожидаемым | Безопасность его устройства |
| Подтверждение номера или QR-кода | Выполнена проверка подлинности ключа | Правдивость любого утверждения или обоснованность просьбы о деньгах |
| Отсутствие предупреждения | Приложение не показывает сведений об изменении | Отсутствие любого перехвата или вредоносного ПО |
Если вы не знаете, кто ваш собеседник, сравнение с этим же незнакомцем не раскроет его настоящую личность. О других уровнях защиты читайте в модели угроз для переписки.
Как сравнить ключ с собеседником?
- В беседе откройте страницу проверки ключа или номера безопасности, следуя инструкции мессенджера.
- Сравнивайте данные со знакомым человеком, желательно лично или по независимому каналу, которому вы доверяли заранее.
- Проверьте все необходимые части, а не только несколько первых цифр. Если приложение предлагает официальную процедуру с QR-кодом, используйте её.
- Если данные совпадают и приложение позволяет сохранить отметку о проверке, сохраните её.
- Если данные не совпали, прекратите отправлять конфиденциальное содержимое и выясните причину.
Это концептуальная иллюстрация: числа вымышлены и не показывают ни действительное совпадение для проверки, ни реальный интерфейс мессенджера.
Отправка изображения номера в той же беседе, в подлинности которой вы сомневаетесь, не является независимой проверкой. Звонок или второй аккаунт тоже полезны лишь тогда, когда вы действительно доверяете личности собеседника и безопасности этого канала; нового номера, предоставленного отправителем, недостаточно.
Что делать, если номер изменился?
Смена устройства, переустановка приложения или смена ключа могут вызвать предупреждение. Точное поведение зависит от приложения и способа восстановления идентификационных данных: не каждая смена телефона обязательно меняет ключ и не каждое предупреждение означает атаку.
Спросите собеседника по независимому каналу, что изменилось, обновите приложения и затем ещё раз сравните текущий номер. Для конфиденциальных бесед устное объяснение о смене телефона не заменяет сравнение ключей. Если расхождение сохраняется, обратитесь в официальную поддержку, не удаляя данные поспешно.
Повторная проверка не возвращает сообщения, которые уже могли быть раскрыты. Безопасность после компрометации также зависит от прекращения доступа злоумышленника и поступления нового криптографического материала: не каждый шаг цепочки ключей означает, что компрометация закончилась.
Чем прозрачность ключей отличается от ручного сравнения?
Прозрачность ключей призвана выявлять несоответствия в сопоставлении идентификаторов с ключами. Её нельзя описывать лишь как «повторное доверие тому же серверу», но нельзя и считать подтверждением личности человека или безопасности устройства.
Согласно официальной инструкции Signal по Automatic Key Verification, эта функция даёт дополнительную проверку наряду с номером безопасности, а её доступность зависит от таких условий, как принадлежность номера телефона известному контакту. Её отсутствие или изменение статуса само по себе не означает взлом. Если функция недоступна, Signal рекомендует сравнить номер или QR-код по доверенному каналу.
Поэтому утверждение «ручное сравнение — единственный возможный способ защиты» неточно. Автоматические средства и проверка пользователем могут дополнять друг друга; изучайте, что в действительности охватывает каждый продукт.
Что следует проверить в Livara?
В документации по безопасности Livara описано сравнение отпечатка ключа по другому каналу. В установленной версии проверьте, где находится нужный элемент управления, какие данные сравниваются и как приложение реагирует на смену ключа. Это руководство не подтверждает определённый путь в интерфейсе или наличие QR-кода во всех версиях Livara.
Кроме того, сравнение ключей переписки не заменяет проверку источника установки приложения. Файл APK и эталонный хеш должны быть получены по доверенному каналу; совпадение хешей показывает только, что файл соответствует эталону.
Частые вопросы
Всегда ли QR-код безопаснее чтения цифр?
QR-код может уменьшить ошибки ручного сравнения, но это должен быть код из официальной процедуры именно этого приложения. Безопасность зависит от сравниваемых данных и доверия к собеседнику и каналу, а не только от формата QR.
Если номер верный, значит ли это, что просьба о деньгах обоснованна?
Нет. Проверка ключа не доказывает правдивость коммерческого или финансового утверждения. Проверяйте важные запросы независимо.
Означает ли предупреждение о смене ключа, что переписку уже перехватывали?
Не обязательно. Предупреждение — повод для проверки, а не окончательное доказательство раскрытия данных. Выясните причину изменения и текущее состояние, не отправляя конфиденциальную информацию.
