Att skriva att ”säkerhet blir viktigare för varje år” har blivit så självklart att det nästan känns passé. Varje styrande organ som mäter cyberbrottslighet har statistik som bevisar att den ökar år för år, och de flesta av oss känner sannolikt detta intuitivt när vi ser den (ibland) oroande explosionen av AI.
När vi tänker på data som skulle kunna användas som vapen mot oss tänker vi direkt på våra kreditkortsuppgifter, journaler och till och med adresser — men vi tänker sällan på vår chatthistorik. Och ändå, öppna chattarna med dina närmaste vänner, så garanterar jag att de innehåller några, om inte alla, av dessa personliga uppgifter.
När du väl öppnar Pandoras ask börjar du snabbt undra om du sätter din tillit till rätt appar. Det finns trots allt en anledning till att nischappar som Telegram spreds i början av 2020-talet. Men nu går vi händelserna i förväg. Låt oss börja med att titta närmare på den största fisken, WhatsApp.
Vem älskar inte WhatsApp?
WhatsApp. Dess enorma skala är svindlande.
Det är den enda app jag kan komma på som försökte — och lyckades — ersätta sms:et som vårt förstahandsval. Med tiden fanns det några utmanare (BlackBerrys BBM, någon?), och vissa skulle hävda att även idag ger iMessage den en match…
Men visa mig någon med iMessage, så garanterar jag att de också har WhatsApp installerat. För WhatsApp diskriminerar inte efter plattform. Dess universella natur är sannolikt det som gjorde att WhatsApp kunde ta sms-marknaden på relativt kort tid. Faktum är att ”jag WhatsAppar dig” nu nästan är lika vanligt som ”sms:a” var tidigare.
Men är det säkert?
Det beror på hur du definierar ”säker”. Integritet har många aspekter, särskilt när det gäller något så nyanserat som chattar. Låt oss bryta ner några av nyckelelementen och sedan återkomma till frågan.
WhatsApps kryptering
WhatsApp stoltserar med end-to-end-kryptering med hjälp av Signal Protocol. Det är logiskt att börja med att utforska detta, eftersom det kan vara deras mest omtalade säkerhetsfunktion, och sedan återvända till huvudfrågan.
WhatsApp har använt Signal Protocol sedan 2014 (och hade det fullt utrullat 2016). Samarbetet med Signal (mer om dem senare) drevs, redan 2014, av ett behov av bättre säkerhet i appen.
Det faktum att WhatsApp valde ett tredjepartsprotokoll bevisar kanske att de, åtminstone delvis, var dedikerade till att förbättra säkerheten. Signal Protocol innebär i praktiken att meddelanden, data och till och med video-/röstsamtal krypteras från det ögonblick de lämnar din telefon, och de kan endast dekrypteras av mottagarens telefon.
Inte ens WhatsApp själva har dekrypteringsnyckeln. Dessutom lagrar de inte meddelandena (utöver tillfällig lagring av meddelanden som inte kan levereras omedelbart). Kort sagt förblir dina meddelanden oläsliga klumpar av chiffertext så långt WhatsApp är berört.
Men, hur bra detta än låter, som vi har undersökt tidigare, kommer det med några ganska stora förbehåll. För det första, om en användare rapporterar ett meddelande, skickas det till WhatsApps moderatorer, tillsammans med flera meddelanden som ledde fram till det (förmodligen för sammanhangets skull). Så även om de måste bjudas in kan WhatsApp fortfarande se meddelanden som du kanske helst vill hålla privata.
Vänta… jag fick en ny telefon, och hela min meddelandehistorik fanns där
Detta är kanske den största bristen av alla. Om du använder WhatsApp på Android eller iPhone uppmuntras du att säkerhetskopiera dina meddelanden. Men dessa säkerhetskopior kanske inte är krypterade. Om de inte är det kan WhatsApp, eller till och med Apple/Google, få tillgång till dessa uppgifter om en domstol eller regering kräver det.
Det är lätt nog att åtgärda:
Gå till WhatsApp-inställningarna på din enhet.
Gå till Chattar > Chattsäkerhetskopior
Tryck på End-to-end-krypterad säkerhetskopia
Och om du kan, se till att dina vänner också gör detta — det räcker med en enda okrypterad säkerhetskopia.
Advanced Chat Privacy
Tidigare i år började WhatsApp rulla ut Advanced Chat Privacy. Det beskrivs som något som är ”för dina mest känsliga konversationer” och är tänkt att ”hjälpa till att förhindra att andra tar innehåll utanför WhatsApp” — vad nu det betyder. Det riktar sig främst till större gruppkonversationer (vilket är logiskt), och hindrar människor från att både exportera konversationen och ladda ner bilagor automatiskt.
Efter att själv ha testat den här funktionen verkar den fortfarande tillåta skärmdumpar och kopiering och inklistring av meddelanden, så jag är inte helt säker på vad den åtgärdar. Om du är orolig för gruppchattar kan försvinnande meddelanden fortfarande vara ett säkrare (om än något pedantiskt) alternativ för extra sinnesro.
Metadatakrisen 2021
Som jag nämnde i inledningen såg början av 2020-talet en massflykt från WhatsApp till alternativ som Telegram. Ingen gång mer tydligt än 2021, när WhatsApp ändrade sin integritetspolicy.
Ändringarna gjorde det möjligt för WhatsApp att dela sin metadata med sitt moderbolag Meta (AKA: Facebook). Denna förändring möttes av stor fientlighet, delvis på grund av hur den rullades ut (en enkel appnotis vars innebörd var ”Godkänn eller lämna”), och förstås på grund av konsekvenserna av datadelningen.
WhatsApp ansågs använda dessa extra data för att tjäna ännu mer pengar på sina användare. Det gjorde det också möjligt för företagsanvändare att lagra sina konversationer med kunder hos tredje part, vilket många såg som att det delvis urholkade deras tidigare järnhårda hållning kring kryptering. Företagen kunde (teoretiskt) sälja dessa data för annonsinriktning och analys.
Vad är metadata?
När det gäller WhatsApp handlar det i princip om telefonnummer, enhetsinformation, IP-adresser, kontakter och användningsmönster. Var för sig kanske dessa inte verkar så intressanta, men tillsammans kan de ge ganska detaljerade insikter om de analyseras på rätt sätt.
Jamie, man, 34
Tillbringar tid i Exeter, Storbritannien.
Interagerar ofta med Penhaligons Ltd.
Har en betydande andel vänner i London.
Är vanligtvis aktiv från 8AM till 10PM (det är definitivt inte vad det skulle stå, men man kan ju drömma).
I det här hypotetiska exemplet ser vi snabbt hur WhatsApp kan använda små bitar av min metadata för att bygga en miniprofil av mig. Om vi bortser från all data de kan samla in från Facebook och Instagram skulle de redan kunna rikta annonser till mig:
När jag sannolikt är som mest aktiv.
Som är relaterade till dofter eller tvålar.
Som är lokala för Exeter.
Som planterar idén om ett besök i London, inklusive resor, boenden och saker att göra.
Och detta är bara mycket ytliga idéer. Det är inte svårt att föreställa sig att de matar in mig i en komplex algoritm som pressar ut varje sista kronas värde ur de begränsade data de har samlat in från WhatsApp. Och det var detta många insåg 2021.
Andra farhågor kring WhatsApp
Betalningar och transaktioner
Om du använder WhatsApp för att hantera betalningar är det möjligt att dessa transaktioner inte är end-to-end-krypterade på samma sätt som konversationer är.
Detta medför ett par problem. Själva betalningarna är inte end-to-end-krypterade, utan hanteras i stället av tredjepartsbanker. Även om detta i sig inte nödvändigtvis är ett problem, kommer Metas kryptering inte att skydda dig om din enhet komprometteras av spionprogram eller skadlig kod. Det finns också farhågor om att köpmetadata skulle kunna användas av Meta för att ytterligare stärka den personliga profil vi redan har nämnt.
Gruppdata
Även om gruppdata inte i sig är ett ”problem” finns det färre alternativ på WhatsApp än på andra plattformar för att dölja dina personuppgifter. Om du deltar i en stor gruppchatt där du helst inte vill att ditt namn, nummer och foto ska vara synliga är detta en nackdel med WhatsApp.
Korruption inom regering och brottsbekämpning
Medan många vände sig bort från WhatsApp på grund av integritetsproblem kring metadata är det för andra bara en del av historien. För vissa är en säkrare app en nödvändighet snarare än en bekvämlighet, och att välja rätt kan göra stor skillnad.
Vissa regeringar är korrupta och kan använda skumma metoder för att få tag på, eller till och med bara övervaka, mer data om sina medborgare än de har rätt till. Av de 5 miljarder människor som har tillgång till internet bor 79% i länder där individer har arresterats eller fängslats för att ha publicerat innehåll om politiska, sociala eller religiösa frågor.
En ny artikel antyder att till och med USA:s FBI kan få ut betydligt mer från WhatsApp och iMessage än från Telegram och Signal. Det är en intressant text, men ta den med en nypa salt eftersom den i hög grad bygger på en enda källa.
Med detta i åtanke, låt oss titta på några av de andra apparna och varför personer med mer att förlora kan välja dem. En snabb spoiler: Alla meddelandeappar vi nu ska nämna (utom Telegram) har end-to-end-kryptering som standard. Som riktmärke för meddelandesäkerhet är detta inte förvånande, så vi tar det för givet och fokuserar på de andra funktionerna.
Teoretiskt sett är ingen meddelandeapp säkrare än någon annan enbart på grund av kryptering. Det mesta handlar om metadata och hur de används. Så den avgörande säkerhetsskillnaden handlar främst om deras övervakning av metadata, men mer exakt handlar det om tilltro — om användarna tror att dessa företag skulle samarbeta med korrupta brottsbekämpande myndigheter för att lämna ut data som de inte behöver lämna ut.
Telegram
När vi tänker på alternativa appar ligger Telegram förmodligen högst upp på listan. Ändå är detta ett intressant fall av uppfattning kontra verklighet. För om du var uppmärksam ovan har du märkt att Telegram faktiskt är den enda vi nu ska titta på som inte är end-to-end-krypterad, utan i stället förlitar sig på en krypteringsmetod mellan klient och server. Det betyder att Telegram faktiskt kan dekryptera dem, till skillnad från andra plattformar.
Endast Secret Chats på Telegram har full kryptering. Så varför har det fått ett rykte om sig att vara säkrare (även om verkligheten kanske inte riktigt stöder det)?
Mycket av det handlar om marknadsföring. Telegrams grundare har ofta betonat att det inte drivs för vinst, men det är inte samma sak som att vara ideellt, vilket är en avgörande skillnad.
Det har dock mer ”detaljerade” kontroller kring integritet än vad WhatsApp har. Du kan till exempel dölja ditt telefonnummer och välja vem som får se profildata — som din bild. Det finns också ett anonymt administratörsläge som du kan använda för att publicera utan att avslöja din identitet. Så det finns sätt att göra Telegram säkrare, men det är mindre automatiskt än du kanske förväntar dig av ett namn som är så synonymt med säkerhet.
Precis som WhatsApp är det också kopplat till ett telefonnummer. Det betyder att din kommunikation på en djupare nivå kan spåras tillbaka till dig. Vilket är dåligt om du verkligen behöver vara inkognito. Detta är något som blir mindre vanligt ju längre ner på listan vi kommer.
Kanske har Telegram, bakom säkerhetsfasaden, lyckats mer tack vare de gemenskaper det främjar och idén om att kunna prata fritt med likasinnade. Men det förtjänar fortfarande sin plats som ett alternativ till WhatsApp.
Signal
Vi har redan nämnt Signal, eftersom deras end-to-end-krypteringsprotokoll är det som säkrar WhatsApp. Det rekommenderades en gång av Edward Snowdon, vilket säger mycket om dess säkerhetsnivåer. Precis som med WhatsApp gör krypteringen åtkomst till meddelanden på servernivå omöjlig.
Med Signal behöver du ett mobilnummer för att registrera dig, men efter det kan du välja ett användarnamn som gör det svårare att spåra dig. Signals etos kring säkerhet är starkt, och även om det inte är omöjligt att spåra meddelanden tillbaka till dig är det utformat för att vara svårt.
Det de sparar är också berömt minimalt. De känner till ditt nummer, datumet då du registrerade ditt konto, när du senast anslöt och om du är online just nu. De sparar ingen annan metadata och krypterar till och med uppgifterna om vem du skriver till med hjälp av Sealed Sender. Servern vet vart det ska levereras, men inte vem som skickade det.
En liten nackdel är att Signal lättare kan blockeras av länder och jurisdiktioner på grund av hur det fungerar bakom kulisserna. Till exempel mötte det blockeringar i vissa länder, inklusive Iran och Egypten.
Detta beror på attSignal förlitar sig på centraliserade servrar för meddelandeleverans och registrering, vilket innebär att regeringar kan identifiera och blockera dessa specifika IP-adresser. För det andra kräver Signal SMS- eller röstverifiering under installationen, vilket ger telekomleverantörer en chans att avlyssna eller helt blockera registreringsprocessen.
Men Signal är ett starkt val i de flesta territorier, och till skillnad från Telegram är Signal ideellt, vilket ger viss trygghet kring deras ekonomiska motiv.
Session
Session är som Signal på steroider. Det sparar ingen metadata, och till skillnad från apparna som nämnts hittills behöver det inte heller något telefonnummer eller någon e-postadress för registrering.
I stället tilldelar det din enhet ett ID med hjälp av en smart kombination av cookies och identifieringsmetoder bakom kulisserna, vilket innebär att du kan förbli verkligt anonym (villkor gäller). På liknande sätt gör det sig av med de servrar som de andra apparna använder för att fysiskt överföra och bearbeta meddelandedata, och väljer i stället en decentraliserad struktur som använder noder, på ett liknande sätt som TOR-webbläsaren.
Detta innebär att det inte finns någon central dator som behandlar data, vilket gör det mycket svårare att spåra tillbaka.
Så varför använder vi inte bara Session allihop? Tja, det finns vissa nackdelar. Avsaknaden av centrala servrar (och beroendet av noder) skapar hastighetsproblem, både för samtal och textmeddelanden.
De unika identifierarna kan innebära risker. Anonymitet har två sidor, och Session gör det lätt att utge sig för att vara någon annan eller dölja annan skadlig aktivitet. Inte nog med det, de är också något otympliga i de flesta vanliga situationer. Du måste manuellt dela ditt 66-siffriga alfanumeriska session-ID, vilket kan leda till fel.
Älska dem eller hata dem, telefonnummer och de risker som är förknippade med dem kommer med fördelar — som att enkelt kunna hitta vänner (via kopplingar till dina andra konton), eller bara enkelheten i att lämna ut ett nummer.
Sammantaget är Session utmärkt om det du behöver är verklig anonymitet på grund av ett överhängande hot, men ganska opraktiskt för daglig användning. Det är priset för verklig anonymitet.
Thunderbolt
Thunderbolt är en säkerhetsfokuserad kommunikationsapp som sätter integritet först på ett liknande, men inte identiskt, sätt som Session och Signal.
På ett sätt som liknar Session försöker den ta bort dina personuppgifter, men på ett sätt som är något mindre opraktiskt. I stället för att helt enkelt ersätta ett telefonnummer eller en e-postadress med en oändligt lång kod använder den i stället en domän som din identifierare. Detta skiljer sig markant från en e-postadress, både när det gäller hur det ser ut och hur det fungerar. Utseendemässigt är det den del du skriver in i ett adressfält, utan namn och @-symbol. Funktionellt möjliggör det bättre säkerhet, samtidigt som det förblir användbart och praktiskt när du vill dela det.
På detta sätt är Thunderbolt också decentraliserat. Även om det inte använder de helt oberoende ”noder” som Session använder (utan i stället väljer mer tillförlitliga centraliserade servrar), lutar det sig mot decentraliserad identitet via domänägande. Genom att använda DNS är Thunderbolt också något svårare för länder att förbjuda.
DNS-baserad identitet innebär att användare verifierar sig genom domänägande, vilket är decentraliserat och därför svårare att reglera (än centraliserade telefonnummersystem). Att blockera DNS-infrastruktur riskerar också följdskador — regeringar skulle behöva ingripa i själva domänupplösningen, vilket skulle kunna störa orelaterade tjänster och webbplatser. Inte riktigt värt risken.
Högre nivåer av anonymitet kan uppnås med Thunderbolt om du väljer en Handshake- eller ENS-domän. Detta använder ett decentraliserat nätverk i blockchain-stil som sätter anonymitet i centrum för domänregistreringsprocessen. Till skillnad från Session kan du vara hemlig i kataloger och ändå enkelt dela din domän (identifierare).
En extra fördel med denna metod som inte är jämförbar med de andra apparna är att DNS också gör det svårare för någon att utge sig för att vara dig. Telefonnummer och e-postadresser är båda ökända för att vara lätta att förfalska. Eftersom ett domänkonto vanligtvis skyddas av tvåfaktorsautentisering (2FA) och ett starkt lösenord blir det i sig säkrare och svårare att hacka eller förfalska.
Thunderbolt kombinerar detta unika ID-system med kärnvärden inom säkerhet och integritet. Det skulle därför kunna ses som ett ”det bästa av två världar”-scenario, som erbjuder det bästa av anonymitet samtidigt som det är tillgängligt och har snabb leverans.
Även om Thunderbolt sparar liknande nivåer av metadata som Signal, säger det tydligt att dessa data aldrig kommer att tjänas pengar på eller användas på annat sätt.
Presenterat som en tabell
Det var mycket att ta in, så vi har sammanfattat huvudpunkterna i en hjälpsam tabell.
|
Vilken app är säkrast?
När man kokar ner det skryter de flesta appar med en viss grad av integritet, och resten handlar om det individuella förtroende du har för företaget. I vilken utsträckning du tror att de kan samarbeta med korrupta brottsbekämpande myndigheter eller regeringar.
Alla vi som stolt håller i våra examina i True Crime från Netflix vet att inte ens världens starkaste kryptering skyddar dig om någon har hackat din enhet, eller helt enkelt tar den från dig. I dessa situationer är det ofta mycket mer än meddelanden som granskas. Så kommunikationsappar, och deras säkerhetsfördelar, är alltid relativa till den större värld du lever i, och bara en del av ekvationen.
För de flesta av oss handlar det mer om att våra data tjänas pengar på än att de används som vapen, och ett enkelt byte till något som Signal eller Thunderbolt kan stärka din säkerhet utan nackdelarna med mer låsta meddelandeappar.
Vanliga frågor
Det beror på vad du menar med säker. Det är end-to-end-krypterat, vilket innebär att WhatsApp som företag inte kan dekryptera (och därför inte heller se) meddelandena. WhatsApp sparar dock mycket metadata om dina aktiviteter, som kan tjänas pengar på och användas för att annonsera till dig.
Ja. Det är enkelt att göra och täpper till en sårbarhet som annars kan äventyra din säkerhet. Gå till WhatsApp-inställningarna på din enhet. Gå till Chattar > Chattsäkerhetskopior Tryck på End-to-end-krypterad säkerhetskopia
I motsats till många människors uppfattning om Telegram är det inte den säkraste appen. Faktum är att inte ens chattar är end-to-end-krypterade som standard, vilket innebär att de potentiellt skulle kunna läsas av företaget. De betonar dock sin hållning kring integritet och säkerhet och är ett stabilt alternativ till WhatsApp, med liknande funktionalitet och mer detaljerade kontroller för profildata.
Signal är end-to-end-krypterat och låter dig välja ett användarnamn i stället för att använda ett telefonnummer eller en e-postadress (även om ett telefonnummer krävs för registrering). Det ses som ett av de säkrare alternativen, utan att göra användningen mer komplicerad. Signal har dock förbjudits i vissa länder.
Session ses som en av de säkraste meddelandeapparna som finns. Det kan möjliggöra nästan total anonymitet och kräver inte något telefonnummer eller någon e-postadress för registrering. I stället använder det själva din enhet. Detta kan leda till vissa svårigheter att hitta vänner. Det är också decentraliserat, vilket innebär att dina meddelanden inte överförs med hjälp av servrar (utan i stället noder), men detta orsakar vissa hastighetsproblem. På grund av dessa faktorer kan Session vara lite otympligt, om du inte behöver extrem integritet av en god anledning.
Thunderbolt använder end-to-end-kryptering och skapades som en säkerhetsmedveten lösning för meddelanden. Det har den extra fördelen att använda domäner i stället för telefonnummer och e-postadresser, och drar därmed nytta av den extra säkerhet som finns inbyggd i DNS-systemet. Det är snabbt och använder en lätt att komma ihåg identifierare (ett domännamn), så det är enkelt att dela. Detta gör det till en idealisk lösning för personer som vill vara säkerhetsmedvetna utan nackdelarna med appar som Session.
Föreslagna artiklar
Dela dina tankar