Jak fungují bezpečné IM klienty?

[oss]

Ako funguju bezpecne IM klienty ako Telegram?

Kde a co sifruju (myslim, kde maju svoje privatne kluce, kde a na co pouzivaju asymetricku krytografiu a symetricku kriptografiu) ?

Ide o to, ako by mal fungovat system na posielanie textovych sprav medzi pouzivatelmi, tak aby po ceste ani na serveri neboli tie spravy (perzistovane) v citatlenej podobe (extremny pripad - ked ruska policia zabavi serveri).

[Reklama]

[Jenda]

https://otr.cypherpunks.ca/

Ide o to, ako by mal fungovat system na posielanie textovych sprav medzi pouzivatelmi, tak aby po ceste ani na serveri neboli tie spravy (perzistovane) v citatlenej podobe

Asi tak jak bys čekal -- uživatelé si vymění veřejné klíče a pak s nimi zprávy šifrují...

[oss]

Ako potom riesia to, ze pouzivatelov nechcem nutit pouzivat tokeny alebo ine desktopove programy, budu vediet pouzivat danu webku na viacerych zariadneiach a pristup aspon k nejakej historii sprav.

[Petr Krčmář]

Třeba Telegram to řeší tak, že běžný chat není šifrovaný end-to-end a server tedy k němu má klíče. Je pak vidět na všech přihlášených zařízeních včetně historie a je to velmi pohodlné.

Když ale uživatel spustí Secret Chat, naváže se end-to-end a server do komunikace nevidí. Pak ale je spojení vázáno jen na dvě konkrétní koncová zařízení, z ostatních se k němu nelze dostat a je to velmi bezpečné.

Takže to umí obojí a je jen na uživateli, kdy kterou možnost využije.

[Filip Jirsák]

Ako potom riesia to, ze pouzivatelov nechcem nutit pouzivat tokeny alebo ine desktopove programy, budu vediet pouzivat danu webku na viacerych zariadneiach a pristup aspon k nejakej historii sprav.

To, že nechcete uživatele nutit používat nativní programy, ale chtěl byste to řešit přes web, je příliš tvrdá podmínka. To byste ten klíč musel mít uložený v prohlížeči, a to by nebylo příliš bezpečné.

Třeba Babelnet to řeší (pokud vím) tak, že má aplikace pro iOS, Android, Windows Desktop a Mac, a ty aplikace mají uložený klíč zašifrovaný heslem uživatele. Klíč se dá mezi aplikacemi bezpečně sdílet, takže historii zpráv vidíte na každém svém zařízení, protože všechna vaše zařízení mají stejný klíč.

[Reklama]

[harrison314]

Ako potom riesia to, ze pouzivatelov nechcem nutit pouzivat tokeny alebo ine desktopove programy, budu vediet pouzivat danu webku na viacerych zariadneiach a pristup aspon k nejakej historii sprav.

Třeba Babelnet to řeší (pokud vím) tak, že má aplikace pro iOS, Android, Windows Desktop a Mac, a ty aplikace mají uložený klíč zašifrovaný heslem uživatele. Klíč se dá mezi aplikacemi bezpečně sdílet, takže historii zpráv vidíte na každém svém zařízení, protože všechna vaše zařízení mají stejný klíč.

To ide aj v prehliadaci cez crypto API (ale tam ma dost problem safari a chrome si kluce uklada do sqlite databazy na disku). Ale prenasat kluce ide, len to zas degraduje bezpecnost na uroven symetrickej sifry.
 
Ono su len dva sposoby ako ulozit bezpecne kluce - SmardCard/HSM alebo Windows Store (samozrejme musia byt nexportovatelne).