Большое количество заинтересованных людей хотели бы прослушивать ваши онлайн разговоры, включая то, что вы набираете, пользуясь службами мгновенных сообщений (IM Services).
Вообще то, довольно тривиальным является прослушать незащищенные беспроводные сети и перехватить IM пароли. Широкополосные провайдеры, а так же их бизнес партнеры, с энтузиазмом заглядывают в онлайн разговоры своих покупателей. Двухпартийное большинство в Конгрессе США дало ФБР и тайным государственным учреждениям большую власть надзора, чем когда либо до этого.
Таким образом необходимость безопасности IM сообщений никогда еще не была столь сильной. Но не все IM сети
предлагают ту же конфиденциальность и безопасность. Чтобы выявить различия, в CNET News.com опросили
компании, которые предоставляют популярные системы мгновенных сообщений, и попросили их ответить на 10
вопросов.
Одним из важных пунктов являлось то, насколько безопасным сервис IM есть сам по себе - другими словами
защищает ли он пользователей от прослушивания. Прошло уже 14 лет с тех пор как появился ICQ в 1996-ом, и
20 лет с того времени как был описан в Usenix IM протокол Zephyr, который затем распространился в Массачусетском технологическом институте и в университете Карнеги — Меллоне. Но в наши дни шифрование должно иметь обычное место.
Выяснилось что только половина сервисов предоставляет полное шифрование: AOL Instant Messenger, Google Talk, IBM Lotus Sametime и Skype. На чесность, ни из одного сервиса не сказали, что сохраняют логи содержимого
коммуникаций (определенный соблазн для для федеральных следователей или назойливых адвокатов по разводу).
Что же относительно логов соединений, то в Microsoft сказали что не ведут таких вообще, в Google и Skype
сообщили что такие логи удаляются через краткие промежутки времени.
Шифрование очень важно. Если вы, например, используете открытое небезопасное беспроводное соединение, любой кто скачал бесплатное ПО на подобие dSniff может перехватить незашифрованные IM потоки. WildPackets,
продаваемый полиции и EtherPeek plug-in для него могу перехватить и раскодировать незашифрованные IM
разговоры в случае прослушивания (плюс вэб ориентированный e-mail, VoIP звонки и т.д.).
Любой опрос имеет ограничения, включая и этот. Того факта что IM шифрование используется недостаточно;
всегда может быть плохой выбор алгоритма или могут быть ошибки в его реализации которые предоставляют
возможность обхода данного алгоритма на практике. Этот обзор не может быть последним словом в этом случае.
Jabber заслуживает на особую отметку. До сих пор все респонденты нашего опроса представляли проприетарные
закрытые системы, Jabber основан на открытых стандартах установленных Специальной Комиссией Интернет-Разработок. Формально называемый XMPP, Jabber предоставляет возможность организациям запускать их собственные серверы и стремится быть более гибким.
В Google основали на нем Google Talk и с ним могут работать другие клиенты включая Apple's iChat, Adium (OS X), Trillian Pro (со спец. plug-in), и Psi, которые поддерживают Jabber (прим. перев.: согласно общей архитектуре XMPP). Jabber использует шифрование и для логов и для того чтобы защитить разговоры, когда соединение установлено. В обзор он не будет включен потому, как любой может установить свой Jabber сервер
со своей конфигурацией.
Facebook Chat наименее безопасный и защищаюший приватность из всех. Настолько насколько правильно было
определено, он не использует шифрование для защиты входа в систему (так что пароли могут быть просмотрены),
а так же не шифрует разговоры. Хотелось бы рассказать больше о Facebook Chat, но компания отправила нам письмо в котором сообщила что отказывается отвечать на те же вопросы что и все участники опроса сделали с небольшой охотой.
Apple оставили за бортом потому как их iChat использует сеть AOL Instant Messenger. Пользователи Macintosh
которые приобрели членство в Mac могут активировать шифрование для IM, audio и video чатов, а так же передачи файлов.
[1] В течение недели Facebook отказывался отвечать на вопросы.
[2] В Facebook сказали что история чатов "не ведется постоянно" и что она находится в архиве на протяжении
90 дней.
[3] Шифрование включено по умолчанию для скачиваемого клиента и отключено для вэб, и вообще не поддерживается для Google Talk Gadget.
[4] Конфигурируемо: пользователи могут выбрать вести ли логи сообщений в их Gmail chat, если они этого
пожелают.
[5] Разговоры не шифруются, но файлы передаваемые через Windows Live Messenger да.
[6] Skype оказалась единственной IM компанией в которой сообщили, что не могут осуществить онлайн перехват,
если будет предъявлен запрос на прослушивание: "В силу peer-to-peer архитектуры Skype и техник шифрования,
Skype не будет способен исполнить такой запрос".
Ответы AOL относительно AOL Instant Messenger (AIM)
В: Использует ли ваш сервис шифрование при аутентификации пользователей?
- Да.
В: Использует ли ваш сервис шифрование при доставке сообщений, имеется ввиду когда пользователи отправляют и получают сообщения.
- Да.
В: Включено ли шифрование по умолчанию или отключено.
- Включено.
В: Поддерживает ли ваш сервис OTR (Off the Record) стандарт. Если он использует не OTR шифрование, то какого типа оно?
- Нет. AIM поддерживает TLS ( Прим. Редактора: TLS или Transport Layer Security преемник SSL или Secure Sockets Layer. Он поддерживает множество криптографических шифров, включая AES и тройной DES. Он так же предоставляет методы аутентификации).
В: Сохраняет ли ваш сервис логи на серверах о соединениях, таких как когда рядовой пользователь входит или выходит в/из системы и с какого айпи адреса. Если это так, то какая информация сохраняется?
- Да, мы сохраняем информацию о соединениях такую как вход\выход в систему и айпи адрес.
В: Сохраняет ли ваш сервис на серверах логи содержимого разговоров, имеется ввиду что пользователь отослал или принял?
- Нет.
В: Если какие либо логи соединений или сообщений ведутся то как долго таковые хранятся?
- Логи соединений хранятся в соответствии с нуждами бизнеса для необходимости эксплуатационного и
качественного контроля, а затем удаляются.
В: Вы когда либо получали вызов в суд, распоряжение суда или правовое принуждение где вас просили раскрыть информацию о IM аккаунте пользователя?
- Да.
В: Если да то сколько именно запросов от полиции вы получили?
- Мы не раскрываем детали запросов которые получаем от полиции.
В: Вы когда либо получали вызов в суд, распоряжение суда или правовое принуждение где вас просили осуществить онлайн перехват или прослушивание, имеется ввиду содержимое разговоров которое должно быть немедленно направлено в полицию?
- Мы не раскрываем детали запросов, которые получаем от полиции.
Ответы AOL относительно ICQ
В: Использует ли ваш сервис шифрование при аутентификации пользователей?
- Да.
В: Использует ли ваш сервис шифрование при доставке сообщений, имеется ввиду когда пользователи отправляют и получают сообщения.
- Нет, шифрование при отправке сообщений рассматривается как функция для последующих релизов продукта.
В: Включено ли шифрование по умолчанию или отключено.
- Н/Д.
В: Поддерживает ли ваш сервис OTR (Off the Record) стандарт. Если он использует не OTR шифрование, то какого типа оно?
- Нет.
В: Сохраняет ли ваш сервис логи на серверах о соединениях, таких как когда рядовой пользователь входит или выходит в/из системы и с какого айпи адреса. Если это так, то какая информация сохраняется?
- Да, мы сохраняем информацию о соединениях такую как вход\выход в систему и айпи адрес.
В: Сохраняет ли ваш сервис на серверах логи содержимого разговоров, имеется ввиду что пользователь отослал или принял?
- Нет.
В: Если какие либо логи соединений или сообщений ведутся то как долго таковые хранятся?
- Логи соединений хранятся в соответствии с нуждами бизнеса для необходимости эксплуатационного и
качественного контроля, а затем удаляются.
В: Вы когда либо получали вызов в суд, распоряжение суда или правовое принуждение где вас просили раскрыть информацию о IM аккаунте пользователя?
- Да.
В: Если да то сколько именно запросов от полиции вы получили?
- Мы не раскрываем детали запросов, которые получаем от полиции.
В: Вы когда либо получали вызов в суд, распоряжение суда или правовое принуждение где вас просили осуществить онлайн перехват или прослушивание, имеется ввиду содержимое разговоров, которое должно быть немедленно направлено в полицию?
- Мы не раскрываем детали запросов, которые получаем от полиции.
Ответы Google's относительно Google Talk
В: Использует ли ваш сервис шифрование при аутентификации пользователей?
- Да.
В: Использует ли ваш сервис шифрование при доставке сообщений, имеется ввиду когда пользователи отправляют и получают сообщения.
- Наш загружаемый клиент использует шифрование. Наш вэб клиент отправляет сообщения в виде простого текста но пользователи могут задействовать HTTPS если этого захотят. HTTPS в данный момент вообще не поддерживается в Google Talk Gadget.
В: Включено ли шифрование по умолчанию или отключено.
- Включено по умолчание в скачиваемом клиенте и отключено по умолчание в вэб клиенте.
В: Поддерживает ли ваш сервис OTR (Off the Record) стандарт. Если он использует не OTR шифрование, то какого типа оно?
- Клиенты Google в данный момент не поддерживают OTR. Мы используем TLS для XMPP клиента и HTTPS
для вэб клиентов если опция активирована. ( Прим. Редактора: TLS или Transport Layer Security преемник SSL
или Secure Sockets Layer. Он поддерживает множество криптографических шифров, включая AES и тройной DES.
Он так же предоставляет методы аутентификации).
В: Сохраняет ли ваш сервис логи на серверах о соединениях, таких как когда рядовой пользователь входит или выходит в/из системы и с какого айпи адреса. Если это так, то какая информация сохраняется?
- Стандартные данные, включая IP адрес, имя пользователя, отпечаток времени и тип клиента но не сохраняется
содержимое чата.
В: Сохраняет ли ваш сервис на серверах логи содержимого разговоров, имеется ввиду что пользователь отослал или принял?
- Пользователи могу выбрать 'off the record', в таком случае чаты не сохраняются в в архивах Gmail. Если пользователь не уходит в 'off the record', тогда беседа сохраняется и может быть просмотрена учасниками
чата используя их Gmail аккаунт.
В: Если какие либо логи соединений или сообщений ведутся то как долго таковые хранятся?
- Сервис ведет стандартные логи (включая IP адрес, имя пользователя, отпечаток времени и тип клиента) и
хранит эти данные на протяжении четырех недель. Логи соединений, не привязанные к аккаунту Gmail хранятся
пока они есть полезными. Пользователи могут выбрать чат в 'off the record', в этом случае содержимое чатов не
сохраняется в Gmail чат архивах. Если пользователь не уходит в 'off the record', тогда беседа сохраняется и может быть просмотрена учасниками чата используя их Gmail аккаунт.
В: Вы когда либо получали вызов в суд, распоряжение суда или правовое принуждение, где вас просили раскрыть информацию о IM аккаунте пользователя?
- В соответствии с нашей политикой мы не комментируем природу или сущность запросов полиции в Google. Когда
возможно, мы стараемся сделаться все, что в наших силах, чтобы уведомить субъект названный в таком запросе
для того, чтобы дать возможность опротестовать.
В: Если да то сколько именно запросов от полиции вы получили?
- В соответствии с нашей политикой, мы не раскрываем такого рода информацию.
В: Вы когда либо получали вызов в суд, распоряжение суда или правовое принуждение где вас просили осуществить онлайн перехват или прослушивание, имеется ввиду содержимое разговоров которое должно быть немедленно направлено в полицию?
- В соответствии с нашей политикой мы не комментируем природу или сущность запросов полиции в Google. Когда
возможно, мы стараемся сделаться все, что в наших силах, чтобы уведомить субъект названный в таком запросе
для того, чтобы дать возможность опротестовать.
Ответы IBM's относительно Lotus Sametime
(Прим. редактора: IBM решила добавить данное пояснение к ответам: "Lotus Sametime унифицированное
коммуникационное корпоративное решение на собственном оборудовании. Пока IBM Global Technology Services
предоставляет обслуживаемый сервис хостинг для Lotus Sametime, это обычно продается как решение на
собственном оборудовании. Ответы ниже отражают Lotus Sametime как именно такое решение. Ответы так же
относятся и к предложениям размещения от IBM или IBM бизнес партнеров").
В: Использует ли ваш сервис шифрование при аутентификации пользователей?
- Как программа корпоративного класса Lotus Sametime предлагает безопасность в которой нуждается бизнес.
Аутентификация в Lotus Sametime предоставляет для бизнеса конфиденциальность и знание что люди с которыми
они соединеются есть те кто они на самом деле, в тоже время защита по паролю дает уверенность в том, что
только приглашенные учасники могут включится в вэб конференцию. По умолчанию все удостоверения личности
шифруются, используя 128 битное шифрование. Lotus Sametime так же поддерживает FIPS-140, стандарт министерства обороны США.
В: Использует ли ваш сервис шифрование при доставке сообщений, имеется ввиду когда пользователи отправляют и получают сообщения.
- Да, Lotus Sametime может шифровать присутствия, мгновенные сообщения, вэб конференции, голосовые VoIP
чаты, и point-to-point видео конференции, дабы помочь бизнесу защитить конфиденциальную информацию.
По умолчанию Lotus Sametime использует 128 битное шифрование. Lotus Sametime так же поддерживает FIPS-140, стандарт министерства обороны США.
В: Включено ли шифрование по умолчанию или отключено.
- Шифрование включено по умолчанию.
В: Поддерживает ли ваш сервис OTR (Off the Record) стандарт. Если он использует не OTR шифрование, то какого типа оно?
- Lotus Sametime не поддерживает стандарт OTR. По умолчанию Lotus Sametime использует 128-bit RC2 шифрование. Lotus Sametime так же поддерживает FIPS-140, стандарт министерства обороны США.
В: Сохраняет ли ваш сервис логи на серверах о соединениях, таких как когда рядовой пользователь входит или выходит в/из системы и с какого айпи адреса. Если это так то какая информация сохраняется?
- Да, Lotus Sametime предоставляет множество опций логгирования, которые могут быть сконфигурированы системным администратором. Через Sametime Tool Kits, Sametime так же интегрируется с программами от других
производителей.
В: Сохраняет ли ваш сервис на серверах логи содержимого разговоров, имеется ввиду что пользователь отослал или принял?
- Системный администратор имеет возможность настроить данную возможность. Данный тип информации так же
может быть перехвачен с помощью программ сторонних производителей таких как Facetime, Akonix, and Symantec.
В: Если какие либо логи соединений или сообщений ведутся то как долго таковые хранятся?
- Lotus Sametime предоставляет возможность держать логи настолько долго насколько требует бизнес. Системный администратор устанавливает продолжителность хранения логов исходя из нужд компании.
В: Вы когда либо получали вызов в суд, распоряжение суда или правовое принуждение где вас просили раскрыть информацию о IM аккаунте пользователя?
- Данный вопрос не относится к Sametime т.к. это не сервис.
В: Если да то сколько именно запросов от полиции вы получили?
- Данный вопрос не относится к Sametime т.к. это не сервис.
В: Вы когда либо получали вызов в суд, распоряжение суда или правовое принуждение где вас просили осуществить онлайн перехват или прослушивание, имеется ввиду содержимое разговоров, которое должно быть немедленно направлено в полицию?
- Данный вопрос не относится к Sametime т.к. это не сервис.
Ответы Microsoft относительно Windows Live (MSN) Messenger
В: Использует ли ваш сервис шифрование при аутентификации пользователей?
- Аккаунты Windows Live Messenger, доступ к которым осуществляется через пользовательский Windows Live ID
и пароль, защищены промышленным стандратом SSL шифрования. [Прим. ред.: SSL это Secure Sockets Layer,
так же изветный как Transport Layer Security.]
В: Использует ли ваш сервис шифрование при доставке сообщений, имеется ввиду когда пользователи отправляют и получают сообщения.
- Мы не предоставляем шифрование для систем мгновенный сообщений на данный момент. Однако если покупатель выберет отослать или получить сообщение, которое содержит файл, например документ или фото, Windows Live Messenger защитит это с помощью промышленного стандарта SSL шифрования.
В: Включено ли шифрование по умолчанию или отключено.
- Шифрование функций передачи файлов включено по умолчанию и не может быть отключено.
В: Поддерживает ли ваш сервис OTR (Off the Record) стандарт. Если он использует не OTR шифрование, то какого типа оно?
- Windows Live не использует OTR стандарт. Аккаунты Windows Live Messenger защищены промышленным стандартом SSL шифрования.
В: Сохраняет ли ваш сервис логи на серверах о соединениях, таких как когда рядовой пользователь входит или выходит в/из системы и с какого айпи адреса. Если это так то какая информация сохраняется?
- Windows Live Messenger не сохраняет сервер-ориентированные логи соединений. Microsoft ориентированна на
защиту приватности своих покупателей и верит, что они заслуживают, чтобы их персональная информация была
использована только способами описанными им. Microsoft информирует своих покупателей о способах, которыми они могут контролировать сбор и раскрытие их персональной информации. Больше информации на тему политики приватности Microsoft доступно на http://privacy.microsoft.com/en-us/default.aspx
В: Сохраняет ли ваш сервис на серверах логи содержимого разговоров, имеется ввиду что пользователь отослал или принял?
- Windows Live Messenger не сохраняет сервер-ориентированные логи содержимого сообщений, который наши
покупатели отправляют или получают. Microsoft ориентированна на защиту приватности своих покупателей и верит, что они заслуживают чтобы их персональная информация была использована только способами описанными им. Microsoft информирует своих покупателей о способах, которыми они могут контролировать сбор и раскрытие их персональной информации. Больше информации на тему политики приватности Microsoft доступно на http://privacy.microsoft.com/en-us/default.aspx
В: Если какие либо логи соединений или сообщений ведутся то как долго таковые хранятся?
- Не применимо.
В: Вы когда либо получали вызов в суд, распоряжение суда или правовое принуждение где вас просили раскрыть информацию о IM аккаунте пользователя?
- Мы не комментируем специальные запросы правительства. Microsoft ориентирована на защиту приватности
своих покупателей и соблюдает все законы о приватности. В частности Electronic Communications Privacy Act
("ECPA") защищает записи покупателей и комуникации покупателей в онлайн сервисах. Как указано выше вместе с этим, Microsoft не ведет записис о использовании покупателями IM сервисов и не будет иметь информации, которую можно предоставить в ответ на запрос полиции.
В: Если да то сколько именно запросов от полиции вы получили?
- Мы не раскрываем сколько запросов от полиции мы получили. При определенных обстоятельствах нам не
разрешено законом раскрывать то, что мы получили ордер. Тем не менее мы следуем ECPA при ответе на все такие запросы.
В: Вы когда либо получали вызов в суд, распоряжение суда или правовое принуждение где вас просили осуществить онлайн перехват или прослушивание, имеется ввиду когда содержимое разговоров должно быть немедленно направлено в полицию?
- Мы не комментируем специальные запросы правительства, но в общем мы предоставляем правительству содержимое коммуникаций перехвачены в онлайне только на основании решения суда.
Skype
В: Использует ли ваш сервис шифрование при аутентификации пользователей?
- Да.
В: Использует ли ваш сервис шифрование при доставке сообщений, имеется ввиду когда пользователи отправляют и получают сообщения.
- Да. Крепкая модель безопасности Skype неразрывно связана с лежащей в его основе peer-to-peer (P2P)
архитектурой. Как результат, трафик Skype не может быть перехвачен и расшифрован пока передается. В кратце Skype предоставляет transport-layer security дабы убедится, что содержимое сообщений путеществующих через Skype, не могу быть записаны или перехвачены.
В: Включено ли шифрование по умолчанию или отключено.
- Шифрование Skype всегда включено и не может быть отключено.
В: Поддерживает ли ваш сервис OTR (Off the Record) стандарт. Если он использует не OTR шифрование, то какого типа оно?
- Нет. Skype имеет мощную end-to-end систему шифрования используя 256-bit AES, который затем
аутентифицируется с помощью PKI криптографии, дабы гарантировать аутентичность, секретность и целостность общения через Skype.
В: Сохраняет ли ваш сервис логи на серверах о соединениях, таких как когда рядовой пользователь входит или выходит в\из системы и с какого айпи адреса. Если это так то какая информация сохраняется?
- Там, где сервера используются для содействия покупке продукта такого как SkypeOut, только имя пользователя,
версия, IP адрес сохраняются.
В: Сохраняет ли ваш сервис на серверах логи содержимого разговоров, имеется ввиду что пользователь отослал или принял?
- Нет. Skype не записывает ничего из содержимого соединений.
В: Если какие либо логи соединений или сообщений ведутся то как долго таковые хранятся?
- Логи соединений сохраняются только на короткий промежуток времени.
В: Вы когда либо получали вызов в суд, распоряжение суда или правовое принуждение где вас просили раскрыть информацию о IM аккаунте пользователя?
- Да. Мы сотрудничаем с правоохранительными органами настолько насколько это легально и технически возможно.
В: Если да то сколько именно запросов от полиции вы получили?
- Это конфиденциальная информация.
В: Вы когда либо получали вызов в суд, распоряжение суда или правовое принуждение где вас просили осуществить онлайн перехват или прослушивание, имеется ввиду когда содержимое разговоров должно быть немедленно направлено в полицию?
- Мы не получали вызов в суд, распоряжение суда, просящих нас осуществить онлайн перехват или прослушивание Skype-to-Skype соединений. В любом случае наверное потому, что архитектура peer-to-peer Skype и техники шифрования не смогут поспособствовать данному запросу.
Ответы Yahoo's относительно Yahoo Messenger
В: Использует ли ваш сервис шифрование при аутентификации пользователей?
- Yahoo Messenger для вэб и текущая скачиваемая версия Yahoo Messenger использует SSL, дабы защитить пароли пользователя на протяжении процесса аутентификации. (Прим. ред.: SSL это Secure Sockets Layer, так же известный как Transport Layer Security)
В: Использует ли ваш сервис шифрование при доставке сообщений, имеется ввиду когда пользователи отправляют и получают сообщения.
- Yahoo Messenger не использует шифрование при доставке сообщений.
В: Включено ли шифрование по умолчанию или отключено.
- Шифрование как указано в первом пункте включено по умолчанию.
В: Поддерживает ли ваш сервис OTR (Off the Record) стандарт. Если он использует не OTR шифрование, то какого типа оно?
- Yahoo Messenger не использует криптографический протокол Off-the-Record. Мы используем Secure Sockets
Layer (SSL) стандарт на протяжении процеса аутентификации как указано в пункте 1.
В: Сохраняет ли ваш сервис логи на серверах о соединениях, таких как когда рядовой пользователь входит или выходит в/из системы и с какого айпи адреса. Если это так то какая информация сохраняется?
- Активность Yahoo logs Messenger совместима с вэб ориентироваными сервисами в общем.
В: Сохраняет ли ваш сервис на серверах логи содержимого разговоров, имеется ввиду что пользователь отослал или принял?
- Yahoo Messenger предоставляет пользователям возможность записывать и извлекать их IM сообщения.
Пользователи могут выбрать не использовать эту удобную функцию. Большинство версий скачиваемого
Yahoo Messenger хранят разговоры на компьютере пользователя, в то время как Yahoo Messenger для вэб, хранит
разговоры на серверах Yahoo.
В: Если какие либо логи соединений или сообщений ведутся то как долго таковые хранятся?
- Yahoo сохраняет данные как необходимость, чтобы помочь соблюдать финансовые, правовые и обязательства
безопасности, а так же для исследований дабы улучьшить опыт работы с Messenger.
В: Вы когда либо получали вызов в суд, распоряжение суда или правовое принуждение где вас просили раскрыть информацию о IM аккаунте пользователя?
- Yahoo отвечает на правовые запросы с соблюдением всех применимых законов.
В: Если да то сколько именно запросов от полиции вы получили?
- Учитывая сложный характер этой области и потенциальные негативные последствия на возможности расследования государственных органов безопасности Yahoo не обсуждает детали правовых запросов. Yahoo отвечает на правовые запросы с соблюдением всех применимых законов.
В: Вы когда либо получали вызов в суд, распоряжение суда или правовое принуждение где вас просили осуществить онлайн перехват или прослушивание, имеется ввиду содержимое разговоров должно быть немедленно направлено в полицию?
- Учитывая сложный характер этой области и потенциальные негативные последствия на возможности расследования государственных органов безопасности Yahoo не обсуждает детали правовых запросов. Yahoo отвечает на правовые запросы с соблюдением всех применимых законов.
|
