تشات كريبت: خدمة دردشة آمنة عبر الإنترنت مع تشفير شامل

ChatCrypt عبارة عن دردشة جماعية عبر المتصفح مصممة لإجراء محادثات قصيرة وخاصة. يذكر وصفها الرسمي الحالي أنها تستخدم بروتوكول TLS، وطبقة إضافية من ECDH/AES-256، وتشفيرًا تامًا بين أعضاء الدردشة باستخدام ECDH وChaCha20-Poly1305. كما يذكر أيضًا أن الرسائل لا تُخزن أو تُوضع في قائمة انتظار. هذه مجرد ادعاءات من مُشغل الخدمة، وليست شهادة أمان مستقلة. تُعرّف ChatCrypt نفسها بأنها مشروع هواة يُقدم "كما هو"، وتتضمن سجلات موقعها الإلكتروني عناوين IP وتفاصيل الزيارات. قد تكون قناة اتصال خاصة وخفيفة، لكنها لا تضمن الحماية الكاملة من جميع مخاطر الخصوصية أو الأمان.

يختلف التفسير الحالي للخدمة عن الأوصاف السابقة التي كانت تُطلق عليه اسم "AES-256 CTR ذو المستوى العسكري". يصف الموقع الرسمي الآن AES-256 لطبقة واحدة، وChaCha20-Poly1305 لتشفير البيانات بين الأعضاء؛ ولا يُحدد طبقة AES هذه على أنها CTR. هذا التمييز مهم لأن اسم الخوارزمية أو طول المفتاح وحده لا يكفي لإثبات أمان التطبيق.

كيف تشرح شركة ChatCrypt آلية عمل التشفير لديها؟

وفقًا للعرض التقني الحالي لـ ChatCrypt ، يتصل العميل بالخادم عبر WebSocket محمي بواسطة TLS. ثم تضيف الخدمة طبقتين من التشفير:

• طبقة العميل إلى الخادم: يذكر الموقع أن العميل والخادم يستخدمان تبادل مفاتيح ECDH و AES-256. ويذكر أيضًا أن الخادم يوقع رسائل تبادل المفاتيح باستخدام RSA وأن العميل يتحقق منها.
• التشفير بين الأعضاء: يقوم العميل بإنشاء طبقة تشفير من طرف إلى طرف لكل مشارك باستخدام بروتوكول ECDH وخوارزمية ChaCha20-Poly1305. ويشير ChatCrypt إلى أنه يتم دمج كلمة مرور القناة المشتركة مع المفاتيح المتبادلة لاستخلاص مفتاح فريد يُستخدم لمرة واحدة لكل زوج من الأعضاء.

تُشير ChatCrypt إلى أن كلمة مرور القناة تبقى على جهاز العميل، بينما يصل اسم القناة إلى الخادم على شكل تجزئة SHA-256، ويتم إرسال أسماء المستخدمين ضمن طبقة التشفير من طرف إلى طرف. ويُطلق الموقع على هذا "التشفير الثلاثي"، مُضيفًا طبقة TLS والطبقتين الإضافيتين. تُوضح التفاصيل المذكورة أعلاه ادعاءات تصميم المُزوّد، ولا تُغني عن إجراء تدقيق مُستقل للبرنامج أو طريقة عمله. وللتوضيح، تُحدد IETF خوارزمية ChaCha20-Poly1305 كخوارزمية تشفير مُصادق عليها في RFC 8439 .

كيفية إنشاء غرفة ChatCrypt

لا يتطلب ChatCrypt حسابًا. افتح برنامج الدردشة الرسمي وأدخل اسم المستخدم واسم القناة وكلمة المرور. يجب أن يحتوي كل حقل على حرف واحد على الأقل قابل للقراءة. الحقول بسيطة، ولكن يجب أن يتطابق اسم القناة وكلمة المرور تمامًا حتى يتمكن المشاركون من التواجد في نفس الغرفة.

1. اختر اسم مستخدم. استخدم لقبًا إذا كنت لا ترغب في الكشف عن هويتك. اسم المستخدم ليس وسيلة للتحقق من الهوية؛ تأكد من هوية الموجودين في الغرفة عبر قناة اتصال موثوقة أخرى.
2. اختر اسمًا للقناة وكلمة مرور قوية للغرفة. امنح جميع المشاركين المدعوين نفس القيم. استخدم كلمة مرور فريدة لا تستخدمها في حسابات أخرى.
3. شارك تفاصيل الغرفة بشكل خاص. أرسل اسم القناة وكلمة المرور فقط للمشاركين المقصودين. قد يتمكن شخص يملك كلمة مرور الغرفة من الانضمام، لذا لا تنشرها علنًا.
4. اضغط على زر الإدخال. إذا أدخل شخص ما اسم القناة بشكل صحيح ولكنه استخدم كلمة مرور مختلفة، فسيخبره برنامج ChatCrypt بأنه سيدخل غرفة منفصلة بدلاً من رؤية تحذير بشأن كلمة مرور خاطئة.

يُشير التطبيق إلى أنه لا يحفظ اسم المستخدم أو القناة أو كلمة المرور، لذا على المشاركين تذكرها. كما يُوضح ChatCrypt أنه لا يُخزّن الرسائل في قائمة انتظار للتسليم لاحقًا. على الأجهزة المحمولة، قد ينقطع الاتصال أثناء تشغيل التطبيق في الخلفية؛ لذا يُنصح بإبقاء التطبيق مفتوحًا في المقدمة لمتابعة المحادثة المباشرة.

ما لا يخفيه برنامج ChatCrypt

التشفير التام بين الطرفين يتعلق بمحتوى الرسائل، ولا يُخفي زيارة الموقع الإلكتروني. تنص سياسة خصوصية ChatCrypt على موقعها الرسمي على أن خادم الويب الخاص بها يسجل عنوان IP، والتاريخ والوقت، وصفحات الإحالة والخروج، ونوع المتصفح لأغراض إدارة الموقع. هذا يعني أن عبارة "لا توجد حسابات" و"لا توجد سجلات دردشة" لا تعني "عدم جمع أي معلومات حول الزيارات".

هناك حدود عملية أيضًا. فبإمكان الآخرين في الغرفة نسخ أو تصوير ما يرونه. كما أن اختراق جهاز، أو استخدام إضافة متصفح خبيثة، أو حصول شخص ما على كلمة مرور الغرفة، قد يُعرّض خصوصيتك للخطر. ولأن أسماء المستخدمين قد تكون عشوائية، يُنصح بالتحقق من هوية المشاركين خارج نطاق النقاش قبل التطرق إلى أي موضوع حساس.

من ينبغي عليه التفكير في استخدامه؟

قد يناسب نظام ChatCrypt الذي لا يتطلب حسابًا، بالإضافة إلى ميزة الدردشة الجماعية المباشرة، المحادثات القصيرة التي يمكن للمشاركين فيها التنسيق في الوقت الفعلي دون الحاجة إلى سجل محفوظ. إلا أن تصميمه الذي لا يعتمد على قوائم الانتظار لا يُناسب المجموعات التي تتوقع وصول الرسائل بعد انقطاع اتصال أحد الأعضاء، خاصةً عبر الهاتف. لا تُقدم الصفحات الرسمية مستودعًا عامًا لشفرة المصدر أو تقرير تدقيق منشور من جهة خارجية؛ ويذكر الموقع أنه يمكن توفير شفرة المصدر بناءً على طلب مُبرر، ويصف المشروع بأنه خدمة هواة تُقدم بدون ضمان.

للتنسيق اليومي البسيط، قد يكون تصميم الخدمة جذابًا إذا كان الجميع على دراية بالمفاضلات. أما بالنسبة للبيانات الشخصية، والتفاصيل المالية، والعمل الخاضع للرقابة، أو المحادثات التي قد يتسبب فيها أي خلل أمني في ضرر جسيم، فاختر خدمة ذات سجل أمني موثق بشكل مستقل وميزات تتوافق مع تلك المتطلبات. تقدم ChatCrypt تشفيرًا متعدد الطبقات وفقًا لبياناتها، ولكن وصف "المستوى العسكري" ليس شهادة ولا ينبغي اعتباره دليلًا على خلو الخدمة من المخاطر.