ChatCrypt: Um serviço de bate-papo online seguro com criptografia de ponta a ponta.

O ChatCrypt é um chat em grupo baseado em navegador, projetado para conversas curtas e privadas. Sua descrição oficial atual afirma que utiliza TLS, uma camada adicional ECDH/AES-256 e criptografia de ponta a ponta entre os membros do chat usando ECDH e ChaCha20-Poly1305. Também afirma que as mensagens não são armazenadas nem enfileiradas. Essas são as alegações do operador, não uma certificação de segurança independente. O ChatCrypt se descreve como um projeto pessoal fornecido "como está", e os registros do seu site incluem endereços IP e detalhes de visitas. Pode ser um canal privado simples, mas não garante proteção contra todos os riscos de privacidade ou segurança.

A explicação atual do serviço também difere das descrições anteriores que o denominavam "AES-256 CTR de nível militar". O site oficial agora descreve o AES-256 para uma camada e o ChaCha20-Poly1305 para criptografia de membro para membro; não identifica essa camada AES como CTR. Essa distinção é importante porque o nome de um algoritmo ou o comprimento da chave, por si só, não podem provar que uma implementação é segura.

Como a ChatCrypt afirma que sua criptografia funciona

De acordo com a descrição técnica atual do ChatCrypt , o cliente se conecta ao servidor por meio de um WebSocket protegido por TLS. O serviço então adiciona duas camadas de criptografia:

• Uma camada cliente-servidor: O site afirma que o cliente e o servidor usam troca de chaves ECDH e AES-256. Também afirma que o servidor assina as mensagens de troca de chaves com RSA e o cliente as verifica.
• Criptografia de membro para membro: Para cada participante, o cliente cria uma camada criptografada de ponta a ponta usando ECDH e ChaCha20-Poly1305. O ChatCrypt afirma que a senha do canal compartilhado é combinada com as chaves trocadas para gerar uma chave única e de uso único para cada par de membros.

O ChatCrypt afirma que a senha do canal permanece no cliente, o nome do canal chega ao servidor como um hash SHA-256 e os nomes de usuário são enviados na camada de ponta a ponta. O site chama isso de "criptografia tripla", considerando o TLS e as duas camadas adicionais. Os detalhes acima descrevem as alegações de design do provedor; eles não substituem uma auditoria independente do código ou de sua operação. Para contextualizar, o IETF especifica o ChaCha20-Poly1305 como um esquema de criptografia autenticada na RFC 8439 .

Como iniciar uma sala no ChatCrypt

O ChatCrypt não exige uma conta. Abra o aplicativo oficial e insira um nome de usuário, o nome do canal e a senha. Cada campo deve conter pelo menos um caractere legível. Os campos são simples, mas o nome do canal e a senha precisam ser exatamente iguais para que os participantes possam se encontrar na mesma sala.

1. Escolha um nome de usuário. Use um apelido se não quiser se identificar pelo nome. Um nome de usuário não serve para verificação de identidade; confirme quem está na sala por meio de um canal de comunicação confiável e separado.
2. Escolha um nome para o canal e uma senha forte para a sala. Forneça os mesmos valores a todos os participantes convidados. Use uma senha exclusiva que você não reutilize em outras contas.
3. Compartilhe os detalhes da sala de forma privada. Envie o nome do canal e a senha apenas para os participantes desejados. Uma pessoa com a senha da sala pode conseguir entrar, portanto, não a publique.
4. Selecione Enter. Se alguém digitar o nome do canal corretamente, mas usar uma senha diferente, o ChatCrypt informa que essa pessoa entrará em uma sala separada em vez de ver um aviso de senha incorreta.

O cliente informa que não salva o nome de usuário, o canal ou a senha, portanto, os participantes precisam se lembrar deles. O ChatCrypt também afirma que não enfileira mensagens para entrega posterior. Em dispositivos móveis, a conexão pode ser interrompida enquanto o aplicativo estiver em segundo plano; mantenha o cliente em primeiro plano se precisar acompanhar a conversa ao vivo.

O que o ChatCrypt não esconde

A criptografia de ponta a ponta diz respeito ao conteúdo da mensagem. Ela não torna a visita a um site invisível. A política de privacidade do ChatCrypt, em seu site oficial, afirma que seu servidor web registra o endereço IP, a data e a hora, as páginas de referência e de saída e o tipo de navegador para fins de administração do site. Isso significa que "nenhuma conta" e "nenhum registro de bate-papo" não devem ser interpretados como "nenhuma informação sobre as visitas é coletada".

Existem também limites práticos. Outras pessoas na sala podem copiar ou fotografar o que veem. Um dispositivo comprometido, uma extensão maliciosa do navegador ou alguém que obtenha a senha da sala pode comprometer a privacidade que você espera. Como os nomes de usuário podem ser arbitrários, verifique os participantes fora da sala antes de discutir qualquer assunto sensível.

Quem deveria considerar utilizá-lo?

A configuração sem conta e o chat em grupo ao vivo do ChatCrypt podem ser adequados para conversas breves onde os participantes podem se coordenar em tempo real e não precisam de um histórico salvo. Seu design sem fila de mensagens não é ideal para um grupo que espera receber mensagens mesmo após alguém se desconectar, especialmente em um celular. As páginas oficiais não apresentam um repositório público de código-fonte nem uma auditoria de terceiros publicada; o site afirma que o código-fonte pode ser fornecido mediante solicitação justificada e descreve o projeto como um serviço feito por hobby, fornecido sem garantia.

Para comunicações cotidianas de baixo risco, o design do serviço pode ser atraente se todos compreenderem as desvantagens. Para credenciais, informações financeiras, trabalho regulamentado ou conversas em que uma falha de segurança possa causar sérios danos, escolha um serviço com um histórico de segurança verificável de forma independente e recursos que atendam a esses requisitos. O ChatCrypt oferece criptografia em camadas, segundo sua própria descrição, mas "nível militar" não é uma certificação e não deve ser considerado como prova de que um serviço é livre de riscos.