ChatCrypt: Un serviciu de chat online securizat cu criptare end-to-end

ChatCrypt este un chat de grup bazat pe browser, conceput pentru conversații scurte și private. Descrierea sa oficială actuală spune că folosește TLS, un strat suplimentar ECDH/AES-256 și criptare end-to-end între membrii chatului folosind ECDH și ChaCha20-Poly1305. De asemenea, se precizează că mesajele nu sunt stocate sau puse în coadă. Acestea sunt afirmațiile operatorului, nu o certificare de securitate independentă. ChatCrypt se descrie ca un proiect de hobby oferit „ca atare”, iar jurnalele site-ului său web includ adrese IP și detalii despre vizite. Poate fi un canal privat ușor, dar nu este o garanție împotriva oricărui risc de confidențialitate sau securitate.

Explicația actuală a serviciului diferă, de asemenea, de descrierile mai vechi care îl numeau „CTR AES-256 de grad militar”. Site-ul oficial descrie acum AES-256 pentru un strat și ChaCha20-Poly1305 pentru criptarea membru-membru; nu identifică acel strat AES ca fiind CTR. Distincția este importantă deoarece un nume de algoritm sau o lungime a cheii nu pot dovedi singure că o implementare este sigură.

Cum spune ChatCrypt că funcționează criptarea sa

Conform prezentării tehnice actuale a ChatCrypt , clientul se conectează la server printr-un WebSocket protejat de TLS. Serviciul adaugă apoi două straturi de criptare:

• Un nivel client-server: Site-ul precizează că clientul și serverul utilizează schimbul de chei ECDH și AES-256. De asemenea, se precizează că serverul semnează mesajele de schimb de chei cu RSA, iar clientul le verifică.
• Criptare de la membru la membru: Pentru fiecare participant, clientul creează un strat criptat end-to-end folosind ECDH și ChaCha20-Poly1305. ChatCrypt spune că parola canalului partajat este combinată cu cheile schimbate pentru a obține o cheie unică, de unică folosință, pentru fiecare pereche de membri.

ChatCrypt precizează că parola canalului rămâne pe client, numele canalului ajunge la server ca hash SHA-256, iar numele de utilizator sunt trimise în cadrul stratului end-to-end. Site-ul numește acest lucru „criptare triplă”, incluzând TLS și cele două straturi suplimentare. Detaliile de mai sus descriu afirmațiile de design ale furnizorului; acestea nu înlocuiesc un audit independent al codului sau al funcționării acestuia. Pentru context, IETF specifică ChaCha20-Poly1305 ca o schemă de criptare autentificată în RFC 8439 .

Cum să deschizi o cameră ChatCrypt

ChatCrypt nu necesită un cont. Deschideți clientul oficial de chat și introduceți un nume de utilizator, un nume de canal și o parolă. Fiecare câmp trebuie să conțină cel puțin un caracter lizibil. Câmpurile sunt simple, dar numele canalului și parola trebuie să se potrivească exact pentru ca participanții să se întâlnească în aceeași cameră.

1. Alege un nume de utilizator. Folosește o poreclă dacă nu vrei să te identifici după nume. Un nume de utilizator nu este o verificare a identității; confirmă cine se află în cameră printr-un canal separat de încredere.
2. Alege un nume de canal și o parolă pentru camera securizată. Oferă fiecărui participant invitat aceleași valori. Folosește o parolă unică pe care nu o reutilizezi pe alte conturi.
3. Distribuie detaliile camerei în privat. Trimite numele canalului și parola doar participanților vizați. O persoană care are parola camerei s-ar putea alătura, așa că nu o publica public.
4. Selectați Enter. Dacă cineva introduce corect numele canalului, dar folosește o parolă diferită, ChatCrypt spune că va intra într-o cameră separată în loc să vadă un avertisment privind parola incorectă.

Clientul menționează că nu salvează numele de utilizator, canalul sau parola, așa că participanții trebuie să le țină minte. ChatCrypt mai spune că nu pune mesajele în coadă pentru livrare ulterioară. Pe dispozitivele mobile, conexiunea se poate închide în timp ce aplicația este în fundal; păstrați clientul în prim-plan dacă trebuie să urmăriți conversația live.

Ce nu ascunde ChatCrypt

Criptarea end-to-end se referă la conținutul mesajelor. Nu face invizibilă o vizită pe site. Politica de confidențialitate a ChatCrypt de pe site-ul său oficial precizează că serverul său web înregistrează adresa IP, data și ora, paginile de referință și de ieșire și tipul de browser pentru administrarea site-ului. Aceasta înseamnă că „fără conturi” și „fără jurnale de chat” nu trebuie interpretate ca „nu se colectează nicio informație despre vizite”.

Există și limite practice. Alte persoane din cameră pot copia sau fotografia ceea ce văd. Un dispozitiv compromis, o extensie de browser rău intenționată sau cineva care obține parola camerei poate submina confidențialitatea pe care o așteptați. Deoarece numele de utilizator pot fi arbitrare, verificați participanții în afara zonei de acces înainte de a discuta despre orice informație sensibilă.

Cine ar trebui să ia în considerare utilizarea lui?

Configurarea fără cont și chatul de grup live oferite de ChatCrypt pot fi potrivite pentru o conversație scurtă în care participanții se pot coordona în timp real și nu au nevoie de un istoric salvat. Designul său fără coadă nu este potrivit pentru un grup care așteaptă ca mesajele să sosească după ce cineva se deconectează, în special la telefon. Paginile oficiale nu prezintă un depozit public de cod sursă sau un audit publicat de o terță parte; site-ul spune că codul sursă poate fi furnizat pentru o cerere bine întemeiată și descrie proiectul ca un serviciu de hobby furnizat fără garanție.

Pentru coordonarea zilnică cu mize reduse, designul serviciului poate fi atractiv dacă toată lumea înțelege compromisurile. Pentru acreditări, detalii financiare, activități reglementate sau conversații în care o eroare de securitate ar putea cauza daune grave, alegeți un serviciu cu un istoric de securitate verificabil independent și funcții care corespund acestor cerințe. ChatCrypt oferă criptare stratificată prin propriul cont, dar „de grad militar” nu este o certificare și nu ar trebui tratat ca o dovadă că un serviciu este lipsit de riscuri.