Исправление ошибок сквозного шифрования (E2EE) в Element Web «Не удалось расшифровать событие».

Показательный пример: Майя может читать новые зашифрованные сообщения на своем телефоне, но после входа в Element Web на новом ноутбуке несколько старых событий отображаются как «Невозможно расшифровать». Этот гипотетический случай помогает отличить отсутствие ключа в новом браузере от ключа сообщения, который никогда не был передан ее учетной записи. Это различие важно, потому что первую проблему можно решить, проверив сессию браузера и восстановив резервную копию ключа; для решения второй может потребоваться другой участник или устройство, у которого действительно есть ключ.

Что обычно означает сообщение «Не удалось расшифровать событие»?

Element получил зашифрованное событие Matrix, но текущая сессия не смогла расшифровать его с помощью доступных ей ключей. Текст не хранится на домашнем сервере в формате, который Element может просто открыть, перезагрузив устройство. При сквозном шифровании необходимый ключ комнаты хранится на участвующих устройствах или в зашифрованной резервной копии ключа. Element заявляет, что хранение ключей поддерживает расшифровку истории на новых устройствах, а ключ восстановления может разблокировать эту резервную копию. Часто задаваемые вопросы Element по шифрованию и хранению ключей.

Ошибка может возникать по разным причинам: текущий браузер — это новая или непроверенная сессия без доступа к резервным ключам; ключ не был доставлен на это устройство; какое-то конкретное событие предшествовало моменту, когда устройство или пользователь могли получить ключ от комнаты; или же помехи создают локальные данные браузера или проблемы с клиентом. Видимая ошибка сама по себе не указывает на причину. Начните с проверки того, затрагивает ли ошибка одно событие, диапазон старой истории или все зашифрованные комнаты.

Что следует проверить перед изменением настроек шифрования?

В примере с Майей её телефон всё ещё поддерживает диалог. Это ценно: возможно, это проверенная сессия, содержащая ключи, отсутствующие в новой веб-сессии. Держите телефон в системе авторизованным и избегайте сброса криптографической идентификации или удаления резервной копии ключа во время расследования.

• Сравните устройства. Проверьте, расшифровывается ли то же событие на другом устройстве Element, авторизованном в системе. Если да, то ключ, вероятно, доступен где-то в настройках доверенных устройств/ключей учетной записи, даже если в этом браузере он отсутствует.
• Проверьте закономерность. Если только одно старое событие завершилось с ошибкой, возможно, отсутствует ключ сессии, или он никогда не был передан на это устройство. Если многие предыдущие сообщения завершаются с ошибкой только в недавно добавленном браузере, более веским доказательством является проверка устройства или резервное копирование ключа.
• Убедитесь, что вы используете правильную учетную запись и домашний сервер. Другая учетная запись, сервер или профиль браузера могут иметь отдельный идентификатор устройства и историю ключей.
• Сохраните доступ. Не выходите из системы на единственном устройстве, способном расшифровать комнату. Не очищайте данные сайтов в браузере до подтверждения ключа восстановления и любых важных экспортированных сообщений-ключей.

Эти проверки не являются разрушительными. Они помогают Maya избежать ситуации, когда однократное нарушение целостности ключа рассматривается как неисправная резервная копия учетной записи.

Как восстановить доступ в новой сессии Element Web?

Element рассматривает каждую сессию входа в систему как отдельное устройство, даже если две сессии используют один и тот же физический компьютер. Новая сессия браузера может потребовать проверки, прежде чем она сможет получить доступ к резервным ключам шифрования. В текущих инструкциях Element для веб-версии проверка сессии находится в меню профиля, затем « Все настройки» и «Сессии» . В разделе «Текущая сессия» выберите «Проверить сессию» . Доступные варианты проверки могут включать другое устройство или ключ восстановления. Названия меню могут различаться в зависимости от версии и развертывания на хостинге, поэтому следуйте указаниям, отображаемым в вашей установленной версии. Руководство Element по проверке устройств .

1. Оставьте открытой рабочую сессию на телефоне или компьютере. В Element Web откройте меню своего профиля и перейдите в раздел «Все настройки» > «Сессии» .
2. В разделе «Текущая сессия» выберите «Проверить сессию» .
3. Если появится соответствующее предложение, выберите «Подтвердить с помощью другого устройства» . Примите запрос на узнаваемом устройстве, затем сравните подтверждающие эмодзи или цифры на обоих экранах. Подтверждайте только в том случае, если они совпадают.
4. Если вы не можете использовать другое проверенное устройство, выберите опцию «ключ восстановления» и введите ранее сохраненный ключ. Ключ восстановления не является паролем вашей учетной записи.
5. После проверки оставьте Element Web открытым и позвольте ему получить доступные ключи резервного копирования. Повторно проверьте затронутые события.

Для Майи успешная проверка и восстановление ключей могут сделать историю резервных копий доступной для чтения в браузере. Однако ключи, которые никогда не были включены в резервную копию или никогда не передавались на её устройство, восстановиться не будут. В документации Element отмечается, что проверка нового входа в систему подключает её к системе перекрестной подписи и хранилищу секретов, что позволяет получить доступ к ключам резервных копий сообщений. Руководство Element по проверке нового входа в систему.

Что делать, если у вас есть ключ восстановления, но вы не уверены, что он работает?

Не проверяйте ключ восстановления, сбрасывая резервную копию. Element рекомендует проверять работоспособность сохраненного ключа, используя его в процессе проверки устройства в Element Web. Если у вас все еще есть авторизованное и проверенное устройство, в текущем руководстве Element также объясняется, как проверить статус ключа восстановления в разделе «Все настройки» > «Шифрование» и получить или изменить ключ. Надежно сохраните любой замененный ключ и убедитесь, что новый ключ принят, прежде чем полагаться на него. Контрольный список Element для ключа восстановления

Ключ восстановления защищает доступ к зашифрованному хранилищу ключей; он не расшифровывает содержимое самостоятельно, если соответствующий ключ комнаты никогда не был сохранен в резервной копии. Если вы все еще вошли в систему на устройстве, которое может расшифровать комнату, сохраните его доступным, следуя официальным инструкциям по экспорту или резервному копированию для вашей версии Element.

Почему всего одно событие — или лишь очень давняя история — до сих пор терпит неудачу?

Сообщения в чатах Matrix, зашифрованные с помощью групповых сессий, требуют наличия соответствующего ключа сессии. В руководстве по внедрению Matrix описывается доставка ключей чатов на конкретные устройства и объясняется, что клиенты могут запрашивать недостающие ключи у других клиентов. Совместное использование ключей регулируется правилами доверия и совместного использования устройств; клиент не должен автоматически отправлять ключи каждому непроверенному запрашивающему. Руководство по внедрению сквозного шифрования Matrix.

Существуют также законные случаи, связанные со временем. Например, устройство, подключившееся после начала предыдущей зашифрованной сессии, могло не получить ключ этой сессии. В руководстве Matrix отмечается, что новый добавленный пользователь обычно получает текущее состояние сессии для будущих сообщений; для более ранних сообщений требуется обмен историей, если это поддерживается и разрешено. В гипотетическом случае Майи, если ее телефон расшифровывает старое событие, но проверенный браузер по-прежнему этого не делает после восстановления из резервной копии, телефон может иметь единственную копию ключа от комнаты. Если ни на одном устройстве или в резервной копии его нет, восстановить его может быть невозможно.

Если Element предлагает запросить ключ, используйте его только после проверки того, какое устройство запрашивает доступ, и, по возможности, после проверки сессии. Спросите отправителя или администратора комнаты, есть ли у доверенного устройства еще ключ. Не разрешайте незнакомую сессию только для того, чтобы устранить ошибку.

Чего следует избегать?

• Не следует сбрасывать цифровую идентификацию в качестве первого шага по устранению неполадок. Element предупреждает, что сброс без активной сессии может привести к потере доступа к историческим зашифрованным сообщениям. Сброс идентификации — это крайняя мера, когда не осталось ключа восстановления или проверенного устройства, а не стандартная процедура ремонта.
• Не удаляйте и не сбрасывайте резервную копию ключей до их сохранения. Инструкции Element по сбросу резервной копии рекомендуют восстановить ключи и экспортировать их перед сбросом резервной копии на стороне сервера. Некоторые клиенты могут не иметь возможности экспортировать полную резервную копию, поэтому сначала проверьте инструкции для конкретной версии. Процедура сброса резервной копии ключей Element
• Не сообщайте свой ключ восстановления в чате, заявке в службу поддержки или на скриншоте. Это может разблокировать вашу зашифрованную резервную копию ключа. Вводите его только в рамках ожидаемого процесса проверки Element.
• Не следует предполагать, что очистка кэша исправляет отсутствующие криптографические ключи. Перезагрузка может устранить временную проблему с отображением, но она не может воссоздать ключ, который сессия так и не получила.

В документации службы поддержки Element указано, что сброс перекрестной подписи без активной сессии может привести к потере доступа к историческим зашифрованным сообщениям. Именно поэтому Майя держит свой рабочий телефон подключенным, пока проверяет браузер. Предупреждение Element о сбросе перекрестной подписи

В каких случаях следует обращаться к администратору домашнего сервера или в службу поддержки Element?

Обратитесь к администратору, если резервная копия ключа недоступна, резервная копия выдает ошибку, несколько пользователей сталкиваются с ошибками расшифровки после миграции сервера или проблема возникла после восстановления домашнего сервера. В документации Element по резервному копированию серверов отмечается, что потеря базы данных Synapse может привести к тому, что зашифрованные события будут отображаться как «Невозможно расшифровать»; это проблема восстановления сервера, а не настройка браузера. Документация по резервному копированию и восстановлению Element Server Suite

При сообщении о проблеме укажите версию Element Web, браузер, домашний сервер, расшифровывает ли другое проверенное устройство то же событие, а также являются ли затронутые сообщения недавними или архивными. Никогда не отправляйте содержимое сообщений или ключи восстановления. Если недоступно только одно событие и ни одно устройство не имеет ключа, четко объясните это: служба поддержки может диагностировать проблемы с доставкой или сервером, но не может получить ключ сквозного шифрования, который не хранится ни на одном доверенном устройстве или резервной копии.

Как понять, что исправление сработало?

Вернитесь в ту же комнату и к тому же событию, где произошла ошибка. Убедитесь, что сессия браузера отображается как подтвержденная, что резервная копия ключа подключена и что открывается более одного затронутого исторического события, если проблема связана с диапазоном. Затем проверьте недавнее зашифрованное сообщение. Если недавние сообщения работают, но одно старое событие остается недоступным, возможно, проблему с настройкой браузера можно решить, пока отсутствует конкретный ключ для этого события.

Для Майи полезным результатом является не просто исчезновение сообщения об ошибке. Важно, чтобы Element Web мог расшифровать ожидаемую ею историю, чтобы её новая сессия была проверена, а ключ восстановления был надёжно сохранён. Если все эти проверки пройдут успешно, за исключением события, недоступного на каждом устройстве, сохраните рабочие сессии и спросите отправителя или администратора, существует ли ключ комнаты для этого события где-либо ещё.