Která komunikační aplikace je nejbezpečnější? NÚKIB porovnal Signal, WhatsApp, Telegram i Threemu
Národní úřad pro kybernetickou a informační bezpečnost proto aktualizoval svou analýzu nejpoužívanějších komunikačních aplikací. Porovnal například Threemu, Signal, Telegram, WhatsApp, Messenger, Google Messages a Apple iMessage. Nejde přitom o jednoduchý žebříček vítězů a poražených. Jednotlivé služby se liší způsobem šifrování, množstvím shromažďovaných údajů, anonymitou i důvěryhodností provozovatele (zdroj NÚKIB).
Co znamená end-to-end šifrování
Jedním z nejdůležitějších bezpečnostních prvků je end-to-end šifrování, označované zkratkou E2EE.
Při jeho správném použití se zpráva zašifruje již v zařízení odesílatele a přečíst ji může až zařízení příjemce. Obsah komunikace by tak neměl být dostupný ani provozovateli aplikace.
Samotné šifrování však neznamená, že je komunikace dokonale bezpečná. Aplikace může nadále shromažďovat takzvaná metadata, například:
✓ kdo s kým komunikuje,
✓ kdy komunikace proběhla,
✓ jaké telefonní číslo je s účtem spojeno,
✓ jaké kontakty má uživatel uložené,
✓ z jakého zařízení nebo místa službu používá.
Bezpečnost navíc může selhat přímo u uživatele. Pokud útočník získá přístup k odemčenému telefonu, účtu nebo záloze zpráv, samotné šifrování přenosu ho nemusí zastavit.
Threema: vysoká úroveň soukromí bez telefonního čísla
Threema podle analýzy NÚKIB klade mimořádný důraz na bezpečnost, anonymitu a ochranu soukromí. End-to-end šifrováním chrání textové zprávy, skupinové chaty, hovory, fotografie i přenášené soubory.
Její výraznou výhodou je možnost používat aplikaci bez zadání telefonního čísla nebo e-mailové adresy. Uživatel získá náhodně vytvořené identifikační číslo, takže provozovatel nemusí vědět, kdo se za konkrétním účtem nachází.
Threema je placená a má menší uživatelskou základnu. Právě placený model však znamená, že její fungování nemusí být založeno na komerčním využívání uživatelských údajů. NÚKIB ji označuje za jednu z nejlépe zabezpečených komunikačních aplikací.
Signal: velmi bezpečná bezplatná volba
Signal chrání end-to-end šifrováním všechny podporované formy komunikace a současně omezuje množství metadat, ke kterým má provozovatel přístup. Umožňuje rovněž nastavit automatické mazání zpráv a jeho technologie je otevřená nezávislému prověřování.
Aplikaci provozuje nezisková organizace Signal Foundation a její používání je bezplatné.
Určitou nevýhodou je registrace prostřednictvím telefonního čísla. Signal proto neposkytuje stejnou úroveň anonymity jako Threema. Z hlediska ochrany obsahu komunikace a soukromí však podle NÚKIB dosahuje velmi vysoké úrovně. Nejsou ani veřejně doložené informace o prolomení zabezpečení samotné komunikace v Signalu.
Ani renomé bezpečné aplikace ale uživatele neochrání před sociálním inženýrstvím. Útočník může vytvořit falešný účet, vydávat se za známou osobu nebo uživatele přesvědčit k instalaci podvodné verze aplikace.
Telegram: šifrování není automatické ve všech konverzacích
Telegram bývá často vnímán jako bezpečnější alternativa k běžným komunikačním aplikacím. Podle analýzy NÚKIB má však několik podstatných nedostatků.
Běžné ani skupinové konverzace nejsou automaticky chráněny end-to-end šifrováním. Tato úroveň ochrany je dostupná pouze ve speciálním režimu Secret Chat, který funguje mezi dvěma uživateli a musí být vědomě aktivován. U standardních konverzací jsou zprávy ukládány na serverech provozovatele.
NÚKIB upozorňuje také na používání vlastního šifrovacího protokolu, nutnost registrace telefonním číslem, falešné účty a množství automatizovaných botů. Uživatelé Telegramu by proto měli být zvláště obezřetní při vstupu do skupin s neznámými lidmi a při otevírání odkazů nebo souborů.
Telegram tedy není automaticky nebezpečný. Nelze však předpokládat, že všechny zprávy jsou bez dalšího nastavení chráněny stejným způsobem jako například v Signalu.
WhatsApp: obsah zpráv šifruje, metadata zůstávají
WhatsApp používá end-to-end šifrování jako výchozí ochranu osobních zpráv a hovorů. Z hlediska samotného obsahu komunikace tak nabízí důležitou bezpečnostní vrstvu.
Otázkou však zůstává ochrana soukromí. Účet je navázán na telefonní číslo a společnost Meta může pracovat s dalšími informacemi, například s údaji o používání služby, kontaktech, zařízení nebo průběhu komunikace. Tato metadata samotné end-to-end šifrování nechrání.
NÚKIB navíc upozorňuje na rozdíly v ukládání dat podle operačního systému. Například některé mediální soubory mohou být zpřístupněny dalším částem zařízení nebo jiným aplikacím.
WhatsApp tedy nepropadl v ochraně obsahu zpráv. Slabším místem je především množství dalších údajů, které může jeho provozovatel získávat a propojovat v rámci ekosystému Meta.
Messenger a sociální sítě nejsou ideální pro citlivé informace
Messenger má u osobních zpráv a hovorů end-to-end šifrování standardně aktivní. Obsah komunikace je tak chráněn lépe než v minulosti.
Stále však platí, že provozovatel může mít k dispozici metadata a další údaje spojené s účtem na Facebooku. Uživatelská data jsou navíc uložena na serverech společnosti Meta.
Ještě opatrněji bychom měli přistupovat k chatům přímo na sociálních sítích. Instagram, Threads nebo TikTok neposkytují plošnou ochranu soukromých zpráv na stejné úrovni jako specializované šifrované komunikátory. NÚKIB proto nedoporučuje používat chatovací funkce sociálních sítí pro citlivou komunikaci.
Pracovní smlouvy, kopie dokladů, přístupová hesla nebo klientská data by přes sociální sítě neměly putovat vůbec.
Google Messages a iMessage: pozor na rozdíl mezi RCS a SMS
Výchozí aplikace v telefonech se systémem Android a iOS postupně přecházejí od klasických SMS k modernějšímu standardu RCS.
RCS může podporovat end-to-end šifrování, musí však být aktivní u všech účastníků konverzace a podporovat ho musí také konkrétní zařízení a operátor. Jakmile je zpráva odeslána jako běžná SMS, end-to-end ochrana se neuplatní.
Uživatel by si proto měl vždy ověřit, jakým způsobem je zpráva skutečně odesílána. Ikona nebo barva konverzace přitom může záviset na konkrétní aplikaci a zařízení.
Kterou aplikaci tedy zvolit?
Záleží na tom, jak citlivé informace posíláte a komu.
Pro vysokou úroveň soukromí a možnost komunikovat bez telefonního čísla vychází velmi dobře Threema. Pro většinu uživatelů, kteří hledají bezplatnou a současně velmi bezpečnou aplikaci, je vhodnou volbou Signal.
WhatsApp a Messenger poskytují šifrování obsahu osobních konverzací, ale jejich provozovatel pracuje s širším okruhem uživatelských údajů. Telegram nabízí některé bezpečnostní funkce, end-to-end šifrování však není automaticky dostupné ve všech chatech.
Rozhodnutí by proto nemělo stát pouze na tom, kterou aplikaci používá nejvíce známých. Důležité je také to, jaké informace přes ni posíláte.
Bezpečná aplikace nestačí. Rozhoduje také chování uživatele
I nejlépe zabezpečený komunikátor může být zneužit, pokud uživatel podcení základní pravidla.
✓ Aplikace stahujte pouze z oficiálního obchodu.
✓ Používejte silné zabezpečení telefonu a biometrické ověření.
✓ Aktivujte dvoufázové ověření účtu, pokud ho aplikace podporuje.
✓ Pravidelně kontrolujte přihlášená zařízení.
✓ Neotevírejte neočekávané odkazy a přílohy.
✓ Citlivé údaje neposílejte do skupinových konverzací.
✓ Před sdělením důvěrné informace ověřte identitu druhé osoby jiným způsobem.
✓ Pravidelně aktualizujte aplikaci i operační systém.
Zvláštní pozornost si zaslouží zálohování. Zpráva může být během přenosu výborně zašifrovaná, ale její nezabezpečená kopie uložená v cloudu může představovat slabé místo.
Pro firmy může jediná zpráva znamenat vážný problém
Zaměstnanci běžně komunikují prostřednictvím aplikací, které si sami zvolili. Posílají přes ně fotografie zakázek, nabídky, osobní údaje klientů, přístupové informace nebo interní dokumenty.
Takový postup může vést k:
✓ úniku osobních nebo obchodních údajů,
✓ převzetí firemního účtu,
✓ podvodné platbě na základě falešné zprávy,
✓ přerušení provozu,
✓ nákladům na obnovu dat a systémů,
✓ právním nárokům klientů nebo obchodních partnerů,
✓ poškození pověsti společnosti.
Firma by proto měla jasně stanovit, které komunikační nástroje zaměstnanci smějí používat a jaký typ informací přes ně mohou přenášet. Součástí ochrany by mělo být také školení zaměstnanců, správa přístupových oprávnění, pravidelné aktualizace a připravený plán pro řešení incidentu.
Kybernetické pojištění pomáhá řešit následky, nenahrazuje prevenci
Technická a organizační opatření mají incidentům především předcházet. Stoprocentní ochrana ale neexistuje.
Kybernetické pojištění může podle sjednaného rozsahu pomoci například s náklady na IT specialisty, obnovou dat, právní pomocí, komunikací s dotčenými osobami, řešením odpovědnosti nebo s následky přerušení provozu.
Každá pojistná smlouva však obsahuje vlastní podmínky, limity a výluky. Při sjednání je proto nutné vycházet ze skutečného způsobu, jakým firma pracuje s daty, mobilními zařízeními, cloudovými službami a komunikačními aplikacemi.
Urban & Votruba pomáhá podnikatelům posoudit nejen rozsah kybernetických rizik, ale také to, zda sjednané pojištění odpovídá reálnému provozu firmy. Smyslem není pouze uzavřít smlouvu. Podstatné je, aby pojištění pomohlo právě ve chvíli, kdy dojde ke skutečnému incidentu
