Czy Pegasus potrafi zagrozić użytkownikom Signala albo UseCrypt Messengera?

Komunikator Signal obok UseCrypt Messengera jest uważany za bezpieczny. Wyposażony jest w szyfrowanie end-to-end, a także szyfrowaną bazę. Ale ma też tę wadę – niewystarczająco zabezpiecza dane na urządzeniu, na którym jest zainstalowany. Właśnie z tego powodu komunikator Signal może być używany przez, nazwijmy to, osoby, które działają na własną rękę, a nie jako przedstawiciele profesjonalnych firm, instytucji czy organizacji.
W przypadku UseCrypt Messengera jest używany drugi, niezależny mechanizm, który sprawia, że trzeba zarówno przełamać zabezpieczenia telefonu (np. urządzeniem UFED), jak i odtworzyć klucze kryptograficzne wykorzystywane do ochrony bazy danych aplikacji.

Zastosowanie niezależnego od systemu operacyjnego mechanizmu ochrony danych przechowywanych na urządzeniu w znaczący sposób utrudnia, a wręcz uniemożliwia dokonanie masowej inwigilacji użytkownika. Twórcy oprogramowania takiego jak Pegasus zostaliby zmuszeni do złamania zabezpieczeń urządzenia, które jest bardzo popularne, oraz do wykonania pełnej analizy wstecznej zachowań i metod działania specjalistycznej aplikacji. Przejmowanie danych z komunikatorów WhatsApp, Viber czy Signal jest łatwe do osiągnięcia ze względu na brak zastosowania jakichkolwiek mechanizmów niezależnych od systemu operacyjnego – twórcy Pegasusa musieli więc znaleźć lukę tylko w systemie iOS i Android.

Natomiast w komunikatorze UseCrypt zastosowano także funkcję Panic-Code, dzięki której można wymusić natychmiastowe usuwanie historii wiadomości i wyrejestrowanie numeru z usługi. Próby siłowego łamania hasła dostępu do aplikacji zakończą się podobnym skutkiem — po 10 nieudanych próbach baza aplikacji zostanie w sposób kryptograficznie bezpieczny usunięta z urządzenia. Każdorazowy dostęp do aplikacji można zabezpieczyć kodem lub ustawić, by każda wysyłana wiadomość była usuwana automatycznie z czatu po zadanym przez strony konwersacji okresie czasu.

Gdyby konkurencyjne komunikatory dysponowały takim arsenałem obronnym, to nie wyszłyby na jaw afery związane ze współpracownikiem Donalda Trumpa, który korzystał z komunikatorów WhatsApp i Signal na BlackBerry. I dokładnie tak dobrano się do iPhone’a prezydenta Ekwadoru w aferze INA Papers.
Warto tu jeszcze wspomnieć o funkcji weryfikowania stanu bezpieczeństwa telefonu. Poza UseCrypt Messengerem prawdopodobnie żaden z dostępnych komunikatorów tego nie potrafi. Wśród najważniejszych należy wymienić:

• Zapewnia sprawdzenie istnienia przesłanek potwierdzających złamanie zabezpieczeń urządzenia, w tym wykonywania operacji w kontekście użytkownika uprzywilejowanego. Dokładnie w taki sposób pracuje oprogramowanie Pegasus.
• Dokonuje weryfikacji wyłączności dostępu do newralgicznych zasobów urządzenia, takich jak np. mikrofon czy kamera. W tym kontekście należy wymienić, że dokonywana weryfikacja zgodnie ze specyfikacją techniczną oprogramowania Pegasus była wystarczająca do uniemożliwienia wykorzystania m.in. funkcji nagrywania dźwięku w systemach Android.
• Wykrywa interakcje aplikacji trzecich pracujących w kontekście zwykłego użytkownika, jednak mających na celu pozyskanie poufnych danych. Przykładem takich aplikacji są np. popularne keyloggery dla systemu Android.
• Określa stan zabezpieczeń systemu operacyjnego i w przypadku istnienia aktualizacji umożliwiających eliminację znanych exploitów przekazuje informacje użytkownikom.

Jak dotąd nie przedstawiono żadnych informacji kompromitujących producenta UseCrypt Messengera ani użytkowników komunikatora. Nie doszło też do ani jednego przypadku ujawnienia tożsamości rozmówców albo kradzieży kontaktów, wiadomości, załączników, kluczy kryptograficznych. Z tego powodu rekomendujemy UseCrypt Messenger jako obecnie najbezpieczniejszy komunikator do rozmów głosowych i tekstowych. Uważamy też, że UseCrypt Messenger nie jest dla każdego. Przede wszystkim dlatego, że nie jest za darmo.
UseCrypt Messenger przeznaczony jest dla konkretnej grupy odbiorców, głównie profesjonalistów reprezentujących firmy i instytucje. O ile trudno jest przekonać znajomych, którzy korzystają z Facebook Messengera, Instagrama, WhatsAppa, aby płacili kilkadziesiąt złotych miesięcznie tylko za jedną aplikację, o tyle UseCrypt Messsenger jest rozwiązaniem dla przedsiębiorstw, które szanują dane operacyjne własne i swoich kontrahentów. Do nocnych rozmówek „trzy po trzy” z kolegami można używać darmowego Signala. UseCrypt Messenger jest bezkonkurencyjny tam, gdzie wymaga się bezkompromisowej poufności i tajności rozmów, zarówno podczas transmisji, jak i na urządzeniu.

Zasadność kupienia licencji UseCrypt Messenger ograniczamy do jednego zdania. Jeżeli użytkownik nie może zapłacić miesięcznego abonamentu (albo nie chce), to musi znaleźć darmową alternatywę i iść na pewne kompromisy. Dotyczą one bezpieczeństwa (Signal) i utraty prywatności (WhatsApp, Facebook Messenger, Viber).

Źródło: AVLab.pl (IX 2019)

Artykuł Pegasus straszy Polaków. Na szczęście jest remedium pochodzi z serwisu CRN.