Єгор Альшевські: «Арешт Павла Дурова- тривожний дзвінок для безпеки месенджерів»

У сучасному цифровому світі захист особистої інформації та безпека в Інтернеті мають першорядне значення. Хоча багато додатків для обміну повідомленнями використовують відкритий код або складне шифрування, в дійсності абсолютна безпека залишається недосяжною, і жоден месенджер не може її гарантувати. Нещодавні події, такі як арешт засновника Telegram Павла Дурова у Франції, посилили дискусію про свободу слова та безпеку в цифрову епоху. Дурову, відомому своєю твердою позицією щодо приватності та спротиву урядовому стеженню, висунули звинувачення, які можуть призвести до тюремного ув'язнення. Ця ситуація піднімає нагальні питання про майбутнє безпечного обміну повідомленнями, приватність і масштаби, в яких уряди можуть контролювати цифрову комунікацію.

Щоб заглибитися в ці питання, ми поспілкувалися з Єгором Альшевські, генеральним директором і засновником компанії InTouch AG. Завзятий бізнесмен і філантроп, Альшевські інвестував значні кошти у створення повністю захищеної платформи для обміну повідомленнями. Однак у ході реалізації проєкту стало зрозуміло, що проблеми виявилися куди складнішими, ніж передбачалося спочатку, що наразі унеможливило реалізацію такої спроби.

Єгор Альшевські

Q: Єгоре, дякую, що долучилися до нас сьогодні. Давайте відразу зануримося в суть питання: Чи можливо створити 100% безпечний месенджер?

Єгор Альшевські: Поширеною помилкою є думка, що за наявності достатньої кількості технологій та докладених зусиль можна досягти абсолютної безпеки. Але насправді створити на 100% безпечний месенджер неможливо. Хоча ми можемо впровадити складне шифрування, суворі протоколи безпеки та постійний моніторинг, вразливі місця будуть завжди. Вони можуть з'являтися з різних джерел - будь то вади програмного забезпечення, апаратні проблеми або навіть постійно еволюціонуюча тактика кіберзлочинців. Ландшафт загроз постійно змінюється, як і наші засоби захисту, проте слід визнати, що не існує системи, яка б не була вразливою до атак.

Q: Відомо, що уряди в усьому світі чинять тиск на технологічні компанії з метою отримання доступу до зашифрованих повідомлень. Чи можете ви розказати як це впливає на розвиток безпечних месенджерів?

Єгор Альшевські: Безумовно, державне втручання є однією з найважливіших проблем, з якими ми стикаємося. Уряди мають у своєму розпорядженні цілу низку інструментів - від законодавчих кроків до технічного нагляду. Наприклад, австралійський Закон про внесення змін до телекомунікаційного та іншого законодавства («Про допомогу та доступ») від 2018 року фактично зобов'язує компанії створювати бекдори в шифруванні або послаблювати свої протоколи безпеки на вимогу правоохоронних органів. Таке законодавство безпосередньо підриває саму основу безпечного обміну повідомленнями.

Особливо тривожним прикладом є проєкт закону ЄС про боротьбу з сексуальним насильством над дітьми. Хоча його метою є запобігання поширенню матеріалів про сексуальне насильство над дітьми, він по суті зламає шифрування, вимагаючи від провайдерів послуг сканувати всі повідомлення на наявність незаконного контенту. Тобто навіть наскрізні зашифровані повідомлення будуть піддаватися ретельній перевірці, що фактично зведе нанівець захист приватності, який має забезпечуватися шифруванням.

Нещодавній арешт Павла Дурова підкреслює зростаючий тиск на технологічні компанії, які змушені виконувати вимоги уряду щодо доступу до даних користувачів. Дуров, активний захисник приватності та свободи слова, довгий час чинив опір спробам уряду отримати доступ до зашифрованих повідомлень Telegram через бекдор. Його арешт не лише підкреслює ризики, з якими стикаються ті, хто виступає проти таких вимог, але й викликає серйозні занепокоєння щодо майбутнього приватності та свободи в цифрову епоху. Готовність урядів контролювати діяльність користувачів і заарештовувати генерального директора месенджера за те, що він виступає проти бекдорів, ставить під сумнів особистісну свободу і право на недоторканність приватного життя.

Крім того, законодавчі акти на кшталт патріотичного закону США і закону про хмарне співробітництво змушують компанії розкривати дані користувачів, навіть якщо вони зашифровані. По суті, ми опинилися між молотом і ковадлом - дотримуватися цих законів і ставити під загрозу конфіденційність користувачів, або чинити опір і наражатися на юридичні наслідки. Це складний баланс, але ми прагнемо дотримуватися його таким чином, щоб максимально захистити конфіденційність наших користувачів.

Q: Ви вже згадали про технічний нагляд. А які ще методи використовують уряди, щоб обійти шифрування, і як вони впливають на безпеку користувачів?

Єгор Альшевські: Уряди використовують найсучасніші технології для доступу до комунікацій, навіть якщо вони зашифровані. Наприклад, вони можуть використовувати систему стеження GSM ID, яка дозволяє відслідковувати мобільні пристрої та безпосередньо перехоплювати комунікації. Існують також такі методи, як експлуатація пристрою, коли для доступу до даних використовуються вразливості в програмному забезпеченні пристрою, що дозволяє повністю обійти шифрування.

Існує також проблема метаданих. Навіть якщо зміст повідомлення зашифрований, до метаданих - хто з ким спілкується, коли і як довго - все одно можна отримати доступ. Ця інформація може багато чого розповісти про моделі спілкування людини і може бути використана для стеження та моніторингу. Отже, хоча шифрування має вирішальне значення, воно не є панацеєю від усіх бід. Уряди мають безліч інструментів для збору інформації без прямого зламу шифрування.

Можливо, нам потрібно почати думати про те, як ми можемо розробити більш складні методи анонімізації і створити протоколи, які не піддаються аналізу метаданих. Інформування користувачів про те, як мінімізувати вплив метаданих, також може бути частиною ширшої стратегії посилення приватності.

Q: Що б ви порадили користувачам для посилення їхньої безпеки?

Єгор Альшевські: Для користувачів дуже важливо залишатися пильними та активно дбати про свою цифрову безпеку. Одним із ключових кроків є регулярне оновлення програмного забезпечення на своїх пристроях, включаючи мікропрограми, операційні системи та додатки. Ці оновлення часто містять критичні виправлення безпеки, які захищають від нових небезпек.

Для тих, хто особливо переймається питанням конфіденційності, додатковим рівнем безпеки може стати використання месенджерів, які періодично публікують свій вихідний код. Однак навіть це не є стовідсотковою гарантією - були випадки, коли на такі платформи, як Apple Store, завантажували різні версії коду, що потенційно ставило під загрозу безпеку. Важливо завжди бути в курсі цих ризиків і застосовувати найкращі практики, щоб захистити свою цифрову комунікацію.

Q: Давайте поговоримо про технічний бік справи. Багато месенджерів використовують відкритий код та наскрізне шифрування для забезпечення безпеки. Які сильні та слабкі сторони цих технологій?

Єгор Альшевські: Відкритий код часто високо оцінюють за його прозорість, яка дозволяє всім бажаючим перевіряти його на наявність потенційних вразливостей. Це сильна сторона, оскільки вона дає змогу проводити незалежний аудит безпеки та зміцнює довіру між користувачами. Однак, недоліком є те, що ця ж прозорість може бути і слабким місцем. Зловмисники можуть перевіряти код, виявляти вразливості та експлуатувати їх до моменту, коли їх буде виправлено. І не варто забувати, що безпека проєктів з відкритим вихідним кодом залежить від спільноти розробників, які не завжди встигають виявити всі недоліки.

Наскрізне шифрування (E2EE) - ще один важливий компонент безпечного обміну повідомленнями. Воно гарантує, що тільки відправник і одержувач можуть прочитати повідомлення, захищаючи його від третіх осіб, включаючи постачальника послуг і державні органи. Однак E2EE постійно перебуває під тиском законодавства, спрямованого на його послаблення або заборону. Атаки через побічні канали, які використовують вразливості за межами зашифрованого каналу зв'язку, і витоки метаданих - це ще одні ризики, які можуть підірвати безпеку, яку гарантує шифрування.

Можливо, нам потрібен більш проактивний підхід до залучення спільноти до проєктів з відкритим вихідним кодом, що забезпечить більш швидке реагування на вразливості. Ми також могли б розглянути питання про вдосконалення алгоритмів шифрування і включення більш комплексних засобів захисту від атак через побічні канали і витоку метаданих. Якщо ми хочемо випереджати нові загрози, то безперервні інновації в шифруванні мають вирішальне значення.

Q: Штучний інтелект (ШІ) і машинне навчання (МН) все частіше інтегруються в протоколи безпеки. Як, на вашу думку, ШІ та МН впливають на безпеку месенджерів в позитивному та негативному сенсі?

Єгор Альшевські: Штучний інтелект і машинне навчання (MН) мають величезний потенціал для посилення безпеки, завдяки аналізу величезних обсягів даних для виявлення підозрілої активності, прогнозування загроз і автоматизації процесів моніторингу. Наприклад, алгоритми на основі штучного інтелекту здатні виявляти патерни, які можуть свідчити про порушення безпеки, що дозволяє оперативно втрутитися в ситуацію до того, як буде завдано значної шкоди. Зокрема, MН може допомогти системам вчитися на минулих інцидентах і постійно вдосконалювати свій захист від нових загроз. Особливо корисним це може бути для запобігання витоку даних та інших інцидентів безпеки.

Однак зловживання ШІ та MН викликає значне занепокоєння. Ці технології можуть використовуватися для масового стеження, маніпулювання громадською думкою і навіть створення секретних урядових профілів осіб на основі їхньої онлайн-активності - від обміну повідомленнями в соціальних мережах до історії покупок. Етичні наслідки дуже серйозні, і існує реальний ризик підриву прав на приватність. Інтегруючи ШІ та MН у платформи обміну повідомленнями, ми повинні бути обережними і застосовувати надійні засоби захисту для запобігання зловживанню цими технологіями.

Q: З огляду на всі ці виклики, яке майбутнє чекає на безпеку месенджерів? Чи існує ймовірність досягнення балансу між безпекою та конфіденційністю?

Єгор Альшевські: Майбутнє безпеки месенджерів лежить у площині пошуку балансу між захистом приватності та вирішенням легітимних питань безпеки. Це складне завдання, яке вимагає постійних інновацій та діалогу між технологами, політиками та громадянським суспільством. Необхідно продовжувати розвивати і вдосконалювати такі технології, як шифрування, ШІ і МН, паралельно пропагуючи законодавство, яке поважає приватність і свободу вираження поглядів.

Водночас потрібно бути реалістами. Хоча ми можемо досягти значних успіхів у підвищенні безпеки, ідея про 100% безпечний месенджер - це міф. Завжди існуватимуть вразливі місця, і ландшафт загроз продовжуватиме розвиватися. Необхідно максимально мінімізувати ці ризики і бути відкритими з користувачами щодо недоліків нашої технології. Тільки завдяки спільному багатогранному підходу ми можемо розраховувати на створення безпечного цифрового середовища для всіх.

Джерело: https://www.msn.com/en-us/news/other/when-privacy-is-challenged-the-high-stakes-of-secure-messaging/ar-AA1qwqmc?ocid=BingNewsVerp