На початку березня Голова антикорупційного бюро України Артем Ситник заявив, що СБУ за необхідності може отримати доступ до сервісів із месенджерів Viber та WhatsApp. На що голова WhatsApp Ян Кум заперечив: «Наскрізне шифрування (end-to-end encryption) означає, що ніхто не може читати чужі особисті повідомлення».

MediaSapiens вирішив проаналізувати, яким чином ці месенджери захищають право користувачів на приватність.

Viber

Ще 2013 року в інтерв'ю Guardian засновник Viber Телмон Марко сказав, що компанія не має можливості прослуховувати розмови. Повідомлення зберігаються протягом двох тижнів або поки вони не відкриті одержувачем — залежно від того, що коротше. Близько 80 % повідомлень видаляються швидше, ніж за секунду. Повідомлення зашифровані, й Марко каже, що вони ніколи не передавали ключів шифрування жодному урядові.

В Саудівській Аравії, наприклад, Viber заблоковано. Як коментує Марко, ця заборона вийшла одразу, коли керівництво країни повідомило: якщо Skype, Viber і WhatsApp не зазнаватимуть моніторингу, то їх блокуватимуть. Так і трапилося: «Нас попросили про співпрацю. Ми ніколи не передавали нікому нічого, що дозволяло би прослуховувати розмови або повідомлення з Viber. Я вважаю, люди повинні звернути увагу на те, що уряд Саудівської Аравії погрожував трьом компаніям відключити обслуговування — нам, Skype і WhatsApp, і тільки одну компанію заборонили. Користувачі повинні спитати себе, чому інші компанії не закрили».

Наприкінці листопада 2015 року в Бангладеші було заборонено Facebook, WhatsApp і Viber із метою «зупинити злочинців». У виданні Techtimes зазначають, оскільки «уряд дозволив деякі мобільні додатки соціальних медіа, але злочинці почали зловживати ними заради власної вигоди, то в результаті додатки було тимчасово заборонено, щоб затримати злочинців». Але ця «тимчасовість» затягнулася.

На сайті месенджера в розділі «Політика приватності» сказано: «Ми не надаємо в оренду, не продаємо й не ділимося жодною інформацією про наших користувачів із жодними третіми особами, за винятком чітко зазначених випадків. Ми можемо розкрити вашу особисту інформацію, якщо ми вважаємо, що така дія необхідна:

(А) відповідно до закону або судового процесу проти нас;

(Б) щоб захистити свої права або власність (включно з виконанням наших угод);

(В) у разі крайньої потреби, для забезпечення особистої безпеки користувачів нашої служби або представників громадськості».

Про захист інформації розробники зазначають: «Ми вживаємо розумних заходів для захисту особистої інформації від неправомірного використання, втрати й несанкціонованого доступу. Хоча ми не можемо гарантувати, що особиста інформація не підлягатиме несанкціонованому доступу, ми маємо фізичні, електронні та процедурні гарантії для захисту особистої інформації. Персональна інформація зберігається на наших серверах і захищена мережевими засобами, доступ до яких обмежений кількома вповноваженими співробітниками й персоналом. Але жоден із методів передачі через інтернет або електронного зберігання не є на 100 % безпечним».

WhatsApp

Влітку 2015-го сайт ВВС писав: оскільки у WhatsApp використовують потужне шифрування повідомлень, то уряди США й Великобританії висловили стурбованість, що, знаючи про секретність месенджера, злочинці й терористи ведуть там активне спілкування.

Адже, за словами британського прем'єр-міністра Девіда Камерона, необхідна повна заборона на шифрування повідомлень, щоби гарантувати, що терористи не мають безпечного простору для спілкування.

У березні 2016-го поширилася інформація, що уряд США намагається змусити WhatsApp змінити свої правила приватності, аби можна було читати повідомлення конкретного користувача.

Випадок пов'язаний із рішенням американського суду, де суддя дозволив уряду проглядати чати користувача, але зробити це було неможливо — повідомлення зашифровані. Така ж суперечка триває у Великобританії, адже британський уряд намагається змусити технологічні компанії, включаючи Apple та WhatsApp, допомогти зламати телефони своїх користувачів. Та компанії у відповідь заявляють, що використання сильного шифрування є ключовим для їхніх продуктів, і ослаблення в одному випадку означатиме послаблення для всіх.

На офіційному веб-сайті месенджера в розділі «Правила і конфіденційність» вказано схожі на вайберівські правила зберігання повідомлень: якщо протягом тридцяти днів отримувач не відкрив повідомлення, воно автоматично видаляється із сервера. Відкрите ж повідомлення означає — інформація вже «пішла» з сервера. Але додано: «Незважаючи на вищесказане, WhatsApp може зберігати інформацію про дату й час, пов'язану з успішно доставленими повідомленнями, а також номери мобільних телефонів, задіяних у повідомленнях, і будь-яку іншу інформацію, яку WhatsApp юридично змушений збирати».

Розробники американського месенджера зазначають, що вони можуть «збирати й розкривати персональну та / або неперсональну інформацію, якщо це вимагається законом. Або у випадку припущення, що така дія необхідна відповідно до державних і федеральних законів (наприклад, Закон США про авторське право), міжнародного права або ж у випадку постанови суду, повістки до суду або ордеру на обшук чи тоді, коли фізична безпека особи може виявитися або є під загрозою».

Вказано, що WhatsApp залишає за собою право розкривати особисту інформацію задля допомоги державним правоохоронним органам. Тобто розробники месенджера не виключають зливання даних правоохоронним органам.

Та лишається питання, чи можуть правоохоронні органи самовільно, без погодження з керівництвом WhatsApp чи Viber, читати повідомлення.

MediaSapiens звернувся із запитом до Антикорупційного бюро, щоб уточнити зміст заяви пана Ситника — яким чином «знімається» інформація з месенджерів. На що отримали таку відповідь: «Відповідно до ч. 4 ст. 263 КПК, зняття інформації з транспортних телекомунікаційних мереж покладається на уповноважені підрозділи органів Національної поліції та органів безпеки. Національне антикорупційне бюро України не має можливостей для самостійного зняття інформації з телекомунікаційних мереж».

В зазначеній статті КПК написано, що: «Зняття інформації з транспортних телекомунікаційних мереж (мереж, що забезпечують передавання знаків, сигналів, письмового тексту, зображень та звуків або повідомлень будь-якого виду між підключеними до неї телекомунікаційними мережами доступу) є різновидом втручання у приватне спілкування, яке проводиться без відома осіб, які використовують засоби телекомунікацій для передавання інформації, на підставі ухвали слідчого судді, якщо під час його проведення можна встановити обставини, які мають значення для кримінального провадження».

Експерт із мультимедіа та питань кібербезпеки, викладач Могилянської школи журналістики Михайло Кольцов пояснив MediaSapiens, що держструктури можуть читати повідомлення у WhatsApp і Viber якщо:

• вони мають доступ до телефона одного зі співрозмовників;
• у налаштуваннях месенджера не використовується функція таємних чатів;
• користувач використовує незахищене інтернет-з'єднання, яке ніяким чином не зашифроване.

А чи можуть правоохоронні органи отримати доступ до серверів WhatsApp чи Viber?

Ні, оскільки самі сервери розташовані за межами України й до них не можна отримати прямого доступу. Втім, такий доступ може бути наданий у випадку домовленості між спецслужбами країн. Останнє трапляється рідко, оскільки є простіші способи перехоплення повідомлень. Наприклад, Man in the middle («людина посередині» чи «атака посередника». — MS): коли користувачі спілкуються повідомленнями в месенджері, то вони бачать своє ім'я як відправника, і ім'я іншого користувача — як отримувача повідомлень. Таким чином вони думають, що спілкуються одне з одним. Месенджери спілкуються так само, от тільки в них замість імен — ідентифікаційні ключі, зашифровані певним алгоритмом. Якщо хтось третій підключиться до роутера або сервера, який розташований на шляху мого повідомлення до вас, то зможе отримати доступ до цих ключів і отримувати повідомлення одночасно від мене й від вас, тоді як ми б з вами були впевнені, що спілкуємося одне з одним.

Наприклад, ви помічали, що якщо ви підключені до месенджера на декількох пристроях, то повідомлення приходить на всі ці пристрої? От так працює і атака «людини посередині».

А чи відомі практики таких втручань безпековими службами?

Щодо українських спецслужб, то мені такі випадки невідомі, що зовсім не означає, що їх не було. На мою думку, це має бути найпопулярнішим способом прослуховування месенджерів у силу своєї ефективності.

Але от нещодавно голова WhatsApp Ян Кум написав: «Наскрізне шифрування (end-to-end encryption) означає, що ніхто не може читати чужі особисті повідомлення».

Це лише означає, що ключі шифрування не зберігаються на сервері й тому доступ до них не мають працівники компанії. Ключі зберігаються на пристроях користувачів. Це захищає від атаки «людини посередині», але тільки в тому випадку, якщо ніхто не має доступу до одного з пристроїв.