Apple i Google wprowadzają międzyplatformowe szyfrowanie wiadomości RCS

Rich Communication Services (RCS) to forma komunikacji będąca połączeniem SMS-ów i komunikatorów internetowych – wiadomości tekstowe wysyłane są przez internet, zamiast przez standardową sieć operatora. Możliwe jest także przesyłanie załączników. Aby skorzystać z RCS, musi wspierać je nasz operator, ale w Polsce robi to większość dużych telekomów. TLDR: Dotychczas wiadomości...

#WBiegu #Apple #Awareness #Ciekawostki #Google #Rcs #Szyfrowanie

https://sekurak.pl/apple-i-google-wprowadzaja-miedzyplatformowe-szyfrowanie-wiadomosci-rcs/

Bez podsłuchiwania rozmów na Discordzie. Protokół DAVE szyfruje audio i wideo

Platforma komunikacyjna Discord oficjalnie ogłosiła zakończenie wieloletniego procesu wdrażania domyślnego szyfrowania end-to-end (E2EE) dla połączeń głosowych oraz wideo.

Po fazie testów i usunięciu z kodu aplikacji mechanizmów pozwalających na nieszyfrowane połączenia zapasowe, pełna ochrona prywatności stała się standardem. Bezpieczeństwo rozmów gwarantuje autorski, w pełni otwarty protokół o nazwie DAVE.

Protokół DAVE, czyli bezpieczne konsole i smartfony

Wdrożenie pełnego szyfrowania w ekosystemie Discorda było gigantycznym wyzwaniem inżynieryjnym ze względu na skrajną heterogeniczność platformy. W jednej rozmowie grupowej mogą jednocześnie uczestniczyć użytkownicy korzystający z komputerów, smartfonów, przeglądarek internetowych oraz konsol PlayStation i Xbox.

Aby zapewnić spójne bezpieczeństwo bez generowania opóźnień w przesyłaniu dźwięku i obrazu, Discord we współpracy z uznaną firmą audytorską Trail of Bits opracował protokół DAVE (Discord Audio & Video End-to-End Encryption). Wykorzystuje on nowoczesny standard Messaging Layer Security (MLS) do bezpiecznej i skalowalnej wymiany kluczy kryptograficznych w rozmowach wieloosobowych.

Nowe zabezpieczenie działa automatycznie i nie wymaga od użytkowników aktywacji jakichkolwiek opcji w ustawieniach. Szyfrowaniem objęto:

• Prywatne rozmowy głosowe i wideo (DMs).
• Konwersacje w grupach prywatnych (Group DMs).
• Standardowe kanały głosowe na serwerach.
• Transmisje strumieniowe z gier (Go Live).

Jedynym wyjątkiem pozostają kanały typu Stage, które ze względu na swoją architekturę służą do publicznych transmisji i masowych paneli dyskusyjnych, a nie prywatnej wymiany informacji.

Dlaczego czaty tekstowe pozostają jawne?

Wielu użytkowników zastanawia się, dlaczego rewolucja kryptograficzna ominęła tradycyjne wiadomości tekstowe. Władze platformy wyjaśniają to ogromnym długiem technologicznym. Większość kluczowych funkcji Discorda – takich jak zaawansowana moderacja treści przez boty, przeszukiwanie historii wiadomości, indeksowanie linków czy podgląd multimediów – została od podstaw zaprojektowana przy założeniu, że serwery mają bezpośredni wgląd w tekst. Przebudowanie tych struktur pod kątem pełnego szyfrowania end-to-end wymagałoby napisania architektury czatów całkowicie od nowa. Na ten moment firma nie planuje takiego kroku.

Discord ze wsparciem dla Handoff. Aplikacja ułatwia przełączanie się między iPhonem, iPadem i Makiem

Jak zapowiedziałem tak zrobiłem. Zapraszam na krótką recenzję #EntePhotos 📷

https://blog.narecki.name/ente-photos-nowy-dom-dla-twoich-zdjec

#prywatność #zdjęcia #szyfrowanie

Szwajcarski ser zamiast szyfrowania. Jak komunikator TeleGuard naraził ponad milion użytkowników

Miał być twierdzą nie do zdobycia, opartą na legendarnym „szwajcarskim bezpieczeństwie”. Komunikator TeleGuard pobrano ponad milion razy, bo obiecywał pełną anonimowość i szyfrowanie end-to-end.

Dziennikarskie śledztwo serwisu 404 Media oraz eksperci od cyberbezpieczeństwa właśnie obnażyli prawdę: aplikacja jest tak dziurawa, że równie dobrze moglibyście wysyłać swoje sekrety na pocztówkach.

W świecie komunikatorów internetowych panuje zasada Dzikiego Zachodu – każdy może obiecać wszystko. TeleGuard, aplikacja stworzona przez szwajcarską firmę Swisscows, kusiła użytkowników hasłami: „Brak gromadzenia danych. Silnie szyfrowane. Szwajcarska produkcja”. Brzmi jak idealna alternatywa dla tych, którzy nie ufają gigantom technologicznym. Problem w tym, że pod maską tego marketingowego przekazu kryje się technologiczna katastrofa.

Kryptograficzny koszmarek zamiast tarczy

Aby zrozumieć, jak bardzo twórcy TeleGuard zepsuli sprawę, musimy na chwilę zajrzeć w technikalia. W prawidłowo wdrożonym, bezpiecznym szyfrowaniu typu end-to-end (E2EE), klucz prywatny służący do odczytywania wiadomości nigdy nie opuszcza Twojego telefonu. Serwer firmy jest tylko „listonoszem”, który przenosi zamkniętą kopertę, ale nie ma do niej klucza i nie jest w stanie odczytać treści wiadomości.

Jak ujawnili badacze w rozmowie z Josephem Coxem z 404 Media, TeleGuard… po prostu wysyła Twój klucz prywatny na swoje serwery podczas rejestracji. Ale czekajcie, dopiero się rozgrzewamy.

Firma mogłaby się bronić, że przesyła klucz w formie zaszyfrowanej, ale badacze odkryli, że aplikacja dołącza do niego wszystko, co jest potrzebne do jego odszyfrowania. W profesjonalnej kryptografii stosuje się dwa kluczowe mechanizmy obronne: unikalne wartości jednorazowe (działające jak kody SMS z banku, tzw. nonce; skrót od number used once) oraz tzw. sól. Ta kulinarna nazwa nie jest przypadkowa! Sól to porcja losowych danych dorzucana do Twojego klucza przed zaszyfrowaniem. Działa jak unikalna przyprawa – sprawia, że nawet jeśli dwie osoby mają identyczne hasło, po „posoleniu” i zakodowaniu algorytm „wypluwa” zupełnie inne ciągi znaków, przez co hakerzy nie mogą używać gotowych ściąg do ich łamania.

Prawidłowa sól i wartości jednorazowe muszą być generowane losowo dla każdej nowej sesji. Twórcy TeleGuarda zrobili coś absurdalnego: zakodowali je na stałe. Mówiąc obrazowo: to tak, jakby producent zamontował w milionie sejfów potężne zamki szyfrowe, po czym w każdym z nich zostawił ten sam, fabryczny PIN wpisany na sztywno. Nic dziwnego, że Dan Guido, szef renomowanej firmy cyberbezpieczeństwa Trail of Bits, podsumował to krótko: szyfrowanie w tej aplikacji jest całkowicie bezcelowe.

Twój klucz dla każdego

Złe wdrożenie kryptografii to jedno, ale TeleGuard poszedł o krok dalej. Badacze odkryli, że aby uzyskać czyjś klucz prywatny, wystarczyło wpisać w publicznym API aplikacji (interfejsie programistycznym) jego numer ID (sic!).

Ponieważ wielu użytkowników chwaliło się swoim ID w sieci, by inni mogli ich znaleźć, otwierali tym samym furtkę każdemu domorosłemu hakerowi do odczytania ich korespondencji. Ponadto same metadane – informacja o tym, kto, kiedy i z kim pisze – krążyły po sieci w formie otwartego tekstu!

Iluzja, która ma realne konsekwencje

To nie jest tylko akademicki problem programistów. Teoretycznie nieprzeniknione komunikatory to często jedyne bezpieczne okno na świat dla osób represjonowanych – np. dziennikarzy śledczych, sygnalistów i aktywistów funkcjonujących w państwach autorytarnych. Dla nich wyciek korespondencji to nierzadko wyrok. I to ten najwyższy, kosztujący dziennikarza czy sygnalistę życie.

Z drugiej strony, obietnice absolutnej anonimowości TeleGuarda przyciągnęły też przestępców, których złudne poczucie bezpieczeństwa doprowadziło ostatecznie w ręce organów ścigania. Jak donoszą amerykańskie media, FBI namierzyło jednego z nich z dziecinną łatwością, m.in. przez przechwycenie powiadomień push z aplikacji.

Cała sprawa wygląda szczególnie blado, gdy przypomnimy sobie niedawne starcie rządu Wielkiej Brytanii z Apple. Gdy Brytyjczycy próbowali wymusić na gigancie z Cupertino stworzenie backdoora w iMessage (pod pretekstem walki z przestępczością w ustawie Online Safety Bill), Apple postawiło twarde weto, grożąc całkowitym wycofaniem swoich usług komunikacyjnych z Wysp, byle tylko nie osłabić szyfrowania – i ostatecznie brytyjski rząd (pod naporem amerykańskiej administracji, ale i głosów własnych obywateli, wyborców i użytkowników Apple) się ugiął.

Wielka Brytania chciała tylnej furtki do iCloud. USA grozi zerwaniem umów

Celowy sabotaż czy historyczna niekompetencja?

Tymczasem „szwajcarska” alternatywa, która miała być ostoją prywatności, w praktyce okazała się drzwiami otwartymi na oścież. Chciałbym, żebyśmy się dobrze zrozumieli. Tak szkolne, wręcz absurdalne luki w oprogramowaniu zawierającym jakiekolwiek funkcje kryptograficzne rodzą w branży naturalne pytania: czy to tylko skrajna, niewybaczalna niekompetencja szwajcarskich programistów, czy może celowo zostawiony backdoor na prośbę służb, które dostały idealne narzędzie do inwigilacji? Choć na to drugie nie ma twardych dowodów, sytuacja rodzi mocne podejrzenia.

Dlaczego podejrzenia? Z punktu widzenia programisty, żeby zepsuć sól i unikalne wartości jednorazowe, trzeba się wręcz… postarać. Większość współczesnych, gotowych bibliotek kryptograficznych, czyli klocków, z których budujemy aplikacje zawierające funkcje kryptograficzne, domyślnie generuje te wartości losowo. Żeby wpisać je w kodzie „na sztywno”, deweloper musiał celowo zignorować standardową procedurę, nadpisać funkcje losujące i wklepać tam stały ciąg znaków. To nie jest błąd typu „oops, zapomniałem średnika”. To jest architektura zaplanowana tak, żeby nie działała.

Nawet zyskujący na popularności tzw. vibe coding (pisanie programów na szybko z pomocą sztucznej inteligencji) wyplułby tu bezpieczniejszy kod, bo każdy model AI z automatu wrzuciłby w to miejsce funkcję generującą losowość.

Wiem o czym myślicie, sam też sobie zadaję to pytanie. Czy to celowo zostawiony backdoor dla służb? Historia uczy nas zresztą, że w tej branży „szwajcarska neutralność i prywatność” potrafi być doskonałą przykrywką. Wystarczy przypomnieć słynną aferę z firmą Crypto AG (poszukajcie sobie hasła Operacja Rubicon) – szwajcarskim producentem maszyn szyfrujących, który przez dekady sprzedawał sprzęt rządom na całym świecie, podczas gdy w rzeczywistości firma była potajemnie własnością CIA i zachodnioniemieckiego BND, którzy czytali wszystko jak leci. Chyba jednak w przypadku TeleGuarda nie ma się co doszukiwać aż tak głębokiego „spisku”. Ta aplikacja zrobiona jest po prostu zbyt głupio.

Tego problemu nie da się załatać

Firma Swisscows do dziś nie odniosła się do zarzutów. Według badaczy luki nadal nie zostały załatane, a użytkownicy nie otrzymali żadnego ostrzeżenia. Jeśli więc masz TeleGuard na swoim telefonie, najrozsądniejszym krokiem jest natychmiastowe usunięcie konta i odinstalowanie programu. Zresztą, co tu łatać, jak sama architektura i fundamenty kryptograficzne tej aplikacji są z gruntu wadliwe.

Sprawa TeleGuard to lekcja dla nas wszystkich. W cyfrowym świecie słowa „military-grade encryption” czy flagi europejskich państw z rygorystycznym prawem prywatności same w sobie nie dają żadnej gwarancji. Największe zaufanie ekspertów budzą dziś te rozwiązania, których kod źródłowy jest otwarty (open-source) i regularnie sprawdzany przez niezależnych audytorów. Jeśli zależy Wam na prawdziwym bezpieczeństwie, zostawcie marketingowe obietnice i postawcie na sprawdzone narzędzia pokroju Signala.

Rosja odcina WhatsApp i Telegram. Miliony użytkowników zmuszane do komunikatora pod pełną kontrolą państwa

Rosja przyspiesza budowę własnego, zamkniętego internetu.

Władze zablokowały dostęp do WhatsAppa i Telegrama, jednocześnie wzmacniając nacisk na korzystanie z państwowego komunikatora Max – aplikacji zaprojektowanej tak, by umożliwiać służbom wgląd w każdą wiadomość.

To kolejny etap cyfrowej suwerenności w rosyjskim wydaniu, gdzie bezpieczeństwo państwa coraz wyraźniej wygrywa z prywatnością obywateli.

Koniec szyfrowanych rozmów

Jak informuje Financial Times, miliony użytkowników zostały nagle odcięte od WhatsAppa – komunikatora należącego do Meta, który jeszcze niedawno miał w Rosji co najmniej 100 milionów użytkowników. Decyzja nie była przypadkowa. Rosyjski regulator internetu, Roskomnadzor, usunął aplikację z krajowego rejestru usług online, co w praktyce oznacza blokadę na poziomie infrastruktury sieciowej.

Państwo ma tu technologiczną przewagę: cały ruch internetowy w kraju przechodzi przez kontrolowane przez rząd serwery. Jeśli coś znika z systemu – znika niemal natychmiast.

Meta jako „organizacja ekstremistyczna”

Równolegle utrzymano blokadę Facebooka i Instagrama, a sama Meta została w Rosji formalnie uznana za „organizację ekstremistyczną”. W takim statusie działalność firmy jest de facto nielegalna, co daje władzom szerokie narzędzia do ograniczania jej produktów.

Telegram przez długi czas funkcjonował w szarej strefie – formalnie tolerowany, choć utrudniany technicznie. Teraz również został skutecznie odcięty. To ruch o tyle zaskakujący, że komunikator jest szeroko wykorzystywany także przez rosyjskich żołnierzy na froncie Ukrainy – do ostrzeżeń o atakach dronów czy utrzymywania kontaktu z bliskimi. Według doniesień decyzja wywołała niezadowolenie nawet wśród części prorządowych środowisk.

Max: komunikator, który widzi wszystko

W miejsce globalnych platform państwo promuje aplikację Max, czyli narodowy komunikator zaprojektowany z myślą o nadzorze. Kluczowa różnica względem zachodnich usług? Brak realnego szyfrowania chroniącego treść rozmów przed operatorem systemu. W praktyce oznacza to możliwość stałego monitorowania komunikacji przez aparat państwowy.

Dla władz to narzędzie kontroli. Dla użytkowników — koniec cyfrowej anonimowości.

Wielki firewall po rosyjsku

Blokada wpisuje się w szerszą strategię budowy tzw. Runetu, czyli internetu zdolnego do funkcjonowania w izolacji od reszty świata. W ostatnich latach Rosja testowała mechanizmy pozwalające na centralne zarządzanie ruchem sieciowym, filtrowanie treści i szybkie wyłączanie wybranych usług.

Technologicznie kraj coraz bardziej przypomina model znany z Chin – z lokalnymi odpowiednikami zachodnich platform i infrastrukturą przygotowaną na cyfrową autarkię.

Co to naprawdę oznacza?

Z perspektywy politycznej to dalsze domykanie przestrzeni informacyjnej państwa. Z perspektywy technologicznej – dowód, że kontrola nad infrastrukturą jest dziś równie ważna jak kontrola nad terytorium.

A z perspektywy użytkownika? Wybór komunikatora przestaje być decyzją konsumencką, a zaczyna być decyzją systemową. Bo gdy państwo kontroluje sieć, „instaluj albo nie” przestaje być realną opcją.

Doniesienia o blokadach kont Apple w Rosji. Analiza mechanizmu sankcji i ryzyka „false positives”

Widzę, że wraca na polskim gruncie temat szyfrowania komunikacji i tego, jak to ponoć ułatwia zadanie pedofilom, więc może warto by zakazać/osłabić...
Także, dla przypomnienia

https://techspresso.cafe/2025/02/04/czy-mamy-prawo-do-prywatnej-komunikacji/

#szyfrowanie #dzieci

Myślałeś, że Chat Control umarło? Wróciło. Teraz UE chce Twojego dowodu, żebyś mógł wysłać wiadomość

W sierpniu, kiedy opisywaliśmy na łamach iMagazine kontrowersyjne plany UE, wydawało się, że masowy sprzeciw internautów zatrzymał walec inwigilacji. Nic bardziej mylnego.

Temat wrócił pod koniec roku, ale w nowym przebraniu. Zamiast o „skanowaniu”, politycy mówią teraz o „Upload Moderation” i – co gorsza – o obowiązkowej weryfikacji wieku. To koniec anonimowości w sieci, jaką znamy.

Strona kampanii FightChatControl.eu ponownie bije na alarm, a eksperci od prywatności (m.in. z EDRi) ostrzegają: to, co Rada UE położyła na stole pod koniec listopada 2025 r., jest w pewnym sensie gorsze od pierwotnych planów. Dlaczego? Bo uderza w każdego użytkownika smartfona, zmuszając nas do wylegitymowania się, by w ogóle móc korzystać z cyfrowych usług.

Koniec anonimowych kont

Nowy mandat negocjacyjny Rady UE przesuwa ciężar „ochrony dzieci” na weryfikację tożsamości. W praktyce oznacza to, że aby założyć konto na komunikatorze (WhatsApp, Messenger, Signal) lub w mediach społecznościowych, usługodawca będzie musiał mieć pewność, ile masz lat.

Jak to zweryfikować? Kliknięcie „mam 18 lat” już nie wystarczy. W grę wchodzą:

• Skan dowodu osobistego.
• Skan twarzy (biometria).
• Rządowy cyfrowy portfel tożsamości (European Digital Identity Wallet).

Krytycy, w tym Patrick Breyer (były europoseł i twarz walki z Chat Control), nazywają to rozwiązanie „cyfrowym aresztem domowym”. Jeśli przepisy wejdą w życie, każda Twoja aktywność w sieci – od wysłania mema po prywatną rozmowę – będzie trwale powiązana z Twoją fizyczną tożsamością.

Skanowanie tylnymi drzwiami

Co z szyfrowaniem (E2EE), o które walczyliśmy latem? Nowa propozycja wprowadza pojęcie „Upload Moderation”. Oznacza to, że treści (zdjęcia, filmy, linki) mogą być skanowane przez system operacyjny lub aplikację zanim zostaną zaszyfrowane i wysłane. Jeśli system wykryje coś podejrzanego, wiadomość nie zostanie wysłana, a sprawa może zostać zgłoszona odpowiednim służbom.

Choć oficjalnie jest to przedstawiane jako mechanizm „dobrowolny” lub ograniczony do podejrzanych zachowań, aktywiści z Fight Chat Control ostrzegają: jeśli nie zgodzisz się na skanowanie, nie będziesz mógł wysyłać multimediów. Zatem chcąc w pełni korzystać z cyfrowych usług, nie masz tak naprawdę wyboru.

Dlaczego to ważne teraz?

Wiele osób odetchnęło z ulgą po wakacyjnych protestach, uznając sprawę za zamkniętą. Tymczasem machina legislacyjna ruszyła ponownie, wykorzystując moment mniejszego zainteresowania opinii publicznej. Temat weryfikacji wieku jest znacznie trudniejszy do zwalczenia w debacie publicznej, bo kto nie chciałby chronić dzieci przed nieodpowiednimi treściami?

Problem w tym, że pod płaszczykiem ochrony najmłodszych, budowana jest infrastruktura, która pozbawia anonimowości wszystkich dorosłych obywateli Unii.

Więcej informacji i możliwość wysłania apelu do polityków znajdziecie na odświeżonej stronie FightChatControl.eu.

Totalna inwigilacja w Twoim telefonie? Kontrowersyjne prawo UE wchodzi w decydującą fazę

Kryptograficzna wpadka roku: eksperci od szyfrowania zgubili klucz do własnych wyborów

To brzmi jak scenariusz kiepskiej komedii o działach IT, ale wydarzyło się naprawdę w jednej z najbardziej prestiżowych organizacji zajmujących się bezpieczeństwem na świecie.

International Association of Cryptologic Research (IACR) została zmuszona do anulowania wyników swoich corocznych wyborów do władz stowarzyszenia. Powód jest prozaiczny, a zarazem kuriozalny: jeden z urzędników zgubił klucz szyfrujący niezbędny do odczytania oddanych głosów. Organizacja przyznała, że odzyskanie wyników jest technicznie niemożliwe.

Głosowanie przeprowadzono przy użyciu systemu Helios, narzędzia open source, które wykorzystuje recenzowaną przez środowisko naukowe kryptografię do zapewnienia tajności i weryfikowalności wyborów.

Zgodnie z regulaminem stowarzyszenia, aby zapobiec manipulacjom, trzech niezależnych powierników otrzymało po jednej części materiału kryptograficznego. Aby odszyfrować ostateczne wyniki, system wymagał wprowadzenia wszystkich trzech części klucza prywatnego. Niestety, jeden z powierników „bezpowrotnie utracił” swoją część, co IACR określiło mianem „uczciwego, ale niefortunnego błędu ludzkiego”.

Konsekwencje tego zdarzenia są natychmiastowe. Moti Yung, powiernik, który nie był w stanie dostarczyć swojej części klucza, zrezygnował z pełnionej funkcji i został zastąpiony przez Michela Abdallę. Aby uniknąć powtórki z tej sytuacji w przyszłości, IACR zmienia procedury zarządzania kluczami prywatnymi. Zamiast wymagać kompletu trzech części, przyszłe wybory będą opierać się na mechanizmie progowym, wymagającym do odszyfrowania tylko dwóch z trzech fragmentów klucza. Nowe wybory rozpoczęły się w miniony piątek i potrwają do 20 grudnia.

#bezpieczenstwo #helios #iacr #kryptografia #news #szyfrowanie #wpadka #wybory