Como o Session é uma bifurcação do Signal, ele herdou a forte segurança do Signal. A partir daí, a equipe da Session criou um sistema anônimo e descentralizado que oferece privacidade e anonimato superiores aos seus usuários. Você está pronto para saber mais sobre esse desafiante ao trono de melhor aplicativo de mensagens seguro e privado? Então vamos nos aprofundar nesta análise do Session.
Noções básicas do Session messenger.
Nos bastidores, o Session é fundamentalmente diferente da maioria dos outros serviços de mensagens seguras. Para que o restante desta análise da Session seja mais fácil de entender, precisamos repassar alguns conceitos básicos agora.
As conversas na Session são protegidas usando criptografia E2E no lado do cliente. Somente o remetente e o destinatário de uma mensagem podem lê-la. Mas a Session vai além de fornecer segurança de mensagens. A Session também protege as identidades de seus usuários. Ela torna suas comunicações privadas e anônimas, além de seguras.
A Session pode fazer isso porque conecta os usuários por meio de uma rede semelhante ao Tor, com milhares de Service Nodes. Os nós de serviço são servidores que transmitem mensagens para frente e para trás na rede, além de fornecer serviços adicionais. O sistema de solicitação onion que a Session usa para proteger as mensagens garante que nenhum Service Node da rede conheça a origem (seu endereço IP) e o destino (o endereço IP do destinatário) de uma mensagem. Isso permite que você oculte seu IP por padrão.
A Session adota uma série de medidas adicionais para proteger sua identidade:
Nenhum número de telefone é necessário para o registro
Nenhum e-mail é necessário para o registro
Não são coletados dados de geolocalização, dados do dispositivo ou metadados
Os nós de serviço são agrupados em enxames. Os swarms fornecem redundância à rede, bem como armazenamento temporário quando as mensagens não podem ser entregues ao seu destino. Cada cliente de sessão se conecta a um swarm para enviar e receber mensagens em tempo real, bem como para recuperar mensagens relevantes que estão armazenadas no swarm aguardando entrega.
Você perceberá que não falamos sobre nenhum tipo de servidor central aqui. A rede Session é descentralizada, sem um único ponto de falha e sem um servidor principal para os bandidos invadirem. A Session move as mensagens usando um sistema de roteamento onion.
Em um sistema de roteamento onion, as mensagens são cercadas por várias camadas de criptografia e passam por vários nós do sistema. Cada nó descriptografa uma camada de criptografia antes de passar a mensagem adiante. Devido à forma como as mensagens são criptografadas, nenhum nó pode saber a origem da mensagem e seu destino. Além disso, seu endereço IP nunca fica visível no destino, o que significa que a pessoa com quem você está conversando não tem como identificá-lo quando você usa a Session. O serviço Session deve se mostrar muito resiliente e continuar funcionando mesmo quando nós de serviço individuais entram ou saem da rede.
O sistema de roteamento onion da Session é executado na rede Oxen Service Node. Essa rede (anteriormente conhecida como Lokinet) também serve como parte da infraestrutura para a criptomoeda $OXEN. Você pode saber mais sobre a OXEN no site Oxen.io.
Embora a Session agora lide muito bem com as funções básicas de mensagens, ela não tem alguns dos recursos que concorrentes como Signal ou Telegram têm. Ele ainda não faz chamadas de voz ou vídeo, entre outras coisas. Se você precisar desses recursos específicos, talvez seja melhor procurar outro aplicativo de mensagens.
Aqui estão os prós e contras que identificamos nesta análise da sessão:
+ Prós
A criptografia de ponta a ponta (E2E) protege as mensagens de texto e de voz, bem como os anexos
Criptografia: Protocolo de sessão
Não requer número de telefone ou endereço de e-mail para se registrar
Código aberto
O sistema de roteamento Onion oferece descentralização e anonimato
Não registra endereços IP ou metadados
Grupos fechados criptografados (agora com até 100 pessoas) e grupos abertos (sem limite de tamanho)
Auditoria de código de segurança concluída com êxito em aplicativos para desktop, Android e iOS
- Contras
Não oferece suporte a 2FA (autenticação de dois fatores)
Sincronização de vários dispositivos redesenhada (versão beta inicial)
Remoção do Perfect Forward Secrecy
Importante: o fato de o Session não coletar metadados é uma grande vantagem. Consideramos que a questão dos metadados é o calcanhar de Aquiles de muitos serviços de mensagens e de e-mail seguros. Mesmo os serviços de e-mail seguro mais populares, como o ProtonMail, não têm uma boa solução para o problema dos metadados.
Agora examinaremos os principais recursos do Session messenger.
Resumo dos recursos da Session.
Aqui estão os recursos que você deve considerar ao avaliar o Session:
Ele usa o Protocolo de Sessão inspirado no Signal, além de um sistema de roteamento onion distribuído para comunicação anônima e descentralizada.
Código 100% open-source (o código está disponível no GitHub).
Clientes para Android, iOS, macOS, Windows e Linux.
O sistema está muito mais estável após vários meses de redesenho e refatoração.
Informações sobre a empresa Session.
O Session é um projeto da Loki Foundation. A Loki Foundation (registrada como LAG Foundation, LTD) é uma fundação beneficente registrada com sede em Victoria, Austrália. A fundação declara que seu objetivo é "...criar ferramentas e aplicativos de comunicação de código aberto e sem metadados que defendam a privacidade no mundo digital".
Observação: os produtos Loki estão mudando seu nome para Oxen. Provavelmente haverá um longo período de tempo em que Loki e Oxen serão usados de forma intercambiável.
Onde são armazenados os dados de sua sessão?
As mensagens que são enviadas a você são, na verdade, enviadas ao seu enxame. As mensagens são armazenadas temporariamente em vários Service Nodes dentro do swarm para proporcionar redundância. Depois que seu dispositivo coleta as mensagens do swarm, elas são automaticamente excluídas dos nós de serviço que as estavam armazenando temporariamente.
Observação: isso não é o mesmo que uma arquitetura ponto a ponto. De acordo com as Perguntas frequentes sobre a sessão aqui,
Os clientes da Session não atuam como nós na rede e não retransmitem ou armazenam mensagens para a rede. A arquitetura de rede da Session está mais próxima de um modelo cliente-servidor, em que o aplicativo Session atua como cliente e o conjunto de nós de serviço atua como servidor. A arquitetura cliente-servidor do Session permite mensagens assíncronas mais fáceis (mensagens quando uma das partes está off-line) e ofuscação de endereço IP baseada em roteamento onion, em relação às arquiteturas de rede ponto a ponto.
Testes e auditorias da Session por terceiros.
A Session agora usa sua rede de roteamento onion. No ano passado, a Quarkslab encomendou uma auditoria de segurança dos aplicativos Session Desktop, Android e iOS. Essa auditoria já foi concluída e traz boas notícias para a Session e seus usuários. O relatório da auditoria conclui, em parte, com o seguinte:
A Oxen Session realmente melhora a privacidade e a resiliência do sinal usando uma rede de sobreposição para a solução de mensagens instantâneas com criptografia de ponta a ponta existente. Os mecanismos de roteamento onion fazem uso dos Snodes da Oxen para armazenar e trocar mensagens. No entanto, há alguns outros serviços da Web padrão centralizados que ainda são usados por meio da rede de sobreposição (para o serviço push e para fornecer arquivos anexos). Todas as principais preocupações foram rapidamente corrigidas.
Auditoria da sessão do Quarkslab Oxen, relatório técnico
A Session agora é adequada para uso em casos em que a segurança comprovada e verificada de forma independente é um pré-requisito.
Quão segura e privada é a sessão?
Quando a sessão estiver concluída e totalmente desenvolvida, ela deverá ser super segura, extremamente privada, anônima e, em geral, excelente. No entanto, não está claro o quanto o produto está realmente próximo de ser concluído.
O sistema de roteamento onion agora está funcionando, o que é um grande impulso para a segurança e a privacidade. E a auditoria de segurança do Quarkslab mostra que os aplicativos para desktop, Android e iOS são todos seguros.
Preocupações com a Austrália e a segurança dos dados.
Sobre os tópicos de privacidade e segurança de seus dados, precisamos discutir onde a Session está sediada. Conforme observado acima, a Session está sediada na Austrália. Infelizmente, a Austrália não é uma jurisdição perfeita em termos de privacidade por alguns motivos.
Como discutimos recentemente em nosso guia sobre as melhores VPNs para a Austrália, o país aprovou uma lei para minar a criptografia e a segurança dos dados em 2018. Aqui está uma rápida visão geral dessa lei:
O Parlamento australiano aprovou um projeto de lei de criptografia polêmico na quinta-feira para exigir que as empresas de tecnologia forneçam às agências de segurança e de aplicação da lei acesso a comunicações criptografadas. Os defensores da privacidade, as empresas de tecnologia e outras empresas se opuseram fortemente ao projeto de lei, mas o governo do primeiro-ministro Scott Morrison disse que ele era necessário para impedir criminosos e terroristas que usam programas de mensagens criptografadas para se comunicar.
Nos círculos de privacidade, o "Projeto de Lei de Assistência e Acesso" às vezes é chamado de "lei de quebra de criptografia" ou "lei anticriptografia" devido ao que permite. Essa lei afetaria fundamentalmente as empresas que fornecem serviços de comunicação criptografada, incluindo Session, serviços de VPN e outras empresas voltadas para a privacidade. Esse tópico continua a receber críticas de defensores da privacidade em todo o mundo.
Seguindo o exemplo da Austrália, os órgãos reguladores dos EUA também propuseram forçar as empresas de tecnologia a quebrar a criptografia, facilitando assim a vigilância.
A Loki Foundation, que está por trás da Session, abordou essa questão espinhosa em um post de blog:
Obviamente, ficamos aterrorizados quando vimos esse projeto de lei pela primeira vez. A possibilidade de o projeto ser totalmente prejudicado por essa legislação não passou despercebida. Começamos a pensar em como poderíamos configurar falhas para permitir que as pessoas detectassem códigos ruins sendo injetados em nossa base de código, ou pagar alguém externo ao Loki para fazer inspeções regulares nos binários que lançamos e garantir que eles não estejam vazando informações extras ou não correspondam à base de código de alguma forma. Se recebêssemos um TCN [Technical Capability Notice], não poderíamos contar a ninguém sobre isso. Se criássemos algum tipo de sistema canário, poderíamos ser presos. Portanto, qualquer que seja o sistema à prova de falhas que tenhamos instalado, ele terá de ser externo à Loki e terá de nos auditar regularmente para garantir que não fomos comprometidos antes da emissão de um TCN.
Em última análise, a Loki Foundation acredita que ainda pode operar um serviço de mensagens seguro nesse ambiente jurídico perigoso. A postagem do blog deles sobre o assunto realmente se aprofunda em detalhes técnicos e jurídicos, que você pode investigar se tiver tempo e disposição. Além disso, eles abordam a questão no tópico de perguntas frequentes intitulado "A postura anticriptografia do governo australiano representa um risco para a Session?", bem como nesta atualização da publicação original no blog.
Então, seus dados estão seguros e protegidos com o Session Messenger?
Tenho minhas dúvidas depois de pesquisar o Projeto de Lei de Telecomunicações e Outras Emendas Legais (Assistência e Acesso) de 2018, comumente conhecido como projeto de lei AA ou TOLA, mas você pode chegar às suas próprias conclusões.
Outras preocupações com a privacidade na Austrália.
Também vale a pena observar que a legislação anticriptografia não é o único problema de privacidade que assola a Austrália. Considere o seguinte:
Retenção obrigatória de dados - Em 2017, a Austrália implementou uma estrutura de retenção obrigatória de dados. Isso força todos os provedores de Internet e empresas telefônicas a armazenar dados de conexão para agências governamentais por dois anos completos.
Five Eyes - Também observamos anteriormente que a Austrália é membro da aliança de vigilância Five Eyes. Essa aliança trabalha em conjunto para coletar e compartilhar dados de vigilância em massa.
E se você acha que várias agências não estão explorando essas leis para coletar dados sobre os australianos, pense novamente. Aqui está uma manchete recente do The Guardian:
Perguntas frequentes sobre o Session Messenger.
Aqui estão algumas perguntas que surgiram com frequência durante a pesquisa e a redação desta atualização.
O Session Messenger é seguro?
A auditoria de segurança recentemente concluída pela Quarkslab confirmou o que acreditávamos há muito tempo: o Session é seguro. Mas as ações do governo australiano para contornar as proteções de privacidade em praticamente qualquer aplicativo ou serviço (não apenas no Session) nos fazem sentir que sua privacidade não pode ser garantida se você usar o Session.
O que é o protocolo Session?
O protocolo Session é um novo protocolo de mensagens desenvolvido pela Session. A mudança do protocolo Signal para o protocolo Session mantém a segurança deste último e, ao mesmo tempo, oferece recursos de privacidade/anonimato e descentralização. O resultado é um protocolo que funciona bem com a arquitetura exclusiva da Session.
Conclusão da análise da Session.
O Session é um produto promissor, mas tem seus prós e contras. Uma vez concluído, ele deverá ser tão seguro quanto o Signal, ainda mais privado que o Signal e também anônimo. Mas ainda há preocupações persistentes sobre a Austrália, a privacidade dos dados e a capacidade da Loki Foundation de manter os dados dos usuários seguros nesse ambiente.
Last edited by a moderator:
