如何确保非开源程序确实使用了端到端加密？

#1 楼

是否有办法确保非开源程序确实使用了端到端加密？


只能通过深度逆向工程来实现。这很难，而且可能是非法的。另外，应用程序是一个移动的目标：它们像每周一样在变化。而且，使用端到端加密并不能证明不可能进行拦截：这种加密（或其密钥生成）可能是弱的，偶然地，故意地，或者是暗中的。最终，没有实际的方法¹。

真实的故事：我是这个调制解调器的首席工程师，该调制解调器具有端到端加密功能，可以使用智能卡协商会话密钥，于1990年发布，已出售在法国取得了一些成功。我们公司的一位董事坚持要求我们获得有关这些功能的批准，因为这是在与我们的主要分销商Apple France进行的一次对话中提出的。 （1991年中）之后不久，我有一个人向我介绍自己的军事职务，他解释说法律规定，出售给普通大众的加密设备必须有一种方法来找到密钥，而该密钥最多需要经过测试240个步骤。他需要对该协议进行详细描述。我认为更改它会破坏互操作性。那个家伙提议增加一个泄漏会话密钥的边信道，这样，如果一端正在使用装配的设备，则会话密钥将可用于拦截线路信号并了解方法。我给人的独特印象是这是标准程序。最后，我创建了一个新的数据包类型，旧设备将忽略该数据包类型，其中包含经过RSA加密的会话密钥，并以越来越少的固定间隔发送，而新模型则这样做。我记得那个家伙来演示了。为了我自己的安全，我坚持不知道生产私钥。我仍然拥有8051汇编中该设备的源代码。

注意：该设备的点对点加密的主要功能是，当您制作了一组智能卡并将其插入调制解调器后，您可以确信只有持有另一组智能卡的人才能连接。正如法国法律所没有要求的那样，此功能没有受到损害。


¹没有切实可行的方法来确保有效的端到端加密。有时可以证明没有端到端加密。例如，如果数据通过中央服务器通过使用服务器证书保护的https链接进入，并且通过使用本地代理（设备上的标准hack）破坏https加密来显示用户消息，那么我们确定没有端到端加密。

²向下滚动并单击宽图或向右箭头以获取更多信息，包括内部信息。我与该网站没有联系。

#2 楼

在最初的问题中：


WhatsApp，FaceTime，Zoom等非开源程序


我认为您真正要问的是原因是您是否可以相信某些内容正在使用您未亲自安装和托管的端到端加密。

即使对于开源软件，我也不认为这是可行的。原因是，如果您使用运行jitsi或BigBlueButton的其他人的服务，则假定他们正在完全运行公共存储库中提供的服务。谁真的知道这是否正确。

所以，我认为，最好的选择是找到使用您信任的某种形式的外部验证（审计）的服务，或者自己运行。

#3 楼

从某种意义上说，就一般而言，很难完全确定任何电子设备中正在发生什么，因此同意没有办法确定。即使您拆除了它并以某种方式观察到发生了什么，您如何知道用于检查它的设备没有被黑客入侵？即使假设您是从头开始构建的，您怎么知道有人在您入睡时没有妥协呢？您几乎可以将妄想症带到任何水平。

尽管在实践中，合理的测试是从外部进行测试，即捕获交换的数据包的样本，然后检查这些位以查看是否数据按照广告进行加密。如果外部规范已经发布，即使没有发布，这也不应该是不可能的。当然，这只会表明捕获的数据包已正确加密，设备可能会在周日发送未加密的数据包。总的来说，要对加密软件能够实现其声称的功能有合理的信心，则需要检查源代码。