Off-the-Record Messaging

Off-the-Record Messaging (OTR) — это криптографический протокол для защиты мгновенных сообщений, обеспечивающий конфиденциальность, аутентификацию, а также дополнительные свойства отрицания авторства (денiability) и совершенной прямой секретности (perfect forward secrecy). Протокол разработан для использования в системах обмена текстовыми сообщениями в реальном времени, таких как Jabber (XMPP), IRC и другие мессенджеры.

История

Протокол OTR был создан в 2004 году группой исследователей, в которую входили Ник Мэттьюсон, Иэн Голдберг и Тревор Перрин. Основной мотивацией для его разработки стало отсутствие в существующих протоколах мгновенных сообщений (например, MSN Messenger, AIM, ICQ) каких-либо механизмов шифрования, что делало переписку уязвимой для перехвата и прослушивания. Первоначальные версии протокола (версии 1 и 2) были разработаны в рамках проекта «Off-the-Record Messaging» при поддержке Университета Ватерлоо и Центра прикладной криптографии.

В 2008 году вышла версия 3 протокола (OTR v3), которая исправила ряд уязвимостей и добавила поддержку фрагментации сообщений для работы с длинными текстами. В 2013 году, после разоблачений Эдварда Сноудена, интерес к OTR резко возрос, и он стал одним из стандартов де-факто для защищённой переписки. В 2017 году была опубликована спецификация OTR v4, которая значительно улучшила производительность и добавила поддержку асинхронного обмена сообщениями, однако её внедрение остаётся ограниченным.

Принципы работы

OTR основан на комбинации симметричного и асимметричного шифрования, а также на протоколе обмена ключами Диффи — Хеллмана. Основные этапы установления защищённого канала:

1. Обмен ключами: Стороны генерируют временные ключи Диффи — Хеллмана и обмениваются ими через открытый канал. Это позволяет вычислить общий секретный ключ, который используется только для одного сеанса связи.
2. Аутентификация: Для проверки подлинности собеседника используется аутентификация на основе общего секрета (парольная фраза) или цифровых подписей. В версии 3 и 4 применяется аутентификация с помощью «социального ключа» (Socialist Millionaire Protocol, SMP), позволяющая подтвердить личность без раскрытия самого секрета.
3. Шифрование и дешифрование: Сообщение шифруется с использованием симметричного алгоритма AES (Advanced Encryption Standard) в режиме CTR (Counter) с ключом, полученным из общего секрета. Каждое сообщение дополнительно подписывается для обеспечения целостности и аутентификации.
4. Совершенная прямая секретность: После завершения сеанса связи все временные ключи уничтожаются. Даже если злоумышленник в будущем получит доступ к долговременным ключам сторон, он не сможет расшифровать ранее перехваченные сообщения, так как для этого потребовались бы уничтоженные сеансовые ключи.
5. Отрицание авторства: В отличие от цифровых подписей, которые однозначно связывают сообщение с отправителем, OTR использует механизм, при котором любая из сторон может сгенерировать подпись, неотличимую от подписи другой стороны. Это делает невозможным для третьей стороны доказать, что конкретное сообщение было отправлено именно данным пользователем, а не сгенерировано им самим впоследствии.

Ключевые свойства

Конфиденциальность

Все сообщения, передаваемые по протоколу OTR, зашифрованы. Даже если злоумышленник перехватит трафик, он не сможет прочитать его содержимое без знания сеансового ключа.

Аутентификация

OTR позволяет убедиться, что сообщение действительно отправлено тем, за кого себя выдаёт собеседник, а не злоумышленником (атака «человек посередине»). Это достигается за счёт использования цифровых подписей и протокола SMP.

Совершенная прямая секретность (PFS)

Это одно из важнейших свойств OTR. Если долговременные ключи пользователя будут скомпрометированы (например, украдены), все предыдущие сеансы связи останутся защищёнными, так как для их расшифровки потребуются уничтоженные сеансовые ключи.

Отрицание авторства (Deniability)

Любой участник разговора может сгенерировать подпись, которая будет выглядеть так же, как подпись другого участника. Это означает, что ни одна из сторон не может предоставить третьей стороне неопровержимое доказательство того, что конкретное сообщение было отправлено именно её собеседником. Это свойство защищает пользователей от шантажа и принуждения к раскрытию переписки.

Применение

Протокол OTR широко используется в различных клиентах мгновенных сообщений, особенно в тех, которые ориентированы на приватность и безопасность.

Клиенты, поддерживающие OTR

• Pidgin (с плагином OTR): Один из самых популярных клиентов для Windows и Linux.
• Adium (macOS): Встроенная поддержка OTR.
• Conversations (Android): Популярный клиент для XMPP с поддержкой OTR.
• Gajim (Linux, Windows): Клиент для XMPP с поддержкой OTR.
• Psi (кроссплатформенный): Клиент для XMPP с поддержкой OTR.
• BitlBee: Шлюз для IRC, позволяющий использовать OTR.

Ограничения и недостатки

• Синхронность: OTR требует, чтобы оба участника были онлайн одновременно для установления сеанса. Это делает его непригодным для асинхронного обмена сообщениями (например, в электронной почте или в мессенджерах с хранением сообщений на сервере).
• Сложность настройки: Для использования OTR требуется установить и настроить плагин или клиент, что может быть сложно для неопытных пользователей.
• Отсутствие поддержки групповых чатов: OTR предназначен только для общения один на один. Для групповых чатов используются другие протоколы, такие как OMEMO или Signal Protocol.
• Уязвимость к атакам на метаданные: OTR шифрует только содержимое сообщений, но не защищает метаданные (время отправки, IP-адреса, идентификаторы участников). Эти данные могут быть использованы для анализа трафика.

Сравнение с другими протоколами

OTR часто сравнивают с другими протоколами защищённой передачи сообщений, такими как Signal Protocol (используется в Signal, WhatsApp, Facebook Messenger — организация Meta признана экстремистской и запрещена в РФ) и OMEMO.

• Signal Protocol: Обеспечивает те же свойства (PFS, deniability), но работает асинхронно, что позволяет отправлять сообщения, когда собеседник офлайн. Он также поддерживает групповые чаты. Signal Protocol является более современным и широко распространённым.
• OMEMO: Протокол, основанный на Signal Protocol, но адаптированный для XMPP. Он также поддерживает асинхронность и групповые чаты, но более сложен в реализации.

OTR остаётся актуальным для сценариев, где требуется максимальная простота и надёжность в синхронном режиме, а также для пользователей, которые предпочитают децентрализованные решения (XMPP) и не хотят зависеть от централизованных серверов.

Критика

Основная критика OTR связана с его недостатками:

• Отсутствие асинхронности: Это ключевой недостаток, который делает его неудобным для использования в современных мессенджерах, где сообщения часто доставляются с задержкой.
• Сложность использования: Необходимость установки плагинов и настройки ключей отпугивает массового пользователя.
• Уязвимость к атакам на метаданные: Как и многие другие протоколы, OTR не защищает метаданные, что может быть использовано для деанонимизации пользователей.
• Отсутствие поддержки групповых чатов: Это ограничивает его применение в корпоративной среде и в сообществах.

Интересные факты

• Название «Off-the-Record» отсылает к журналистскому термину, означающему информацию, которая не может быть приписана конкретному источнику.
• Разработчики OTR активно участвовали в движении за цифровые права и приватность, и протокол стал одним из символов борьбы за конфиденциальность в интернете.
• В 2015 году была обнаружена уязвимость в реализации OTR v3, позволяющая злоумышленнику подменить сообщение, если он знает его содержимое. Уязвимость была исправлена в версии 3.2.

Источники

• Nikita Borisov, Ian Goldberg, Eric Brewer. «Off-the-Record Communication, or, Why Not To Use PGP». 2004.
• Ian Goldberg. «Off-the-Record Messaging: An Introduction». 2008.
• Trevor Perrin, Ian Goldberg. «The OTR Protocol Version 3». 2010.
• Chris Ball, Ian Goldberg. «The OTR Protocol Version 4». 2017.
• Matthew Green. «A Few Thoughts on Cryptographic Engineering». 2013.