Państwo chciałoby zastąpić WhatsAppa lub Telegram własną aplikacją komunikacyjną

Kiedy dziś dwóch czeskich urzędników pisze do siebie przez WhatsAppa lub Signala, ich wiadomości przesyłane są przez infrastrukturę zagranicznych firm, i choć te i inne aplikacje oferują na przykład szyfrowanie end-to-end, państwo praktycznie nie ma żadnej kontroli nad danymi. Właśnie to Czechy chcą zmienić w przyszłości. Wiceminister spraw wewnętrznych i pełnomocnik rządu ds. cyfryzacji i bezpieczeństwa strategicznego Lukáš Klučka ujawnił serwisowi Lupa.cz, że państwo rozważa uruchomienie własnej alternatywy dla komunikatorów typu WhatsApp, Signal czy Telegram. Informacje te pojawiają się w czasie, gdy rządy na całym świecie zastanawiają się, komu właściwie powierzają swoją potencjalnie wrażliwą komunikację.

Co na razie wiemy o projekcie

Celem państwowego komunikatora ma być bezpieczna komunikacja danych dla państwa i jego kluczowych podmiotów, czyli służb bezpieczeństwa, ministerstw i innych organizacji, pisze Lupa. Aplikacja powinna spełniać wysokie standardy bezpieczeństwa i zapewnić między innymi to, że dane nie będą wyciekać za granicę. Według Klučki rozważa się również wdrożenie kryptografii postkwantowej (PQC), czyli szyfrowania odpornego na przyszłe komputery kwantowe.

Plany są częścią zmienionej koncepcji projektu BIVOJ. Ma on na celu przeprowadzenie dużej rewizji i ujednolicenia sieci państwowych, co ma jednocześnie zwiększyć bezpieczeństwo i zoptymalizować koszty. Aplikacja komunikacyjna to tylko jeden z cząstkowych projektów, które wchodzą w skład BIVOJ. Część działań przejmie również NÚKIB – według Klučki powinien on zbudować na przykład bezpieczny DNS.

Dziś prym wiedzie Signal, NÚKIB chwali również Threemę

Urzędnicy państwowi, według Lupy, często sięgają dziś właśnie po Signala. Lupa przypomniała, że NÚKIB w swojej analizie aplikacji komunikacyjnych z 2022 roku dobrze ocenia również szwajcarską Threemę. Obie aplikacje posiadają szyfrowanie end-to-end we wszystkich formach komunikacji, różnią się jednak naciskiem na prywatność.

Największym atutem Threemy jest anonimowość: do rejestracji nie wymaga numeru telefonu ani e-maila, użytkownik otrzymuje jedynie losowo wygenerowany ID. Atutami są również szwajcarska jurysdykcja i fakt, że jest to aplikacja płatna – operator ma dzięki temu bardziej przejrzyste źródła finansowania. Ceną jest mniejsza baza użytkowników i mniej funkcji, co jednak nie przeszkadza w przypadku masowego wdrożenia w ramach jednej organizacji. NÚKIB w momencie publikacji analizy nie odnotował żadnego incydentu bezpieczeństwa.

Signal jest natomiast najpopularniejszym szyfrowanym komunikatorem i oferuje więcej komfortu – grupowe wideorozmowy, automatyczne usuwanie wiadomości czy otwarty kod źródłowy, który każdy może zweryfikować. Jego słabością z punktu widzenia prywatności jest powiązanie konta z numerem telefonu, co uniemożliwia całkowicie anonimowe korzystanie. Prowadzony jest przez non-profitową Signal Foundation z siedzibą w USA.

Z własnym komunikatorem niedawno wystąpiła Polska

Czechy w rozważaniach o własnym rozwiązaniu nie są same i znajdą inspirację u północnego sąsiada. Polskie Ministerstwo Cyfryzacji wraz z instytutem badawczym NASK-PIB w kwietniu tego roku uruchomiło testowanie komunikatora mSzyfr – pierwszego komunikatora w pełni pod polską jurysdykcją. Jest przeznaczony dla organów administracji publicznej i podmiotów krajowego systemu cyberbezpieczeństwa, jego serwery znajdują się na terytorium Polski i są zarządzane przez osoby z poświadczeniem bezpieczeństwa.

Szyfrowanie end-to-end obejmuje nie tylko wiadomości tekstowe i głosowe, ale także rozmowy audio i wideo, przesyłane pliki i metadane, przy czym system ma poradzić sobie również z informacjami niejawnymi do stopnia „zastrzeżone”. Według Lupy do polskiej decyzji przyczynił się również fakt, że Signal stał się celem kampanii inżynierii społecznej skierowanych na urzędników. Podobne narzędzia krajowe w Europie obsługują dziś tylko Francja, Niemcy i Estonia.

Czy państwo powinno rozwijać własną aplikację komunikacyjną, czy raczej masowo wdrożyć sprawdzone rozwiązanie typu Threema?

Źródła: Lupa.cz, NÚKIB, gov.pl (1, 2)