Jag skrev i förra nyhetsbrevet om gripandet av Telegrams VD Pavel Durov. Han är i skrivande stund tydligen fri mot borgen men Telegram är fortfarande ett bra exempel på hur man populariserar en shady kommunikationsplattform, vilket också Kalle Kniivilä beskriver väl i artikeln ”Detta vet vi om Telegram och tjänstens gåtfulle grundare” där jag också intervjuas högst kort.
Jag fick en del mothugg på min förra post, främst utifrån perspektivet att gripandet är problematiskt pga Durov ställs till svars för vad användarna på plattformen gör. Det skulle på något sätt vara ett inlägg i debatten om plattformars ansvar och yttrandefrihet på internet. Den frågeställningen menar jag baseras på felaktiga antaganden. Vill man agera ”rätt” eller göra en ”bra” meddelandetjänst är ett förslag att vara allt som Telegram inte är.
Att plattformsansvar och stora techbolags agerande emellanåt (i vissa fall ofta) är komplicerat är sant. Men de flesta stora bolag och aktörer anstränger sig ändå för att agera 1/ i enlighet med rådande lagstiftning och 2/ tillräckligt transparent för att man ska förstå deras utmaningar. Telegram gör inget av detta. För att påvisa några exempel följer jag logiken i den spänstiga bloggposten ”Keep Pavel Durov locked up”:
1/ Telegram har aktivt valt att inte samarbeta med barnskyddsorganisationer. Till skillnad från alla andra större sociala nätverk vägrar man ha dialog med såväl statliga som ideella rapportmekanismer som analyserar fall av trafficking eller övergreppsmaterial som innefattar barn.
2/ Telegram har valt att inte vara med i TakeItDown, en koalition av socialamedieföretag som samarbetar mot så kallad ”hämnd-porr” – dvs privat pornografiskt material som läggs upp utan samtycke.
3/ Trots att man säger att man är en sk ”säker” plattform har Telegram aldrig deltagit i ”Internet Engineer Task Force” (IETF) där experter från olika organisationer och företag säkerställer att de krypteringsstandarder som rullas ut är säkra på riktigt. Telegram har aldrig varit representerat.
4/ Telegrams kryptering är hemmabyggd och inte transparent. Man vägrar aktivt open-sourca den och har inte genomfört några öppet tillgängliga säkerhetsgenomlysningar. Alla säkerhetsgenomlysningar har fått göras antingen på begränsade delar av kryptot eller som del av en ”adversary audit” (dvs en genomlysning utan upphovspersonernas medverkan).
Angående krypteringen – jag har letat efter fler och mer ingående källor men den här rapporten tycker jag är tillgänglig nog och beskriver problemet väl. I korta ordalag beskriver man en del sårbarheter man hittat i olika versioner av Telegram och dess MTProto-krypto, och sammanfattar det med:
“Don’t roll your own crypto” is a common mantra issued when a cryptographic vulnerability is found in some protocol.
För visst kan det locka att hitta på en egen kryptografisk lösning pga anledning. Man kanske är väldigt påhittig eller paranoid. Eller så vill man bygga in bakdörrar av något slags anledning, exempelvis för personlig vinning eller åt en säkerhetstjänst. Oavsett är en egen lösning sällan genomlyst eller betrodd – och man går då också miste om alla de lärdomar och erfarenheter som det samlade krypto-communityt redan gått igenom.
Och utan transparens och öppenhet är det omöjligt för säkerhetsanalytiker att skärskåda koden och därmed också svårt att göra något slags välunderbyggd tolkning av huruvida tekniken faktiskt är trygg och säker.
Ett exempel på det sistnämnda är att Signals krypteringsprotokoll (smidigt nog kallat Signal Protocol) alltid varit open source, och med tiden också implementerats i exvis alla Metas meddelandetjänster (Messenger, WhatsApp och Instagram DM) och i Googles Messages-tjänst. Det innebär dels att en uppdatering i protokollet gör användare över alla plattformar säkrare, och dels att protokollets säkerhet garanteras både av nördarna i Signal och jättarna i Meta och Google.